La protección de la información clasificada no admite improvisación.

Estos términos describen los requisitos para el manejo de información clasificada en el nivel correspondiente. Sin embargo, para la planificación técnica es necesario precisar qué información se procesa y en qué lugares. El trabajo móvil, los repositorios compartidos y los soportes de datos plantean requisitos distintos para una solución de cifrado. Por eso, el caso de uso se describe conjuntamente antes de seleccionar el producto. Los responsables de seguridad competentes se implican desde el principio, para que las hipótesis técnicas se ajusten a las especificaciones del cliente.

Indicar solo el «nivel NATO» es demasiado impreciso para una oferta concreta. El ámbito de servicio aquí descrito se refiere a NATO RESTRICTED y a los casos de uso adecuados para ese nivel. De ello no se deriva ningún compromiso general para clasificaciones superiores. Tampoco se traslada una homologación nacional a otro marco sin comprobarla. En el proyecto se deja constancia de qué autorizaciones se necesitan y qué documentación se requiere para ello. Esta precisión hace que la oferta, la implementación y la posterior aceptación sean verificables.

Un producto homologado conlleva un ámbito de validez definido. La versión del producto, la plataforma y las condiciones de uso correspondientes forman parte de la selección. Por eso, la simple mención de un fabricante o de un procedimiento de cifrado no basta para pronunciarse sobre su idoneidad. OTOKO® ayuda a comprobar la solución concreta frente a la configuración prevista y a preparar los procedimientos de operación necesarios. La revisión de la documentación de homologación sigue siendo obligatoria antes de su uso en producción.

El entorno abarca además los dispositivos, los usuarios, la administración y las vías de comunicación. La gestión de claves, la recuperación y el mantenimiento deben ser compatibles con la protección prevista. Por eso, una actualización posterior o un cambio en el modo de operación puede requerir una nueva evaluación. El traspaso documenta el estado acordado y los puntos pendientes. No sustituye la autorización del proyecto por parte de los organismos competentes, sino que aporta las bases técnicas y organizativas necesarias para ello dentro del alcance encargado.

La comprobación de seguridad ampliada, con investigaciones de seguridad conforme al § 10 de la SÜG, afecta a las personas y a determinadas actividades sensibles para la seguridad. No es un nivel de seguridad técnico para un disco, un software o una nube. Si un encargo exige requisitos de este tipo, se aclaran para el personal concretamente asignado y los accesos previstos. Además, el alcance del proyecto debe ajustarse a las actividades y vías de información permitidas. Una comprobación de personal no sustituye ni la homologación del producto ni la autorización del sistema.

Para el primer contacto basta una descripción no clasificada de la tarea y del apoyo necesario. La documentación clasificada no debe enviarse a través de un formulario de contacto general, ni a servicios públicos de escaneo, ni por canales de comunicación no acordados. En cuanto la colaboración se concreta, acordamos los interlocutores y las vías permitidas. Esto permite también a empresas más pequeñas preparar un proyecto de forma ordenada: los requisitos se derivan del proyecto, y no del tamaño de la organización ni de una calificación genérica como entorno militar.