Interoperabilität von elektronischen Signaturen innerhalb der EU anhand der eIDAS-VO lieferanzeiger.at Kundentag Wien, Bernhard Karning

Die eIDAS-VO Interoperabilität von elektronischen Signaturen in der EU2 |

„eIDAS-VO“: Überblick  Kapitel I: Allg. Bestimmungen  Kapitel II: Elektronische Identifizierung  Kapitel III: Vertrauensdienste –Elektronische Signaturen –Elektronische Siegel –Elektronische Zeitstempel –Dienste für die Zustellung elektronischer Einschreiben –Website-Authentifizierung  Kapitel IV: Elektronische Dokumente  Kapitel V: Befugnisübertragungen und Durchführungsbestimmungen  Kapitel VI: Schlussbestimmungen  4 Anhänge (Anforderungen an qual. Zertifikate/ Signaturerstellungseinheiten/ el. Siegel/ Website- Authentifizierung) Interoperabilität von elektronischen Signaturen in der EU3 |

Vertrauensdienste Interoperabilität von elektronischen Signaturen in der EU 4 | „Vertrauensdienst“ ist ein elektronischer Dienst, der in der Regel gegen Entgelt erbracht wird und aus Folgendem besteht: a) Erstellung, Überprüfung und Validierung von elektronischen Signaturen, elektronischen Siegeln oder elektronischen Zeitstempeln, und Diensten für die Zustellung elektronischer Einschreiben sowie von diese Dienste betreffenden Zertifikaten oder b) Erstellung, Überprüfung und Validierung von Zertifikaten für die Website-Authentifizierung oder c) Bewahrung von diese Dienste betreffenden elektronischen Signaturen, Siegeln oder Zertifikaten.

Eckpunkte des Ergebnisses  Ein Rechtsakt für die beiden Themen eSignatur und eID  Zusätzlich: weitere „Vertrauensdienste“  Die SigRL wird komplett ersetzt  Typ des Rechtsakts: Verordnung –VO ist unmittelbar anzuwenden; –bestehende Umsetzungsvorschriften (SigG/ SigV etc.) sind zu bereinigen; –Umsetzungen sind aber notwendig (zB Verfahrensvorschriften, Zuständigkeiten, Ausnahmen, etc.) Interoperabilität von elektronischen Signaturen in der EU5 |

Vertrauensdiensteanbieter (VDA) (1/2)  Qualifizierte / Nicht-qualifizierte VDA  Haftung: Beweislastumkehr bei qual. VDA  Aufsicht über qual. VDA / reaktive (ex post) Maßnahmen bei nicht-qual. VDA („light touch approach“) – detaillierte Aufsichtsregelungen  Sicherheitsanforderungen an VDA mit Notifikationspflichten bei Kompromittierungen  Audit und Konformitätsprüfungen der qual. VDA  Vorabgenehmigungsverfahren für qual. VDA und Vertrauensliste (TL) mit konstitutiver Wirkung  „EU-Vertrauenssiegel“ für qual. Vertrauensdienste  Anerkennung von qual. VDA aus Drittstaaten nur bei Abkommen mit EU Interoperabilität von elektronischen Signaturen in der EU6 |

Vertrauensdiensteanbieter (VDA) (2/2)  Anforderungen an qual. VDA betreffend –Identifikationsmechanismen bei Ausgabe von qual. Zertifikaten –Verlässlichkeit der Mitarbeiter –Finanzielle Ressourcen/ Versicherung –Informationspflichten –Sicherheitsanforderungen an die Systeme und Produkte –Dokumentationspflichten –Verzeichnis- und Widerrufsdienste etc. –„Notfall-(Einstellungs)pläne“ zur Sicherstellung der Kontinuität  Allgemeine Bestimmungen zu Datenschutz, Accessibility, Strafbestimmungen Interoperabilität von elektronischen Signaturen in der EU7 |

Vertrauensdienste  Elektronische Signatur – nat. Person –Rechtswirkungen wie bisher –Signaturformate in Anlehnung an Beschluss 2011/130/EU –Möglichkeit für Attribute im qual. Zertifikat –Widerruf/ Suspendierung –SSCD – QSCD: verpflichtende Zertifizierung; Berücksichtigung innovativer Möglichkeiten (server/remote signing; HSM etc.)  Elektronische Siegel – jur. Person (weiter Begriff!)  Qual. „Siegel“: „ Vermutung der Unversehrtheit der Daten und der Richtigkeit der Herkunftsangabe der Daten, mit denen das qualifizierte elektronische Siegel verbunden ist.“ Interoperabilität von elektronischen Signaturen in der EU8 |

Interoperabilität weil,  eIDAS-Verordnung unmittelbar anwendbares Recht ist! –In allen Mitgliedsstaaten (MS) gelten die gleichen Regelungen –Nicht wie bei derzeitiger Signatur-Richtlinie, wo in jedem MS unterschiedliche Gesetze gelten  Standardreferenzformate (insbes. PAdES – Format (PDF Advanced Electronic Signatures)) gebräuchlich werden –Kann von gebräuchlicher Software genutzt werden  Ö mit der Handy-Signatur gut aufgestellt ist –Handy-Signatur beherrscht PAdES –Verbreitungs- und „Export“-Potential unserer Lösungen und deren Einsatzmöglichkeiten steigen beachtlich Interoperabilität von elektronischen Signaturen in der EU9 |

Interoperabilität weil,  Trust-List (Vertrauensliste) verallgemeinert wird –Der künftige eIDAS Durchführungsrechtsakt zu den Vertrauenslisten iS Art. 22 Abs. 5 eIDAS-VO wird vornehmlich auf der Vorarbeit der bestehenden Dienstleistungs-RL Komitologierechtsakte aufbauen. –Bisher vertrauenswürdige Liste der beaufsichtigten bzw. akkreditierten Zertifizierungsdiensteanbieter (Anwendungsbereich bisher bloß Dienstleistungs-RL) –Festlegung einer gemeinsamen Methode zur Bereitstellung von Informationen über den Aufsichts- bzw. Akkreditierungsstatus der Zertifizierungsdienste von Zertifizierungsdiensteanbietern –(als PDF und) maschinenlesbar Interoperabilität von elektronischen Signaturen in der EU10 |

Vertrauensliste als „Vertrauensanker“ Interoperabilität von elektronischen Signaturen in der EU11 | –Derzeit insgesamt 185 Vertrauensdiensteanbieter in den 27 Listen eingetragen (24 von MS, 3 von EWR-Staaten). –Analysetool:

Zeitplan Vertrauensdienste Interoperabilität von elektronischen Signaturen in der EU12 |

Interoperabilität weil,  Signaturerstellung und Signaturprüfung zunehmend standardisiert funktionieren und mit open source tools (insbes. über die Joinup.eu-Plattform), die ua von der EK zur Verfügung gestellt werden, zusätzlich erleichtert werden.  zB: Software-Tool DSS –für das Erstellen und Validieren von el. Signaturen –verwendet auch PAdES –greift auf Trust List zu –Verifikationsteil prüft auch erfolgreich zB Handy-Signatur –in Ö auch weiterhin Validierung über RTR möglich Interoperabilität von elektronischen Signaturen in der EU13 |

Open Source Tools als Vereinfachung…  Für Chipkarten zB: Open Source Software MOCCA –Über Joinup.eu Plattform verfügbar –Verwendbar mit Karten aus: Österreich, Belgien, Estland, Finnland, Island, Italien, Liechtenstein, Litauen, Portugal, Spanien, Schweden, Schweiz –Wird zB für PDF-Signatur bei buergerkarte.at verwendet: Interoperabilität von elektronischen Signaturen in der EU14 |

Interoperabilität – ein rezentes Beispiel:  EU-Kommissarin Neelie Kroes hat letzte Woche einen Brief an den kommenden EU- Kommissionspräsidenten Jean- Claude Juncker digital mit der österreichischen Handy-Signatur signiert!  “…will you accept this challenge to make the European Commission truly digital by using e-invoices, e-procurement and e-signatures under your Presidency and call for the other EU institutions to do the same? ” Interoperabilität von elektronischen Signaturen in der EU15 |

Danke für Ihre Aufmerksamkeit! Bernhard Karning Bundeskanzleramt Abteilung I/11 Ballhausplatz Wien