STELLUNGNAHME DER KOMMISSION gemäss Artikel 251, Absatz 2, Buchstabe c) des EG-Vertrages, zu den Abänderungen des Europäischen Parlaments am gemeinsamen Standpunkt des Rates betreffend den Vorschlag für eine RICHTLINIE DES EUROPÄISCHEN PARLAMENTS UND DES RATES über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen ZUR ÄNDERUNG DES VORSCHLAGS DER KOMMISSION gemäss Artikel 250, Absatz 2 des EG-Vertrages

BEGRÜNDUNG

Gemäß Artikel 251 Absatz 2 Buchstabe c EG-Vertrag muß die Kommission zu den vom Europäischen Parlament in zweiter Lesung vorgeschlagenen Abänderungen Stellung nehmen.

Die Kommission nimmt hiermit zu diesen Abänderungen am gemeinsamen Standpunkt des Rates betreffend den Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen Stellung.

In den geänderten Vorschlag wurden die vom Europäischen Parlament in zweiter Lesung vorgeschlagenen und von der Kommission gebilligten Abänderungen eingearbeitet.

Die geänderten Passagen des Kommissionsvorschlags sind wie folgt gekennzeichnet: gestrichene Textteile erscheinen , neue oder geänderte Passagen sind in Fettdruck und unterstrichen wiedergegeben.

1 EINLEITUNG

1.1 a) Hintergrund

Am 13. Mai 1998 nahm die Kommission den Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über "gemeinsame Rahmenbedingungen für elektronische Signaturen" (KOM (1998) 297 endg.) [1] an. Der Vorschlag wurde am 16. Juni 1998 dem Europäischen Parlament und dem Rat förmlich unterbreitet.

[1] ABl. C 325 vom 23.10.1998, S. 5.

Der Wirtschafts- und Sozialausschuß gab am 2./3. Dezember 1998 [2] seine Stellungnahme ab, der Ausschuß der Regionen am 13./14. Januar 1999 [3].

[2] ABl. C 40 vom 15.2.1999, S. 29.

[3] ABl. C 93 vom 06.4.1999, S. 33.

Das Europäische Parlament nahm am 13. Januar 1999 in erster Lesung eine befürwortende Entschließung an und schlug 32 Änderungen am Vorschlag der Kommission vor [4].

[4] ABl. C 104 vom 14.4.1999, S. 49.

Am 29. April 1999 nahm die Kommission gemäß Artikel 250 Absatz 2 EG-Vertrag einen geänderten Vorschlag [5] an, in dem sie 22 der Änderungen ganz, teilweise oder dem Grundsatz nach übernahm.

[5] KOM (1999)195 endg. vom 29.04.1999 (bisher nicht veröffentlicht).

Der Rat legte gemäß Artikel 251 EG-Vertrag am 28. Juni 1999 förmlich einen gemeinsamen Standpunkt [6] fest, zu dem die Kommission am 16. Juli 1999 Stellung nahm [7].

[6] ABl. C 243 vom 27.8.1999, S. 33.

[7] SEC(1999) 1154 endg. vom 16.7.1999 (noch nicht veröffentlicht).

Das Europäische Parlament schlug am 27. Oktober 1999 in zweiter Lesung fünf Abänderungen am gemeinsamen Standpunkt vor [8].

[8] Dok. A5 - 0034/1999

1.2 b) Ziel des Vorschlags der Kommission

Ziel der Richtlinie ist es, die Verwendung elektronischer Signaturen zu erleichtern und zu ihrer rechtlichen Anerkennung beizutragen. Aufgrund dieser Richtlinie sollen die nötigen rechtlichen Rahmenbedingungen für elektronische Signaturen und bestimmte Zertifizierungsdienste festgelegt werden, um ein reibungsloses Funktionieren des Binnenmarktes sicherzustellen. Rechtsgrundlage des Vorschlags sind Artikel 47 Absatz 2 sowie Artikel 55 und 95 EG-Vertrag.

Die vorgeschlagene Richtlinie beruht auf einem technologisch neutralen Ansatz und betrifft vor allem Zertifikate, die für die Öffentlichkeit bestimmt sind und den Absender elektronischer Daten identifizieren sollen. Um die Entwicklung von Zertifizierungsdiensten zu fördern, dürfen die Mitgliedstaaten die Bereitstellung von Zertifizierungsdiensten durch Zertifizierungsdiensteanbieter nicht von einer vorherigen Genehmigung abhängig machen. Den Mitgliedstaaten ist es jedoch freigestellt, freiwillige Akkreditierungssysteme einzuführen. Ferner sieht die Richtlinie vor, daß elektronische Signaturen rechtlich genauso wie handschriftliche Unterschriften anerkannt werden, und legt Haftungsregelungen für Zertifizierungsdiensteanbieter fest. Schließlich sind in der vorgeschlagenen Richtlinie Mechanismen der Zusammenarbeit mit Drittländern vorgesehen, um den Anforderungen der globalen elektronischen Kommunikation gerecht zu werden.

2 STELLUNGNAHME DER KOMMISSION ZU DEN ABÄNDERUNGEN DES EUROPÄISCHEN PARLAMENTS

Alle fünf Abänderungen, die das Parlament in zweiter Lesung verabschiedete, wurden von der Kommission vollständig gebilligt.

Die Kommission billigte diese Abänderungen, da der Text dadurch klarer und kohärenter wird.

3 SCHLUSSFOLGERUNG

Die Kommission hat alle vom Europäischen Parlament in zweiter Lesung vorgeschlagenen Abänderungen vollständig gebilligt.

Gemäß Artikel 250 Absatz 2 EG-Vertrag ändert die Kommission ihren ursprünglichen Vorschlag unter Einbeziehung dieser Abänderungen.

4 GEÄNDERTER VORSCHLAG

a) Grundsätze

Im Anschluß an die zweite Lesung im Europäischen Parlament wurden verschiedene neue Bestimmungen gebilligt. Die meisten dieser Bestimmungen dienen entweder dazu, Unklarheiten zu beseitigen oder den Wortlaut klarer und kohärenter zu machen. Darüber hinaus wurden einige neue Überlegungen aufgenommen, die eine Erweiterung der ursprünglichen Fassung darstellen, an den grundlegenden Prinzipien jedoch nichts ändern.

b) Erläuterung der wichtigsten Änderungen

1. Änderung von Erwägungsgrund 16:

Wie vom Europäischen Parlament in Abänderung 1 vorgeschlagen, wurde die Präzisierung aufgenommen, daß die Richtlinie nicht darauf abzielt, Regelungen für Systeme zu treffen, die auf privatrechtlichen Vereinbarungen beruhen. Ziel der vorgeschlagenen Änderung ist es, den Grundsatz der "Freiheit der Parteien" deutlicher hervorzuheben, indem festgelegt wird, daß erstens Systeme, "die auf freiwilligen privatrechtlichen Vereinbarungen zwischen einer bestimmten Anzahl von Teilnehmern beruhen", keiner gesetzlichen rechtlichen Rahmenbedingungen bedürfen, und zweitens elektronischen Signaturen, die in solchen Systemen verwendet werden, die rechtliche Wirksamkeit und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht abgesprochen werden sollte.

Im neuen Wortlaut werden die "geschlossenen Benutzergruppen" nicht explizit erwähnt. Dies ist von Vorteil, da im Richtlinientext selbst nicht auf "geschlossene Systeme", sondern auf Vereinbarungen zwischen Privatpersonen Bezug genommen wird. Dadurch wird zur Vermeidung von Rechtsunsicherheit bezüglich der genauen Definition des Begriffs "geschlossene Benutzergruppen" , die es im bürgerlichen Recht nicht gibt, beigetragen.

2. Änderung von Erwägungsgrund 23:

Abänderung 3 des Europäischen Parlaments wurde übernommen, durch die im Erwägungsgrund 23 ein neuer Satz hinzugefügt wird. Darin wird betont, daß Vereinbarungen über multilaterale Regelungen mit Drittländern über gegenseitige Anerkennung der Zertifizierungsdienste nützlich sein könnten, um die Interoperabilität auf globaler Ebene zu gewährleisten. Dies steht im Einklang mit den Vorschriften in Artikel 7 der vorgeschlagenen Richtlinie, der speziell die globale Dimension zum Gegenstand hat. In Artikel 7 Absatz 2 ist festgelegt, daß die Kommission Vorschläge unterbreitet, mit dem Ziel, die grenzüberschreitende Zertifizierung, insbesondere im Hinblick auf die Umsetzung von Normen und einschlägigen internationalen Vereinbarungen, zu erleichtern.

Aufgrund des globalen Charakters des elektronischen Geschäftsverkehrs ist es wichtig, daß auf eine gegenseitige Anerkennung von Zertifikaten auf dem globalen Markt hingearbeitet wird. Durch den vorgeschlagenen neuen Satz soll die Wichtigkeit dieser Frage betont werden

3. Änderung von Artikel 6:

Wie in den Abänderungen 4 und 5 des Europäischen Parlaments vorgeschlagen, wurde Artikel 6 in zwei Punkten geändert.

Erstens wurde in Artikel 6 Absatz 1 Buchstabe a ein neuer Satz aufgenommen, um zu gewährleisten, daß ein Zertifizierungsdiensteanbieter nicht nur dafür haftet, daß alle Informationen in einem qualifizierten Zertifikat richtig sind, sondern auch dafür, daß das Zertifikat alle für ein qualifiziertes Zertifikat vorgeschriebenen Angaben enthält.

Dies ist von besonderer Bedeutung, da es für einen Verbraucher nicht nur wichtig ist, daß die in einem Zertifikat enthaltenen Angaben richtig sind, sondern auch, daß ein Zertifikat alle Angaben enthält, die erforderlich sind, um als qualifiziertes Zertifikat gelten zu können. Diese Änderung trägt somit zu einer klareren Formulierung von Artikel 6 Absatz 1 bei..

Zweitens wurde die Abänderung 5 des Europäischen Parlaments dergestalt übernommen, daß in Artikel 6 Absatz 4 ein neuer Satz hinzugefügt wurde. In diesem heißt es, daß ein Zertifizierungsdiensteanbieter nicht für Schäden haftet, die sich aus der Verwendung eines qualifizierten Zertifikats ergeben, bei der die Grenze für den Wert der Transaktionen, für die das Zertifikat verwendet werden kann, überschritten wird. In der Bestimmung kommt somit klar zum Ausdruck, daß ein Zertifizierungsdiensteanbieter nicht dafür haftet, wenn bei der Verwendung des Zertifikats die Hoechstgrenze überschritten wird.

Diese Änderung trägt zu einer größeren Kohärenz zwischen Artikel 6 Absatz 3, der bereits eine ähnliche Bestimmung enthält, und Artikel 6 Absatz 4 bei.

4. Klärung des Wortlauts:

Entsprechend der Abänderung 2 des Europäischen Parlaments wurde der Wortlaut von Erwägungsgrund 21, der sich auf Artikel 5 Absatz 1 bezieht, geändert. Dadurch soll betont werden, daß die Festlegung der Rechtsgebiete, in denen elektronische Dokumente und elektronische Signaturen verwendet werden können, einzelstaatlichem Recht unterliegt. Der Erwägungsgrund war Teil eines Kompromisses zwischen der Kommission und den Mitgliedstaaten, der darauf abzielte, die "scharfe" Formulierung des Artikels 5 Absatz 1 abzuschwächen, in dem es heißt, daß die Mitgliedstaaten dafür Sorge tragen, daß fortgeschrittene elektronische Signaturen die rechtlichen Anforderungen an eine Unterschrift in gleicher Weise erfuellen wie handschriftliche Unterschriften.

Durch den geänderten Satz kommt deutlicher zum Ausdruck, daß die Festlegung der Gebiete, in denen elektronische Dokumente und elektronische Signaturen verwendet werden können, einzelstaatlichem Recht unterliegt.

Geänderter Vorschlag [9] für eine RICHTLINIE DES EUROPÄISCHEN PARLAMENTS UND DES RATES über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen

[9] Dieses Dokument basiert auf der deutschen Originalfassung der Abänderungen des Europäischen Parlaments.

DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION -

gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft, insbesondere auf Artikel 47 Absatz 2, Artikel 55 und 95,

auf Vorschlag der Kommission [10],

[10] ABl. C 325 vom 23.10.1998, S. 5.

nach Stellungnahme des Wirtschafts- und Sozialausschusses [11],

[11] ABl. C 40 vom 15.2.1999, S. 29.

nach Stellungnahme des Ausschusses der Regionen [12],

[12] Stellungnahme vom 13. und 14. Januar 1999 (ABl. C 93 vom 6.4.1999, S. 33).

gemäß dem Verfahren des Artikels 251 des Vertrags [13],

[13] Stellungnahme des Europäischen Parlaments vom 13. Januar 1999 (ABl. C 104 vom 14.4.1999, S. 49), Gemeinsamer Standpunkt des Rates vom 28. Juni 1999 (ABl. C 243 vom 27.8.1999, S. 33) (noch nicht im Amtsblatt veröffentlicht) und Beschluß des Europäischen Parlaments vom ... (ABl. C ...) (noch nicht im Amtsblatt veröffentlicht).

in Erwägung nachstehender Gründe:

(1) Am 16. April 1997 hat die Kommission dem Europäischen Parlament, dem Rat, dem Wirt schafts- und Sozialausschuß und dem Ausschuß der Regionen eine Mitteilung mit dem Titel "Europäische Initiative für den elektronischen Geschäftsverkehr" vorgelegt.

(2) Am 8. Oktober 1997 hat die Kommission dem Europäischen Parlament, dem Rat, dem Wirt schafts- und Sozialausschuß und dem Ausschuß der Regionen eine Mitteilung über "Sicher heit und Vertrauen in elektronische Kommunikation - Ein europäischer Rahmen für digitale Signaturen und Verschlüsselung" unterbreitet.

(3) Am 1. Dezember 1997 hat der Rat die Kommission aufgefordert, so bald wie möglich einen Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über digitale Sig naturen vorzulegen.

(4) Elektronische Kommunikation und elektronischer Geschäftsverkehr erfordern "elektronische Signaturen" und entsprechende Authentifizierungsdienste für Daten. Divergierende Regeln über die rechtliche Anerkennung elektronischer Signaturen und die Akkreditierung von Zerti fizierungsdiensteanbietern in den Mitgliedstaaten können ein ernsthaftes Hindernis für die elektronische Kommunikation und den elektronischen Geschäftsverkehr darstellen. Klare gemeinschaftliche Rahmenbedingungen für elektronische Signaturen stärken demgegenüber das Vertrauen und die allgemeine Akzeptanz hinsichtlich der neuen Technologien. Die Rechtsvorschriften der Mitgliedstaaten sollten den freien Waren- und Dienstleistungsverkehr im Binnenmarkt nicht behindern.

(5) Die Interoperabilität von Produkten für elektronische Signaturen sollte gefördert werden. Gemäß Artikel 14 des Vertrags umfaßt der Binnenmarkt einen Raum ohne Binnengrenzen, in dem der freie Warenverkehr gewährleistet ist. Es sind grundlegende Anforderungen zu erfuel len, die speziell für Produkte für elektronische Signaturen gelten, um so den freien Verkehr im Binnenmarkt zu gewährleisten und das Vertrauen in digitale Signaturen zu fördern, wobei die Verordnung (EG) Nr. 3381/94 des Rates vom 19. Dezember 1994 über eine Gemein schafts regelung der Ausfuhrkontrolle von Gütern mit doppeltem Verwendungszweck [14] und der Beschluß 94/942/GASP des Rates vom 19. Dezember 1994 über die vom Rat gemäß Arti kel J.3 des Vertrags über die Europäische Union angenommene gemeinsame Aktion zur Ausfuhrkontrolle von Gütern mit doppeltem Verwendungszweck [15] unberührt bleiben.

[14] ABl. L 367 vom 31.12.1994, S. 1. Geändert durch die Verordnung (EWG) Nr. 837/95 (ABl. L 90 vom 21.4.1995, S. 1).

[15] ABl. L 367 vom 31.12.1994, S. 8. Zuletzt geändert durch den Beschluß 99/193/GASP (ABl. L 73 vom 19.3.1999, S. 1).

(6) Mit der vorliegenden Richtlinie wird die Erbringung von Dienst leistungen im Bereich der Vertraulichkeit von Informationen nicht harmonisiert, wenn für derartige Dienst leistungen einzelstaatliche Vorschriften hinsichtlich der öffentlichen Ordnung oder Sicherheit gelten.

(7) Der Binnenmarkt gewährleistet die Freizügigkeit von Personen, wodurch Bürger und Gebiets ansässige der Europäischen Union zunehmend mit Stellen in anderen Mitgliedstaaten als demjenigen ihres Wohnsitzes in Verbindung treten müssen. Die Möglichkeit der elektro ni schen Kommunikation könnte in dieser Hinsicht von großem Nutzen sein.

(8) Die rasche technologische Entwicklung und der globale Charakter des Internet erfordern ein Konzept, das verschiedenen Technologien und Dienstleistungen im Bereich der elektro ni schen Authentifizierung offensteht.

(9) Elektronische Signaturen werden bei einer Vielzahl von Gegebenheiten und Anwendungen genutzt, die zu einem großen Spektrum neuer Dienste und Produkte im Zusammenhang mit oder unter Verwendung von elektronischen Signaturen führen. Die Definition solcher Pro dukte und Dienste sollte sich nicht auf die Ausstellung und Verwaltung von Zertifikaten beschränken, sondern sollte auch alle sonstigen Dienste und Produkte einschließen, die elek troni sche Sig naturen verwenden oder mit ihnen zusammenhängen, wie Registrierungs dienste, Zeitstempel, Verzeichnisdienste, Rechnerdienste oder Beratungsdienste in Verbin dung mit elektronischen Signaturen.

(10) Der Binnenmarkt ermöglicht es Zertifizierungsdiensteanbietern, grenzüberschreitend tätig zu werden, um ihre Wettbewerbsfähigkeit zu steigern und damit Verbrauchern und Unternehmen ohne Rücksicht auf Grenzen neue Möglichkeiten des sicheren Informationsaustausches und elek tronischen Geschäftsverkehrs zu eröffnen. Um das gemeinschaftsweite Anbieten von Zerti fi zierungsdiensten über offene Netze zu fördern, sollten Anbieter von Zertifizierungs diensten diese ungehindert ohne vorherige Genehmigung bereitstellen können. Vorherige Genehmigung bedeutet nicht nur eine Erlaub nis, wonach der betreffende Zertifizierungs diensteanbieter einen Bescheid der einzelstaat lichen Stellen einholen muß, bevor er seine Zertifizierungsdienste erbringen kann, sondern auch alle sonstigen Maßnahmen mit der gleichen Wirkung.

(11) Freiwillige Akkreditierungssysteme, die auf eine Steigerung des Niveaus der erbrachten Dienste abzielen, können Zertifizierungsdiensteanbietern den geeigneten Rahmen für die Weiterentwicklung ihrer Dienste bieten, um das auf dem sich entwickelnden Markt geforderte Maß an Vertrauen, Sicherheit und Qualität zu erreichen. Diese Systeme sollten die Entwick lung bester Praktiken durch Zertifizierungsdiensteanbieter fördern. Zertifizierungsdienste anbietern sollte es frei stehen, sich akkreditieren zu lassen und Akkreditierungssysteme zu nutzen.

(12) Zertifizierungsdienste sollten entweder von einer öffentlichen Stelle oder einer juristischen oder natürlichen Person angeboten werden können, sofern diese im Einklang mit den einzel staatlichen Rechtsvorschriften niedergelassen ist. Die Mitgliedstaaten sollten es Anbietern von Zertifizierungsdiensten nicht untersagen, auch ohne freiwillige Akkreditierung tätig zu sein. Es ist darauf zu achten, daß Akkreditierungssysteme den Wettbewerb im Bereich der Zertifizierungsdienste nicht einschränken.

(13) Die Mitgliedstaaten können entscheiden, wie sie die Überwachung der Einhaltung der Bestimmungen dieser Richtlinie gewährleisten. Diese Richtlinie schließt nicht aus, daß privatwirtschaftliche Überwachungssysteme geschaffen werden. Diese Richtlinie verpflichtet die Zertifizierungsdiensteanbieter nicht, eine Überwachung im Rahmen eines geltenden Akkreditierungssystems zu beantragen.

(14) Es ist wichtig, ein ausgewogenes Verhältnis zwischen den Bedürfnissen der Verbraucher und der Unternehmen herzustellen.

(15) Anhang III enthält die Anforderungen für sichere Signaturerstellungseinheiten zur Gewähr leistung der Funktionalität fortgeschrittener elektronischer Signaturen. Er deckt nicht die gesamte Systemumgebung ab, in der die Einheit betrieben wird. Das Funktionieren des Binnenmarktes verlangt von der Kommission und den Mitgliedstaaten, rasch zu handeln, damit die Stellen benannt werden können, die für die Bewertung der Übereinstimmung von sicheren Signaturerstellungseinheiten mit den Anforderungen des Anhangs III zuständig sind. Um den Markterfordernissen zu entsprechen, muß die Bewertung der Übereinstimmung rechtzeitig und effizient erfolgen.

(16) Diese Richtlinie leistet einen Beitrag zur Verwendung und rechtlichen Anerkennung elek tro nischer Signaturen in der Gemeinschaft. Es bedarf keiner gesetzlichen Rahmenbedingungen für elektronische Signaturen, die ausschließlich in Systemen verwendet werden, die auf freiwilligen privatrechtlichen Vereinbarungen zwischen einer bestimmten Anzahl von Teilnehmern beruhen. Die Freiheit der Parteien, die Bedingungen zu vereinbaren, unter denen sie elek tro nisch signierte Daten akzeptieren, sollte respektiert werden, soweit dies im Rahmen des inner staat lichen Rechts möglich ist. Elektronischen Signaturen, die in solchen Systemen verwendet werden, sollte die rechtliche Wirksamkeit und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht abgesprochen werden.

(17) Diese Richtlinie zielt nicht darauf ab, nationales Vertragsrecht, insbesondere betreffend den Abschluß und die Erfuellung von Verträgen, oder andere, außervertragliche Formvorschriften bezüglich der Unterschriften zu harmonisieren. Deshalb sollten die Regelungen über die rechtliche Wirksamkeit elektronischer Signaturen unbe schadet einzelstaatlicher Formvor schriften gelten, die den Abschluß von Verträgen oder die Festlegung des Ortes eines Ver tragsabschlusses betreffen.

(18) Das Speichern und Kopieren von Signaturerstellungsdaten könnte die Rechtsgültigkeit elek tronischer Signaturen gefährden.

(19) Elektronische Signaturen werden im öffentlichen Bereich innerhalb der staatlichen und gemeinschaftlichen Verwaltungen und im Kommunikationsverkehr zwischen diesen Verwal tungen sowie zwischen diesen und den Bürgern und Wirtschaftsteilnehmern eingesetzt, z.B. in den Bereichen öffentliche Auftragsvergabe, Steuern, soziale Sicherheit, Gesundheit und Justiz.

(20) Durch harmonisierte Kriterien im Zusammenhang mit der Rechtswirkung elektronischer Signaturen läßt sich gemeinschaftsweit ein kohärenter Rechtsrahmen aufrechterhalten. In den einzelstaatlichen Rechtsvorschriften sind verschiedene Anforderungen für die Rechts gültig keit handschriftlicher Unterschriften niedergelegt. Zertifikate können dazu dienen, die Identi tät einer elektronisch signierenden Person zu bestätigen. Auf qualifizierten Zertifikaten beru hende fortgeschrittene elektronische Signaturen zielen auf einen höheren Sicherheitsstandard. Fortgeschrittene elektronische Signaturen, die auf einem qualifizierten Zertifikat beruhen und von einer sicheren Signaturerstellungseinheit erstellt werden, können nur dann gegenüber handschrift lichen Unterschriften als rechtlich gleichwertig angesehen werden, wenn die Anforderungen für handschriftliche Unterschriften erfuellt sind.

(21) Um die allgemeine Akzeptanz elektronischer Authentifizierungsmethoden zu fördern, ist zu gewährleisten, daß elektronische Signaturen in allen Mitgliedstaaten in Gerichtsverfahren als Beweismittel ver wendet werden können. Die rechtliche Anerkennung elektronischer Signa turen sollte auf objektiven Kriterien beruhen und nicht mit einer Genehmigung für den betref fenden Zertifizierungsdienste anbieter verknüpft sein. Die Festlegung der Rechtsgebiete, in denen elektronische Dokumente und elektronische Sig naturen verwendet werden können, unterliegt einzelstaatlichem Recht. Diese Richt linie läßt die Befugnis der einzelstaatlichen Gerichte, über die Übereinstimmung mit den Anforderungen dieser Richtlinie zu befinden, unberührt; sie berührt auch nicht die einzelstaatlichen Vorschriften über die freie gericht liche Würdigung von Beweismitteln.

(22) Diensteanbieter, die ihre Zertifizierungsdienste öffentlich anbieten, unterliegen den einzel staatlichen Haftungsregelungen.

(23) Die Entwicklung des internationalen elektronischen Geschäftsverkehrs erfordert grenzüberschreitende Vereinbarungen betreffend Drittländer. Um die weltweite Interoperabilität zu gewährleisten, könnten Vereinbarungen über multilaterale Regelungen mit Drittländern über gegenseitige Anerkennung der Zertifizierungsdienste nützlich sein.

(24) Zur Stärkung des Vertrauens der Nutzer in die elektronische Kommunikation und den elek tronischen Geschäftsverkehr müssen die Zertifizierungsdiensteanbieter die Vorschriften über den Datenschutz und den Schutz der Privatsphäre achten.

(25) Die Bestimmungen über die Nutzung von Pseudonymen in Zertifikaten hindern die Mitglied staaten nicht daran, eine Identifizierung der Personen nach Gemeinschaftsrecht oder einzel staatlichem Recht zu verlangen.

(26) Zur Anwendung dieser Richtlinie sollte die Kommission von einem Verwaltungsausschuß unterstützt werden. Da die für die Durchführung der vorliegenden Richtlinie erforderlichen Maßnahmen Verwaltungsmaßnahmen im Sinne von Artikel 2 des Beschlusses 1999/468/EG des Rates vom 28. Juni 1999 zur Festlegung der Modalitäten für die Ausübung der der Kommission übertragenen Durchführungsbefugnisse [16] sind, sollten diese Maßnahmen nach dem Verwaltungsverfahren des Artikels 4 des Beschlusses erlassen werden.

[16] ABl. L 184 vom 17.7.1999, S. 23

(27) Die Kommission nimmt zwei Jahre nach der Umsetzung dieser Richtlinie eine Überprüfung vor, um unter anderem sicherzustellen, daß der technologische Fortschritt oder Änderungen des rechtlichen Umfelds keine Hindernisse für die Realisierung der erklär ten Ziele dieser Richtlinie mit sich gebracht haben. Sie sollte die Auswirkungen verwandter technischer Bereiche prüfen und dem Europäischen Parlament und dem Rat hierüber einen Bericht vor legen.

(28) Nach den in Artikel 5 des Vertrags niedergelegten Grundsätzen der Subsidiarität und der Ver hältnismäßigkeit kann das Ziel der Schaffung harmonisierter rechtlicher Rahmenbedingungen für die Bereitstellung elektronischer Signaturen und entsprechender Dienste von den Mit gliedstaaten nicht ausreichend erreicht werden und läßt sich daher besser durch die Gemein schaft verwirklichen. Diese Richtlinie geht nicht über das zur Erreichung dieses Ziels erfor derliche Maß hinaus -

HABEN FOLGENDE RICHTLINIE ERLASSEN:

Artikel 1

Anwendungsbereich

Diese Richtlinie soll die Verwendung elektronischer Signaturen erleichtern und zu ihrer rechtlichen Anerkennung beitragen. Sie legt rechtliche Rahmenbedingungen für elektronische Signaturen und für bestimmte Zertifizierungsdienste fest, damit das reibungslose Funktionieren des Binnen marktes gewährleistet ist.

Es werden weder Aspekte im Zusammenhang mit dem Abschluß und der Gültigkeit von Verträgen oder anderen rechtlichen Verpflichtungen, für die nach einzelstaatlichem Recht oder Gemein schaftsrecht Formvorschriften zu erfuellen sind, erfaßt, noch werden im einzelstaatlichen Recht oder im Gemeinschaftsrecht vorgesehene Regeln und Beschränkungen für die Verwendung von Dokumenten berührt.

Artikel

Begriffsbestimmungen

Im Sinne dieser Richtlinie bezeichnet der Ausdruck

1. "elektronische Signatur" Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verknüpft sind und die zur Authentifizierung dienen;

2. "fortgeschrittene elektronische Signatur" eine elektronische Signatur, die folgende Anforde rungen erfuellt:

a) Sie ist ausschließlich dem Unterzeichner zugeordnet;

b) sie ermöglicht die Identifizierung des Unterzeichners;

c) sie wird mit Mitteln erstellt, die der Unterzeichner unter seiner alleinigen Kontrolle halten kann;

d) sie ist so mit den Daten, auf die sie sich bezieht, verknüpft, daß eine nachträgliche Ver änderung der Daten erkannt werden kann;

3. "Unterzeichner" eine Person, die eine Signaturerstellungseinheit besitzt und die entweder im eigenen Namen oder im Namen der von ihr vertretenen Stelle oder juristischen oder natür lichen Person han delt;

4. "Signaturerstellungsdaten" einmalige Daten wie Codes oder private kryptographische Schlüssel, die vom Unterzeichner zur Erstellung einer elektronischen Signatur verwendet werden;

5. "Signaturerstellungseinheit" eine konfigurierte Software oder Hardware, die zur Imple men tierung der Signaturerstellungsdaten verwendet wird;

6. "sichere Signaturerstellungseinheit" eine Signaturerstellungseinheit, die die Anforderungen des Anhangs III erfuellt;

7. "Signaturprüfdaten" Daten wie Codes oder öffentliche kryptographische Schlüssel, die zur Überprüfung einer elektronischen Signatur verwendet werden;

8. "Signaturprüfeinheit" eine konfigurierte Software oder Hardware, die zur Implementie rung der Signaturprüfdaten verwendet wird;

9. "Zertifikat" eine elektronische Bescheinigung, mit der Signaturprüfdaten einer Person zuge ordnet werden und die Identität dieser Person bestätigt wird;

10. "qualifiziertes Zertifikat" ein Zertifikat, das die Anforderungen des Anhangs I erfuellt und von einem Zertifizierungsdiensteanbieter bereitgestellt wird, der die Anforderungen des An hangs II erfuellt;

11. "Zertifizierungsdiensteanbieter" eine Stelle oder eine juristische oder natürliche Person, die Zertifikate ausstellt oder anderweitige Dienste im Zusammenhang mit elektronischen Signa turen bereitstellt;

12. "Produkt für elektronische Signaturen" Hard- oder Software bzw. deren spezifische Kompo nenten, die von einem Zertifizierungsdiensteanbieter für die Bereitstellung von Diensten für elektronische Sig naturen verwendet werden sollen oder die für die Erstellung und Über prüfung elektronischer Signaturen ver wendet werden sollen;

13. "freiwillige Akkreditierung" eine Erlaubnis, mit der die Rechte und Pflichten für die Erbrin gung von Zertifizierungsdiensten festgelegt werden und die auf Antrag des betreffenden Zer tifizierungsdiensteanbieters von der öffentlichen oder privaten Stelle, die für die Festlegung dieser Rechte und Pflichten sowie für die Überwachung ihrer Einhaltung zuständig ist, erteilt wird, wenn der Zertifizierungsdiensteanbieter die sich aus der Erlaubnis ergebenden Rechte nicht ausüben darf, bevor er den Bescheid der Stelle erhalten hat.

Artikel 3

Marktzugang

1. Die Mitgliedstaaten machen die Bereitstellung von Zertifizierungsdiensten nicht von einer vorherigen Genehmigung abhängig.

2. Unbeschadet des Absatzes 1 können die Mitgliedstaaten freiwillige Akkreditierungs systeme einführen bzw. beibehalten, die auf die Steigerung des Niveaus der erbrachten Zertifizie rungsdienste abzielen. Alle mit diesen Systemen verknüpften Anforderungen müssen objektiv, transparent, verhältnismäßig und nichtdiskriminierend sein. Die Mitgliedstaaten dürfen die Zahl der akkreditierten Zerti fizierungs diensteanbieter nicht aus Gründen einschränken, die in den Gel tungsbereich dieser Richtlinie fallen.

3. Die Mitgliedstaaten tragen dafür Sorge, daß ein geeignetes System zur Überwachung der in ihrem Hoheitsgebiet niedergelassenen Zertifizierungsdiensteanbieter, die öffentlich quali fi zierte Zertifikate ausstellen, eingerichtet wird.

4. Die Übereinstimmung sicherer Signaturerstellungseinheiten mit den Anforderungen nach Anhang III wird von geeigneten öffentlichen oder privaten Stellen festgestellt, die von den Mitgliedstaaten benannt werden. Die Kommission legt nach dem Verfahren des Artikels 9 Kriterien fest, anhand deren die Mitgliedstaaten bestimmen, ob eine Stelle zur Benennung geeignet ist.

Die von den in Unterabsatz 1 genannten Stellen vorgenommene Feststellung der Übereinstimmung mit den Anforderungen des Anhangs III wird von allen Mitgliedstaaten anerkannt.

5. Die Kommission kann nach dem Verfahren des Artikels 9 Referenznummern für allge mein anerkannte Normen für Produkte für elektronische Signaturen festlegen und im Amtsblatt der Euro päischen Gemeinschaften veröffentlichen. Die Mitgliedstaaten gehen davon aus, daß die Anforde rungen nach Anhang II Buchstabe f und Anhang III erfuellt sind, wenn ein Produkt für elek tronische Signaturen diesen Normen entspricht.

6. Die Mitgliedstaaten und die Kommission arbeiten unter Berücksichtigung der Empfeh lungen für die sichere Signaturprüfung in Anhang IV und im Interesse des Verbrauchers zusammen, um die Entwicklung und die Nutzung von Signaturprüfeinheiten zu fördern.

7. Die Mitgliedstaaten können den Einsatz elektronischer Signaturen im öffentlichen Bereich möglichen zusätzlichen Anforderungen unterwerfen. Diese Anforderungen müssen objek tiv, trans parent, verhältnismäßig und nichtdiskriminierend sein und dürfen sich nur auf die spezi fi schen Merkmale der betreffenden Anwendung beziehen. Diese Anforderungen dürfen für grenz überschreitende Dienste für den Bürger kein Hindernis darstellen.

Artikel 4

Binnenmarktgrundsätze

1. Jeder Mitgliedstaat wendet die innerstaatlichen Bestimmungen, die er aufgrund dieser Richtlinie erläßt, auf die in seinem Hoheitsgebiet niedergelassenen Zertifizierungsdiensteanbieter und deren Dienste an. Die Mitgliedstaaten dürfen die Bereitstellung von Zertifizierungsdiensten, die aus anderen Mitgliedstaaten stammen, in den unter diese Richtlinie fallenden Bereichen nicht ein schränken.

2. Die Mitgliedstaaten tragen dafür Sorge, daß Produkte für elektronische Signaturen, die den Anforde rungen dieser Richtlinie entsprechen, frei im Binnenmarkt verkehren können.

Artikel 5

Rechtswirkung elektronischer Signaturen

1. Die Mitgliedstaaten tragen dafür Sorge, daß fortgeschrittene elektronische Signaturen, die auf einem qualifizierten Zertifikat beruhen und die von einer sicheren Signaturerstellungseinheit erstellt werden,

a) die rechtlichen Anforderungen an eine Unterschrift in bezug auf in elektronischer Form vor liegende Daten in gleicher Weise erfuellen wie handschriftliche Unterschriften in bezug auf Daten, die auf Papier vorliegen, und

b) in Gerichtsverfahren als Beweismittel zugelassen sind.

2. Die Mitgliedstaaten tragen dafür Sorge, daß einer elektronischen Signatur die rechtliche Wirksamkeit und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht allein deshalb abge sprochen wird,

- weil sie in elektronischer Form vorliegt oder

- nicht auf einem qualifizierten Zertifikat beruht oder

- nicht auf einem von einem akkreditierten Zertifizierungsdiensteanbieter ausgestellten quali fizier ten Zertifikat beruht oder

- nicht von einer sicheren Signaturerstellungseinheit erstellt wurde.

Artikel 6

Haftung

1. Die Mitgliedstaaten gewährleisten als Mindestregelung, daß ein Zertifizierungsdienste anbieter, der ein Zertifikat als qualifiziertes Zertifikat öffentlich ausstellt oder für ein derartiges Zerti fikat öffentlich einsteht, in bezug auf Schäden gegenüber einer Stelle oder einer juristischen oder natürlichen Person, die vernünftigerweise auf das Zertifikat vertraut, dafür haftet, daß

a) alle Informationen in dem qualifizierten Zertifikat zum Zeitpunkt seiner Ausstellung richtig sind und das Zertifikat alle für ein qualifiziertes Zertifikat vorgeschriebenen Angaben enthält;

b) der in dem qualifizierten Zertifikat angegebene Unterzeichner zum Zeitpunkt der Ausstel lung des Zertifikats im Besitz der Signaturerstellungsdaten war, die den im Zertifikat ange gebenen bzw. identifizierten Signaturprüfdaten entsprechen,

c) in Fällen, in denen der Zertifizierungsdiensteanbieter sowohl die Signaturerstellungsdaten als auch die Signaturprüfdaten erzeugt, beide Komponenten in komplementärer Weise genutzt werden können,

es sei denn, der Zertifizierungsdiensteanbieter weist nach, daß er nicht fahrlässig gehandelt hat.

2. Die Mitgliedstaaten gewährleisten als Mindestregelung, daß ein Zertifizierungsdienste anbieter, der ein Zertifikat als qualifiziertes Zertifikat öffentlich ausgestellt hat, in bezug auf Schäden gegenüber einer Stelle oder einer juristischen oder natürlichen Person, die vernünf tiger weise auf das Zertifikat vertraut, für den Fall haftet, daß der Widerruf des Zertifikats nicht regi striert worden ist, es sei denn, der Zertifizierungsdiensteanbieter weist nach, daß er nicht fahrlässig gehandelt hat.

3. Die Mitgliedstaaten tragen dafür Sorge, daß Zertifizierungsdiensteanbieter in einem quali fizierten Zertifikat Beschränkungen für die Verwendung des Zertifikates angeben können; diese Beschränkungen müssen für Dritte erkennbar sein. Der Zertifizierungsdiensteanbieter haftet nicht für Schäden, die sich aus einer über diese Beschränkungen hinausgehenden Verwendung des qualifi zierten Zertifikats ergeben.

4. Die Mitgliedstaaten tragen dafür Sorge, daß Zertifizierungsdiensteanbieter in dem quali fi zierten Zertifikat eine Grenze für den Wert der Transaktionen angeben können, für die das Zerti fikat verwendet werden kann; diese Grenze muß für Dritte erkennbar sein. Der Zertifizierungsdiensteanbieter haftet nicht für Schäden, die sich aus der Überschreitung dieser Hoechstgrenze ergeben.

5. Die Absätze 1 bis 4 gelten unbeschadet der Richtlinie 93/13/EWG des Rates vom 5. April 1993 über mißbräuchliche Klauseln in Verbraucherverträgen [17].

[17] ABl. L 95 vom 21.4.1993, S. 29.

Artikel 7

Internationale Aspekte

1. Die Mitgliedstaaten tragen dafür Sorge, daß Zertifikate, die von einem Zertifizierungs dienste anbieter eines Drittlandes öffentlich als qualifizierte Zertifikate ausgestellt werden, den von einem in der Gemeinschaft niedergelassenen Zertifizierungsdiensteanbieter ausgestellten Zertifika ten rechtlich gleichgestellt werden, wenn

a) der Zertifizierungsdiensteanbieter die Anforderungen dieser Richtlinie erfuellt und im Rahmen eines freiwilligen Akkreditierungssystems eines Mitgliedstaats akkreditiert ist oder

b) ein in der Gemeinschaft niedergelassener Zertifizierungsdiensteanbieter, der die Anforde run gen dieser Richtlinie erfuellt, für das Zertifikat einsteht oder

c) das Zertifikat oder der Zertifizierungsdiensteanbieter im Rahmen einer bilateralen oder mul tilateralen Vereinbarung zwischen der Gemeinschaft und Drittländern oder inter natio nalen Organisationen anerkannt ist.

2. Um grenzüberschreitende Zertifizierungsdienste mit Drittländern und die rechtliche Anerken nung fortgeschrittener elektronischer Signaturen, die aus Drittländern stammen, zu erleich tern, unterbreitet die Kommission gegebenenfalls Vorschläge mit dem Ziel, die effiziente Umsetzung von Normen und internationalen Vereinbarungen über Zertifizierungsdienste zu erreichen. Insbe sondere unterbreitet sie dem Rat bei Bedarf Vorschläge zur Erteilung von geeig neten Mandaten zur Aushand lung bilateraler und multilateraler Vereinbarungen mit Drittländern und internatio nalen Organisa tionen. Der Rat beschließt mit qualifizierter Mehrheit.

3. Wird die Kommission über Schwierigkeiten unterrichtet, auf die Unternehmen der Gemein schaft beim Marktzugang in Drittländern stoßen, so kann sie erforderlichenfalls dem Rat Vor schläge für ein geeignetes Mandat zur Aushandlung vergleichbarer Rechte für Unternehmen der Gemeinschaft in diesen Drittländern vorlegen. Der Rat beschließt mit qualifizierter Mehr heit.

Die gemäß diesem Absatz ergriffenen Maßnahmen lassen die Verpflichtungen der Gemeinschaft und der Mitgliedstaaten im Rahmen der einschlägigen internationalen Übereinkünfte unberührt.

Artikel 8

Datenschutz

1. Die Mitgliedstaaten tragen dafür Sorge, daß Zertifizierungsdiensteanbieter und die für die Akkreditierung und Aufsicht zuständigen nationalen Stellen die Anforderungen der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natür licher Personen bei der Verarbeitung personenbezogener Daten und zum freien Daten verkehr [18] erfuellen.

[18] ABl. L 281 vom 23.11.1995, S. 31.

2. Die Mitgliedstaaten tragen dafür Sorge, daß Zertifizierungsdiensteanbieter, die öffent lich Zertifikate ausstellen, personenbezogene Daten nur unmittelbar von der betroffenen Person oder mit ausdrücklicher Zustimmung der betroffenen Person und nur insoweit einholen können, als dies zur Aus stellung und Aufrechterhaltung des Zertifikats erforderlich ist. Die Daten dürfen ohne aus drückliche Zustimmung der betroffenen Person nicht für anderweitige Zwecke erfaßt oder ver ar beitet werden.

3. Unbeschadet der Rechtswirkungen, die Pseudonyme nach einzelstaatlichem Recht haben, hindern die Mitgliedstaaten Zertifizierungsdiensteanbieter nicht daran, im Zertifikat ein Pseudonym anstelle des Namens des Unterzeichners anzugeben.

Artikel 9

Ausschuß

1. Die Kommission wird von einem Ausschuß ("Ausschuß für elektronische Signaturen") unterstützt, der sich aus Vertretern der Mitgliedstaaten zusammensetzt und in dem der Vertreter der Kommission den Vorsitz führt (nachstehend: Ausschuß).

2. Wird auf diesen Absatz Bezug genommen, so ist das Verwaltungsverfahren nach Artikel 4 des Beschlusses 1999/468/EG unter Beachtung von dessen Artikel 8 anzuwenden.

3. Der in Artikel 4 Absatz 3 des Beschlusses 1999/468/EG vorgesehene Zeitraum wird auf drei Monate festgesetzt.

Artikel

Aufgaben des Ausschusses

Der Ausschuß präzisiert die in den Anhängen festgelegten Anforderungen, die Kriterien nach Artikel 3 Absatz 4 und die allgemein anerkannten Normen für Produkte für elektronische Signaturen, die gemäß Artikel 3 Absatz 5 festgelegt und veröffentlicht werden, nach dem Verfahren des Artikels 9.

Artikel

Notifizierung

1. Die Mitgliedstaaten übermitteln der Kommission und den übrigen Mitgliedstaaten folgende Informationen:

d) Angaben zu nationalen freiwilligen Akkreditierungssystemen einschließlich zusätzlicher Anforderungen gemäß Artikel 3 Absatz 7,

e) Namen und Anschriften der für Akkreditierung und Aufsicht zuständigen nationalen Stellen und der in Artikel 3 Absatz 4 genannten Stellen sowie

f) Namen und Anschriften aller akkreditierten nationalen Zertifizierungsdiensteanbieter.

2. Die Informationen gemäß Absatz 1 und diesbezügliche Änderungen sind von den Mit glied staaten so bald wie möglich zu übermitteln.

Artikel

Überprüfung

1. Die Kommission überprüft die Durchführung dieser Richtlinie und erstattet dem Euro päischen Parlament und dem Rat spätestens zum ....... [19] darüber Bericht.

[19] Dreieinhalb Jahre nach Inkrafttreten dieser Richtlinie.

2. Bei der Überprüfung ist unter anderem festzustellen, ob der Anwendungsbereich dieser Richtlinie angesichts der technologischen und rechtlichen Entwicklungen und der Markt entwick lung geändert werden sollte. Der Bericht umfaßt insbesondere eine Bewertung der Harmonisie rungsaspekte auf der Grundlage der gesammelten Erfahrungen. Gegebenenfalls sind dem Bericht Vorschläge für Rechtsvorschriften beizufügen.

Artikel

Durchführung

1. Die Mitgliedstaaten erlassen die erforderlichen Rechts- und Verwaltungsvorschriften, um dieser Richtlinie vor dem ...... [20] nachzukommen. Sie setzen die Kommission unverzüglich davon in Kenntnis.

[20] Eineinhalb Jahre nach dem Inkrafttreten dieser Richtlinie.

Wenn die Mitgliedstaaten diese Vorschriften erlassen, nehmen sie in den Vorschriften selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitglied staaten regeln die Einzelheiten der Bezugnahme.

2. Die Mitgliedstaaten teilen der Kommission den Wortlaut der wichtigsten innerstaat lichen Rechtsvorschriften mit, die sie auf dem unter diese Richtlinie fallenden Gebiet erlassen.

Artikel

Inkrafttreten

Diese Richtlinie tritt am Tag ihrer Veröffentlichung im Amtsblatt der Europäischen Gemeinschaften in Kraft.

Artikel

Adressaten

Diese Richtlinie ist an die Mitgliedstaaten gerichtet.

Geschehen zu Brüssel am [...]

Im Namen des Europäischen Parlaments Im Namen des Rates

Der Präsident Der Präsident [...] [...]

ANHANG I

ANFORDERUNGEN AN QUALIFIZIERTE ZERTIFIKATE

Qualifizierte Zertifikate müssen folgende Angaben enthalten:

a) Angabe, daß das Zertifikat als qualifiziertes Zertifikat ausgestellt wird;

b) Angabe des Zertifizierungsdiensteanbieters und des Staates, in dem er niedergelassen ist;

c) Name des Unterzeichners oder ein Pseudonym, das als solches zu identifizieren ist;

d) Platz für ein spezifisches Attribut des Unterzeichners, das gegebenenfalls je nach Bestim mungszweck des Zertifikats aufgenommen wird;

e) Signaturprüfdaten, die den vom Unterzeichner kontrollierten Signaturerstellungsdaten ent sprechen;

f) Angaben zu Beginn und Ende der Gültigkeitsdauer des Zertifikats;

g) Identitätscode des Zertifikats;

h) die fortgeschrittene elektronische Signatur des ausstellenden Zertifizierungsdiensteanbieters;

i) gegebenenfalls Beschränkungen des Geltungsbereichs des Zertifikats und

j) gegebenenfalls Begrenzungen des Wertes der Transaktionen, für die das Zertifikat verwendet werden kann.

>VERWEIS AUF EIN SCHAUBILD>

ANHANG II

ANFORDERUNGEN AN ZERTIFIZIERUNGSDIENSTEANBIETER,

DIE QUALIFIZIERTE ZERTIFIKATE AUSSTELLEN

Zertifizierungsdiensteanbieter

a) müssen die erforderliche Zuverlässigkeit für die Bereitstellung von Zertifizierungsdiensten nachweisen;

b) müssen den Betrieb eines schnellen und sicheren Verzeichnisdienstes und eines sicheren und unverzüglichen Widerrufsdienstes gewährleisten;

c) müssen gewährleisten, daß Datum und Uhrzeit der Ausstellung oder des Widerrufs eines Zer tifikats genau bestimmt werden können;

d) müssen mit geeigneten Mitteln nach einzelstaatlichem Recht die Identität und gegebenenfalls die spezifischen Attribute der Person überprüfen, für die ein qualifiziertes Zertifikat ausge stellt wird;

e) müssen Personal mit den für die angebotenen Dienste erforderlichen Fachkenntnissen, Erfah rungen und Qualifikationen beschäftigen; dazu gehören insbesondere Management kompetenzen, Kenntnisse der Technologie elektronischer Signaturen und Vertrautheit mit angemessenen Sicherheitsverfahren; sie müssen ferner geeignete Verwaltungs- und Manage mentverfahren einhalten, die anerkannten Normen entsprechen;

f) müssen vertrauenswürdige Systeme und Produkte einsetzen, die vor Veränderungen geschützt sind und die die technische und kryptographische Sicherheit der von ihnen unterstützten Ver fahren gewährleisten;

g) müssen Maßnahmen gegen Fälschungen von Zertifikaten ergreifen und in den Fällen, in denen sie Signaturerstellungsdaten erzeugen, die Vertraulichkeit während der Erzeugung dieser Daten gewähr leisten;

h) müssen über ausreichende Finanzmittel verfügen, um den Anforderungen der Richtlinie ent sprechend arbeiten zu können. Sie müssen insbesondere in der Lage sein, das Haftungsrisiko für Schäden zu tragen, zum Beispiel durch Abschluß einer entsprechenden Versicherung;

i) müssen alle einschlägigen Informationen über ein qualifiziertes Zertifikat über einen ange messenen Zeitraum aufzeichnen, um insbesondere für Gerichtsverfahren die Zertifizierung nachweisen zu können. Die Aufzeichnungen können in elektronischer Form erfolgen;

j) dürfen keine Signaturerstellungsdaten von Personen speichern oder kopieren, denen Schlüs selmanagementdienste angeboten werden;

k) müssen, bevor sie in Vertragsbeziehungen mit einer Person eintreten, die von ihnen ein Zerti fikat zur Unterstützung ihrer elektronischen Signatur wünscht, diese Person mit einem dauer haften Kommunikationsmittel über die genauen Bedingungen für die Verwendung des Zerti fikats informieren, wozu unter anderem Nutzungsbeschränkungen für das Zertifikat, die Existenz eines freiwilligen Akkreditierungssystems und das Vorgehen in Beschwerde- und Schlichtungsverfahren gehören. Diese Angaben müssen schriftlich - gegebenenfalls elek tro nisch übermittelt - in klar verständlicher Sprache vorliegen. Wichtige Teilinformationen werden auf Antrag auch Dritten zur Verfügung gestellt, die auf das Zertifikat vertrauen;

l) müssen vertrauenswürdige Systeme für die Speicherung von Zertifikaten in einer überprüf baren Form verwenden, so daß

- nur befugte Personen Daten eingeben und ändern können;

- die Angaben auf ihre Echtheit hin überprüft werden können;

- Zertifikate nur in den Fällen öffentlich abrufbar sind, für die die Zustimmung des Inhabers des Zertifikats eingeholt wurde;

- technische Veränderungen, die die Einhaltung dieser Sicherheitsanforderungen beeinträch tigen, für den Betreiber klar ersichtlich sind.

ANHANG III

ANFORDERUNGEN AN SICHERE SIGNATURERSTELLUNGSEINHEITEN

1. Sichere Signaturerstellungseinheiten müssen durch geeignete Technik und Verfahren zumin dest gewährleisten, daß

a) die für die Erzeugung der Signatur verwendeten Signaturerstellungsdaten praktisch nur einmal auftreten können und daß ihre Geheimhaltung hinreichend gewährleistet ist;

b) die für die Erzeugung der Signatur verwendeten Signaturerstellungsdaten mit hin rei chender Sicherheit nicht abgeleitet werden können und die Signatur vor Fälschungen bei Verwendung der jeweils verfügbaren Technologie geschützt ist.

c) die für die Erzeugung der Signatur verwendeten Signaturerstellungsdaten von dem rechtmäßigen Unterzeichner vor der Verwendung durch andere verläßlich geschützt werden können;

2. Sichere Signaturerstellungseinheiten verändern die zu unterzeichnenden Daten nicht und ver hindern nicht, daß diese Daten dem Unterzeichner vor dem Signaturvorgang dargestellt werden.

ANHANG IV

EMPFEHLUNGEN FÜR DIE SICHERE SIGNATURPRÜFUNG

Während des Signaturprüfungsvorgangs ist mit hinreichender Sicherheit zu gewährleisten, daß

a) die zur Überprüfung der Signatur verwendeten Daten den Daten entsprechen, die dem Über prüfer angezeigt werden,

b) die Signatur zuverlässig überprüft wird und das Ergebnis dieser Überprüfung korrekt ange zeigt wird,

c) der Überprüfer bei Bedarf den Inhalt der unterzeichneten Daten zuverlässig feststellen kann,

d) die Echtheit und die Gültigkeit des zum Zeitpunkt der Überprüfung der Signatur verlangten Zertifikats zuverlässig überprüft werden,

e) das Ergebnis der Überprüfung sowie die Identität des Unterzeichners korrekt angezeigt werden,

f) die Verwendung eines Pseudonyms eindeutig angegeben wird, und

g) sicherheitsrelevante Veränderungen erkannt werden können.