Geheimhouding laat geen improvisatie toe.

De begrippen beschrijven eisen aan de omgang met dienovereenkomstig gerubriceerde informatie. Voor de technische planning moet echter nauwkeuriger vaststaan welke informatie op welke plaatsen wordt verwerkt. Mobiel werken, gedeelde opslag en datadragers stellen uiteenlopende eisen aan een versleutelingsoplossing. Daarom wordt het inzetscenario samen beschreven vóór de productkeuze. De bevoegde beveiligingsverantwoordelijken worden er vroeg bij betrokken, zodat de technische aannames aansluiten bij de voorschriften van de opdrachtgever.

“NATO-niveau” is te vaag voor een concrete offerte. Het hier beschreven dienstenbereik betreft NATO RESTRICTED en de daarvoor geschikte inzetscenario's. Daaruit volgt geen algemene toezegging voor hogere rubriceringen. Ook een nationale goedkeuring wordt niet zonder toetsing toegepast op een ander kader. Welke goedkeuringen nodig zijn en welke documentatie daarvoor vereist is, wordt in het project vastgelegd. Deze precisie maakt offerte, uitvoering en latere acceptatie controleerbaar.

Een goedgekeurd product brengt een vastgelegd toepassingsgebied met zich mee. Productversie, platform en de bijbehorende inzetvoorwaarden maken deel uit van de keuze. De loutere vermelding van een fabrikant of een versleutelingsmethode is daarom niet voldoende voor een uitspraak over de geschiktheid. OTOKO® helpt daarbij de concrete oplossing aan de geplande opzet te toetsen en de vereiste beheerprocedures voor te bereiden. De toetsing van de goedkeuringsdocumenten blijft verplicht vóór inzet in productie.

De omgeving omvat daarnaast apparaten, gebruikers, administratie en communicatiewegen. Sleutelbeheer, recovery en onderhoud moeten aansluiten bij de beoogde bescherming. Een latere update of een gewijzigde bedrijfsmodus kan daarom een nieuwe beoordeling nodig maken. De overdracht documenteert de afgesproken status en openstaande punten. Ze vervangt niet de projectgebonden goedkeuring door de verantwoordelijke instanties, maar levert de technische en organisatorische basis die daarvoor binnen de opdrachtomvang nodig is.

De uitgebreide veiligheidsscreening met veiligheidsonderzoeken volgens § 10 SÜG betreft personen en bepaalde veiligheidsgevoelige werkzaamheden. Ze is geen technisch beveiligingsniveau voor een harde schijf, software of cloud. Als een opdracht zulke voorwaarden stelt, worden ze vastgesteld voor het concreet ingezette personeel en de beoogde toegangen. De projectomvang moet daarnaast aansluiten bij de toegestane werkzaamheden en informatiewegen. Een screening van personeel vervangt noch productgoedkeuring, noch systeemgoedkeuring.

Voor de eerste uitwisseling volstaat een niet-gerubriceerde beschrijving van de opdracht en de benodigde ondersteuning. Gerubriceerde documenten horen niet in een algemeen contactformulier, openbare scandiensten of niet-afgestemde communicatiekanalen. Zodra de samenwerking concreet wordt, stemmen wij contactpersonen en toegestane wegen af. Dat maakt het ook voor kleinere bedrijven mogelijk om een project geordend voor te bereiden: de eisen worden afgeleid uit het project en niet uit de omvang van de organisatie of een algemene aanduiding als militaire omgeving.