Verordnung zur elektronischen Signatur
Veröffentlicht: 16. November 2001

Verordnung zur elektronischen Signatur § 1 Eine Anzeige nach § 4 Abs. 3 des Signaturgesetzes ist schriftlich oder mit einer qualifizierten elektronischen Signatur nach dem Signaturgesetz versehen bei der zuständigen Behörde vorzunehmen. § 2 Das Sicherheitskonzept nach § 4 Abs. 2 Satz 4 des Signaturgesetzes hat Folgendes zu enthalten: eine Beschreibung aller erforderlichen technischen, baulichen und organisatorischen Sicherheitsmaßnahmen und deren Eignung, eine Übersicht über die eingesetzten Produkte für qualifizierte elektronische Signaturen mit Herstellererklärungen nach § 17 Abs. 4 Satz 2 oder Bestätigungen nach § 17 Abs. 4 Satz 1 oder nach § 15 Abs. 7 Satz 1 des Signaturgesetzes, eine Übersicht über die Aufbau- und Ablauforganisation sowie die Zertifizierungstätigkeit, die Vorkehrungen und Maßnahmen zur Sicherstellung und Aufrechterhaltung des Betriebes, insbesondere bei Notfällen, die Verfahren zur Beurteilung und Sicherstellung der Zuverlässigkeit des eingesetzten Personals und eine Abschätzung und Bewertung verbleibender Sicherheitsrisiken. § 3 Der Zertifizierungsdiensteanbieter hat die Identifizierung des Antragstellers nach § 5 Absatz 1 des Signaturgesetzes anhand folgender Dokumente oder Verfahren vorzunehmen: Personalausweis, Reisepass, der auf eine Person mit Staatsangehörigkeit eines Mitgliedstaates der Europäischen Union oder eines Staates des Europäischen Wirtschaftsraumes ausgestellt worden ist, elektronischer Dienstausweis oder Dokumente oder geeignete technische Verfahren mit gleichwertiger Sicherheit zu einer Identifizierung anhand der Dokumente nach den Nummern 1 bis 3. Die Identifizierung des Antragstellers kann auch mithilfe des elektronischen Identitätsnachweises gemäß § 18 des Personalausweisgesetzes erfolgen.Soweit ein Antrag auf ein qualifiziertes Zertifikat mittels eines mit einer qualifizierten elektronischen Signatur nach dem Signaturgesetz versehenen elektronischen Dokuments des Antragstellers gestellt wird, kann der Zertifizierungsdiensteanbieter von einer erneuten Identifizierung absehen.Die Identifizierung ist vor Übergabe des qualifizierten Zertifikats und vor Einstellung in das Zertifikatsverzeichnis gemäß § 4 Abs. 1 vorzunehmen. § 4 Der Zertifizierungsdiensteanbieter hat die von ihm ausgestellten qualifizierten Zertifikate, vorbehaltlich eines späteren Zeitpunktes nach § 5 Abs. 2 Satz 2, ab dem Zeitpunkt ihrer Ausstellung für den im jeweiligen Zertifikat angegebenen Gültigkeitszeitraum sowie mindestens fünf weitere Jahre ab dem Schluss des Jahres, in dem die Gültigkeit des Zertifikates endet, in einem Verzeichnis gemäß den Vorgaben nach § 5 Abs. 1 Satz 3 des Signaturgesetzes zu führen. § 5 Der Zertifizierungsdiensteanbieter hat durch geeignete Maßnahmen sicherzustellen, dass Signaturschlüssel nur auf der jeweiligen sicheren Signaturerstellungseinheit oder bei ihm oder einem anderen Zertifizierungsdiensteanbieter unter Nutzung von technischen Komponenten nach § 17 Abs. 3 Nr. 1 des Signaturgesetzes erzeugt und auf sichere Signaturerstellungseinheiten übertragen werden.Soweit er auch Wissensdaten zur Identifikation des Signaturschlüssel-Inhabers gegenüber einer sicheren Signaturerstellungseinheit oder technische Komponenten zur Erfassung biometrischer Merkmale und Übertragung von Referenzdaten auf die sichere Signaturerstellungseinheit bereitstellt, hat er auch Vorkehrungen zu treffen, um die Geheimhaltung der Identifikationsdaten zu gewährleisten und deren Speicherung außerhalb der jeweiligen sicheren Signaturerstellungseinheit nach Einbringen in dieselbe auszuschließen. § 6 Die Unterrichtung des Antragstellers nach § 6 Abs. 1 des Signaturgesetzes hat in allgemein verständlicher Sprache zu erfolgen und sich mindestens auf Folgendes zu erstrecken: die Aufbewahrung und Anwendung der sicheren Signaturerstellungseinheit und geeignete Maßnahmen im Verlustfalle oder bei Verdacht des Mißbrauchs, die Geheimhaltung von persönlichen Identifikationsnummern oder anderen Daten zur Identifikation des Signaturschlüssel-Inhabers gegenüber der sicheren Signaturerstellungseinheit, die erforderlichen Sicherheitsmaßnahmen bei Erzeugung und Prüfung einer qualifizierten elektronischen Signatur, die Möglichkeit von Beschränkungen in qualifizierten Zertifikaten nach § 7 Abs. 1 Nr. 7 des Signaturgesetzes, die Notwendigkeit, Daten mit einer qualifizierten elektronischen Signatur neu zu signieren, falls die Signatur durch Zeitablauf ihren Sicherheitswert verliert, die Existenz eines freiwilligen Akkreditierungssystems, die dem Antragsteller zur Verfügung stehenden Beschwerde- und Schlichtungsmöglichkeiten sowie die Einzelheiten der Inanspruchnahme solcher Verfahren und das Verfahren der Sperrung nach § 7. Die Informationen sind auf Antrag auch Dritten zur Verfügung zu stellen. § 7 Der Zertifizierungsdiensteanbieter hat den nach § 8 des Signaturgesetzes zur Sperrung Berechtigten eine Rufnummer bekannt zu geben, unter der diese unverzüglich eine Sperrung der qualifizierten Zertifikate veranlassen können. § 8 Die Dokumentation nach § 10 des Signaturgesetzes hat sich auf das Sicherheitskonzept, einschließlich aller Änderungen, die Unterlagen zur Fachkunde der im Betrieb tätigen Personen und die vertraglichen Vereinbarungen mit den Antragstellern zu erstrecken. § 9 Die Deckungsvorsorge nach § 12 des Signaturgesetzes kann erbracht werden durch die Haftpflichtversicherung bei einem im Geltungsbereich dieses Gesetzes, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum zum Geschäftsbetrieb befugten Versicherungsunternehmen oder durch eine Freistellungs- oder Gewährleistungsverpflichtung eines im Geltungsbereich dieses Gesetzes, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum zum Geschäftsbetrieb befugten Kreditinstituts, wenn gewährleistet ist, dass sie einer Haftpflichtversicherung vergleichbare Sicherheit bietet. § 10 Der Zertifizierungsdiensteanbieter soll die Unterrichtung der zuständigen Behörde nach § 13 Abs. 1 Satz 1 des Signaturgesetzes spätestens zwei Monate vor Einstellung des Betriebes vornehmen. § 11 Der Antrag auf Akkreditierung nach § 15 Abs. 1 des Signaturgesetzes ist schriftlich oder mittels eines mit einer qualifizierten elektronischen Signatur nach dem Signaturgesetz versehenen elektronischen Dokuments zu stellen.Der Antrag auf freiwillige Akkreditierung gilt als Anzeige nach § 1, wenn die dort genannten Voraussetzungen erfüllt sind. § 12 Die gebührenpflichtigen Tatbestände für individuell zurechenbare öffentliche Leistungen nach § 22 des Signaturgesetzes ergeben sich aus der Anlage 2 zu dieser Verordnung.Auslagen werden nach § 23 Absatz 6 des Bundesgebührengesetzes erhoben.Für den Widerruf oder die Rücknahme oder die Ablehnung eines Antrags oder einer Verwaltungshandlung werden Gebühren nach Maßgabe des § 15 des Verwaltungskostengesetzes in der bis zum 14. August 2013 geltenden Fassung erhoben. § 13 Die Beiträge nach § 22 Abs. 2 Satz 1 des Signaturgesetzes berechnen sich nach dem hierfür erforderlichen Personal- und Sachaufwand der zuständigen Behörde unter Einschluss des Aufwandes für Investitionen.Der Beitragssatz beträgt 0,48 Euro für jedes vom Beitragspflichtigen ausgestellte qualifizierte Zertifikat.Der auf das Allgemeininteresse entfallende Kostenanteil wurde beitragsmindernd berücksichtigt.Die Anteile am verbleibenden Aufwand werden den Beitragspflichtigen entsprechend der Zahl der von ihnen ausgestellten qualifizierten Zertifikate, die nach § 4 Abs. 1 im Zertifikatsverzeichnis zu führen sind, zugeordnet.Die Beitragspflichtigen haben der zuständigen Behörde die Zahl der Zertifikate nach Satz 2 jährlich, spätestens am 31. Januar des Folgejahres mitzuteilen.Kommt ein Beitragspflichtiger der Verpflichtung nach Satz 5 nicht nach, kann die zuständige Behörde eine Schätzung der ausgestellten qualifizierten Zertifikate eines Beitragspflichtigen vornehmen. § 14 Die Angaben nach § 7 Abs. 1 des Signaturgesetzes in einem qualifizierten Zertifikat müssen eindeutig sein. § 15 Sichere Signaturerstellungseinheiten nach § 17 Abs. 1 Satz 1 des Signaturgesetzes müssen gewährleisten, dass der Signaturschlüssel erst nach Identifikation des Inhabers durch Besitz und Wissen oder durch Besitz und ein oder mehrere biometrische Merkmale angewendet werden kann.Der Signaturschlüssel darf nicht preisgegeben werden.Bei Nutzung biometrischer Merkmale muss hinreichend sichergestellt sein, dass eine unbefugte Nutzung des Signaturschlüssels ausgeschlossen ist und eine dem wissensbasierten Verfahren gleichwertige Sicherheit gegeben sein.Die zur Erzeugung und Übertragung von Signaturschlüsseln erforderlichen technischen Komponenten nach § 17 Abs. 1 Satz 2 oder Abs. 3 Nr. 1 des Signaturgesetzes müssen gewährleisten, dass aus einem Signaturprüfschlüssel oder einer Signatur nicht der Signaturschlüssel errechnet werden kann und die Signaturschlüssel nicht dupliziert werden können. § 16 Ein Antrag einer Prüf- und Bestätigungsstelle nach § 18 Abs. 1 des Signaturgesetzes muss Folgendes umfassen: Namen und Anschrift des Antragstellers und seiner gesetzlichen Vertreter, für den Antragsteller und seine gesetzlichen Vertreter aktuelle Führungszeugnisse nach § 30 Absatz 5 des Bundeszentralregistergesetzes oder Dokumente eines anderen Mitgliedstaates der Europäischen Union oder eines anderen Vertragsstaates des Abkommens über den Europäischen Wirtschaftsraum, die eine gleichwertige Funktion haben oder aus denen hervorgeht, dass die betreffende Anforderung erfüllt ist, einen aktuellen Handelsregisterauszug oder eine vergleichbare Unterlage oder ein Dokument eines anderen Mitgliedstaates der Europäischen Union oder eines anderen Vertragsstaates des Abkommens über den Europäischen Wirtschaftsraum, das eine gleichwertige Funktion hat oder aus dem hervorgeht, dass die betreffende Anforderung erfüllt ist, Belege zum Nachweis der finanziellen Unabhängigkeit, insbesondere über Mindestkapital und vergleichbare Sicherheiten, Belege zum Nachweis der erforderlichen technischen, administrativen und juristischen Fachkunde nach § 18 Abs. 1 Satz 1 des Signaturgesetzes und eine Erklärung, auf welche gesetzliche Tätigkeiten des Signaturgesetzes sich der Antrag bezieht. § 17 Daten mit einer qualifizierten elektronischen Signatur sind nach § 6 Abs. 1 Satz 2 des Signaturgesetzes neu zu signieren, wenn diese für längere Zeit in signierter Form benötigt werden, als die für ihre Erzeugung und Prüfung eingesetzten Algorithmen und zugehörigen Parameter als geeignet beurteilt sind.In diesem Falle sind die Daten vor dem Zeitpunkt des Ablaufs der Eignung der Algorithmen oder der zugehörigen Parameter mit einer neuen qualifizierten elektronischen Signatur zu versehen.Diese muss mit geeigneten neuen Algorithmen oder zugehörigen Parametern erfolgen, frühere Signaturen einschließen und einen qualifizierten Zeitstempel tragen.Anstelle einer neuen qualifizierten elektronischen Signatur nach Satz 2 kann ein qualifizierter Zeitstempel aufgebracht werden, wenn dieser selbst eine qualifizierte elektronische Signatur trägt. § 18 Ein Zertifizierungsdiensteanbieter, der nach § 23 Abs. 1 Satz 2 Nr. 2 des Signaturgesetzes für qualifizierte Zertifikate mit Rechtswirkung nach Artikel 5 Abs. 1 der Richtlinie 1999/93/EG eines außerhalb des Europäischen Wirtschaftsraumes (Drittstaat) niedergelassenen Zertifizierungsdiensteanbieters einsteht, hat dies der zuständigen Behörde spätestens zu dem Zeitpunkt, zu dem diese Zertifikate im Geltungsbereich des Signaturgesetzes rechtswirksam werden sollen, schriftlich oder mittels eines mit einer qualifizierten elektronischen Signatur nach dem Signaturgesetz versehenen elektronischen Dokuments anzuzeigen.Er hat dafür Sorge zu tragen, dass die qualifizierten Zertifikate des ausländischen Zertifizierungsdiensteanbieters und die darauf basierenden qualifizierten elektronischen Signaturen die Anforderungen des Signaturgesetzes und dieser Verordnung erfüllen und zu dem ausländischen Zertifizierungsdiensteanbieter die Unterlagen entsprechend § 1 Abs. 2 vorzulegen.§ 2 gilt für die Angaben zu dem ausländischen Zertifizierungsdiensteanbieter entsprechend.Die zuständige Behörde hat den Namen des ausländischen Zertifizierungsdiensteanbieters unter Angabe des Zertifizierungsdiensteanbieters, der für seine qualifizierten Zertifikate eintritt, nach § 19 Abs. 6 des Signaturgesetzes abrufbar zu halten. § 19 Diese Verordnung tritt am Tage nach der Verkündung in Kraft; ...