EUROPÄISCHE KOMMISSION Brüssel, den 3.6.2021 COM(2021) 290 final BERICHT DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT über die Bewertung der Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (eIDAS) {SEC(2021) 229 final} - {SWD(2021) 130 final}



1.Einleitung In diesem Bericht werden die Ergebnisse der Bewertung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (im Folgenden „eIDAS-Verordnung“) dargelegt. Gemäß Artikel 49 der eIDAS-Verordnung überprüft die Kommission die Anwendung dieser Verordnung und bewertet insbesondere, ob es angezeigt ist, den Anwendungsbereich der Verordnung oder ihrer spezifischen Bestimmungen zu ändern, wobei den bei der Anwendung dieser Verordnung gesammelten Erfahrungen sowie den Entwicklungen der Technologie, des Marktes und des Rechts Rechnung getragen wird; dem Bericht werden gegebenenfalls Gesetzgebungsvorschläge beigefügt. Die beigefügte Arbeitsunterlage der Kommissionsdienststellen enthält detailliertere Belege und Analysen zur Untermauerung dieser Feststellungen. 1.1.Der eIDAS-Rahmen Mit der im Jahr 2014 erlassenen eIDAS-Verordnung betrat die EU Neuland, indem sie einen ersten grenzübergreifenden Rahmen für vertrauenswürdige digitale Identitäten und Vertrauensdienste einführte, der inzwischen weltweit anerkannt und geachtet wird. Ziel der eIDAS-Verordnung war es, allen Unionsbürgerinnen und ‑bürgern den Zugang zu öffentlichen Diensten in der gesamten EU mit den in ihrem Heimatland ausgestellten elektronischen Identifizierungsmitteln (eID) zu ermöglichen. Mit der Verordnung sollte das Vertrauen in elektronische Transaktionen im Binnenmarkt gestärkt werden, indem eine gemeinsame Grundlage für eine sichere elektronische Interaktion zwischen Bürgerinnen und Bürgern, Unternehmen und öffentlichen Verwaltungen geschaffen wird, wodurch die Effektivität öffentlicher und privater Online-Dienstleistungen, des elektronischen Geschäftsverkehrs und des elektronischen Handels in der EU erhöht wird. Mit ihr wurde die Richtlinie 1999/93/EG über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen aufgehoben, die im Wesentlichen nur elektronische Signaturen regelte. Wie aus der Rechtsgrundlage der Verordnung, Artikel 114 AEUV, hervorgeht, bestand ihr Ziel darin, bestehende Hindernisse für das Funktionieren des Binnenmarkts zu beseitigen, indem die Angleichung der Rechtsvorschriften der Mitgliedstaaten gefördert wird, insbesondere die gegenseitige Anerkennung der elektronischen Identifizierung, der Authentifizierung, der Signaturen und der damit zusammenhängenden Vertrauensdienste über Ländergrenzen hinweg, soweit dies für den Zugang zu elektronischen Verfahren oder Transaktionen und deren Abschluss erforderlich ist. Vor dem Inkrafttreten der Verordnung gab es keinen umfassenden grenz- und sektorenübergreifenden EU-Rahmen für sichere, vertrauenswürdige und einfach zu nutzende elektronische Transaktionen, der elektronische Identifizierung, Authentifizierung und Vertrauensdienste umfasste. Im Vorschlag der Kommission (COM(2012) 238 final) vom 4. Juni 2012 und in der damit zusammenhängenden Folgenabschätzung (SWD(2012) 135 final) wurden die folgenden vier allgemeinen Ziele genannt: •Verwirklichung des digitalen Binnenmarkts, •Förderung der Entwicklung wichtiger grenzübergreifender öffentlicher Dienste, •Förderung und Stärkung des Wettbewerbs im Binnenmarkt, •Steigerung der Benutzerfreundlichkeit (für Bürgerinnen und Bürger und für Unternehmen). Obwohl viele Ziele der Verordnung erreicht wurden und sie zu einem zentralen Element für den Binnenmarkt in einer Reihe von Sektoren geworden ist (z. B. für Finanzdienstleistungen und die Gewährung des Zugangs zu und der Weiterverwendung von Daten in Verwaltungsverfahren), weist sie noch eine Reihe von Einschränkungen auf: keine Pflicht zur Notifizierung nationaler Identifizierungssysteme, begrenzte Attribute (Bestandteile personenbezogener Daten), die zuverlässig an Dritte weitergegeben werden können, Schwerpunkt der Vorschriften auf dem öffentlichen Sektor und fehlende klare Anreize für private Parteien, nationale elektronische Identifizierungsmittel zu nutzen. Darüber hinaus verteilt sich das europäische Ökosystem der elektronischen Identitäten über verschiedene nationale Regulierungsbereiche, verschiedene Ebenen der Leitung und Verwaltung im digitalen Bereich, der Kultur und unterschiedliche Grade des Vertrauens in öffentliche Einrichtungen. 1.2.Hintergrund In Bezug auf die Bereitstellung digitaler Identitäten ist ein grundlegender Wandel erkennbar. Einrichtungen wie Banken, Anbieter elektronischer Kommunikationsdienste oder Versorgungsunternehmen, von denen einige gesetzlich verpflichtet sind, Identitätsmerkmale zu erfassen, machen sich ihre bestehenden Verfahren zunutze, um als Anbieter überprüfter Identitäten aufzutreten. Internetvermittler, darunter große Plattformen der sozialen Medien wie auch Anbieter von Internetbrowsern, agieren als faktische Torhüter für digitale Identitäten und bieten BYOI-Lösungen (Bring Your Own Identity), mit denen sich ihre Kunden mit ihren Nutzerprofilen auf Websites und bei Diensten von Drittanbietern authentifizieren können. Dies geschieht auf Kosten der Kontrolle über die dabei offengelegten personenbezogenen Daten, da diese elektronischen Identifizierungsmittel von einer überprüften physischen Identität losgelöst sind, wodurch Betrug und Cybersicherheitsbedrohungen schwieriger einzudämmen sind. Eine große Mehrheit der Unionsbürgerinnen und ‑bürger wünscht sich eine sichere digitale Identität, die sie für den Zugang zu Online-Diensten nutzen kann. Nicht zuletzt muss – trotz vieler verschiedener Ansichten über die Zukunft der digitalen Identität – die Schlüsselrolle der nationalen Regierungen bei der Entwicklung eines weitreichenden Ökosystems elektronischer Identitätsnachweise gebührend berücksichtigt werden. Die Nutzer erwarten heutzutage nahtlose Online-Erfahrungen, mobile Anwendungen und Lösungen mit einmaliger Anmeldung, die für Online-Dienste im öffentlichen und privaten Sektor genutzt werden können und sämtliche Anwendungsfälle der Identifizierung abdecken – von der pseudonymisierten Anmeldung auf einer Online-Plattform bis hin zur sicheren Identifizierung für elektronische Gesundheitsdienste oder Bankdienstleistungen. Die sichere Identifizierung im Internet und der Austausch von bestätigten Attributdaten gewinnen zunehmend an Bedeutung, da die Zahl der identitätskritischen und personalisierten Dienste steigt. Die Fähigkeit, sich digital zu identifizieren, wird zu einem wichtigen Aspekt der sozialen Inklusion und die Bereitstellung der digitalen Identität zu einem strategischen Vorteil. In ihrer Rede zur Lage der Union vom 16. September 2020 betonte die Präsidentin der Europäischen Kommission das Bestreben der Kommission, allen Unionsbürgerinnen und ‑bürgern eine sichere und vertrauenswürdige digitale Identität zu bieten: „Wir in Europa wollen ein Regelwerk, das den Menschen in den Mittelpunkt stellt. (...) Dazu gehört auch die Kontrolle über unsere persönlichen Daten, die wir heute viel zu selten haben. Jedes Mal, wenn eine Website uns auffordert, eine neue digitale Identität zu erstellen oder uns bequem über eine große Plattform anzumelden, haben wir in Wirklichkeit keine Ahnung, was mit unseren Daten geschieht. Aus diesem Grund wird die Kommission demnächst eine sichere europäische digitale Identität vorschlagen. Eine, der wir vertrauen und die Bürgerinnen und Bürger überall in Europa nutzen können, um alles zu tun, vom Steuern zahlen bis hin zum Fahrrad mieten. Eine Technologie, bei der wir selbst kontrollieren können, welche Daten ausgetauscht und wie sie verwendet werden.“ Der Europäische Rat unterstützte das Bestreben der Kommission, die in den Schlussfolgerungen des Rates vom 1. und 2. Oktober 2020 aufgefordert wurde, bis Mitte 2021 einen Vorschlag für eine Initiative für einen Rahmen für eine europäische digitale Identität vorzulegen: „Der Europäische Rat fordert die Entwicklung eines EU-weiten Rahmens für die sichere öffentliche elektronische Identifizierung (eID), einschließlich interoperabler digitaler Signaturen, damit die Menschen die Kontrolle über ihre Online-Identität und ihre Daten haben und der Zugang zu öffentlichen, privaten und grenzüberschreitenden digitalen Diensten möglich ist.“ „Der Rat ersucht die Kommission, bis Mitte 2021 einen Vorschlag für einen Rahmen für eine europäische digitale Identität vorzulegen.“ Durch die elektronische Identifizierung werden Bürgerinnen und Bürger und Unternehmen in die Lage versetzt, nachzuweisen, wer sie sind, wenn sie Online-Dienste in Anspruch nehmen. Vertrauensdienste wie elektronische Signaturen sorgen dafür, dass Online-Transaktionen sicherer, bequemer und effizienter werden. Die eIDAS-Verordnung ist der einzige grenzübergreifende Rahmen für die vertrauenswürdige elektronische Identifizierung natürlicher und juristischer Personen sowie für Vertrauensdienste. Sie ermöglicht die grenzübergreifende Anerkennung der elektronischen Identifizierung bei Behörden für den Zugang zu öffentlichen Diensten, unter der Voraussetzung, dass die elektronischen Identifizierungssysteme im Rahmen der eIDAS-Verordnung notifiziert wurden. Durch die eIDAS-Verordnung wird zudem ein EU-Markt für grenzübergreifende anerkannte Vertrauensdienste geschaffen, die rechtlich den gleichen Status haben wie die entsprechenden traditionellen papiergestützten Prozesse.

2.Wichtigste Ergebnisse der Bewertung Die wichtigsten Ergebnisse der Bewertung können entsprechend den Bewertungskriterien unter folgenden Überschriften zusammengefasst werden. 2.1.Wirksamkeit Aus den Bestimmungen über die elektronische Identität ist das eIDAS-Netzwerk entstanden, mit dem Inhaber eines Identitätsnachweises eines notifizierten elektronischen Identifizierungssystems grenzübergreifend online auf öffentliche Dienste zugreifen können. Allerdings wurde die Interoperabilität auf EU-Ebene nur bei einer begrenzten Zahl von elektronischen Identifizierungssystemen erreicht. Mit der eIDAS-Verordnung wurde zwar erfolgreich Rechtssicherheit in Bezug auf Haftung, Beweislast, Rechtswirkung und internationale Aspekte elektronischer Vertrauensdienste geschaffen, aber einige Fragen bleiben bestehen. Die Verfügbarkeit und die Inanspruchnahme von Vertrauensdiensten haben in der EU seit der Einführung der eIDAS-Verordnung zugenommen, allerdings bestehen Unterschiede zwischen den Mitgliedstaaten und verschiedenen Vertrauensdiensten. Trotz einiger Erfolge konnte das Potenzial der Verordnung in Bezug auf die Wirksamkeit nicht erschlossen werden. Es wurde nur eine begrenzte Zahl elektronischer Identifizierungssysteme notifiziert, weshalb auch nur eine begrenzte Zahl der Unionsbürgerinnen und ‑bürger über einen Identitätsnachweis eines notifizierten elektronischen Identifizierungssystems verfügen (59 % der Bevölkerung). Die Akzeptanz notifizierter elektronischer Identifizierungssysteme ist begrenzt, da nicht alle eIDAS-Netzknoten in Betrieb sind, nur eine begrenzte Anzahl von öffentlichen Diensten im Rahmen der eIDAS-Verordnung notifiziert oder an die Infrastruktur angeschlossen ist und technische Fehler eine wirksame Authentifizierung der Nutzer verhindern. In Bezug auf die Vertrauensdienste hat das mit der Verordnung verfolgte Ziel, technologieneutral zu bleiben, zu einer unterschiedlichen Auslegung der Anforderungen durch die Mitgliedstaaten geführt, auch weil keine zusätzlichen Durchführungsrechtsakte erlassen wurden. Es kann nicht der Schluss gezogen werden, dass gleiche Wettbewerbsbedingungen auf EU-Ebene gänzlich erreicht wurden. Mit der eIDAS-Verordnung wurde jedoch ein solider Rahmen geschaffen, der um die erforderlichen Normen und Anforderungen ergänzt werden kann, um die derzeitige Fragmentierung des Markts und die Unterschiede bei der Auslegung durch Aufsichtsgremien und Konformitätsbewertungsstellen zu verringern und die Zusammenarbeit zwischen den Aufsichtsstellen zu stärken. 2.2.Effizienz Die Bewertung der derzeitigen Situation zeigt, dass die quantifizierbaren Kosten bisher höher waren als der Nutzen. Im Bereich der elektronischen Identifizierung beruht dies auf einer geringen Inanspruchnahme, bei der die Vorteile nicht zum Tragen kamen. Die wichtigsten Beteiligten, für die der Teil der eIDAS-Verordnung über die elektronische Identifizierung Kosten verursacht und Nutzen gebracht hat, sind nationale Behörden, Betreiber von eIDAS-Netzknoten, eID-Anbieter und Diensteanbieter. In Bezug auf die Vertrauensdienste sind die wichtigsten Beteiligten, die sich den größten Kosten und Nutzen gegenübersehen, Akkreditierungs-, Konformitätsbewertungs- und Aufsichtsstellen sowie qualifizierte und nichtqualifizierte Vertrauensdiensteanbieter. Für einzelne Beteiligte ist ein erheblicher Teil des erwarteten Nutzens (als zukünftiger Nutzen ausgewiesen) daher kaum quantifizierbar. Die laufenden Kosten für die Leitung und Verwaltung im Bereich der Vertrauensdienste sind begrenzt und hängen hauptsächlich mit der Gewährleistung der Einhaltung der Vorschriften zusammen. Für einzelne Beteiligte ist ein erheblicher Teil des Nutzens in diesem Stadium nur rein hypothetisch (als zukünftiger Nutzen ausgewiesen) und kaum quantifizierbar. Vertrauensdiensteanbieter verzeichnen Vorteile in Form von Einnahmen durch die Erbringung von Vertrauensdiensten in anderen EU-Ländern und einer Erweiterung der Marktbasis. 2.3.Relevanz Das Ökosystem der elektronischen Identifizierung hat sich seit der Einführung der eIDAS-Verordnung grundlegend verändert, da es immer mehr private Identitätsanbieter gibt. Angesichts der Zunahme digitaler Transaktionen sollten alle Unionsbürgerinnen und ‑bürger Zugang zu einer sicheren und interoperablen digitalen Identität haben, was derzeit nicht der Fall ist. Die Ziele des eIDAS-Rechtsrahmens sind nach wie vor gültig, um die ursprünglich ermittelten Probleme anzugehen, insbesondere die Notwendigkeit, die Marktfragmentierung zu verringern, indem die grenz- und sektorenübergreifende Interoperabilität von Vertrauensdiensten durch die Einführung gemeinsamer Normen sichergestellt wird. Der derzeitige Anwendungsbereich und der Schwerpunkt der eIDAS-Verordnung auf den von den EU-Mitgliedstaaten notifizierten elektronischen Identifizierungssystemen und auf der Gewährung des Online-Zugangs zu öffentlichen Diensten erscheint zu begrenzt. Einige der wichtigsten Hindernisse im Hinblick auf die Akzeptanz durch Nutzer und Dienstleister des privaten Sektors haben dazu geführt, dass das Potenzial des Rechtsrahmens nicht voll ausgeschöpft werden kann. Die eIDAS-Verordnung bietet noch keine Antworten auf die Erfordernisse bestimmter Sektoren (z. B. Bildung, Bankwesen, Reiseverkehr, Luftfahrt), obwohl Verweise auf eIDAS-Lösungen in eine Reihe von sektoralen EU-Rechtsvorschriften aufgenommen wurden. Einer der einschränkenden Faktoren des aktuellen Rahmens in Bezug auf diese sektoralen Erfordernisse ist, dass es keine speziellen Attribute nach Domänen gibt. Das wichtigste Spannungsfeld ist die Anpassung der elektronischen Identifizierung und der Vertrauensdienste für elektronische Transaktionen an die neuesten technischen Entwicklungen im Bereich der Vertrauensdienste. Durch eine Erweiterung der Liste der Vertrauensdienste, insbesondere durch die Einführung eines Vertrauensdienstes für die elektronische Archivierung, eines Vertrauensdienstes, der portable Identitätsattribute unterstützt, und eines Vertrauensdienstes für elektronische Vorgangsdaten, würde eine Reihe von Anwendungsfällen abgedeckt und den Bürgerinnen und Bürgern wie den Unternehmen die Möglichkeit geboten, digital nachzuweisen, wer sie sind oder welche Attribute/Merkmale sie haben, ohne dass physische Dokumente erforderlich sind. 2.4.Kohärenz Die Bewertung zeigt, dass der Teil über die elektronische Identifizierung der Verordnung mit einem allgemein kohärenten System zur gegenseitigen Anerkennung der elektronischen Identifizierung auf der Grundlage von Notifizierung und gegenseitiger Begutachtung einhergeht. Der Rahmen für Vertrauensdienste sorgt für eine einheitliche Beaufsichtigung der Vertrauensdienste. Es wurden jedoch bestimmte Probleme ermittelt, die sich auf die interne Stimmigkeit der Verordnung auswirken. Bei der elektronischen Identifizierung sollte das im eIDAS-Rahmen festgelegte System der Notifizierung und gegenseitigen Begutachtung ein übereinstimmendes Verständnis des von einem elektronischen Identifizierungssystem gebotenen Grads an Sicherheit ermöglichen, aber die Bewertung der praktischen Umsetzung zeigt, dass dies nicht immer der Fall ist. Obwohl Flexibilität und Technologieneutralität gefördert werden, fehlt es noch immer an einem übereinstimmenden Verständnis darüber, was einen wesentlichen und hohen Grad an Sicherheit ausmacht. Der Schwerpunkt auf den öffentlichen Diensten steht im Gegensatz zu der Möglichkeit für den Nutzer, die übermittelten Daten auf das zu beschränken, was für die Authentifizierung für einen bestimmten Dienst mindestens erforderlich ist, da immer der minimale Datensatz übermittelt wird, um die Identifizierung einer Person zu ermöglichen. Beim derzeitigen eIDAS-System ist es dem Nutzer nicht möglich, die Grundsätze der Datenminimierung und der datenschutzfreundlichen Voreinstellungen im Sinne der Datenschutz-Grundverordnung (DSGVO) durch die Festlegung durchzusetzen, welche Daten mit wem geteilt werden sollen. Die Vorschriften für die Bewertung der Vertrauensdiensteanbieter anhand der Funktionserfordernisse der Verordnung zur Erlangung des Qualifikationsstatus weisen einige Schwächen auf, da die Rolle der Konformitätsbewertungsstellen bezüglich ihrer Pflichten, ihrer Haftung oder ihres Kompetenzniveaus nicht präzise genug geregelt ist. In einigen Bestimmungen wird es den Mitgliedstaaten überlassen, bestimmte Identifizierungsmethoden (z. B. die biometrische Überprüfung) auf nationaler Ebene anzuerkennen, wodurch gleiche Regulierungsbedingungen verhindert und Unsicherheiten geschaffen werden. 2.5.EU-Mehrwert