Elektronische Signaturen Dr. Christoph Brenn, LL.M. Oberster Gerichtshof

Vertrauensdiensteanbieter Art 19: (1) Qualifizierte und nichtqualifizierte VDA ergreifen geeignete technische und organisatorische Maßnahmen zur Beherrschung der Sicherheitsrisiken. Sie müssen nach dem jeweils neuesten Standes der Technik gewährleisten, dass das Sicherheitsniveau der Höhe des Risikos angemessen ist © Dr. Christoph Brenn OGH 2

Vertrauensdiensteanbieter (2) Qualifizierte und nichtqualifizierte VDA melden der Aufsichtsstelle unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme von dem betreffenden Vorfall, jede Sicherheitsverletzung oder jeden Integritätsverlust © Dr. Christoph Brenn OGH 3

Qualifizierte VDA Art 24: Überprüft anhand geeigneter Mittel und im Einklang mit dem jeweiligen nationalen Recht die Identität und gegebenenfalls die spezifischen Attribute © Dr. Christoph Brenn OGH 4

Qualifizierte VDA a) durch persönliche Anwesenheit der natürlichen Person oder eines bevollmächtigten Vertreters der juristischen Person c) ein Zertifikat einer qualifizierten elektronischen Signatur oder eines qualifizierten elektronischen Siegels d) durch Identifizierungsmethoden mit gleichwertiger Sicherheit © Dr. Christoph Brenn OGH 5

Ausstellung § 8. (1) Ein qualifizierter VDA oder eine in seinem Auftrag tätige Stelle hat die Identität von persönlich anwesenden natürlichen Personen oder Vertretern einer juristischen Person, denen ein qualifiziertes Zertifikat ausgestellt werden soll, anhand eines amtlichen Lichtbildausweises © Dr. Christoph Brenn OGH 6

Ausstellung oder durch einen anderen in seiner Zuverlässigkeit gleichwertigen, dokumentierten oder zu dokumentierenden Nachweis, festzustellen (Art 24 Abs 1 lit a EU-VO) © Dr. Christoph Brenn OGH 7

Ausstellung Vertreter von juristischen Personen haben darüber hinaus einen Nachweis über das Bestehen der Vertretungsbefugnis vorzulegen. [Andere (gesetzliche) Vertreter?] © Dr. Christoph Brenn OGH 8

Ausstellung (2) Erfolgt die Ausstellung nicht in persönlicher Anwesenheit, können auch sonstige Identifizierungsmethoden, die eine gleichwertige Sicherheit hinsichtlich der Verlässlichkeit bei der persönlichen Anwesenheit bieten, angewendet werden (Art 24 Abs 1 lit d EU-VO) © Dr. Christoph Brenn OGH 9

Ausstellung § 3 SVV: 1. amtlicher Lichtbildausweis oder 2. ein Nachweis der bescheinigt, dass die Identität zumindest mit jener Verlässlichkeit geprüft wurde, wie sie bei der Zustellung zu eigenen Handen (§ 21 ZustG) einzuhalten ist © Dr. Christoph Brenn OGH 10

Ausstellung § 4 SVV: (2) Bis zum Ablauf der Gültigkeit eines qualifizierten Zertifikats ist es zulässig, mit Ausnahme der Gültigkeitsdauer und der eindeutigen Kennung, dieselben Inhalte samt denselben Signatur- oder Siegelvalidierungsdaten neu zu zertifizieren und auf diese Weise ein neues Zertifikat auszustellen © Dr. Christoph Brenn OGH 11

Qualifizierte VDA Art 24: Personal mit erforderlichem Fachwissen, die erforderliche Zuverlässigkeit, die erforderliche Erfahrung [näher: § 2 SVV] Ausreichende Finanzmittel in Bezug auf das Haftungsrisiko und/oder schließen eine angemessene Haftpflichtversicherung nach nationalem Recht ab [Versicherungssumme?] © Dr. Christoph Brenn OGH 12

Qualifizierte VDA d) Sie unterrichten Personen, die einen qualifizierten Vertrauensdienst nutzen wollen, klar und umfassend über die genauen Bedingungen. e) Sie verwenden vertrauenswürdige Systeme und Produkte © Dr. Christoph Brenn OGH 13

Qualifizierte VDA (3) Wird ein Zertifikat widerrufen, so registriert er den Widerruf in seiner Zertifikatsdatenbank und veröffentlicht den Widerrufsstatus des Zertifikats zeitnah und in jedem Fall innerhalb von 24 Stunden nach Erhalt des Ersuchens. Der Widerruf wird sofort nach seiner Veröffentlichung wirksam © Dr. Christoph Brenn OGH 14

Qualifizierte VDA (4) Sie stellen den vertrauenden Beteiligten Informationen über den Gültigkeits- oder Widerrufsstatus der von ihnen ausgestellten qualifizierten Zertifikate zur Verfügung. Jederzeit und über die Gültigkeitsdauer des Zertifikats hinaus automatisch auf zuverlässige, kostenlose und effiziente Weise © Dr. Christoph Brenn OGH 15

Aussetzung § 6. (1) Sofern ein qualifizierter VDA ein qualifiziertes Zertifikat für eine elektronische Signatur oder ein elektronisches Siegel nicht widerruft, hat er dieses vorläufig auszusetzen, wenn © Dr. Christoph Brenn OGH 16

Aussetzung 1. der Signator, der Siegelersteller oder ein sonstiger dazu Berechtigter dies verlangt, 2. die Aufsichtsstelle (§ 12) die Aussetzung des Zertifikats anordnet, © Dr. Christoph Brenn OGH 17

Aussetzung 3. der qualifizierte VDA Kenntnis vom Ableben des Signators, der Beendigung des Bestehens des Siegelerstellers oder sonst von der Änderung im Zertifikat bescheinigter Umstände erlangt, 4. das Zertifikat auf Grund unrichtiger Angaben erwirkt wurde oder 5. die Gefahr einer missbräuchlichen Verwendung des Zertifikats besteht © Dr. Christoph Brenn OGH 18

Aussetzung (2) Ein qualifizierter VDA hat bei Vorliegen der in Abs 1 genannten Umstände die Aussetzung zeitnah und in jedem Fall innerhalb von 24 Stunden nach Erhalt des Ersuchens vorzunehmen © Dr. Christoph Brenn OGH 19

Aussetzung (3) Ist ein qualifiziertes Zertifikat für elektronische Signaturen oder elektronische Siegel vorläufig ausgesetzt worden, so verliert dieses Zertifikat, solange der Status der Aussetzung gemäß Abs 4 veröffentlicht ist, seine Gültigkeit. [Art 28 Abs 5: „für die Dauer“] Dieser Zeitraum darf zwei Wochen nicht überschreiten © Dr. Christoph Brenn OGH 20

Aussetzung (4) Ein qualifizierter VDA hat die Dauer der Aussetzung in seiner Zertifikatsdatenbank gemäß Art 24 Abs 2 lit k EU-VO zu registrieren und den Status der Aussetzung während der Dauer der Aussetzung elektronisch jederzeit allgemein zugänglich zu veröffentlichen © Dr. Christoph Brenn OGH 21

Aussetzung § 5 SVV: (7) Im Fall einer Aussetzung eines qualifizierten Zertifikats ist der Signator oder der Siegelersteller unverzüglich zu verständigen. Die Aussetzung kann aufgehoben werden. Eine aufgehobene Aussetzung hat auf die Gültigkeit des Zertifikats keinen Einfluss © Dr. Christoph Brenn OGH 22

Aussetzung Wird eine Aussetzung nicht aufgehoben, so ist das Zertifikat zu widerrufen. Erfolgt auf Grund einer Aussetzung der Widerruf eines Zertifikats, so gilt bereits die Aussetzung als Widerruf © Dr. Christoph Brenn OGH 23

Zugangsrechte [Dokumentation] § 10. (1) Auf Ersuchen von Gerichten oder anderen Behörden hat ein qualifizierter VDA Zugang zur Dokumentation nach Art 24 Abs 2 lit h Eu-VO und seiner Zertifikatsdatenbank zu gewähren © Dr. Christoph Brenn OGH 24

Zugangsrechte [Pseudonym] (2) Bei Verwendung eines Pseudonyms in einem Zertifikat hat der VDA die Daten über die Identität des Signators an einen Dritten zu übermitteln, sofern von diesem an der Feststellung der Identität ein überwiegendes berechtigtes Interesse iSd § 8 Abs 1 Z 4 und Abs 3 DSG glaubhaft gemacht wird. Die Übermittlung ist zu dokumentieren © Dr. Christoph Brenn OGH 25

Zugangsrechte [Dokumentation] (3) Die gesamte Dokumentation ist vom qualifizierten VDA 30 Jahre, gerechnet ab dem im qualifizierten Zertifikat eingetragenen Ende der Gültigkeit […] aufzubewahren © Dr. Christoph Brenn OGH 26

Qualifizierte VDA [Aufnahme] Art 21: (1) Wenn VDA ohne Qualifikationsstatus beabsichtigen, die Erbringung qualifizierter Vertrauensdienste aufzunehmen, legen sie der Aufsichtsstelle eine Mitteilung zusammen mit einem von einer Konformitätsbewertungsstelle ausgestellten Bewertungsbericht vor © Dr. Christoph Brenn OGH 27

Qualifizierte VDA [Aufnahme] (2) Die Aufsichtsstelle überprüft, ob sie den Anforderungen genügen. Verleiht dem VDA und den von ihm erbrachten Vertrauensdiensten den Qualifikationsstatus. (3) Qualifizierte VDA können mit der Erbringung des qual. Vertrauensdienstes beginnen, nachdem der qualifizierte Status in Vertrauenslisten ausgewiesen © Dr. Christoph Brenn OGH 28

Vertrauenslisten Art 22: (2) Die MS erstellen, führen und veröffentlichen auf gesicherte Weise elektronisch unterzeichnete oder besiegelte Vertrauenslisten. (3) Sie übermitteln der Kommission unverzüglich Informationen über die verantwortlichen Stellen den Ort der Veröffentlichung der Listen © Dr. Christoph Brenn OGH 29

EU-Vertrauenssiegel Art 23: (1) Nachdem der Qualifikationsstatus in der Vertrauensliste ausgewiesen wurde, können qualifizierte VDA das EU-Vertrauenssiegel verwenden, um in einfacher, wiedererkennbarer und klarer Weise die von ihnen erbrachten qualifizierten Vertrauensdienste zu kennzeichnen © Dr. Christoph Brenn OGH 30

Beendigung § 9. (1) Ein qualifizierter VDA hat der Aufsichtsstelle zumindest drei Wochen im Vorhinein die geplante Einstellung seiner Tätigkeit anzuzeigen © Dr. Christoph Brenn OGH 31

Beendigung (2) Sofern der qualifizierte VDA qualifizierte Zertifikate ausstellt hat er die im Zeitpunkt der Einstellung seiner Tätigkeit gültigen qualifizierten Zertifikate zu widerrufen oder dafür Sorge zu tragen, dass zumindest seine Zertifikatsdatenbank von einem anderen qualifizierten VDA übernommen werden kann und wird © Dr. Christoph Brenn OGH 32

Beendigung Auch im Fall des Widerrufs der qualifizierten Zertifikate hat der qualifizierte VDA sicherzustellen, dass die Zertifikatsdatenbank weitergeführt wird; kommt er dieser Verpflichtung nicht nach, so hat die Aufsichtsstelle für die Weiterführung der Zertifikatsdatenbank auf Kosten des qualifizierten VDA Sorge zu tragen © Dr. Christoph Brenn OGH 33

Beendigung (3) Ein Widerruf der gültigen qualifizierten Zertifikate gemäß Abs 2 ist nur dann zulässig, wenn die Aufsichtsstelle auf Antrag des Bundeskanzlers feststellt, dass deren Weiterführung nicht im öffentlichen Interesse gelegen ist © Dr. Christoph Brenn OGH 34

Beendigung Andernfalls hat der Bund für deren Weiterführung Sorge zu tragen. Der qualifizierte VDA hat zu diesem Zweck dem Bund alle notwendigen Mittel und Informationen zu übergeben © Dr. Christoph Brenn OGH 35

Beendigung (4) Die Signatoren und Siegelersteller sind von der Einstellung der Tätigkeit sowie vom Widerruf, der Übernahme oder der Weiterführung unverzüglich zu verständigen © Dr. Christoph Brenn OGH 36

Aufsicht Art 17: Die MS benennen eine Aufsichtsstelle, die in ihrem Hoheitsgebiet niedergelassen ist oder die aufgrund einer gegenseitigen Vereinbarung mit einem anderen MS in diesem anderen MS niedergelassen ist © Dr. Christoph Brenn OGH 37

Aufsicht Funktionen –a) Ausübung der Aufsicht über niedergelassenen qualifizierten VDA –Ex-ante- und Ex-post-Aufsichtstätigkeiten –gewährleisten, dass die qualifizierten VDA und die von ihnen erbrachten qualifizierten Vertrauensdienste den Anforderungen dieser Verordnung entsprechen; © Dr. Christoph Brenn OGH 38

Aufsicht –b) erforderlichenfalls Durchführung von Maßnahmen –Ex-post-Aufsichtstätigkeiten –in Bezug auf nichtqualifizierten VDA, wenn sie Kenntnis davon erhalten, dass diese oder die von ihnen erbrachten Vertrauensdienste die Anforderungen dieser Verordnung mutmaßlich nicht erfüllen. [Anforderungen für nicht qualifizierte VDA] © Dr. Christoph Brenn OGH 39

Aufsicht Aufgaben –e) Durchführung von Überprüfungen oder Beauftragung einer Konformitätsbewertungsstelle mit der Durchführung einer Konformitätsbewertung der qualifizierten VDA gemäß Art 20 Abs 2; –g) Verleihung des Qualifikationsstatus an VDA und die von ihnen erbrachten Dienste sowie Entzug dieses Status gemäß den Art 20 und 21; © Dr. Christoph Brenn OGH 40

Aufsicht –j) Verpflichtung der VDA, bei jedem Fall von Nichteinhaltung der Anforderungen dieser Verordnung Abhilfe zu schaffen © Dr. Christoph Brenn OGH 41

Aufsicht Art 20: (1) Qualifizierte VDA werden mindestens alle 24 Monate auf eigene Kosten von einer Konformitätsbewertungsstelle geprüft. Die qualifizierten VDA legen der Aufsichtsstelle den entsprechenden Konformitätsbewertungsbericht innerhalb von drei Arbeitstagen nach Empfang vor © Dr. Christoph Brenn OGH 42

Aufsicht (2) Die Aufsichtsstelle kann jederzeit eine Überprüfung vornehmen oder eine Konformitätsbewertungsstelle um eine Konformitätsbewertung der qualifizierten VDA ersuchen. (3) Verlangt die Aufsichtsstelle Abhilfe und kommt der VDA dem nicht nach, so kann sie den Qualifikationsstatus entziehen © Dr. Christoph Brenn OGH 43

Aufsicht § 12 SVG (1) Aufsichtsstelle gemäß Art 17 eIDAS-VO ist die Telekom-Control- Kommission (§ 116 TKG 2003). § 13 SVG (1) Sie kann sich bei der Durchführung der Aufsicht der RTR- GmbH (§ 16 KOG) bedienen. § 14 SVG: Erstellt, führt Vertrauensliste Service zur Validierung qualifizierter elektronische Signaturen oder Siegel © Dr. Christoph Brenn OGH 44

Internationale Aspekte Art 14: (1) Vertrauensdienste, die von in einem Drittland niedergelassenen VDA bereitgestellt werden, werden als rechtlich gleichwertig anerkannt, sofern diese im Rahmen einer gemäß Art 218 AEUV geschlossenen Vereinbarung zwischen der Union und dem Drittland oder einer int. Organisation anerkannt sind © Dr. Christoph Brenn OGH 45