VS-NfD na urządzeniach mobilnych
Smartfony, szyfrowana telefonia i UEM dla niemieckich informacji niejawnych
Co VS-NfD oznacza w praktyce
VS-NfD to skrót od VS-NUR FÜR DEN DIENSTGEBRAUCH, najniższego z czterech niemieckich stopni tajności określonych w § 4 niemieckiej ustawy o sprawdzaniu bezpieczeństwa (SÜG). Organ federalny nadaje tę klauzulę, gdy zapoznanie się z informacją przez osoby nieuprawnione mogłoby zaszkodzić interesom Republiki Federalnej Niemiec lub jednego z jej krajów związkowych. VS-NfD jest klauzulą niemiecką i nie należy jej utożsamiać z polskimi klauzulami tajności bez analizy prawnej.
Podstawą jest niemiecki ogólny przepis administracyjny o ochronie informacji niejawnych VSA (Verschlusssachenanweisung) z 1 kwietnia 2023 roku. Wymaga on, aby produkty pełniące funkcje bezpieczeństwa IT w ochronie informacji niejawnych były dopuszczone (BSI, uwagi do listy dopuszczonych produktów bezpieczeństwa IT). Na smartfonach i tabletach oznacza to, że funkcje chroniące takie informacje na urządzeniu i w transmisji muszą pochodzić z produktów, które BSI, niemiecki Federalny Urząd Bezpieczeństwa Informacji, dopuścił lub dla których wydał zezwolenie na stosowanie (Einsatzerlaubnis). Reguła ta nie dotyczy informacji wrażliwych, które nie są objęte klauzulą.
BSI rozróżnia dwa instrumenty. Dopuszczenie (Zulassung) jest wiążącą oceną poziomu bezpieczeństwa produktu i obowiązuje dla określonej wersji oraz określonych warunków eksploatacji. Zezwolenie na stosowanie BSI wydaje na podstawie § 51 ust. 5 VSA, gdy dopuszczony produkt nie jest dostępny lub nie może zostać dostarczony na czas. Jest ono terminowe, wiąże się z warunkami, a organizacja korzystająca z produktu ocenia ryzyko zgodnie z § 50 VSA i dokumentuje je w analizie ryzyka (BSI, FAQ dotyczące ewaluacji i dopuszczeń). Certyfikat Common Criteria może natomiast uzyskać każdy produkt IT z funkcjami bezpieczeństwa; nie odnosi się on do informacji niejawnych i nie jest dopuszczeniem w rozumieniu VSA.
Pięć elementów i instrumenty BSI dla każdego z nich
Praca mobilna z VS-NfD obejmuje urządzenie, telefonię, zarządzanie urządzeniami i aplikacje. Dla każdego elementu podajemy, jaki instrument istnieje, kto go posiada i do kiedy obowiązuje. Dane pochodzą z publikacji BSI 7164, listy dopuszczonych produktów i systemów bezpieczeństwa IT.
indigo firmy Apple
indigo to rozwiązanie firmy Apple, które pozwala używać standardowych iPhone'ów i iPadów z informacjami VS-NfD; sprzętową kotwicą bezpieczeństwa jest Secure Enclave zamiast zewnętrznej karty inteligentnej. Dopuszczenia BSI dla indigo firmy Apple: do VS-NfD (BSI-VSA-10900) i NATO RESTRICTED (BSI-VSA-11003), a także zezwolenie na stosowanie do VS-NfD (BSI-VSA-10901), wszystkie ważne do 31.10.2027. Według Apple BSI-VSA-10900 obejmuje iOS i iPadOS 18, a BSI-VSA-11003 iOS i iPadOS 26. Posiadaczem dopuszczeń jest Apple Inc., ISEC7 jest integratorem.
indigo dotyczy wyłącznie niemieckich urzędów i niemieckich przedsiębiorstw objętych ochroną informacji niejawnych. ISEC7 projektuje architekturę, buduje środowisko z UEM, definiuje procesy i prowadzi eksploatację.
Samsung Knox Native Solution
Dla urządzeń Samsung z Androidem BSI wymienia Knox Native Solution, ze sprzętową kotwicą bezpieczeństwa w postaci embedded Secure Element. Chodzi o urządzenia Samsung z Knox Native Solution, dla których Samsung posiada zezwolenie BSI na stosowanie do VS-NfD (BSI-VSA-11044, ważne do 31.08.2027). Zezwolenie dotyczy Knox Native Solution w wersji 3.13, a jego posiadaczem jest Samsung Electronics GmbH. Ponieważ jest to zezwolenie na stosowanie, organizacja użytkownika sama ocenia i dokumentuje ryzyko.
ISEC7 podłącza urządzenia do UEM, konfiguruje enrollment zero-touch przez Knox Mobile Enrollment i prowadzi eksploatację.
Szyfrowane rozmowy z ISEC7 MANAGED SECURE VOICE
ISEC7 MANAGED SECURE VOICE to usługa zarządzana do szyfrowanych rozmów na urządzeniach Apple i Samsung, oparta na aplikacji SecuVOICE firmy Secusmart. Aplikacja SecuVOICE ma zezwolenie BSI na stosowanie do VS-NfD, BSI-VSA-11057, ważne do 31.08.2027; obejmuje ono SecuVOICE dla iOS i Androida w wersji 6.x, a jego posiadaczem jest Secusmart GmbH. Secusmart jest producentem aplikacji, ISEC7 prowadzi usługę.
Do poziomu VS-NfD sięgają tylko rozmowy end-to-end między użytkownikami SecuVOICE oraz Secure Landing do numerów za zabezpieczonymi centralami urzędów. Rozmowa typu breakout do dowolnego numeru jest szyfrowana tylko do infrastruktury federalnej, dlatego treści niejawne nie powinny trafiać do takich rozmów. Ponieważ wykorzystywany jest materiał kryptograficzny niemieckiego rządu federalnego, usługę dostarczamy wyłącznie niemieckim firmom i urzędom.
Sovereign Cloud dla BlackBerry UEM
W Sovereign Cloud dla BlackBerry UEM ISEC7 hostuje i prowadzi BlackBerry UEM w Niemczech. Dane pozostają w Niemczech, producent ani podmioty trzecie nie mają dostępu, a środowisko obsługują pracownicy ISEC7 GmbH w Niemczech. Pakiet Regulated jest przeznaczony dla urzędów oraz środowisk z urządzeniami indigo i Samsung Knox Native; oferta jest dopasowana do niemieckiej jurysdykcji i niemieckich środowisk administracji.
Platforma BlackBerry UEM posiada certyfikat Common Criteria BSI-DSZ-CC-1235-2025 z 8 września 2025 roku (BlackBerry UEM Server 12.21.1, EAL4+, ważny do 7 września 2030 roku). Posiadaczem certyfikatu jest BlackBerry Ltd., ISEC7 jest operatorem. Certyfikat nie jest dopuszczeniem w rozumieniu VSA, a żaden system UEM nie figuruje na liście BSI 7164.
ISEC7 MAIL
ISEC7 MAIL to mobilny klient ISEC7 do poczty, kalendarza, kontaktów, zadań i notatek z Exchange i Microsoft 365 na iOS i Androida, z obsługą S/MIME, kart inteligentnych przez YubiKey oraz odczytu i nadawania oznaczeń klasyfikacji. ISEC7 jest producentem aplikacji.
Dla ISEC7 MAIL, komunikatora i Secure File BSI nie wydał żadnego instrumentu dla VS-NfD.
Kto za co odpowiada
Dopuszczenia należą do stosowanych produktów, do BSI i do producentów. ISEC7 nie ma własnego wpisu na liście BSI 7164 i występuje jako integrator i operator: projektuje i buduje środowiska, prowadzi UEM i telefonię oraz jest stroną umowy w zakresie tych usług. Dopuszczenie należy do platformy, nie do nas.
| Element | Instrument | Numer | Posiadacz | Ważne do | Rola ISEC7 |
|---|---|---|---|---|---|
| indigo | Dopuszczenie do VS-NfD | BSI-VSA-10900 | Apple Inc. | 31.10.2027 | Integrator |
| indigo | Zezwolenie na stosowanie do VS-NfD | BSI-VSA-10901 | Apple Inc. | 31.10.2027 | Integrator |
| indigo | Dopuszczenie NATO RESTRICTED | BSI-VSA-11003 | Apple Inc. | 31.10.2027 | Integrator |
| Knox Native Solution 3.13 | Zezwolenie na stosowanie do VS-NfD | BSI-VSA-11044 | Samsung Electronics GmbH | 31.08.2027 | Integrator i eksploatacja |
| SecuVOICE dla iOS i Androida 6.x (podstawa ISEC7 MANAGED SECURE VOICE) | Zezwolenie na stosowanie do VS-NfD | BSI-VSA-11057 | Secusmart GmbH | 31.08.2027 | Operator usługi |
| BlackBerry UEM Server 12.21.1 | Certyfikat Common Criteria EAL4+, nie dopuszczenie | BSI-DSZ-CC-1235-2025 | BlackBerry Ltd. | 07.09.2030 | Operator w Sovereign Cloud |
| ISEC7 MAIL | Brak instrumentu BSI dla VS-NfD | Brak | Brak | Nie dotyczy | Producent |
ISEC7 Group AG, ISEC7 GmbH, ISEC7 Software GmbH i ISEC7 Inc. posiadają certyfikaty DIN EN ISO 27001:2022 i DIN EN ISO 9001:2015, ważne do 02.09.2027. Dotyczą one systemów zarządzania ISEC7, a nie produktów z tabeli.
O ISEC7 · Zarządzanie urządzeniami końcowymi w ISEC7
Stan na 08.10.2026 · Dane rejestrowe według publikacji BSI 7164, sprawdzone 08.10.2026. Wszystkie dopuszczenia dla indigo wygasają 31.10.2027.
Najczęstsze pytania o VS-NfD na urządzeniach mobilnych
Czym jest VS-NfD i czy odpowiada polskiej klauzuli „zastrzeżone”?
VS-NfD (VS-NUR FÜR DEN DIENSTGEBRAUCH) to najniższy z czterech niemieckich stopni tajności według § 4 niemieckiej ustawy SÜG. Nadaje go organ federalny, gdy ujawnienie informacji osobom nieuprawnionym mogłoby zaszkodzić interesom Niemiec lub jednego z krajów związkowych. To klauzula niemiecka; jej utożsamienie z polską klauzulą „zastrzeżone” wymaga analizy prawnej, której ta strona nie zastępuje.
Które smartfony są dopuszczone do VS-NfD?
Apple Inc. posiada dopuszczenie BSI do VS-NfD dla indigo, rozwiązania dla standardowych iPhone'ów i iPadów (BSI-VSA-10900, ważne do 31.10.2027), a także zezwolenie na stosowanie do VS-NfD (BSI-VSA-10901, również ważne do 31.10.2027). Dla urządzeń Samsung z Knox Native Solution w wersji 3.13 Samsung Electronics GmbH posiada zezwolenie BSI na stosowanie do VS-NfD (BSI-VSA-11044, ważne do 31.08.2027). Kolejne rozwiązania BSI wymienia w swoim przeglądzie komunikacji mobilnej i na liście 7164. ISEC7 integruje indigo i Samsung Knox oraz prowadzi te środowiska.
Czy można rozmawiać przez telefon służbowy na poziomie VS-NfD?
Tak, za pomocą aplikacji SecuVOICE firmy Secusmart. Aplikacja SecuVOICE ma zezwolenie BSI na stosowanie do VS-NfD, BSI-VSA-11057, ważne do 31.08.2027; obejmuje ono SecuVOICE dla iOS i Androida w wersji 6.x, a jego posiadaczem jest Secusmart GmbH. Do poziomu VS-NfD sięgają tylko rozmowy end-to-end między użytkownikami SecuVOICE oraz Secure Landing do numerów za zabezpieczonymi centralami urzędów; rozmowy typu breakout nie. ISEC7 prowadzi SecuVOICE jako usługę ISEC7 MANAGED SECURE VOICE. Ponieważ wykorzystywany jest materiał kryptograficzny niemieckiego rządu federalnego, usługę dostarczamy wyłącznie niemieckim firmom i urzędom.
Czym różni się dopuszczenie od zezwolenia na stosowanie i od certyfikacji?
Dopuszczenie to wiążąca ocena BSI poziomu bezpieczeństwa produktu do ochrony informacji niejawnych, na przykład dla indigo (BSI-VSA-10900, do VS-NfD, posiadacz Apple Inc., ważne do 31.10.2027). Zezwolenie na stosowanie BSI wydaje na podstawie § 51 ust. 5 VSA, gdy dopuszczony produkt nie jest dostępny lub nie może zostać dostarczony na czas; jest terminowe, wiąże się z warunkami i wymaga oceny ryzyka przez organizację użytkownika. Przykłady to SecuVOICE dla iOS i Androida 6.x (BSI-VSA-11057, do VS-NfD, posiadacz Secusmart GmbH, ważne do 31.08.2027) oraz Knox Native Solution 3.13 (BSI-VSA-11044, do VS-NfD, posiadacz Samsung Electronics GmbH, ważne do 31.08.2027). Certyfikat Common Criteria może uzyskać każdy produkt IT z funkcjami bezpieczeństwa i nie odnosi się on do informacji niejawnych. Certyfikat BSI-DSZ-CC-1235-2025 dla BlackBerry UEM Server 12.21.1 (EAL4+, posiadacz BlackBerry Ltd., ważny do 7 września 2030 roku) jest taką certyfikacją, a nie dopuszczeniem.
Jakiego UEM potrzebuję dla smartfonów VS-NfD?
BSI opisuje indigo jako kompatybilne z popularnymi rozwiązaniami MDM, nie wymieniając nazw produktów, a żaden UEM nie figuruje na liście BSI 7164. ISEC7 prowadzi BlackBerry UEM, również z Sovereign Cloud dla BlackBerry UEM w pakiecie Regulated, przeznaczonym dla urządzeń indigo i Samsung Knox Native. Platforma BlackBerry UEM Server 12.21.1 posiada certyfikat Common Criteria BSI-DSZ-CC-1235-2025 (EAL4+, ważny do 7 września 2030 roku); posiadaczem certyfikatu jest BlackBerry Ltd., ISEC7 jest operatorem.
Czy istnieje aplikacja pocztowa na iPhone'a do VS-NfD?
Według BSI zezwolenie na stosowanie dla indigo obejmuje także pocztę e-mail z S/MIME (BSI-VSA-10901, do VS-NfD, posiadacz Apple Inc., ważne do 31.10.2027). Dotyczy to funkcji poczty platformy indigo. Dla ISEC7 MAIL, komunikatora i Secure File BSI nie wydał żadnego instrumentu dla VS-NfD.
Czy polska organizacja może skorzystać z tych rozwiązań?
Większość opisanych ofert jest przeznaczona dla Niemiec. ISEC7 MANAGED SECURE VOICE dostarczamy wyłącznie niemieckim firmom i urzędom, ponieważ wykorzystywany jest materiał kryptograficzny niemieckiego rządu federalnego. indigo dotyczy wyłącznie niemieckich urzędów i niemieckich przedsiębiorstw objętych ochroną informacji niejawnych, a Sovereign Cloud dla BlackBerry UEM jest dopasowana do niemieckiej jurysdykcji. Pytania dotyczące ofert ISEC7 w Polsce prosimy kierować do ISEC7 Poland w Łodzi.
Porozmawiajmy o pracy mobilnej z informacjami niejawnymi
Prosimy opisać, jakich urządzeń, aplikacji i ścieżek komunikacji potrzebuje Państwa organizacja. Wspólnie sprawdzimy, które elementy są dostępne w Państwa przypadku i jaką część przejmuje ISEC7. Kontakt w Polsce: ISEC7 Poland w Łodzi (agent handlowy prowadzony przez KROLYT sp. z o.o.), biuro@isec7.pl, +48 576318416.