CELEX: 52012PC0238
Language: de
Date: 2012-06-04
Title: Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt

|
			
		
		
		52012PC0238
		
			Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt /* COM/2012/0238 final - 2012/0146 (COD) */
			
				
		
		
			
			   	BEGRÜNDUNG
1.           KONTEXT DES VORSCHLAGS
In dieser Begründung wird ein Vorschlag für
einen Rechtsrahmen erläutert, der das Vertrauen in elektronische Transaktionen
im Binnenmarkt stärken soll.
Die wirtschaftliche Entwicklung setzt
Vertrauen in das Online-Umfeld voraus. Mangelndes Vertrauen führt dazu, dass
Verbraucher, Unternehmen und Verwaltungen nur zögerlich elektronische
Transaktionen durchführen oder neue Dienste einführen bzw. nutzen.
Die Digitale Agenda für Europa[1] benennt bestehende Hindernisse
bei der digitalen Entwicklung Europas und kündigt Vorschläge für
Rechtsvorschriften im Bereich der elektronischen Signaturen
(Schlüsselaktion 3) sowie der gegenseitigen Anerkennung der elektronischen
Identifizierung und Authentifizierung (Schlüsselaktion 16) an, mit denen
ein klarer Rechtsrahmen geschaffen werden soll, um die Fragmentierung und den
Mangel an Interoperabilität zu beseitigen, die digitale Bürgerschaft zu stärken
und der Cyberkriminalität vorzubeugen. Der Erlass von Rechtsvorschriften zur
EU-weiten gegenseitigen Anerkennung der elektronischen Identifizierung und
Authentifizierung und die Überarbeitung der Richtlinie über elektronische
Signaturen sind auch eine der Leitaktionen, die in der Binnenmarktakte[2] zur Verwirklichung des
digitalen Binnenmarkts vorgesehenen sind. Der Fahrplan für Stabilität und
Wachstum[3]
unterstreicht die Schlüsselrolle, die dem künftigen gemeinsamen Rechtsrahmen
für die gegenseitige Anerkennung und Akzeptierung der elektronischen
Identifizierung und Authentifizierung bei der Entwicklung der digitalen
Wirtschaft zukommt.
Der vorgeschlagene Rechtsrahmen, eine „Verordnung
über die elektronische Identifizierung und Vertrauensdienste für elektronische
Transaktionen im Binnenmarkt“, soll sichere und nahtlose elektronische
Transaktionen zwischen Unternehmen, Bürgern und öffentlichen Verwaltungen
ermöglichen und dadurch die Effektivität öffentlicher und privater
Online-Dienstleistungen, des elektronischen Geschäftsverkehrs und des
elektronischen Handels in der EU erhöhen.
Das bestehende EU-Recht, vor allem die
Richtlinie 1999/93/EG über gemeinschaftliche Rahmenbedingungen für
elektronische Signaturen[4],
regelt im Wesentlichen nur elektronische Signaturen. Es gibt keinen umfassenden
grenz- und sektorenübergreifenden EU-Rahmen für sichere, vertrauenswürdige und
einfach zu nutzende elektronische Transaktionen, der elektronische
Identifizierung, Authentifizierung und Signaturen umfassen würde.
Das Ziel besteht somit darin, die bestehenden
Rechtsvorschriften zu erweitern und die gegenseitige Anerkennung und
Akzeptierung notifizierter elektronischer Identifizierungssysteme und anderer
wichtiger einschlägiger elektronischer Vertrauensdienste auf EU-Ebene zu
regeln.
2.           ERGEBNISSE DER KONSULTATION DER
INTERESSIERTEN KREISE UND DER FOLGENABSCHÄTZUNGEN
Diese Initiative ist das Ergebnis umfassender
Konsultationen der interessierten Kreise zur Überprüfung des derzeitigen
Rechtsrahmens für elektronische Signaturen, in deren Verlauf die Kommission
Stellungnahmen aus den Mitgliedstaaten, aus dem Europäischen Parlament und von
anderen Akteuren einholte[5].
Eine öffentliche Online-Konsultation wurde ergänzt durch eine „KMU-Testgruppe“,
um die besonderen Ansichten und Bedürfnisse der KMU zu ermitteln, sowie durch
zielgerichtete Konsultationen der interessierten Kreise[6],[7]. Außerdem gab die Kommission
eine Reihe von Studien zum Thema „elektronische Identifizierung,
Authentifizierung und Signaturen sowie einschlägige Vertrauensdienste“ (eIAS)
in Auftrag.
Wie bei den Konsultationen deutlich wurde, ist
sich eine breite Mehrheit der Akteure darin einig, dass der derzeitige Rahmen
überarbeitet werden muss, um die von der Richtlinie über elektronische
Signaturen gelassenen Lücken zu schließen. Dies wäre nach allgemeiner
Auffassung nötig, um besser auf die rasante Entwicklung neuer Technologien (vor
allem Online-Technologien und mobile Zugangswege) und die zunehmende
Globalisierung reagieren zu können, ohne die Technologieneutralität des
Rechtsrahmens aufzugeben.
Entsprechend ihrer Strategie für eine bessere
Rechtsetzung hat die Kommission eine Folgenabschätzung zu den in Frage
kommenden Optionen vorgenommen. Geprüft wurden die bestehenden Politikoptionen
unter drei Aspekten, nämlich 1) Anwendungsbereich des neuen Rahmens, 2)
Rechtsinstrument und 3) erforderliche Aufsichtsebene[8]. Die favorisierte Option würde
die Erhöhung der Rechtssicherheit, die verstärkte Koordinierung der nationalen
Aufsicht und die Gewährleistung der gegenseitigen Anerkennung und Akzeptierung
elektronischer Identifizierungssysteme sowie die Einbeziehung wichtiger
einschlägiger Vertrauensdienste bewirken. Die Folgenabschätzung führte zu dem
Ergebnis, dass sich dadurch erhebliche Verbesserungen in Bezug auf
Rechtssicherheit, Sicherheit und Vertrauen bei grenzüberschreitenden
elektronischen Transaktionen erzielen lassen, was eine Verringerung der
Marktfragmentierung zur Folge hätte.
3.           RECHTLICHE ASPEKTE DES VORSCHLAGS
3.1 Rechtsgrundlage
Dieser Vorschlag beruht auf Artikel 114
AEUV, der die Annahme von Vorschriften zur Beseitigung bestehender Hindernisse
für das Funktionieren des Binnenmarkts betrifft. Bürger, Unternehmen, und
Verwaltungen sollen in die Lage versetzt werden, sich die Vorteile der
gegenseitigen Anerkennung und Akzeptierung der elektronischen Identifizierung,
Authentifizierung und Signaturen sowie einschlägiger Vertrauensdienste
grenzüberschreitend zunutze zu machen, wenn dies zur Inanspruchnahme und
Abwicklung elektronischer Verfahren oder Transaktionen erforderlich ist.
Eine Verordnung wird als am besten geeignetes
Rechtsinstrument betrachtet. Aufgrund ihrer unmittelbaren Anwendbarkeit nach
Artikel 288 AEUV trägt sie zur Rechtsvereinheitlichung bei und erhöht die
Rechtssicherheit durch Einführung harmonisierter Kernbestimmungen, die zum
besseren Funktionieren des Binnenmarktes beitragen.
3.2 Subsidiarität und Verhältnismäßigkeit
Bei einem Tätigwerden der EU muss das
Subsidiaritätsprinzip gewahrt sein:
a) Transnationaler Charakter des Problems
(Kriterium der Erforderlichkeit)
Der transnationale Charakter der eIAS
erfordert ein Tätigwerden der EU. Einzelstaatliche (d. h. nationale)
Maßnahmen allein würden weder ausreichen, um die Zielsetzungen zu erfüllen,
noch um die mit der Strategie Europa 2020[9] angestrebten Ziele zu
verwirklichen. Zudem zeigt die Erfahrung, dass nationale Maßnahmen de facto zu
Hindernissen bei der EU-weiten Interoperabilität elektronischer Signaturen
geführt haben, und dass davon derzeit die gleiche Wirkung auf die elektronische
Identifizierung, die elektronische Authentifizierung und einschlägige
Vertrauensdienste ausgeht. Deshalb ist es notwendig, dass die EU einen
grundlegenden Rahmen für die Regelung der grenzübergreifenden Interoperabilität
schafft und nationale Aufsichtssysteme besser koordiniert. Die elektronische
Identifizierung kann in der vorgeschlagenen Verordnung jedoch nicht in der
gleichen allgemeinen Weise geregelt werden wie einschlägige Vertrauensdienste,
weil die Ausstellung von Identifizierungsmitteln in die nationale Zuständigkeit
fällt. Der Vorschlag konzentriert sich daher strikt auf die grenzübergreifenden
Aspekte der elektronischen Identifizierung.
In einem Umfeld, in dem die derzeit
bestehenden Unterschiede im nationalen Recht häufig zu Rechtsunsicherheit und
zusätzlichen Belastungen führen, schafft die vorgeschlagene Verordnung gleiche
Wettbewerbsbedingungen für Unternehmen, die Vertrauensdienste erbringen. Die
Rechtssicherheit wird durch klare Verpflichtungen der Mitgliedstaaten bezüglich
der Akzeptierung qualifizierter Vertrauensdienste beträchtlich erhöht, wodurch
für die Unternehmen zusätzliche Anreize für eine Tätigkeit im Ausland
entstehen. So wird sich beispielsweise ein Unternehmen auf elektronischem Wege
an einer öffentlichen Ausschreibung, die von einer Verwaltung eines anderen
Mitgliedstaats durchgeführt wird, beteiligen können, ohne dass seine elektronische
Signatur wegen besonderer nationaler Anforderungen oder wegen
Interoperabilitätsproblemen blockiert wird. Überdies wird ein Unternehmen so
die Möglichkeit haben, mit einem Geschäftspartner in einen anderen
Mitgliedstaat auf elektronischem Wege Verträge zu schließen, ohne fürchten zu
müssen, dass unterschiedliche rechtliche Anforderungen an Vertrauensdienste wie
elektronische Siegel, elektronische Dokumente oder Zeitstempel zu Problemen
führen. Auch eine Inverzugsetzung wird von einem Mitgliedstaat in einen anderen
mit der Gewissheit ihrer rechtlichen Geltung in beiden Mitgliedstaaten
zugestellt werden. Schließlich wird auch der Online-Handel an
Vertrauenswürdigkeit gewinnen, wenn die Einkäufer über die nötigen Mittel
verfügen, um nachzuprüfen, ob sie tatsächlich die Website des gewünschten
Händlers aufrufen und nicht etwa eine gefälschte Website.
Dank gegenseitiger Anerkennung der
elektronischen Identifizierung und weithin akzeptierter elektronischer
Signaturen wird die grenzüberschreitende Erbringung zahlreicher
Dienstleistungen im Binnenmarkt erleichtert, und die Unternehmen können
grenzüberschreitend tätig werden, ohne beim Zusammenwirkungen mit öffentlichen
Verwaltungen auf Hindernisse zu stoßen. In der Praxis ergeben sich hieraus bei
der Erfüllung von Verwaltungsformalitäten erhebliche Effizienzsteigerungen
sowohl für die Unternehmen als auch für die Bürger. So wird es beispielsweise
möglich, dass sich Studenten auf elektronischem Weg an einer ausländischen
Universität einschreiben, Bürger ihre Steuererklärung online in einem anderen
Mitgliedstaat abgeben oder Patienten online auf ihre Gesundheitsdaten
zugreifen. Ohne gegenseitig anerkannte elektronische Identifizierungsmittel
kann ein Arzt dagegen auf behandlungsrelevante medizinische Daten seiner
Patienten nicht zugreifen, so dass Untersuchungen und Labortests, denen sie
sich bereits unterzogen hatten, erneut durchgeführt werden müssen.
b) Mehrwert (Kriterium der Wirksamkeit)
Die oben dargelegten Ziele werden bislang
durch eine freiwillige Koordinierung unter den Mitgliedstaaten nicht erreicht,
und es ist auch nicht davon auszugehen, dass dies in Zukunft möglich sein wird.
Ein solches Vorgehen führt zu unnötiger Doppelarbeit und unterschiedlichen
Normen, transnationalen Auswirkungen des IKT-Einsatzes und hoher
Verwaltungskomplexität bei einer Koordinierung durch bilaterale und
multilaterale Vereinbarungen.
Zur Überwindung von Problemen wie a) Mangel an
Rechtssicherheit wegen uneinheitlicher nationaler Vorschriften, die auf eine
unterschiedliche Auslegung der Richtlinie über elektronische Signaturen
zurückgehen, und b) Mangel an Interoperabilität der auf nationaler Ebene
bestehenden Systeme für elektronische Signaturen, der auf eine uneinheitliche
Verwendung technischer Standards zurückgeht, ist zudem eine Art der
Koordinierung zwischen den Mitgliedstaaten erforderlich, die auf EU-Ebene
wirkungsvoller erreicht werden kann.
3.3         Erläuterung des Vorschlags im
Einzelnen
3.3.1      KAPITEL I – ALLGEMEINE
BESTIMMUNGEN
Artikel 1 bestimmt den Gegenstand der
Verordnung.
Artikel 2 bestimmt den sachlichen
Anwendungsbereich der Verordnung.
Artikel 3 enthält die Definitionen der in
der Verordnung verwendeten Begriffe. Einige Begriffsbestimmungen stammen aus
der Richtlinie 1999/93/EG, andere werden präzisiert, durch weitere Merkmale
ergänzt oder gänzlich neu eingeführt.
Artikel 4 legt die Binnenmarktgrundsätze
in Bezug auf den räumlichen Anwendungsbereich der Verordnung fest. Es wird
ausdrücklich darauf verwiesen, dass keinerlei Einschränkungen der
Dienstleistungsfreiheit und des freien Verkehrs der Produkte zulässig sind.
3.3.2      KAPITEL II –
ELEKTRONISCHE IDENTIFIZIERUNG
Artikel 5 sieht die gegenseitige
Anerkennung und Akzeptierung elektronischer Identifizierungsmittel vor, die
einem System unterliegen, das der Kommission unter den in der Verordnung
festgelegten Bedingungen notifiziert wurde. Die meisten EU-Mitgliedstaaten
haben in der einen oder anderen Form ein elektronisches Identifizierungssystem
eingeführt. Diese Systeme unterscheiden sich jedoch in vielen Aspekten. Die
fehlende gemeinsame Rechtsgrundlage, die jeden Mitgliedstaat dazu verpflichten
würde, von anderen Mitgliedstaaten ausgestellte elektronische
Identifizierungsmittel für den Zugang zu Online-Diensten anzuerkennen und zu
akzeptieren, wie auch die mangelnde grenzübergreifende Interoperabilität der
nationalen elektronischen Identifizierungssysteme führt zu Hindernissen, die es
den Bürgern und Unternehmen unmöglich machen, die Vorteile des digitalen
Binnenmarkts in vollem Umfang zu nutzen. Durch die gegenseitige Anerkennung und
Akzeptierung aller elektronischen Identifizierungsmittel, die einem gemäß
dieser Verordnung notifizierten System unterliegen, werden diese rechtlichen
Hindernisse beseitigt.
Die Verordnung verpflichtet die
Mitgliedstaaten nicht zur Einführung oder Notifizierung elektronischer
Identifizierungssysteme, sondern zur Anerkennung und Akzeptierung notifizierter
elektronischer Identifizierungen für alle Online-Dienste, bei denen für die
Zugangsgewährung auf nationaler Ebene eine elektronische Identifizierung
erforderlich ist.
Mögliche Größeneinsparungen, die durch eine
grenzübergreifende Nutzung notifizierter elektronischer Identifizierungsmittel
und Authentifizierungssysteme erzielt werden, können den Mitgliedstaaten
Anreize bieten, ihre elektronischen Identifizierungssysteme zu notifizieren.
Artikel 6 enthält die fünf
Voraussetzungen für die Notifizierung elektronischer Identifizierungssysteme:
Die Mitgliedstaaten können jene elektronischen
Identifizierungssysteme notifizieren, die sie nach den eigenen
Rechtsvorschriften selbst akzeptieren, wenn für öffentliche Dienste eine
elektronische Identifizierung erforderlich ist. Eine weitere Voraussetzung ist,
dass die jeweiligen elektronischen Identifizierungsmittel vom notifizierenden
Mitgliedstaat bzw. in seinem Namen oder unter seiner Verantwortlichkeit
ausgestellt werden.
Die Mitgliedstaaten müssen eine eindeutige
Verknüpfung der elektronischen Identifizierungsdaten mit der betreffenden
Person gewährleisten. Das heißt nicht, dass eine Person nicht mehrere
elektronische Identifizierungsmittel haben kann, sondern dass sie alle mit
derselben Person verknüpft sein müssen.
Die Verlässlichkeit einer elektronischen
Identifizierung hängt von der Zugänglichkeit von Authentifizierungsmitteln ab
(d. h. der Möglichkeit, die Gültigkeit der elektronischen
Identifizierungsdaten zu überprüfen). Die Verordnung verpflichtet die
notifizierenden Mitgliedstaaten, kostenlos eine Online-Authentifizierung durch
Dritte zu ermöglichen. Die Authentifizierungsmöglichkeit muss unterbrechungsfrei
zur Verfügung stehen. Den auf eine solche Authentifizierung vertrauenden
Beteiligten können keine bestimmten technischen Vorgaben, z. B. für eine
bestimmte Hardware oder Software, gemacht werden. Dies gilt jedoch nicht für
Anforderungen an die Nutzer (Inhaber) elektronischer Identifizierungsmittel,
soweit diese für die Benutzung der elektronischen Identifizierungsmittel
technisch notwendig sind, z. B. das Vorhandensein von Kartenlesegeräten.
Die Mitgliedstaaten müssen die Haftung für die
Eindeutigkeit der Verknüpfung (d. h. dafür, dass die der Person
zugeordneten Identifizierungsdaten mit keiner anderen Person verknüpft sind)
und für die Authentifizierungsmöglichkeit (d. h. die Möglichkeit, die
Gültigkeit der elektronischen Identifizierungsdaten zu überprüfen) übernehmen.
Die Haftung der Mitgliedstaaten erstreckt sich jedoch nicht auf andere Aspekte
des Identifizierungsprozesses oder auf Transaktionen, die eine Identifizierung
erfordern.
Artikel 7 enthält Bestimmungen über die
Notifizierung elektronischer Identifizierungssysteme bei der Kommission.
Artikel 8 dient der Gewährleistung der
technischen Interoperabilität der notifizierten Identifizierungssysteme mittels
eines Koordinierungsansatzes, der auch delegierte Rechtsakte umfasst.
3.3.3      KAPITEL III –
VERTRAUENSDIENSTE
3.3.3.1 Abschnitt 1 – Allgemeine
Bestimmungen
Artikel 9 enthält die Grundsätze für die
Haftung nicht-qualifizierter und qualifizierter Vertrauensdiensteanbieter. Er
beruht auf Artikel 6 der Richtlinie 1999/93/EG und erweitert den
Schadenersatzanspruch auf den Fall, dass ein fahrlässiger Verstoß eines
Vertrauensdiensteanbieters gegen die bewährte Sicherheitspraxis zu einer
Sicherheitsverletzung mit beträchtlichen Auswirkungen auf den Dienst führt.
Artikel 10 legt das Verfahren für die
Anerkennung und Akzeptierung qualifizierter Vertrauensdienste fest, die von
einem Anbieter mit Sitz in einem Drittland erbracht werden. Er beruht auf
Artikel 7 der Richtlinie 1999/93/EG, übernimmt aber nur die einzig
praktikable Möglichkeit, nämlich die der Anerkennung im Rahmen eines
internationalen Übereinkommens zwischen der Europäischen Union und Drittländern
oder internationalen Organisationen.
Artikel 11 beinhaltet den Grundsatz des
Datenschutzes und der Datenminimierung. Er beruht auf Artikel 8 der
Richtlinie 1999/93/EG.
Artikel 12 macht Vertrauensdienste für
Behinderte zugänglich.
3.3.3.2 Abschnitt 2 – Beaufsichtigung
Artikel 13 verpflichtet die
Mitgliedstaaten zur Einrichtung von Aufsichtsstellen in Anlehnung an
Artikel 3 Absatz 3 der Richtlinie 1999/93/EG; ferner präzisiert und
erweitert er deren Auftrag in Bezug auf Vertrauensdiensteanbieter und
qualifizierte Vertrauensdiensteanbieter.
Artikel 14 führt ein besonderes Verfahren
für die gegenseitige Amtshilfe zwischen den Aufsichtsstellen in den Mitgliedstaaten
ein, um die grenzübergreifende Beaufsichtigung von Vertrauensdiensteanbietern
zu erleichtern. Er enthält auch Vorschriften über gemeinsame Maßnahmen und das
Recht der Aufsichtsstellen, sich an solchen Maßnahmen zu beteiligen.
Artikel 15 führt für qualifizierte und
nicht-qualifizierte Vertrauensdiensteanbieter eine Verpflichtung ein, ihre
Tätigkeiten durch technische und organisatorische Maßnahmen zu sichern. Darüber
hinaus müssen Sicherheitsverletzungen den zuständigen Aufsichtsstellen und anderen
einschlägigen Behörden gemeldet werden. Diese müssen dann gegebenenfalls die
Aufsichtsstellen der anderen Mitgliedstaaten unterrichten und die
Öffentlichkeit entweder direkt oder über den betreffenden
Vertrauensdiensteanbieter informieren.
Artikel 16 legt die Bedingungen für die
Beaufsichtigung qualifizierter Vertrauensdiensteanbieter und von ihnen
erbrachter qualifizierter Vertrauensdienste fest. Er verpflichtet qualifizierte
Vertrauensdiensteanbieter, sich jährlich einer Prüfung (Audit) seitens einer
anerkannten unabhängigen Stelle zu unterziehen, um der Aufsichtsstelle zu
bestätigen, dass sie die in dieser Verordnung festgelegten Pflichten erfüllen.
Außerdem kann die Aufsichtsstelle gemäß Artikel 16 Absatz 2 bei
qualifizierten Vertrauensdiensteanbietern jederzeit Vor-Ort-Prüfungen
durchführen. Die Aufsichtsstelle ist zudem befugt, qualifizierten
Vertrauensdiensteanbietern verbindliche Anweisungen zur angemessenen Behebung
von Pflichtverletzungen zu erteilen, die bei einem Sicherheitsaudit festgestellt
werden.
Artikel 17 betrifft das Vorgehen der
Aufsichtsstelle, nachdem ein Vertrauensdiensteanbieter seine Absicht bekundet
hat, einen qualifizierten Vertrauensdienst anzubieten.
Artikel 18 regelt die Aufstellung von
Vertrauenslisten[10]
mit Angaben über die beaufsichtigten qualifizierten Vertrauensdiensteanbieter
und die von ihnen angebotenen qualifizierten Dienste. Diese Informationen
müssen auf Grundlage einer einheitlichen Vorlage öffentlich zugänglich gemacht
werden, um ihre automatisierte Nutzung zu erleichtern und eine hinreichende
Ausführlichkeit der Angaben zu gewährleisten.
Artikel 19 enthält die Anforderungen, die
qualifizierte Vertrauensdiensteanbieter erfüllen müssen, um als solche
anerkannt zu werden. Er beruht auf Anhang II der Richtlinie 1999/93/EG.
3.3.3.3 Abschnitt 3 – Elektronische
Signaturen
Artikel 20 enthält die Vorschriften über
die Rechtswirkung elektronischer Signaturen natürlicher Personen. Er präzisiert
und erweitert den Artikel 5 der Richtlinie 1999/93/EG durch die Einführung
einer ausdrücklichen Verpflichtung, qualifizierten elektronischen Signaturen
die gleiche Rechtswirkung zuzubilligen wie handschriftlichen Unterschriften.
Darüber hinaus müssen die Mitgliedstaaten dafür sorgen, dass qualifizierte
elektronische Signaturen im Zusammenhang mit der Erbringung öffentlicher
Dienste grenzübergreifend akzeptiert werden, und dürfen keine zusätzlichen
Anforderungen stellen, die den Einsatz solcher Signaturen behindern könnten.
Artikel 21 enthält die Anforderungen an
qualifizierte Signaturzertifikate. Er präzisiert Anhang I der Richtlinie
1999/93/EG und entfernt Bestimmungen, die sich als unpraktikabel erwiesen haben
(z. B. Begrenzung des Transaktionswerts).
Artikel 22 enthält die Anforderungen an
qualifizierte elektronische Signaturerstellungseinheiten. Er präzisiert die
Anforderungen an sichere Signaturerstellungseinheiten in Artikel 3
Absatz 5 der Richtlinie 1999/93/EG, die nun im Rahmen dieser Verordnung
als qualifizierte Signaturerstellungseinheiten gelten. Außerdem wird klargestellt,
dass eine Signaturerstellungseinheit weit mehr sein kann als nur eine
Vorrichtung, die Signaturerstellungsdaten enthält. Ferner kann die Kommission
eine Liste mit Verweisen auf Normen für Sicherheitsanforderungen an
Erstellungseinheiten festlegen.
In Artikel 23 wird aufbauend auf
Artikel 3 Absatz 4 der Richtlinie 1999/93/EG der Begriff der
Zertifizierung qualifizierter elektronischer Signaturerstellungseinheiten
eingeführt, damit überprüft werden kann, ob die Sicherheitsanforderungen in
Anhang II erfüllt sind. Diese Einheiten müssen von allen Mitgliedstaaten
als anforderungsgerecht anerkannt werden, wenn eine von einem Mitgliedstaat
benannte Zertifizierungsstelle ein Zertifizierungsverfahren durchgeführt hat.
Die Kommission wird gemäß Artikel 24 eine Positivliste solcher
zertifizierten Einheiten veröffentlichen. Ferner kann die Kommission eine Liste
mit Verweisen auf Normen für die Sicherheitsbewertung von
informationstechnischen Produkten gemäß Artikel 23 Absatz 1
festlegen.
Artikel 24 betrifft die Veröffentlichung
einer Liste qualifizierter elektronischer Signaturerstellungseinheiten durch
die Kommission im Anschluss an eine entsprechende Notifizierung seitens der
Mitgliedstaaten.
Artikel 25 enthält aufbauend auf den
Empfehlungen in Anhang IV der Richtlinie 1999/93/EG verbindliche
Anforderungen an die Validierung qualifizierter elektronischer Signaturen, um
die Rechtssicherheit einer solchen Validierung zu erhöhen.
Artikel 26 enthält die Bedingungen für
qualifizierte Validierungsdienste.
Artikel 27 legt die Bedingungen für die
Langzeitbewahrung qualifizierter elektronischer Signaturen fest. Möglich ist
diese dank der Anwendung von Verfahren und Technologien, die es ermöglichen,
die Vertrauenswürdigkeit der Validierungsdaten für qualifizierte elektronische
Signaturen über den Zeitraum ihrer technologischen Geltung hinaus zu
verlängern, wenn eine Fälschung für Cyberkriminelle zu einfach zu werden droht.
3.3.3.4 Abschnitt 4 – Elektronische
Siegel
Artikel 28 betrifft die Rechtswirkung
elektronischer Siegel juristischer Personen. Es wird eine besondere rechtliche
Vermutung eingeführt, dass ein qualifiziertes elektronisches Siegel den
Ursprung und die Unversehrtheit der damit verbundenen elektronischen Dokumente
garantiert.
Artikel 29 enthält die Anforderungen an
qualifizierte Zertifikate für elektronische Siegel.
Artikel 30 enthält die Anforderungen an
die Zertifizierung und die Veröffentlichung einer Liste qualifizierter
elektronischer Siegelerstellungseinheiten.
Artikel 31 legt die Bedingungen für die
Validierung und Bewahrung qualifizierter elektronischer Siegel fest.
3.3.3.5   Abschnitt 5 – Elektronische
Zeitstempel
Artikel 32 betrifft die Rechtswirkung
elektronischer Zeitstempel. Es wird eine besondere rechtliche Vermutung
eingeführt, dass qualifizierte elektronische Zeitstempel die Gewissheit des
Zeitpunkts garantieren.
Artikel 33 enthält die Anforderungen an
qualifizierte elektronische Zeitstempel.
3.3.3.6 Abschnitt 6 – Elektronische
Dokumente
Artikel 34 bezieht sich auf die
Rechtswirkung und die Akzeptierungsbedingungen für elektronische Dokumente. Es
besteht eine besondere rechtliche Vermutung der Echtheit und Unversehrtheit
eines elektronischen Dokuments, das mit einer qualifizierten elektronischen
Signatur oder einem qualifizierten elektronischen Siegel versehen ist.
Hinsichtlich der Akzeptierung elektronischer Dokumente müssen die
Mitgliedstaaten, wenn ein Originaldokument oder eine beglaubigte Kopie für die
Erbringung eines öffentlichen Dienstes erforderlich ist, zumindest
elektronische Dokumente akzeptieren, die von Personen ausgestellt sind, welche
für die Ausstellung der entsprechenden Dokumente zuständig sind, die nach dem
Recht des Ursprungsmitgliedstaates als Originale oder beglaubigte Kopien
gelten.
3.3.3.7 Abschnitt 7 – Elektronische
Zustelldienste
Artikel 35 betrifft die Rechtswirkung von
Daten, die mittels eines elektronischen Zustelldienstes abgesendet oder
empfangen wurden. Für qualifizierte elektronische Zustelldienste besteht eine
besondere rechtliche Vermutung der Unversehrtheit der abgesendeten oder empfangenen
Daten und der Korrektheit des Zeitpunkts, zu dem die Daten abgesendet oder
empfangen wurden. Außerdem gewährleistet er auf EU-Ebene die gegenseitige
Anerkennung qualifizierter elektronischer Zustelldienste.
Artikel 36 enthält die Anforderungen an
qualifizierte elektronische Zustelldienste.
3.3.3.8   Abschnitt 8 –
Website-Authentifizierung
Dieser Abschnitt soll sicherstellen, dass die
Echtheit einer Website in Bezug auf den Inhaber der Site garantiert wird.
Artikel 37 enthält die Anforderungen an qualifizierte
Zertifikate für die Website-Authentifizierung, die verwendet werden können, um
die Echtheit einer Website zu garantieren. Ein qualifiziertes Zertifikat für
die Website-Authentifizierung enthält bestimmte vertrauenswürdige
Mindestangaben über die Website und die Rechtspersönlichkeit ihres Inhabers.
3.3.4      KAPITEL IV – DELEGIERTE
RECHTSAKTE
Artikel 38 enthält die
Standardbestimmungen für die Übertragung der Befugnis zum Erlass delegierter
Rechtsakte gemäß Artikel 290 AEUV. Der Gesetzgeber kann der Kommission
demnach die Befugnis übertragen, Rechtsakte ohne Gesetzescharakter mit
allgemeiner Geltung zur Ergänzung oder Änderung bestimmter nicht wesentlicher
Vorschriften eines Gesetzgebungsakts zu erlassen.
3.3.5      KAPITEL V –
DURCHFÜHRUNGSRECHTSAKTE
Artikel 39 regelt das Ausschussverfahren
für die Übertragung von Durchführungsbefugnissen an die Kommission in Fällen,
in denen es nach Artikel 291 AEUV einheitlicher Bedingungen für die
Durchführung verbindlicher Rechtsakte der Union bedarf. Es gilt das Prüfverfahren.
3.3.6      KAPITEL VI –
SCHLUSSBESTIMMUNGEN
Artikel 40 verpflichtet die Kommission
zur Bewertung der Verordnung und zur Vorlage entsprechender Berichte.
Artikel 41 hebt die Richtlinie 1999/93/EG
auf und regelt den reibungslosen Übergang der bestehenden Infrastrukturen für
elektronische Signaturen zu den neuen Anforderungen der Verordnung.
Artikel 42 legt den Zeitpunkt des
Inkrafttretens der Verordnung fest.
4.           AUSWIRKUNGEN AUF DEN HAUSHALT
Die konkreten Auswirkungen des Vorschlags auf
den Haushalt hängen mit den der Europäischen Kommission übertragenen Aufgaben
zusammen und werden im beigefügten Finanzbogen dargelegt. 
Der Vorschlag hat keine Auswirkungen auf die
operativen Ausgaben.
Der Finanzbogen zu diesem Verordnungsvorschlag
gibt Aufschluss über die Haushaltsauswirkungen der Verordnung selbst.
2012/0146 (COD)
Vorschlag für eine
VERORDNUNG DES EUROPÄISCHEN PARLAMENTS
UND DES RATES
über die elektronische Identifizierung und
Vertrauensdienste für elektronische Transaktionen im Binnenmarkt
(Text von Bedeutung für den EWR)
DAS EUROPÄISCHE PARLAMENT UND DER RAT
DER EUROPÄISCHEN UNION –
gestützt auf den Vertrag über die Arbeitsweise
der Europäischen Union, insbesondere auf Artikel 114,
auf Vorschlag der Europäischen Kommission,
nach Zuleitung des Entwurfs des
Gesetzgebungsakts an die nationalen Parlamente,
nach Stellungnahme des Europäischen
Wirtschafts- und Sozialausschusses[11],
nach Anhörung des europäischen
Datenschutzbeauftragten[12],
gemäß dem ordentlichen Gesetzgebungsverfahren,
in Erwägung nachstehender Gründe:
(1)       Die wirtschaftliche
Entwicklung setzt Vertrauen in das Online-Umfeld voraus. Mangelndes Vertrauen
führt dazu, dass Verbraucher, Unternehmen und Verwaltungen nur zögerlich
elektronische Transaktionen durchführen oder neue Dienste einführen bzw. nutzen.
(2)       Diese Verordnung dient der
Stärkung des Vertrauens in elektronische Transaktionen im Binnenmarkt, indem
eine sichere und nahtlose elektronische Interaktion zwischen Unternehmen,
Bürgern und öffentlichen Verwaltungen ermöglicht wird, wodurch die Effektivität
öffentlicher und privater Online-Dienstleistungen, des elektronischen
Geschäftsverkehrs und des elektronischen Handels in der Union erhöht wird.
(3)       Die Richtlinie 1999/93/EG des
Europäischen Parlaments und des Rates über gemeinschaftliche Rahmenbedingungen
für elektronische Signaturen[13]
regelt im Wesentlichen elektronische Signaturen, ohne einen umfassenden grenz-
und sektorenübergreifenden Rahmen für sichere, vertrauenswürdige und einfach zu
nutzende elektronische Transaktionen zu schaffen. Diese Verordnung stärkt und
erweitert die Rechtsvorschriften der Richtlinie.
(4)       In der von der Kommission
vorgelegten Digitalen Agenda für Europa[14]
wurden die Fragmentierung des Binnenmarkts, der Mangel an Interoperabilität und
die Zunahme der Cyberkriminalität als große Hemmnisse für den Erfolgszyklus der
digitalen Wirtschaft benannt. In ihrem Bericht über die Unionsbürgerschaft 2010
betonte die Kommission überdies die Notwendigkeit, die Hauptprobleme zu lösen,
die europäische Bürger davon abhalten, die Vorteile eines digitalen
Binnenmarktes und grenzüberschreitender digitaler Dienste zu nutzen[15].
(5)       Der Europäische Rat forderte
die Kommission zur Schaffung eines digitalen Binnenmarkts bis 2015 auf[16], um durch die Erleichterung
der grenzüberschreitenden Nutzung von Online-Diensten und insbesondere der
sicheren elektronischen Identifizierung und Authentifizierung rasch Forschritte
in Schlüsselbereichen der digitalen Wirtschaft zu erzielen und einen
vollständig integrierten digitalen Binnenmarkt[17]
zu fördern.
(6)       Der Rat forderte die
Kommission auf, zum digitalen Binnenmarkt beizutragen, indem geeignete
Rahmenbedingungen für die grenzüberschreitende gegenseitige Anerkennung der
Grundvoraussetzungen (wie beispielsweise elektronische Identifizierung,
elektronische Dokumente, elektronische Signaturen und elektronische
Zustelldienste) sowie die geeigneten Rahmenbedingungen für interoperable
elektronische Behördendienste in der gesamten Europäischen Union geschaffen
werden[18].
(7)       Das Europäische Parlament
betonte, dass die Sicherheit elektronischer Dienstleistungen – insbesondere
elektronischer Signaturen – wichtig ist und dass auf europäischer Ebene eine
Infrastruktur öffentlicher Schlüssel (PKI – Public Key Infrastructure)
geschaffen werden muss, und forderte die Kommission auf, eine Schnittstelle der
europäischen Validierungsstellen (European Validation Authorities Gateway)
einzurichten, um die grenzüberschreitende Interoperabilität elektronischer
Signaturen zu gewährleisten und die Sicherheit von Transaktionen, die über das
Internet ausgeführt werden, zu erhöhen[19].
(8)       Die Richtlinie 2006/123/EG
des Europäischen Parlaments und des Rates vom 12. Dezember 2006 über
Dienstleistungen im Binnenmarkt[20]
verpflichtet die Mitgliedstaaten zur Einrichtung „einheitlicher Ansprechpartner“,
um sicherzustellen, dass alle Verfahren und Formalitäten, die die Aufnahme oder
die Ausübung einer Dienstleistungstätigkeit betreffen, problemlos aus der Ferne
und elektronisch über den betreffenden einheitlichen Ansprechpartner oder bei
der betreffenden zuständigen Behörde abgewickelt werden können. Viele
Online-Dienste, die über einheitliche Ansprechpartner zugänglich sind,
erfordern eine elektronische Identifizierung, eine elektronische
Authentifizierung und elektronische Signaturen.
(9)       In der Regel können
Diensteanbieter aus einem anderen Mitgliedstaat ihre elektronischen
Identifizierungsmittel für den Zugang zu diesen Diensten nicht verwenden, weil
die nationalen elektronischen Identifizierungssysteme ihres Landes in anderen
Mitgliedstaaten nicht anerkannt und akzeptiert werden. Aufgrund dieses
elektronischen Hindernisses können Diensteanbieter die Vorteile des
Binnenmarktes nicht vollständig ausschöpfen. Dank einer gegenseitig anerkannten
und akzeptierten elektronischen Identifizierung wird die grenzüberschreitende
Erbringung zahlreicher Dienstleistungen im Binnenmarkt erleichtert, und
Unternehmen können grenzüberschreitend tätig werden, ohne beim Zusammenwirken
mit öffentlichen Verwaltungen auf viele Hindernisse zu stoßen.
(10)     Durch die Richtlinie
2011/24/EU des Europäischen Parlaments und des Rates vom 9. März 2011
über die Ausübung der Patientenrechte in der grenzüberschreitenden
Gesundheitsversorgung[21]
wird ein Netzwerk der für elektronische Gesundheitsdienste zuständigen
nationalen Behörden eingerichtet. Im Hinblick auf die Verbesserung der
Sicherheit und Kontinuität der grenzüberschreitenden Gesundheitsversorgung ist
das Netzwerk gehalten, Leitlinien für den grenzüberschreitenden Zugang zu
elektronischen Gesundheitsdaten und ‑diensten aufzustellen und „gemeinsame
Identifizierungs- und Authentifizierungsmaßnahmen“ zu unterstützen, „um
die Übertragbarkeit von Daten in der grenzüberschreitenden
Gesundheitsversorgung zu erleichtern“. Die gegenseitige Anerkennung und
Akzeptierung der elektronischen Identifizierung und Authentifizierung ist der
Schlüssel zur Verwirklichung einer grenzüberschreitenden Gesundheitsversorgung
der europäischen Bürger. Wenn sich Personen im Ausland behandeln lassen wollen,
müssen ihre medizinischen Daten im Behandlungsland zur Verfügung stehen. Dies
setzt einen soliden, sicheren und vertrauenswürdigen Rahmen für die
elektronische Identifizierung voraus.
(11)     Eines der Ziele dieser
Verordnung ist die Beseitigung bestehender Hindernisse bei der
grenzüberschreitenden Verwendung elektronischer Identifizierungsmittel, die in
den Mitgliedstaaten den Zugang zu mindestens einem öffentlichen Dienst
ermöglichen. Diese Verordnung bezweckt keinen Eingriff in die in den
Mitgliedstaaten bestehenden elektronischen Identitätsmanagementsysteme und
zugehörigen Infrastrukturen. Sie soll vielmehr sicherstellen, dass beim Zugang
zu Online-Diensten, die von den Mitgliedstaaten grenzüberschreitend angeboten
werden, eine sichere elektronische Identifizierung und Authentifizierung
möglich ist.
(12)     Den Mitgliedstaaten sollte es
freigestellt bleiben, zwecks elektronischer Identifizierung eigene Mittel für
den Zugang zu Online-Diensten einzuführen oder zu verwenden. Sie sollten auch
selbst entscheiden können, ob sie den Privatsektor in die Bereitstellung
solcher Mittel einbeziehen. Die Mitgliedstaaten sollten nicht verpflichtet
sein, ihre elektronischen Identifizierungssysteme zu notifizieren. Die
Entscheidung, alle, einige oder keines der elektronischen
Identifizierungssysteme zu notifizieren, die auf nationaler Ebene zumindest für
den Zugang zu öffentlichen Online-Diensten oder bestimmten Diensten verwendet
werden, ist Sache der Mitgliedstaaten.
(13)     In der Verordnung müssen
einige Bestimmungen im Hinblick darauf festgelegt werden, welche elektronischen
Identifizierungsmittel akzeptiert werden müssen und wie die Systeme notifiziert
werden sollten. Diese sollen den Mitgliedstaaten helfen, das nötige Vertrauen
in die elektronischen Identifizierungssysteme der anderen zu schöpfen und
elektronische Identifizierungsmittel, die ihren jeweiligen notifizierten
Systemen unterliegen, gegenseitig anzuerkennen und zu akzeptieren. Der
Grundsatz der gegenseitigen Anerkennung und Akzeptierung sollte nur dann
gelten, wenn der notifizierende Mitgliedstaat die Notifizierungsbedingungen
erfüllt und die Notifizierung im Amtsblatt der Europäischen Union
veröffentlicht wurde. Der Zugang zu diesen Online-Diensten und ihre
letztendliche Erbringung gegenüber dem Antragsteller sollten jedoch eng mit dem
Anspruch auf solche Dienstleistungen unter den im nationalen Recht festgelegten
Bedingungen verknüpft sein.
(14)     Die Mitgliedstaaten sollten
selbst entscheiden können, ob sie den Privatsektor in die Ausstellung
elektronischer Identifizierungsmittel einbeziehen und dem Privatsektor zu Identifizierungszwecken
die Verwendung elektronischer Identifizierungsmittel im Rahmen eines
notifizierten Systems erlauben, wenn dies für Online-Dienste oder elektronische
Transaktionen nötig ist. Durch die Möglichkeit der Verwendung solcher
elektronischen Identifizierungsmittel könnte sich der Privatsektor auf eine
elektronische Identifizierung und Authentifizierung stützen, die in vielen
Mitgliedstaaten zumindest bei öffentlichen Diensten schon weit verbreitet ist,
und er könnte den Unternehmen und Bürgern den grenzüberschreitenden Zugang zu
seinen Online-Dienstleistungen erleichtern. Um die grenzüberschreitende
Verwendung solcher elektronischen Identifizierungsmittel durch den Privatsektor
zu erleichtern, sollten die von den Mitgliedstaaten bereitgestellten
Authentifizierungsmöglichkeiten den vertrauenden Beteiligten ohne
Diskriminierung zwischen öffentlichem und privatem Sektor zur Verfügung stehen.
(15)     Für die grenzüberschreitende
Verwendung elektronischer Identifizierungsmittel im Rahmen eines notifizierten
Systems müssen die Mitgliedstaaten bei der Herstellung der technischen
Interoperabilität zusammenarbeiten. Dies schließt besondere nationale
technische Vorschriften aus, wonach ausländische Beteiligte beispielsweise eine
bestimmte Hardware oder Software zur Überprüfung oder Validierung der
notifizierten elektronischen Identifizierung beschaffen müssten. Technische
Anforderungen an die Nutzer, die sich zwangsläufig aus der Spezifikation der
verwendeten Token (z. B. Chipkarten) ergeben, sind dagegen unvermeidbar.
(16)     Die Zusammenarbeit der
Mitgliedstaaten sollte der technischen Interoperabilität der notifizierten
elektronischen Identifizierungssysteme im Hinblick auf die Förderung eines
hohen Maßes an Vertrauen und Sicherheit, das der Höhe des Risikos angemessen
ist, dienen. Der Informationsaustausch und die Verbreitung bester Praktiken
zwischen den Mitgliedstaaten im Hinblick auf ihre gegenseitige Anerkennung
sollten bei dieser Zusammenarbeit hilfreich sein.
(17)     Ferner sollte diese Verordnung
einen allgemeinen Rechtsrahmen für die Verwendung elektronischer
Vertrauensdienste schaffen. Sie sollte aber keine allgemeine Verpflichtung zu
deren Verwendung einführen. Insbesondere sollte sie keine Anwendung auf
elektronische Vertrauensdienste finden, die aufgrund freiwilliger
privatrechtlicher Vereinbarungen erbracht werden. Ferner sollte sie keine
Aspekte im Zusammenhang mit dem Abschluss und der Gültigkeit von Verträgen oder
anderen rechtlichen Verpflichtungen behandeln, für die nach nationalem Recht
oder Unionsrecht Formvorschriften zu erfüllen sind.
(18)     Um die allgemeine
grenzüberschreitende Verwendung elektronischer Vertrauensdienste zu fördern,
sollte es in allen Mitgliedstaaten möglich sein, diese in Gerichtsverfahren als
Beweismittel zu verwenden.
(19)     Den Mitgliedstaaten sollte es
freistehen, auch andere Arten von Vertrauensdiensten zusätzlich zu jenen
festzulegen, die auf der in dieser Verordnung vorgesehenen abschließenden Liste
der Vertrauensdienste stehen, um diese auf nationaler Ebene als qualifizierte
Vertrauensdienste anzuerkennen.
(20)     Angesichts des Tempos der
technologischen Veränderungen sollte diese Verordnung einen für Innovationen
offenen Ansatz verfolgen.
(21)     Diese Verordnung sollte
technologieneutral sein. Die von ihr ausgehenden Rechtswirkungen sollten mit
allen technischen Mitteln erreicht werden können, sofern dadurch die
Anforderungen dieser Verordnung erfüllt werden.
(22)     Zur Stärkung des Vertrauens
der Bürger in den Binnenmarkt und zur Förderung der Verwendung von
Vertrauensdiensten und ‑produkten sollten die Begriffe „qualifizierter
Vertrauensdienst“ und „qualifizierter Vertrauensdiensteanbieter“ eingeführt
werden, um Anforderungen und Pflichten festzulegen, die sicherstellen, dass bei
der Benutzung oder Bereitstellung aller qualifizierten Vertrauensdienste und ‑produkte
ein hohes Sicherheitsniveau herrscht.
(23)     Im Einklang mit den
Verpflichtungen aus dem in der EU in Kraft getretenen Übereinkommen der
Vereinten Nationen über die Rechte von Menschen mit Behinderungen sollten
behinderte Menschen in der Lage sein, Vertrauensdienste und zur Erbringung
solcher Dienste verwendete Endnutzerprodukte gleichberechtigt mit anderen
Verbrauchern zu benutzen.
(24)     Ein Vertrauensdiensteanbieter
ist für die Verarbeitung personenbezogener Daten verantwortlich und muss daher
den Verpflichtungen nachkommen, die in der Richtlinie 95/46/EG des Europäischen
Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher
Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr[22] festgelegt sind. Insbesondere
sollten unter Berücksichtigung des Zwecks der erbrachten Dienstleistung so
wenig Daten wie möglich erfasst werden.
(25)     Aufsichtsstellen und
Datenschutzbehörden sollten zusammenarbeiten und Informationen austauschen, um
dafür zu sorgen, dass die Datenschutzvorschriften von den Diensteanbietern
ordnungsgemäß angewandt werden. Der Informationsaustausch sollte sich
insbesondere auf Sicherheitsverletzungen und auf Verletzungen des Schutzes
personenbezogener Daten erstrecken.
(26)     Alle Vertrauensdiensteanbieter
sollten gehalten sein, eine gute, den aus ihrer Tätigkeit erwachsenden Risiken
angemessene Sicherheitspraxis anzuwenden und dadurch das Vertrauen der Benutzer
in den Binnenmarkt zu erhöhen.
(27)     Bestimmungen über die Benutzung
von Pseudonymen in Zertifikaten sollten die Mitgliedstaaten nicht daran
hindern, eine Identifizierung der Personen nach Unionsrecht oder nationalem
Recht zu verlangen.
(28)     Alle Mitgliedstaaten sollten
gemeinsame wesentliche Aufsichtsanforderungen anwenden, damit bei
qualifizierten Vertrauensdiensten überall ein vergleichbares Sicherheitsniveau
besteht. Um die einheitliche Anwendung dieser Anforderungen in der gesamten
Union zu erleichtern, sollten die Mitgliedstaaten vergleichbare Verfahren
schaffen und Informationen über ihre Aufsichtstätigkeit und beste Praktiken auf
diesem Gebiet austauschen.
(29)     Das Melden von
Sicherheitsverletzungen und Sicherheitsrisikoabschätzungen ist wichtig im
Hinblick auf die Übermittlung angemessener Informationen an die Betroffenen im
Fall einer Sicherheitsverletzung oder eines Integritätsverlustes.
(30)     Damit die Kommission und die
Mitgliedstaaten die Wirksamkeit der durch diese Verordnung eingeführten
Meldeverfahren für Sicherheitsverletzungen beurteilen können, sollten die
Aufsichtsstellen der Kommission und der Europäischen Agentur für Netz- und
Informationssicherheit (ENISA) zusammengefasste Informationen hierüber
übermitteln.
(31)     Damit die Kommission und die
Mitgliedstaaten die Auswirkungen dieser Verordnung beurteilen können, sollten
die Aufsichtsstellen dazu verpflichtet werden, Statistiken über qualifizierte
Vertrauensdienste und deren Verwendung zu übermitteln.
(32)     Damit die Kommission und die
Mitgliedstaaten die Wirksamkeit der durch diese Verordnung eingeführten erweiterten
Aufsichtsmechanismen beurteilen können, sollten die Aufsichtsstellen
verpflichtet werden, über ihre Tätigkeit zu berichten. Dies wäre von größter
Bedeutung für die Erleichterung des Austauschs guter Praktiken zwischen den
Aufsichtsstellen und würde es ermöglichen, die einheitliche und effiziente
Umsetzung der wesentlichen Aufsichtsanforderungen in allen Mitgliedstaaten zu
überprüfen.
(33)     Zur Gewährleistung der
Tragfähigkeit und Dauerhaftigkeit qualifizierter Vertrauensdienste und zur
Stärkung des Vertrauens der Benutzer in die Kontinuität qualifizierter
Vertrauensdienste sollten die Aufsichtsstellen gewährleisten, dass die Daten
der qualifizierten Vertrauensdiensteanbieter selbst dann für einen angemessenen
Zeitraum bewahrt werden und zugänglich bleiben, wenn ein qualifizierter
Vertrauensdiensteanbieter seine Tätigkeit einstellt.
(34)     Um die Beaufsichtigung
qualifizierter Vertrauensdiensteanbieter zu erleichtern, wenn beispielsweise
ein Anbieter seine Dienste in einem anderen Mitgliedstaat erbringt, in dem er
keiner Aufsicht unterliegt, oder wenn sich die Rechner eines Anbieters in einem
anderen Mitgliedstaat als dem seiner Niederlassung befinden, sollte ein System
der gegenseitigen Amtshilfe zwischen den Aufsichtsstellen der Mitgliedstaaten
eingerichtet werden.
(35)     Die Vertrauensdiensteanbieter
sind dafür verantwortlich, dass sie die Anforderungen dieser Verordnung an die
Erbringung von Vertrauensdiensten, insbesondere von qualifizierten
Vertrauensdiensten, erfüllen. Die Aufsichtsstellen haben die Aufgabe zu
beaufsichtigen, wie die Vertrauensdiensteanbieter diese Anforderungen erfüllen.
(36)     Im Hinblick auf eine
effiziente Einleitung des Verfahrens zur Aufnahme qualifizierter
Vertrauensdiensteanbieter und von ihnen erbrachter qualifizierter Vertrauensdienste
in die Vertrauenslisten sollte bereits im Vorfeld ein Zusammenwirken möglicher
künftiger qualifizierter Vertrauensdiensteanbieter mit der zuständigen
Aufsichtsstelle gefördert werden, um einen zügigen Verfahrensablauf zu
erleichtern, der zur Erbringung qualifizierter Vertrauensdienste führt.
(37)     Vertrauenslisten sind ein
wesentliches Element für die Schaffung von Vertrauen unter den
Marktteilnehmern, denn sie geben Auskunft über den Qualifikationsstatus des
Vertrauensdiensteanbieters zum Zeitpunkt der Beaufsichtigung; sie sind aber
keine Voraussetzung, um den Qualifikationsstatus zu erlangen und qualifizierte
Vertrauensdienste zu erbringen, denn dies ergibt sich aus der Einhaltung der
Anforderungen dieser Verordnung.
(38)     Sobald ein qualifizierter
Vertrauensdienst notifiziert worden ist, darf er bei der Abwicklung eines
Verwaltungsverfahrens oder der Erfüllung einer Formalität von der betroffenen
öffentlichen Stelle nicht deshalb abgelehnt werden, weil er nicht auf den von
den Mitgliedstaaten geführten Vertrauenslisten steht. Mit öffentlicher Stelle
ist hier eine öffentliche Verwaltung oder Behörde gemeint, die mit der
Erbringung elektronischer Behördendienste beauftragt ist, z. B.
Online-Steuererklärung, Beantragung von Geburtsurkunden, Teilnahme an
öffentlichen Vergabeverfahren usw.
(39)     Zur Gewährleistung der
gegenseitigen Anerkennung elektronischer Signaturen ist zwar ein hohes
Sicherheitsniveau erforderlich, dennoch sollten in bestimmten Fällen wie im
Zusammenhang mit der Entscheidung 2009/767/EG der Kommission vom
16. Oktober 2009 über Maßnahmen zur Erleichterung der Nutzung
elektronischer Verfahren über „einheitliche Ansprechpartner“ gemäß der
Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates über
Dienstleistungen im Binnenmarkt[23]
auch elektronische Signaturen akzeptiert werden, die ein niedrigeres
Sicherheitsniveau aufweisen.
(40)     Es sollte dem Unterzeichner
möglich sein, qualifizierte elektronische Signaturerstellungseinheiten einem
Dritten zur Pflege anzuvertrauen, sofern angemessene Mechanismen und Verfahren
bestehen, die sicherstellen, dass der Unterzeichner die alleinige Kontrolle
über die Verwendung seiner eigenen elektronischen Signaturerstellungsdaten hat
und bei der Verwendung der Einheit die Anforderungen an qualifizierte
Signaturen erfüllt werden.
(41)     Um Rechtssicherheit bezüglich
der Gültigkeit der Signatur zu schaffen, muss vorgegeben werden, welche
Bestandteile einer qualifizierten elektronischen Signatur von dem vertrauenden
Beteiligten, der die Validierung durchführt, überprüft werden müssen. Ferner
dürften durch die Festlegung der Anforderungen an qualifizierte
Vertrauensdiensteanbieter, die einen qualifizierten Validierungsdienst für
vertrauende Dritte erbringen können, welche nicht willens oder in der Lage sind,
qualifizierte elektronische Signaturen selbst zu validieren, für den privaten
oder öffentlichen Sektor Anreize zu Investitionen in solche Dienste entstehen.
Beide Elemente dürften die Validierung qualifizierter elektronischer Signaturen
auf Unionsebene für alle Beteiligten einfach und bequem machen.
(42)     Erfordert eine Transaktion ein
qualifiziertes elektronisches Siegel einer juristischen Person, so sollte eine
qualifizierte elektronische Signatur eines befugten Vertreters der juristischen
Person ebenfalls akzeptabel sein.
(43)     Elektronische Siegel sollten
als Beweis dafür dienen, dass ein elektronisches Dokument von einer
juristischen Person ausgestellt wurde, und den Ursprung und die Unversehrtheit
des Dokuments garantieren.
(44)     Diese Verordnung sollte die
Langzeitbewahrung von Informationen gewährleisten, d. h. die rechtliche
Gültigkeit elektronischer Signaturen und elektronischer Siegel über lange
Zeiträume, damit sichergestellt ist, dass diese ungeachtet künftiger
technologischer Veränderungen noch validiert werden können.
(45)     Um die grenzüberschreitende
Verwendung elektronischer Dokumente zu fördern, sollte diese Verordnung die
Rechtswirkung elektronischer Dokumente so regeln, dass elektronischen
Dokumenten vorbehaltlich der Risikoabschätzung und der Gewährleistung ihrer
Echtheit und Unversehrtheit die gleiche Rechtswirkung wie Papierdokumenten
zuerkannt wird. Ferner ist es für die weitere Entwicklung grenzüberschreitender
Transaktionen im Binnenmarkt wichtig, dass elektronische Originaldokumente oder
beglaubigte Kopien, die von zuständigen Stellen eines Mitgliedstaats gemäß
ihrem nationalen Recht ausgestellt werden, auch in anderen Mitgliedstaaten als
solche akzeptiert werden. Diese Verordnung sollte nicht das Recht der
Mitgliedstaaten berühren, selbst zu bestimmen, was auf nationaler Ebene ein
Original oder eine Kopie ist, sondern sicherstellen, dass diese Dokumente als
solche grenzüberschreitend verwendet werden können.
(46)     Da zuständige Behörden in den
Mitgliedstaaten derzeit zur elektronischen Unterzeichnung ihrer Dokumente
unterschiedliche Formate fortgeschrittener elektronischer Signaturen verwenden,
muss dafür gesorgt werden, dass die Mitgliedstaaten beim Empfang elektronisch
unterzeichneter Dokumente zumindest eine gewisse Anzahl von Formaten fortgeschrittener
elektronischer Signaturen technisch unterstützen können. Wenn zuständige
Behörden in den Mitgliedstaaten fortgeschrittene elektronische Siegel
verwenden, müsste ebenfalls dafür gesorgt werden, dass die Mitgliedstaaten eine
gewisse Anzahl von Formaten fortgeschrittener elektronischer Siegel
unterstützen.
(47)     Zusätzlich zur
Authentifizierung eines von einer juristischen Person ausgestellten Dokuments
können elektronische Siegel auch verwendet werden, um digitale
Besitzgegenstände der juristischen Person wie z. B. Software-Code oder
Server zu authentifizieren.
(48)     Durch die Möglichkeit,
Websites und deren Besitzer zu authentifizieren, würde das Fälschen von
Websites und damit Betrug erschwert.
(49)     Im Hinblick auf eine flexible
und zügige Vervollständigung bestimmter technischer Einzelaspekte dieser
Verordnung sollte der Kommission für bestimmte Angelegenheiten die Befugnis
übertragen werden, gemäß Artikel 290 des Vertrags über die Arbeitsweise
der Europäischen Union Rechtsakte in Bezug auf Folgendes zu erlassen:
Interoperabilität der elektronischen Identifizierung; von
Vertrauensdiensteanbietern zu treffende Sicherheitsmaßnahmen; anerkannte
unabhängige Stellen, die für die Überprüfung der Diensteanbieter zuständig
sind; Vertrauenslisten; Anforderungen in Bezug auf die Sicherheitsniveaus
elektronischer Signaturen; Anforderungen an qualifizierte Zertifikate für
elektronische Signaturen, ihre Validierung und Bewahrung; Stellen, die für die
Zertifizierung qualifizierter elektronischer Signaturerstellungseinheiten
zuständig sind; Anforderungen in Bezug auf die Sicherheitsniveaus
elektronischer Siegel und qualifizierter Zertifikate für elektronische Siegel;
Interoperabilität zwischen Zustelldiensten. Es ist von besonderer Bedeutung,
dass die Kommission im Zuge ihrer Vorbereitungsarbeit angemessene
Konsultationen, auch auf der Ebene von Sachverständigen, durchführt.
(50)     Bei der Vorbereitung und
Ausarbeitung delegierter Rechtsakte sollte die Kommission dafür sorgen, dass
die einschlägigen Dokumente dem Europäischen Parlament und dem Rat
gleichzeitig, rechtzeitig und auf angemessene Weise übermittelt werden.
(51)     Zur Gewährleistung
einheitlicher Bedingungen für die Durchführung dieser Verordnung sollten der
Kommission Durchführungsbefugnisse übertragen werden, damit sie insbesondere
Verweise auf Normen festlegen kann, deren Einhaltung die Vermutung begründet,
dass bestimmte Anforderungen, die in dieser Verordnung oder in delegierten
Rechtsakten festgelegt sind, erfüllt werden. Diese Befugnisse sollten nach
Maßgabe der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und
des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln
und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der
Durchführungsbefugnisse durch die Kommission kontrollieren[24], ausgeübt werden.
(52)     Aus Gründen der
Rechtssicherheit und Klarheit sollte die Richtlinie 1999/93/EG aufgehoben
werden.
(53)     Zur Gewährleistung der
Rechtssicherheit für Marktteilnehmer, die bereits qualifizierte Zertifikate
verwenden, welche gemäß der Richtlinie 1999/93/EG ausgestellt wurden, ist es
notwendig, einen ausreichenden Übergangszeitraum vorzusehen. Ferner ist es
notwendig, der Kommission vor diesem Termin die Mittel zum Erlass der
Durchführungsrechtsakte und delegierten Rechtsakte zur Verfügung zu stellen.
(54)     Da die Ziele dieser Verordnung
von den Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern
unter Berücksichtigung des Umfangs der Maßnahmen besser auf Unionsebene zu
verwirklichen sind, kann die Union im Einklang mit dem in Artikel 5 des
Vertrags über die Europäische Union niedergelegten Subsidiaritätsprinzip tätig
werden. Entsprechend dem in demselben Artikel genannten Grundsatz der
Verhältnismäßigkeit geht diese Verordnung insbesondere im Hinblick auf die Rolle
der Kommission als Koordinator der nationalen Maßnahmen nicht über das zur
Erreichung dieses Ziels erforderliche Maß hinaus –
HABEN FOLGENDE VERORDNUNG ERLASSEN:
KAPITEL I
ALLGEMEINE
BESTIMMUNGEN
Artikel 1
Gegenstand
(1) Diese
Verordnung enthält Vorschriften über die elektronische Identifizierung und
elektronische Vertrauensdienste für elektronische Transaktionen, um das
reibungslose Funktionieren des Binnenmarktes zu gewährleisten.
(2) Diese Verordnung legt die Bedingungen
fest, unter denen die Mitgliedstaaten elektronische Identifizierungsmittel
natürlicher und juristischer Personen, die einem notifizierten elektronischen
Identifizierungssystem eines anderen Mitgliedstaats unterliegen, anerkennen und
akzeptieren.
(3) Diese Verordnung legt einen Rechtsrahmen für
elektronische Signaturen, elektronische Siegel, elektronische Zeitstempel,
elektronische Dokumente, elektronische Zustelldienste und die
Website-Authentifizierung fest.
(4) Diese Verordnung gewährleistet, dass
Vertrauensdienste und Produkte, die dieser Verordnung entsprechen, frei im
Binnenmarkt verkehren können.
Artikel 2
Anwendungsbereich
(1) Diese Verordnung gilt für die von den
Mitgliedstaaten, in deren Namen oder unter deren Verantwortung bereitgestellte
elektronische Identifizierung und für in der Union niedergelassene
Vertrauensdiensteanbieter.
(2) Diese Verordnung findet keine Anwendung
auf elektronische Vertrauensdienste, die aufgrund freiwilliger
privatrechtlicher Vereinbarungen erbracht werden.
(3) Diese Verordnung findet keine Anwendung
auf Aspekte im Zusammenhang mit dem Abschluss und der Gültigkeit von Verträgen
oder anderen rechtlichen Verpflichtungen, für die nach nationalem Recht oder
Unionsrecht Formvorschriften zu erfüllen sind.
Artikel 3
Begriffsbestimmungen
Für die Zwecke dieser Verordnung gelten die
folgenden Begriffsbestimmungen:
(1) „elektronische Identifizierung“ ist der
Prozess der Verwendung von Personenidentifizierungsdaten, die in elektronischer
Form eine natürliche oder juristische Person eindeutig repräsentieren;
(2) „elektronisches Identifizierungsmittel“ ist
eine materielle oder immaterielle Einheit, die die in Absatz 1 genannten
Daten enthält und verwendet wird, um Zugang zu den in Artikel 5 genannten
Online-Diensten zu erhalten;
(3) „elektronisches Identifizierungssystem“
ist ein System für die elektronische Identifizierung, in dessen Rahmen den in
Absatz 1 genannten Personen elektronische Identifizierungsmittel
ausgestellt werden;
(4) „Authentifizierung“ ist ein elektronischer
Prozess, der die Validierung der elektronischen Identifizierung einer
natürlichen oder juristischen Person oder die Validierung des Ursprungs und der
Unversehrtheit elektronischer Daten ermöglicht;
(5) „Unterzeichner“ ist eine natürliche Person,
die eine elektronische Signatur erstellt;
(6) „elektronische Signatur“ sind Daten in
elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch
mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen
verwendet;
(7) „fortgeschrittene elektronische Signatur“
ist eine elektronische Signatur, die folgende Anforderungen erfüllt:
a)           sie ist ausschließlich dem
Unterzeichner zugeordnet;
b)           sie ermöglicht die Identifizierung
des Unterzeichners;
c)           sie wird unter Verwendung
elektronischer Signaturerstellungsdaten erstellt, die der Unterzeichner mit
einem hohen Maß an Vertrauen unter seiner alleinigen Kontrolle verwenden kann;
d)           sie ist so mit den Daten, auf die
sie sich bezieht, verbunden, dass eine nachträgliche Veränderung der Daten
erkannt werden kann;
(8) „qualifizierte elektronische Signatur“ ist
eine fortgeschrittene elektronische Signatur, die von einer qualifizierten
elektronischen Signaturerstellungseinheit erstellt wurde und auf einem
qualifizierten Zertifikat für elektronische Signaturen beruht;
(9) „elektronische Signaturerstellungsdaten“
sind eindeutige Daten, die vom Unterzeichner zum Erstellen einer elektronischen
Signatur verwendet werden;
(10) „Zertifikat“ ist eine elektronische
Bescheinigung, die elektronische Signaturvalidierungsdaten bzw. elektronische
Siegelvalidierungsdaten mit einer natürlichen bzw. juristischen Person
verknüpft und die Daten dieser Person bestätigt;
(11) „qualifiziertes Zertifikat für
elektronische Signaturen“ ist eine von einem qualifizierten
Vertrauensdiensteanbieter ausgestellte Bescheinigung, die elektronische
Signaturen unterstützt und die Anforderungen des Anhangs I erfüllt;
(12) „Vertrauensdienst“ ist ein elektronischer
Dienst, der die Erstellung, Überprüfung, Validierung, Handhabung und Bewahrung
elektronischer Signaturen, elektronischer Siegel, elektronischer Zeitstempel,
elektronischer Dokumente, elektronischer Zustelldienste, der
Website-Authentifizierung und elektronischer Zertifikate einschließlich der
Zertifikate für elektronische Signaturen und elektronische Siegel beinhaltet;
(13) „qualifizierter Vertrauensdienst“ ist ein
Vertrauensdienst, der die einschlägigen Anforderungen dieser Verordnung
erfüllt;
(14) „Vertrauensdiensteanbieter“ ist eine
natürliche oder juristische Person, die einen oder mehrere Vertrauensdienste
erbringt;
(15) „qualifizierter Vertrauensdiensteanbieter“
ist ein Vertrauensdiensteanbieter, der die Anforderungen dieser Verordnung
erfüllt;
(16) „Produkt“ bezeichnet Hardware oder Software
bzw. deren spezifische Komponenten, die zur Erbringung von Vertrauensdiensten bestimmt
sind;
(17) „elektronische Signaturerstellungseinheit“
ist eine konfigurierte Software oder Hardware, die zum Erstellen einer
elektronischen Signatur verwendet wird;
(18) „qualifizierte elektronische
Signaturerstellungseinheit“ ist eine elektronische Signaturerstellungseinheit,
die die Anforderungen des Anhangs II erfüllt;
(19) „Siegelersteller“ ist eine juristische
Person, die ein elektronisches Siegel erstellt;
(20) „elektronisches Siegel“ sind Daten in
elektronischer Form, die anderen elektronischen Daten beifügt oder logisch mit
ihnen verbunden werden, um den Ursprung und die Unversehrtheit der damit
verbundenen elektronischen Daten sicherzustellen;
(21) „fortgeschrittenes elektronisches Siegel“
ist ein elektronisches Siegel, das folgende Anforderungen erfüllt:
a)           es ist ausschließlich dem
Siegelersteller zugeordnet;
b)           es ermöglicht die Identifizierung
des Siegelerstellers;
c)           es wird unter Verwendung von
elektronischen Siegelerstellungsdaten erstellt, die der Siegelersteller mit
einem hohen Maß an Vertrauen unter seiner Kontrolle zum Erstellen
elektronischer Siegel verwenden kann;
d)           es ist so mit den Daten, auf die es
sich bezieht, verbunden, dass eine nachträgliche Veränderung der Daten erkannt
werden kann;
(22) „qualifiziertes elektronisches Siegel“ ist
ein fortgeschrittenes elektronisches Siegel, das von einer qualifizierten
elektronischen Siegelerstellungseinheit erstellt wird und auf einem
qualifizierten Zertifikat für elektronische Siegel beruht;
(23) „elektronische Siegelerstellungsdaten“ sind
eindeutige Daten, die vom Siegelersteller zum Erstellen eines elektronischen
Siegels verwendet werden;
(24) „qualifiziertes Zertifikat für
elektronische Siegel“ ist eine von einem qualifizierten
Vertrauensdiensteanbieter ausgestellte Bescheinigung, die ein elektronisches
Siegel unterstützt und die Anforderungen des Anhangs III erfüllt;
(25)
„elektronischer Zeitstempel“ sind Daten in elektronischer Form, die andere
elektronische Daten mit einem bestimmten Zeitpunkt verknüpfen und dadurch den
Nachweis erbringen, dass diese Daten zu diesem Zeitpunkt vorhanden waren;
(26)
„qualifizierter elektronischer Zeitstempel“ ist ein elektronischer Zeitstempel,
der die Anforderungen des Artikels 33 erfüllt;
(27) „elektronisches Dokument“ ist ein in
beliebiger elektronischer Form vorliegendes Dokument;
(28) „elektronischer Zustelldienst“ ist ein
Dienst, der die Übermittlung von Daten mit elektronischen Mitteln ermöglicht
und einen Nachweis der Handhabung der übermittelten Daten erbringt, darunter
den Nachweis der Absendung und des Empfangs der Daten, und der die übertragenen
Daten vor Verlust, Diebstahl, Beschädigung oder unbefugter Veränderung schützt;
(29) „qualifizierter elektronischer
Zustelldienst“ ist ein elektronischer Zustelldienst, der die Anforderungen des
Artikels 36 erfüllt;
(30) „qualifiziertes Zertifikat für die
Website-Authentifizierung“ ist ein von einem qualifizierten
Vertrauensdiensteanbieter ausgestelltes Zertifikat, das die Authentifizierung
einer Website ermöglicht, die Website mit der Person verknüpft, der das
Zertifikat ausgestellt wurde, und die Anforderungen des Anhangs IV
erfüllt;
(31) „Validierungsdaten“ sind Daten, die zur
Validierung einer elektronischen Signatur oder eines elektronisches Siegels
verwendet werden.
Artikel 4
Binnenmarktgrundsatz
(1) Die Erbringung von Vertrauensdiensten im
Gebiet eines Mitgliedstaats durch einen in einem anderen Mitgliedstaat
niedergelassenen Vertrauensdiensteanbieter unterliegt keinen Beschränkungen aus
Gründen, die in den Anwendungsbereich dieser Verordnung fallen.
(2) Produkte, die dieser Verordnung
entsprechen, dürfen im Binnenmarkt frei verkehren.
KAPITEL II
ELEKTRONISCHE
IDENTIFIZIERUNG
Artikel 5
Gegenseitige
Anerkennung und Akzeptierung
Ist für den Zugang zu einem Online-Dienst nach
nationalem Recht oder nationaler Verwaltungspraxis eine elektronische
Identifizierung mit einem elektronischen Identifizierungsmittel und mit
Authentifizierung erforderlich, wird für die Gewährung des Zugangs zu diesem
Dienst jedes in einem anderen Mitgliedstaat ausgestellte elektronische
Identifizierungsmittel anerkannt und akzeptiert, das einem System unterliegt,
das auf der Liste steht, die von der Kommission nach dem Verfahren des
Artikels 7 veröffentlicht wird.
Artikel 6
Bedingungen
für die Notifizierung elektronischer Identifizierungssysteme
(1) Elektronische Identifizierungssysteme können
nach Artikel 7 notifiziert werden, wenn folgende Bedingungen erfüllt sind:
a)           die elektronischen
Identifizierungsmittel werden vom notifizierenden Mitgliedstaat, in dessen
Namen oder unter dessen Verantwortung ausgestellt;
b)           die elektronischen
Identifizierungsmittel können im notifizierenden Mitgliedstaat zumindest für
den Zugang zu öffentlichen Diensten verwendet werden, für die eine
elektronische Identifizierung erforderlich ist;
c)           der notifizierende Mitgliedstaat
stellt sicher, dass die Personenidentifizierungsdaten der in Artikel 3
Absatz 1 genannten natürlichen oder juristischen Person eindeutig
zugeordnet sind;
d)           der notifizierende Mitgliedstaat
stellt sicher, dass jederzeit kostenlos eine Authentifizierungsmöglichkeit
online zur Verfügung steht, damit vertrauende Beteiligte die in elektronischer
Form empfangenen Personenidentifizierungsdaten validieren können. Die
Mitgliedstaaten machen vertrauenden Beteiligten, die außerhalb ihres jeweiligen
Hoheitsgebiets niedergelassen sind und eine solche Authentifizierung vornehmen
wollen, keine bestimmten technischen Vorgaben. Ist das notifizierte
Identifizierungssystem oder die notifizierte Authentifizierungsmöglichkeit
verletzt worden oder teilweise beeinträchtigt, setzt der jeweilige
Mitgliedstaat das notifizierte Identifizierungssystem oder die notifizierte
Authentifizierungsmöglichkeit oder deren beeinträchtigte Teile unverzüglich aus
bzw. widerruft sie und unterrichtet hiervon die anderen Mitgliedstaaten und die
Kommission im Einklang mit Artikel 7;
e)           der notifizierende Mitgliedstaat
haftet für
i)       die eindeutige Zuordnung der in
Buchstabe c genannten Personenidentifizierungsdaten und
ii)       die in Buchstabe d genannte
Authentifizierungsmöglichkeit.
(2) Absatz 1 Buchstabe e berührt
nicht die Haftung der Beteiligten an einer Transaktion, bei der auf
elektronische Identifizierungsmittel zurückgegriffen wird, die dem
notifizierten System unterliegen.
Artikel 7
Notifizierung
(1) Mitgliedstaaten, die ein elektronisches
Identifizierungssystem notifizieren, übermitteln der Kommission folgende
Informationen und unverzüglich alle späteren Änderungen dieser Informationen:
a)           eine Beschreibung des notifizierten
elektronischen Identifizierungssystems;
b)           die für das notifizierte
elektronische Identifizierungssystem zuständigen Behörden;
c)           Angaben dazu, wer die Registrierung
der eindeutigen Personenkennungen verwaltet;
d)           eine Beschreibung der
Authentifizierungsmöglichkeit;
e)           Regelungen für Aussetzung oder Widerruf
des notifizierten Identifizierungssystems oder der
Authentifizierungsmöglichkeit oder deren beeinträchtigter Teile.
(2) Sechs Monate nach dem Inkrafttreten der
Verordnung veröffentlicht die Kommission im Amtsblatt der Europäischen Union
die Liste der gemäß Absatz 1 notifizierten elektronischen
Identifizierungssysteme und die grundlegenden Informationen darüber.
(3) Geht der Kommission nach Ablauf der in
Absatz 2 genannten Frist eine Notifizierung zu, so ändert sie die Liste
innerhalb von drei Monaten.
(4) Die Kommission kann mittels
Durchführungsrechtsakten Einzelheiten, Form und Verfahren für die Notifizierung
entsprechend den Absätzen 1 bis 3 festlegen. Solche
Durchführungsrechtsakte werden nach dem in Artikel 39 Absatz 2
genannten Prüfverfahren erlassen.
Artikel 8
Koordinierung
(1) Die Mitgliedstaaten arbeiten zusammen, um
die Interoperabilität elektronischer Identifizierungsmittel, die einem
notifizierten System unterliegen, zu gewährleisten und deren Sicherheit zu
erhöhen.
(2) Die Kommission legt mittels
Durchführungsrechtsakten die nötigen Modalitäten fest, um die in Absatz 1
genannte Zusammenarbeit zwischen den Mitgliedstaaten im Hinblick auf die
Förderung eines hohen Maßes an Vertrauen und Sicherheit, das der Höhe des
Risikos angemessen ist, zu erleichtern. Solche Durchführungsrechtsakte
betreffen insbesondere den Austausch von Informationen, Erfahrungen und
bewährten Verfahren im Bereich der elektronischen Identifizierungssysteme, die
gegenseitige Überprüfung notifizierter elektronischer Identifizierungssysteme
und die Prüfung einschlägiger Entwicklungen im Bereich der elektronischen
Identifizierung durch die zuständigen Behörden der Mitgliedstaaten. Solche
Durchführungsrechtsakte werden nach dem in Artikel 39 Absatz 2
genannten Prüfverfahren erlassen.
(3) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zu erlassen, in denen zur Förderung der
grenzübergreifenden Interoperabilität elektronischer Identifizierungsmittel
technische Mindestanforderungen festgelegt werden.
KAPITEL III
VERTRAUENSDIENSTE
Abschnitt 1
Allgemeine
Bestimmungen
Artikel 9
Haftung
(1) Vertrauensdiensteanbieter haften für alle
unmittelbaren Schäden gegenüber natürlichen oder juristischen Personen, die auf
eine Verletzung der in Artikel 15 Absatz 1 festgelegten Pflichten
zurückzuführen sind, es sei denn, der Vertrauensdiensteanbieter kann
nachweisen, dass er nicht fahrlässig gehandelt hat.
(2) Qualifizierte Vertrauensdiensteanbieter
haften für alle unmittelbaren Schäden gegenüber natürlichen oder juristischen Personen,
die auf eine Nichterfüllung der Anforderungen dieser Verordnung, insbesondere
des Artikels 19, zurückzuführen sind, es sei denn, der qualifizierte
Vertrauensdiensteanbieter kann nachweisen, dass er nicht fahrlässig gehandelt
hat.
Artikel 10
Vertrauensdiensteanbieter
aus Drittländern
(1) Qualifizierte Vertrauensdienste und
qualifizierte Zertifikate, die von in Drittländern niedergelassenen
qualifizierten Vertrauensdiensteanbietern bereitgestellt werden, werden
akzeptiert als qualifizierte Vertrauensdienste und qualifizierte Zertifikate,
die von im Unionsgebiet niedergelassenen qualifizierten
Vertrauensdiensteanbietern bereitgestellt werden, wenn die qualifizierten
Vertrauensdienste oder qualifizierten Zertifikate aus dem Drittland im Rahmen
einer gemäß Artikel 218 AEUV geschlossenen Vereinbarung zwischen der Union
und Drittländern oder internationalen Organisationen anerkannt sind.
(2) In Bezug auf Absatz 1 müssen solche
Vereinbarungen sicherstellen, dass die Vertrauensdiensteanbieter in den
Drittländern oder die internationalen Organisationen die Anforderungen an
qualifizierte Vertrauensdienste und qualifizierte Zertifikate, die von im
Unionsgebiet niedergelassenen qualifizierten Vertrauensdiensteanbietern
bereitgestellt werden, insbesondere im Hinblick auf den Schutz
personenbezogener Daten, die Sicherheit und die Beaufsichtigung erfüllen.
Artikel 11
Datenverarbeitung
und Datenschutz
(1) Vertrauensdiensteanbieter und
Aufsichtsstellen stellen bei der Verarbeitung personenbezogener Daten sicher,
dass diese stets redlich und rechtmäßig entsprechend der Richtlinie 95/46/EG
erfolgt.
(2) Vertrauensdiensteanbieter verarbeiten
personenbezogene Daten gemäß der Richtlinie 95/46/EG. Die Verarbeitung wird auf
das Mindestmaß beschränkt, das für die Ausstellung und Aufrechterhaltung eines
Zertifikats oder die Erbringung eines Vertrauensdienstes unbedingt erforderlich
ist.
(3) Vertrauensdiensteanbieter gewährleisten
die Vertraulichkeit und Unversehrtheit der Daten in Bezug auf die Person, für
die der Vertrauensdienst erbracht wird.
(4) Unbeschadet der Rechtswirkung, die
Pseudonyme nach nationalem Recht haben, hindern die Mitgliedstaaten
Vertrauensdiensteanbieter nicht daran, in Zertifikaten für elektronische
Signaturen ein Pseudonym anstelle des Namens des Unterzeichners anzugeben.
Artikel 12
Zugänglichkeit für Personen mit Behinderungen
Vertrauensdienste
und zur Erbringung solcher Dienste verwendete Endnutzerprodukte werden für
Personen mit Behinderungen barrierefrei zugänglich gemacht, wann immer dies
möglich ist.
Abschnitt 2
Beaufsichtigung
Artikel 13
Aufsichtsstelle
(1) Die Mitgliedstaaten benennen eine
geeignete Stelle, die in ihrem Hoheitsgebiet niedergelassen ist, oder –
aufgrund einer Vereinbarung – eine Stelle in einem anderen Mitgliedstaat, die
unter der Verantwortung des benennenden Mitgliedstaates steht. Die
Aufsichtsstellen müssen über sämtliche für die Wahrnehmung ihrer Aufgaben
notwendigen Aufsichts- und Untersuchungsbefugnisse verfügen.
(2) Die Aufsichtsstelle ist für die
Wahrnehmung folgender Aufgaben verantwortlich:
a)           Überwachung der im Hoheitsgebiet des
benennenden Mitgliedstaates niedergelassenen Vertrauensdiensteanbieter, um zu
gewährleisten, dass diese die Anforderungen des Artikels 15 erfüllen;
b)           Beaufsichtigung der im Hoheitsgebiet
des benennenden Mitgliedstaates niedergelassenen qualifizierten
Vertrauensdiensteanbieter und der von ihnen erbrachten qualifizierten
Vertrauensdienste, um sicherzustellen, dass sie und die von ihnen erbrachten
qualifizierten Vertrauensdienste die einschlägigen Anforderungen dieser
Verordnung erfüllen;
c)           Gewährleistung, dass relevante
Informationen und Daten entsprechend Artikel 19 Absatz 2
Buchstabe g, die von qualifizierten Vertrauensdiensteanbietern
aufgezeichnet werden, für einen angemessenen Zeitraum nach Beendigung der
Tätigkeit eines qualifizierten Vertrauensdiensteanbieters bewahrt und
zugänglich gehalten werden, um so die Dienstleistungskontinuität zu
garantieren.
(3) Jede Aufsichtsstelle legt der Kommission
und den Mitgliedstaaten zum Ende des ersten Quartals jedes Jahres einen
Jahresbericht über die Aufsichtstätigkeit des vergangenen Kalenderjahres vor.
Dieser beinhaltet zumindest Folgendes:
a)           Informationen über ihre
Aufsichtstätigkeit,
b)           eine Übersicht über die von den
Vertrauensdiensteanbietern im Einklang mit Artikel 15 Absatz 2
gemeldeten Sicherheitsverletzungen,
c)           Statistiken über den Markt und die
Verwendung qualifizierter Vertrauensdienste, mit Informationen über die
qualifizierten Vertrauensanbieter selbst, die von ihnen erbrachten
qualifizierten Vertrauensdienste und die von ihnen verwendeten Produkte sowie
einer allgemeinen Beschreibung ihrer Kunden.
(4) Die Mitgliedstaaten teilen der Kommission
und den anderen Mitgliedstaaten die Namen und Anschriften ihrer jeweiligen
benannten Aufsichtsstellen mit.
(5) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zur Festlegung von Verfahren für die
Wahrnehmung der in Absatz 2 genannten Aufgaben zu erlassen.
(6) Die Kommission kann mittels
Durchführungsrechtsakten Einzelheiten, Form und Verfahren für die
Berichterstattung nach Absatz 3 festlegen. Solche Durchführungsrechtsakte
werden nach dem in Artikel 39 Absatz 2 genannten Prüfverfahren
erlassen.
Artikel 14
Gegenseitige
Amtshilfe
(1) Die Aufsichtsstellen arbeiten im Hinblick
auf den Austausch guter Praktiken zusammen, übermitteln einander so rasch wie
möglich zweckdienliche Informationen und gewähren einander Amtshilfe, damit
ihre Tätigkeiten einheitlich wahrgenommen werden können. Amtshilfe erstreckt
sich insbesondere auf Auskünfte und Aufsichtsmaßnahmen, beispielsweise Ersuchen
um Nachprüfungen im Zusammenhang mit den Sicherheitsaudits gemäß den
Artikeln 15, 16 und 17.
(2) Die Aufsichtsstelle, an die ein
Amtshilfeersuchen gerichtet wird, kann dieses nur ablehnen, wenn
a)           sie für das betreffende Ersuchen
nicht zuständig ist oder
b)           die Beantwortung des Ersuchens gegen
diese Verordnung verstoßen würde.
(3) Gegebenenfalls können Aufsichtsstellen
gemeinsame Untersuchungen durchführen, an denen Mitarbeiter der
Aufsichtsstellen anderer Mitgliedstaaten teilnehmen.
Die Aufsichtsstelle des Mitgliedstaates, in
dem die Untersuchung stattfinden soll, kann im Einklang mit ihren nationalen
Rechtsvorschriften den Mitarbeitern der unterstützten Aufsichtsstelle
Untersuchungsaufgaben übertragen. Entsprechende Befugnisse dürfen
ausschließlich unter Anleitung und in Gegenwart von Mitarbeitern der
federführenden Aufsichtsstelle ausgeübt werden. Die Mitarbeiter der
unterstützten Aufsichtsstelle unterliegen dabei den nationalen
Rechtsvorschriften der federführenden Aufsichtsstelle. Die federführende
Aufsichtsstelle ist für die Handlungen der Mitarbeiter der unterstützten
Aufsichtsstelle verantwortlich.
(4) Die Kommission kann mittels
Durchführungsrechtsakten Form und Verfahren der in diesem Artikel vorgesehenen
gegenseitigen Amtshilfe festlegen. Solche Durchführungsrechtsakte werden nach
dem in Artikel 39 Absatz 2 genannten Prüfverfahren erlassen.
Artikel 15
Sicherheitsanforderungen
an Vertrauensdiensteanbieter
(1) Im Unionsgebiet niedergelassene
Vertrauensdiensteanbieter ergreifen geeignete technische und organisatorische
Maßnahmen zur Beherrschung der Sicherheitsrisiken im Zusammenhang mit den von
ihnen erbrachten Vertrauensdiensten. Diese Maßnahmen müssen unter
Berücksichtigung des Standes der Technik gewährleisten, dass das
Sicherheitsniveau der Höhe des Risikos angemessen ist. Insbesondere sind
Maßnahmen zu ergreifen, um Auswirkungen von Sicherheitsverletzungen zu
vermeiden bzw. so gering wie möglich zu halten und die Beteiligten über
nachteilige Folgen etwaiger Vorfälle zu informieren.
Unbeschadet des Artikels 16 Absatz 1
kann jeder Vertrauensdiensteanbieter als Nachweis für das Ergreifen
angemessener Sicherheitsmaßnahmen der Aufsichtsstelle den Bericht über ein von
einer anerkannten unabhängigen Stelle durchgeführtes Sicherheitsaudit vorlegen.
(2) Vertrauensdiensteanbieter melden
unverzüglich und, falls möglich, binnen 24 Stunden nach Kenntniserlangung der
zuständigen Aufsichtsstelle der zuständigen nationalen Stelle für
Informationssicherheit und anderen einschlägigen Dritten wie
Datenschutzbehörden alle Sicherheitsverletzungen oder Integritätsverluste, die
sich erheblich auf den erbrachten Vertrauensdienst und die darin gehaltenen
Daten auswirken.
Gegebenenfalls unterrichtet die betroffene
Aufsichtsstelle die Aufsichtsstellen der anderen Mitgliedstaaten und die
Europäische Agentur für Netz- und Informationssicherheit (ENISA), insbesondere,
wenn von der Sicherheitsverletzung oder dem Integritätsverlust zwei oder mehr
Mitgliedstaaten betroffen sind.
Die betroffene Aufsichtsstelle kann ferner die
Öffentlichkeit unterrichten oder den Vertrauensdiensteanbieter hierzu
verpflichten, wenn sie zu dem Schluss gelangt, dass die Bekanntgabe der
Verletzung im öffentlichen Interesse liegt.
(3) Die Aufsichtsstelle übermittelt der ENISA
und der Kommission einmal jährlich eine Übersicht über die von den
Vertrauensdiensteanbietern gemeldeten Sicherheitsverletzungen.
(4) Zur Anwendung der Absätze 1 und 2 ist
die zuständige Aufsichtsstelle befugt, den Vertrauensdiensteanbietern verbindliche
Anweisungen zu erteilen.
(5) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zur Präzisierung der in Absatz 1
genannten Maßnahmen zu erlassen.
(6) Die Kommission kann mittels
Durchführungsrechtsakten Einzelheiten, Form und Verfahren, einschließlich
Fristen, für die Zwecke der Absätze 1 bis 3 festlegen. Solche
Durchführungsrechtsakte werden nach dem in Artikel 39 Absatz 2
genannten Prüfverfahren erlassen.
Artikel 16
Beaufsichtigung qualifizierter Vertrauensdiensteanbieter
(1) Qualifizierte Vertrauensdiensteanbieter
werden einmal jährlich von einer anerkannten unabhängigen Stelle geprüft, um
nachzuweisen, dass sie und die von ihnen erbrachten qualifizierten
Vertrauensdienste die Anforderungen dieser Verordnung erfüllen, und übermitteln
der Aufsichtsstelle den entsprechenden Bericht über das Sicherheitsaudit.
(2) Unbeschadet des Absatzes 1 kann die
Aufsichtsstelle jederzeit von sich aus oder auf Ersuchen der Kommission die
qualifizierten Vertrauensdiensteanbieter überprüfen, um sicherzustellen, dass
diese und die von ihnen erbrachten qualifizierten Vertrauensdienste noch immer
die Anforderungen dieser Verordnung erfüllen. Die Aufsichtsstelle teilt den
Datenschutzbehörden die Ergebnisse ihrer Überprüfungen mit, falls anzunehmen
ist, dass gegen Vorschriften zum Schutz personenbezogener Daten verstoßen
wurde.
(3) Die Aufsichtsstelle ist befugt,
qualifizierten Vertrauensdiensteanbietern verbindliche Anweisungen zur Behebung
von Pflichtverletzungen zu erteilen, die im Bericht über das Sicherheitsaudit
festgestellt werden.
(4) Behebt ein qualifizierter
Vertrauensdiensteanbieter eine solche in Absatz 3 genannte
Pflichtverletzung nicht innerhalb der von der Aufsichtsstelle gesetzten Frist,
verliert er seinen Qualifikationsstatus und wird von der Aufsichtsstelle von
der Änderung seines Status in den Vertrauenslisten nach Artikel 18 in
Kenntnis gesetzt.
(5) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zu erlassen, um die Bedingungen festzulegen,
unter denen die unabhängigen Stellen anerkannt werden, die das in Absatz 1
dieses Artikels, Artikel 15 Absatz 1 und Artikel 17
Absatz 1 genannte Audit durchführen.
(6) Die Kommission kann mittels
Durchführungsrechtsakten Einzelheiten, Form und Verfahren für die Zwecke der
Absätze 1, 2 und 4 festlegen. Solche Durchführungsrechtsakte werden nach
dem in Artikel 39 Absatz 2 genannten Prüfverfahren erlassen.
Artikel 17
Beginn
der Erbringung qualifizierter Vertrauensdienste
(1) Qualifizierte Vertrauensdiensteanbieter
melden der Aufsichtsstelle ihre Absicht, mit der Erbringung eines
qualifizierten Vertrauensdienstes zu beginnen, und übermitteln ihr einen
Bericht über ein von einer anerkannten unabhängigen Stelle durchgeführtes
Sicherheitsaudit gemäß Artikel 16 Absatz 1. Qualifizierte Vertrauensdiensteanbieter
können mit der Erbringung des qualifizierten Vertrauensdienstes beginnen,
nachdem sie der Aufsichtsstelle die Meldung und den Bericht über das
Sicherheitsaudit übermittelt haben.
(2) Sobald die betreffenden Dokumente gemäß
Absatz 1 an die Aufsichtsstelle übermittelt worden sind, wird der
qualifizierte Vertrauensdiensteanbieter in die in Artikel 18 genannten
Vertrauenslisten mit dem Vermerk aufgenommen, dass die Meldung eingereicht
wurde.
(3) Die Aufsichtsstelle überprüft, ob der
qualifizierte Vertrauensdiensteanbieter und die von ihm erbrachten
qualifizierten Vertrauensdienste den Anforderungen dieser Verordnung genügen.
Die Aufsichtsstelle weist den
Qualifikationsstatus der qualifizierten Vertrauensdiensteanbieter und der von
ihnen erbrachten Vertrauensdienste nach dem positiven Abschluss der Überprüfung
spätestens einen Monat nach der Meldung gemäß Absatz 1 in den
Vertrauenslisten aus.
Wird die Überprüfung nicht innerhalb eines
Monats abgeschlossen, informiert die Aufsichtsstelle den qualifizierten
Vertrauensdiensteanbieter unter Angabe der Gründe für die Verzögerung und der
Frist, innerhalb derer die Überprüfung abgeschlossen wird.
(4) Ein qualifizierter Vertrauensdienst, der
gemäß Absatz 1 gemeldet worden ist, darf bei der Abwicklung eines
Verwaltungsverfahrens oder der Erfüllung einer Formalität von der betroffenen
öffentlichen Stelle nicht allein deshalb abgelehnt werden, weil er nicht auf
den in Absatz 3 genannten Listen steht.
(5) Die Kommission kann mittels
Durchführungsrechtsakten Einzelheiten, Form und Verfahren für die Zwecke der
Absätze 1, 2 und 3 festlegen. Solche Durchführungsrechtsakte werden nach
dem in Artikel 39 Absatz 2 genannten Prüfverfahren erlassen.
Artikel 18
Vertrauenslisten
(1) Jeder Mitgliedstaat sorgt für die Aufstellung,
Führung und Veröffentlichung von Vertrauenslisten mit Angaben zu den
qualifizierten Vertrauensdiensteanbietern, für die er zuständig ist, und den
von ihnen erbrachten qualifizierten Vertrauensdiensten.
(2) Die Mitgliedstaaten erstellen, führen und
veröffentlichen auf sichere Weise elektronisch unterzeichnete oder besiegelte
Vertrauenslisten gemäß Absatz 1 in einer für eine automatisierte
Verarbeitung geeigneten Form.
(3) Die Mitgliedstaaten übermitteln der
Kommission unverzüglich Informationen über die für die Erstellung, Führung und
Veröffentlichung der nationalen Vertrauenslisten zuständige Stellen, den Ort
der Veröffentlichung der Listen, das zur Unterzeichnung oder Besiegelung der
Vertrauenslisten verwendete Zertifikat und alle etwaigen Änderungen der Listen.
(4) Die Kommission
macht die Informationen nach Absatz 3 auf sichere Weise und elektronisch
unterzeichnet oder besiegelt in einer für eine automatisierte Verarbeitung
geeigneten Form öffentlich zugänglich.
(5)
Die Kommission wird ermächtigt, delegierte Rechtsakte gemäß Artikel 38 zur
Festlegung der der in Absatz 1 genannten Informationen zu erlassen.
(6) Die Kommission kann mittels
Durchführungsrechtsakten die technischen Spezifikationen und die Form der
Vertrauenslisten für die Zwecke der Absätze 1 bis 4 festlegen. Solche
Durchführungsrechtsakte werden nach dem in Artikel 39 Absatz 2
genannten Prüfverfahren erlassen.
Artikel 19
Anforderungen
an qualifizierte Vertrauensdiensteanbieter
(1) Bei der
Ausstellung eines qualifizierten Zertifikats überprüft der qualifizierte
Vertrauensdiensteanbieter anhand geeigneter Mittel und im Einklang mit dem
jeweiligen nationalen Recht die Identität und gegebenenfalls die spezifischen
Attribute der natürlichen oder juristischen Person, der ein qualifiziertes Zertifikat
ausgestellt wird.
Die entsprechenden
Informationen werden vom qualifizierten Vertrauensdiensteanbieter oder einem
ermächtigten Dritten, der unter der Verantwortung des qualifizierten
Vertrauensdiensteanbieters handelt, wie folgt überprüft:
a)           durch persönliches Erscheinen der
natürlichen Person oder eines bevollmächtigten Vertreters der juristischen
Person oder
b)           aus der Ferne mittels gemäß
Buchstabe a ausgestellter elektronischer Identifizierungsmittel, die einem
notifizierten System unterliegen.
(2) Qualifizierte
Vertrauensdiensteanbieter, die qualifizierte Vertrauensdienste erbringen,
a)           beschäftigen Personal, das über das
erforderliche Fachwissen, die erforderliche Erfahrung und die erforderlichen
Qualifikationen verfügt, Verwaltungs- und Managementverfahren anwendet, die den
anerkannten europäischen oder internationalen Normen entsprechen, und in Bezug
auf die Vorschriften für die Sicherheit und den Schutz personenbezogener Daten
angemessen geschult worden ist;
b)           tragen das Haftungsrisiko für Schäden
und verfügen zu diesem Zweck über ausreichende Finanzmittel oder eine
angemessene Haftpflichtversicherung;
c)           unterrichten Personen, die einen
qualifizierten Vertrauensdienst nutzen wollen, über die genauen Bedingungen für
die Nutzung des Dienstes, bevor sie Vertragsbeziehungen zu dieser Person
aufnehmen;
d)           verwenden vertrauenswürdige Systeme
und Produkte, die vor Veränderungen geschützt sind und die technische
Sicherheit und Zuverlässigkeit der von ihnen unterstützten Prozesse
gewährleisten;
e)           verwenden vertrauenswürdige Systeme
für die Speicherung der ihnen übermittelten Daten in einer überprüfbaren Form,
so dass
–              
diese nur mit Zustimmung der Person, an die die
Daten ausgegeben wurden, öffentlich abrufbar sind,
–              
nur befugte Personen Daten eingeben und ändern
können,
–              
die Angaben auf ihre Echtheit hin überprüft werden
können;
f)            ergreifen Maßnahmen gegen Fälschung
und Diebstahl von Daten;
g)           zeichnen alle einschlägigen
Informationen über die von dem qualifizierten Vertrauensdiensteanbieter
ausgegebenen und empfangenen Daten über einen angemessenen Zeitraum auf, um
insbesondere bei Gerichtsverfahren entsprechende Beweise liefern zu können. Die
Aufzeichnung kann in elektronischer Form erfolgen;
h)           verfügen über einen fortlaufend
aktualisierten Plan für die Beendigung des Dienstes, um die
Dienstleistungskontinuität nach den von der Aufsichtsstelle gemäß
Artikel 13 Absatz 2 Buchstabe c gemachten Vorgaben
sicherzustellen;
i)            stellen eine rechtmäßige
Verarbeitung personenbezogener Daten gemäß Artikel 11 sicher.
(3) Qualifizierte Vertrauensdiensteanbieter,
die qualifizierte Zertifikate ausstellen, registrieren in ihren
Zertifikatsdatenbanken den Widerruf eines Zertifikats innerhalb von zehn
Minuten nach dessen Wirksamwerden.
(4) Im Zusammenhang mit Absatz 3 stellen
qualifizierte Vertrauensdiensteanbieter, die qualifizierte Zertifikate
ausstellen, den vertrauenden Beteiligten Informationen über den Gültigkeits-
oder Widerrufsstatus der von ihnen ausgestellten qualifizierten Zertifikate zur
Verfügung. Diese Informationen werden jederzeit zumindest für einzelne
Zertifikate automatisch auf zuverlässige, effiziente und kostenlose Weise
bereitgestellt.
(5) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für vertrauenswürdige Systeme und
Produkte festlegen. Bei vertrauenswürdigen Systemen und Produkten, die diesen
Normen entsprechen, wird davon ausgegangen, dass sie die Anforderungen des
Artikels 19 erfüllen. Solche Durchführungsrechtsakte werden nach dem in
Artikel 39 Absatz 2 genannten Prüfverfahren erlassen. Die Kommission
veröffentlicht solche Rechtsakte im Amtsblatt der Europäischen Union.
Abschnitt 3
Elektronische
Signaturen
Artikel 20
Rechtswirkung
und Akzeptierung elektronischer Signaturen
(1) Einer elektronischen Signatur darf die
Rechtswirkung und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht
allein deshalb abgesprochen werden, weil sie in elektronischer Form vorliegt.
(2) Eine qualifizierte elektronische Signatur
hat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift.
(3) Qualifizierte elektronische Signaturen
werden in allen Mitgliedstaaten anerkannt und akzeptiert.
(4)        Wird von einem Mitgliedstaat
insbesondere für den Zugang zu einem von einer öffentlichen Stelle angebotenen
Online-Dienst aufgrund einer angemessenen Abschätzung der mit dem Dienst
verbundenen Risiken eine elektronische Signatur mit einem niedrigeren
Sicherheitsniveau als dem der qualifizierten elektronischen Signatur verlangt,
so werden alle elektronischen Signaturen anerkannt und akzeptiert, die
zumindest dasselbe Sicherheitsniveau aufweisen.
(5) Die Mitgliedstaaten verlangen für den
grenzüberschreitenden Zugang zu einem Online-Dienst, der von einer öffentlichen
Stelle angeboten wird, keine elektronische Signatur mit einem höheren
Sicherheitsniveau als dem der qualifizierten elektronischen Signatur.
(6) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zur Festlegung der der in Absatz 4
genannten unterschiedlichen Sicherheitsniveaus elektronischer Signaturen zu
erlassen.
(7) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für die Sicherheitsniveaus
elektronischer Signaturen festlegen. Bei elektronischen Signaturen, die diesen
Normen entsprechen, wird davon ausgegangen, dass sie den Sicherheitsniveaus
entsprechen, die in einem gemäß Absatz 6 erlassenen delegierten Rechtsakt
festgelegt wurden. Solche Durchführungsrechtsakte werden nach dem in
Artikel 39 Absatz 2 genannten Prüfverfahren erlassen. Die Kommission
veröffentlicht solche Rechtsakte im Amtsblatt der Europäischen Union.
Artikel 21
Qualifizierte
Zertifikate für elektronische Signaturen
(1) Qualifizierte Zertifikate für
elektronische Signaturen müssen die Anforderungen des Anhangs I erfüllen.
(2) Für qualifizierte Zertifikate für
elektronische Signaturen dürfen keine obligatorischen Anforderungen gelten, die
über die in Anhang I festgelegten hinausgehen.
(3) Wird ein qualifiziertes Zertifikat für
elektronische Signaturen nach der anfänglichen Aktivierung widerrufen, ist es
nicht mehr gültig und sein Status darf unter keinen Umständen durch Erneuerung
seiner Gültigkeit rückgängig gemacht werden.
(4) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zur Präzisierung der in Anhang I
festgelegten Anforderungen zu erlassen.
(5) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für qualifizierte Zertifikate für
elektronische Signaturen festlegen. Bei qualifizierten Zertifikaten für
elektronische Signaturen, die diesen Normen entsprechen, wird davon
ausgegangen, dass sie die Anforderungen des Anhangs I erfüllen. Solche
Durchführungsrechtsakte werden nach dem in Artikel 39 Absatz 2
genannten Prüfverfahren erlassen. Die Kommission veröffentlicht solche
Rechtsakte im Amtsblatt der Europäischen Union.
Artikel 22
Anforderungen
an qualifizierte elektronische Signaturerstellungseinheiten
(1) Qualifizierte elektronische
Signaturerstellungseinheiten müssen die Anforderungen des Anhangs II
erfüllen.
(2) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für qualifizierte elektronische
Signaturerstellungseinheiten festlegen. Bei qualifizierten elektronischen
Signaturerstellungseinheiten, die diesen Normen entsprechen, wird davon
ausgegangen, dass sie die Anforderungen des Anhangs II erfüllen. Solche
Durchführungsrechtsakte werden nach dem in Artikel 39 Absatz 2
genannten Prüfverfahren erlassen. Die Kommission veröffentlicht solche
Rechtsakte im Amtsblatt der Europäischen Union.
Artikel 23
Zertifizierung
qualifizierter elektronischer Signaturerstellungseinheiten
(1) Qualifizierte elektronische
Signaturerstellungseinheiten können von geeigneten, von den Mitgliedstaaten
benannten öffentlichen oder privaten Stellen zertifiziert werden, nachdem sie
einer Sicherheitsbewertung unterzogen wurden, die entsprechend einer der Normen
für die Sicherheitsbewertung informationstechnischer Produkte durchgeführt
wurde, die auf einer von der Kommission mittels Durchführungsrechtsakten
aufgestellten Liste stehen. Solche Durchführungsrechtsakte werden nach dem in
Artikel 39 Absatz 2 genannten Prüfverfahren erlassen. Die Kommission
veröffentlicht solche Rechtsakte im Amtsblatt der Europäischen Union.
(2) Die Mitgliedstaaten teilen der Kommission
und den anderen Mitgliedstaaten die Namen und Anschriften der von ihnen gemäß
Absatz 1 benannten öffentlichen oder privaten Stellen mit.
(3) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zu erlassen, um besondere Kriterien
festzulegen, die von den benannten Stellen, die in Absatz 1 genannt sind,
erfüllt werden müssen.
Artikel 24
Veröffentlichung
einer Liste zertifizierter qualifizierter elektronischer
Signaturerstellungseinheiten
(1) Die Mitgliedstaaten notifizieren der
Kommission unverzüglich Informationen über qualifizierte elektronische
Signaturerstellungseinheiten, die von den in Artikel 23 genannten Stellen
zertifiziert worden sind. Sie notifizieren der Kommission ferner unverzüglich
Informationen über nicht mehr zertifizierte elektronische
Signaturerstellungseinheiten.
(2) Auf der Grundlage der erhaltenen Informationen
sorgt die Kommission für die Aufstellung, Veröffentlichung und Führung einer
Liste zertifizierter qualifizierter elektronischer
Signaturerstellungseinheiten.
(3) Die Kommission kann mittels
Durchführungsrechtsakten Einzelheiten, Form und Verfahren für die Zwecke des
Absatzes 1 festlegen. Solche Durchführungsrechtsakte werden nach dem in
Artikel 39 Absatz 2 genannten Prüfverfahren erlassen.
Artikel 25
Anforderungen
an die Validierung qualifizierter elektronischer Signaturen
(1) Eine qualifizierte elektronische Signatur
wird als gültig betrachtet, wenn mit einer hohen Gewissheit festgestellt werden
kann, dass zum Zeitpunkt der Unterzeichnung
a)           das der Signatur zugrunde liegende
Zertifikat ein qualifiziertes Zertifikat für elektronische Signaturen ist, das
die Anforderungen des Anhangs I erfüllt;
b)           das erforderliche qualifizierte
Zertifikat echt und gültig ist;
c)           die Signaturvalidierungsdaten den
Daten entsprechen, die dem vertrauenden Beteiligten bereitgestellt werden;
d)           der Datensatz, der den Unterzeichner
eindeutig repräsentiert, dem vertrauenden Beteiligten korrekt bereitgestellt
wird;
e)           die etwaige Benutzung eines
Pseudonyms dem vertrauenden Beteiligten eindeutig angegeben wird;
f)            die elektronische Signatur von
einer qualifizierten elektronischen Signaturerstellungseinheit erstellt wurde;
g)           die Unversehrtheit der
unterzeichneten Daten nicht beeinträchtigt ist;
h)           die Anforderungen des
Artikels 3 Absatz 7 erfüllt sind;
i)            das zur Validierung der Signatur
verwendete System dem vertrauenden Beteiligten das Ergebnis des
Validierungsprozesses korrekt bereitgestellt und es ihm ermöglicht, etwaige
Sicherheitsprobleme zu erkennen.
(2) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zur Präzisierung der in Absatz 1
festgelegten Anforderungen zu erlassen.
(3) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für die Validierung qualifizierter
elektronischer Signaturen festlegen. Bei einer Validierung qualifizierter
elektronischer Signaturen, die diesen Normen entspricht, wird davon
ausgegangen, dass sie die Anforderungen des Absatzes 1 erfüllt. Solche
Durchführungsrechtsakte werden nach dem in Artikel 39 Absatz 2
genannten Prüfverfahren erlassen. Die Kommission veröffentlicht solche
Rechtsakte im Amtsblatt der Europäischen Union.
Artikel 26
Qualifizierter
Validierungsdienst für qualifizierte elektronische Signaturen
(1) Qualifizierte Validierungsdienste für
qualifizierte elektronische Signaturen werden von qualifizierten
Vertrauensdiensteanbietern erbracht, die
a)           eine Validierung gemäß
Artikel 25 Absatz 1 durchführen und
b)           es vertrauenden Beteiligten
ermöglichen, das Ergebnis des Validierungsprozesses in automatischer,
zuverlässiger und effizienter Weise mit Bestätigung durch die fortgeschrittene
elektronische Signatur oder das fortgeschrittene elektronische Siegel des
Anbieters des qualifizierten Validierungsdienstes zu erhalten.
(2) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für die in Absatz 1 genannten
qualifizierten Validierungsdienste festlegen. Bei Validierungsdiensten für
qualifizierte elektronische Signaturen, die diesen Normen entsprechen, wird
davon ausgegangen, dass sie die Anforderungen in Absatz 1 Buchstabe b
erfüllen. Solche Durchführungsrechtsakte werden nach dem in Artikel 39
Absatz 2 genannten Prüfverfahren erlassen. Die Kommission veröffentlicht
solche Rechtsakte im Amtsblatt der Europäischen Union.
Artikel 27
Bewahrung
qualifizierter elektronischer Signaturen
(1) Bewahrungsdienste für qualifizierte
elektronische Signaturen werden von qualifizierten Vertrauensdiensteanbietern
erbracht, die Verfahren und Technologien verwenden, die es ermöglichen, die
Vertrauenswürdigkeit der qualifizierten elektronischen
Signaturvalidierungsdaten über den Zeitraum ihrer technologischen Geltung
hinaus zu verlängern.
(2) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zur Präzisierung der in Absatz 1
festgelegten Anforderungen zu erlassen.
(3) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für die Bewahrung qualifizierter
elektronischer Signaturen festlegen. Bei Maßnahmen zur Bewahrung qualifizierter
elektronischer Signaturen, die diesen Normen entsprechen, wird davon
ausgegangen, dass sie die Anforderungen des Absatzes 1 erfüllen. Solche Durchführungsrechtsakte
werden nach dem in Artikel 39 Absatz 2 genannten Prüfverfahren
erlassen. Die Kommission veröffentlicht solche Rechtsakte im Amtsblatt der
Europäischen Union.
Abschnitt 4
Elektronische
Siegel
Artikel 28
Rechtswirkung
elektronischer Siegel
(1) Einem elektronischen Siegel darf die
Rechtswirkung und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht
allein deshalb abgesprochen werden, weil es in elektronischer Form vorliegt.
(2) Für ein qualifiziertes elektronisches
Siegel gilt die rechtliche Vermutung des Ursprungs und der Unversehrtheit der
damit verbundenen Daten.
(3) Qualifizierte elektronische Siegel werden
in allen Mitgliedstaaten anerkannt und akzeptiert.
(4) Wird von einem Mitgliedstaat insbesondere
für den Zugang zu einem von einer öffentlichen Stelle angebotenen Online-Dienst
aufgrund einer angemessenen Abschätzung der mit dem Dienst verbundenen Risiken
ein elektronisches Siegel mit einem niedrigeren Sicherheitsniveau als dem des
qualifizierten elektronischen Siegels verlangt, so werden alle elektronischen
Siegel akzeptiert, die zumindest dasselbe Sicherheitsniveau aufweisen.
(5) Die Mitgliedstaaten verlangen für den
Zugang zu einem Online-Dienst, der von einer öffentlichen Stelle angeboten
wird, kein elektronisches Siegel mit einem höheren Sicherheitsniveau als dem
des qualifizierten elektronischen Siegels.
(6) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zur Festlegung der der in Absatz 4
genannten unterschiedlichen Sicherheitsniveaus elektronischer Siegel zu
erlassen.
(7) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für die Sicherheitsniveaus
elektronischer Siegel festlegen. Bei elektronischen Siegeln, die diesen Normen
entsprechen, wird davon ausgegangen, dass sie den Sicherheitsniveaus
entsprechen, die in einem gemäß Absatz 6 erlassenen delegierten Rechtsakt
festgelegt wurden. Solche Durchführungsrechtsakte werden nach dem in
Artikel 39 Absatz 2 genannten Prüfverfahren erlassen. Die Kommission
veröffentlicht solche Rechtsakte im Amtsblatt der Europäischen Union.
Artikel 29
Anforderungen
an qualifizierte Zertifikate für elektronische Siegel
(1) Qualifizierte Zertifikate für
elektronische Siegel müssen die Anforderungen des Anhangs III erfüllen.
(2) Für qualifizierte Zertifikate für
elektronische Siegel dürfen keine verbindlichen Anforderungen gelten, die über
die in Anhang III festgelegten hinausgehen.
(3) Wird ein qualifiziertes Zertifikat für
elektronische Siegel nach der anfänglichen Aktivierung widerrufen, ist es nicht
mehr gültig und sein Status darf unter keinen Umständen durch Erneuerung seiner
Gültigkeit rückgängig gemacht werden.
(4) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zur Präzisierung der in Anhang III
festgelegten Anforderungen zu erlassen.
(5) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für qualifizierte Zertifikate für
elektronische Siegel festlegen. Bei qualifizierten Zertifikaten für
elektronische Siegel, die diesen Normen entsprechen, wird davon ausgegangen,
dass sie die Anforderungen des Anhangs III erfüllen. Solche
Durchführungsrechtsakte werden nach dem in Artikel 39 Absatz 2
genannten Prüfverfahren erlassen. Die Kommission veröffentlicht solche
Rechtsakte im Amtsblatt der Europäischen Union.
Artikel 30
Qualifizierte
elektronische Siegelerstellungseinheiten
(1) Artikel 22 gilt entsprechend für die
Anforderungen an qualifizierte elektronische Siegelerstellungseinheiten.
(2) Artikel 23 gilt entsprechend für die
Zertifizierung qualifizierter elektronischer Siegelerstellungseinheiten.
(3) Artikel 24 gilt entsprechend für die
Veröffentlichung einer Liste qualifizierter elektronischer
Siegelerstellungseinheiten.
Artikel 31
Validierung
und Bewahrung qualifizierter elektronischer Siegel
Die Artikel 25, 26 und 27 gelten
entsprechend für die Validierung und Bewahrung qualifizierter elektronischer
Siegel.
Abschnitt 5
Elektronische
Zeitstempel
Artikel 32
Rechtswirkung
elektronischer Zeitstempel
(1) Einem
elektronischen Zeitstempel darf die Rechtswirkung und die Zulässigkeit als
Beweismittel in Gerichtsverfahren nicht allein deshalb abgesprochen werden,
weil er in elektronischer Form vorliegt.
(2) Für
qualifizierte elektronische Zeitstempel gilt die rechtliche Vermutung der
Gewissheit der darin angegebenen Zeit und der Unversehrtheit der mit ihnen
verbundenen Daten.
(3) Qualifizierte
elektronische Zeitstempel werden in allen Mitgliedstaaten anerkannt und
akzeptiert.
Artikel 33
Anforderungen
an qualifizierte elektronische Zeitstempel
(1) Qualifizierte
elektronische Zeitstempel müssen folgende Anforderungen erfüllen:
a)           sie sind korrekt und in einer Weise
mit der koordinierten Weltzeit (UTC) verknüpft, dass jede Möglichkeit der
unbemerkten Veränderung der Daten ausgeschlossen ist;
b)           sie beruhen auf einer korrekten
Zeitquelle;
c)           sie werden von einem qualifizierten
Vertrauensdiensteanbieter ausgestellt;
d)           sie werden mit einer
fortgeschrittenen elektronischen Signatur oder einem fortgeschrittenen
elektronischen Siegel des qualifizierten Vertrauensdiensteanbieters oder mit
einem gleichwertigen Verfahren unterzeichnet.
(2) Die Kommission
kann mittels Durchführungsrechtsakten Verweise auf Normen für die korrekte
Verknüpfung von Zeitangaben und Daten und für korrekte Zeitquellen festlegen.
Bei einer korrekten Verknüpfung von Zeitangaben und Daten und bei korrekten
Zeitquellen, die diesen Normen entsprechen, wird davon ausgegangen, dass die
Anforderungen des Absatzes 1 erfüllt sind. Solche Durchführungsrechtsakte
werden nach dem in Artikel 39 Absatz 2 genannten Prüfverfahren
erlassen. Die Kommission veröffentlicht solche Rechtsakte im Amtsblatt der
Europäischen Union.
Abschnitt 6
Elektronische
Dokumente
Artikel 34
Rechtswirkung
und Akzeptierung elektronischer Dokumente
(1) Ein elektronisches Dokument gilt unter
Berücksichtigung des jeweiligen Grades der Gewissheit seiner Echtheit und
Unversehrtheit als einem Papierdokument gleichwertig und ist in
Gerichtsverfahren als Beweismittel zulässig.
(2) Für ein Dokument, das mit einer
qualifizierten elektronischen Signatur oder mit einem qualifizierten
elektronischen Siegel der für seine Ausstellung zuständigen Person versehen
ist, gilt die rechtliche Vermutung der Echtheit und Unversehrtheit, sofern das
Dokument keine dynamischen Elemente enthält, die eine automatische Änderung des
Dokuments bewirken können.
(3) Ist ein Originaldokument oder eine
beglaubigte Kopie für die Erbringung eines von einer öffentlichen Stelle
angebotenen Online-Dienstes erforderlich, akzeptieren die Mitgliedstaaten ohne
zusätzliche Anforderungen zumindest elektronische Dokumente, die von den für
die Ausstellung entsprechender Dokumente zuständigen Personen ausgestellt sind
und nach dem nationalen Recht des Ursprungsmitgliedstaates als Originale oder
beglaubigte Kopien gelten.
(4) Die Kommission kann mittels
Durchführungsrechtsakten Formate für elektronische Signaturen und Siegel
festlegen, die stets akzeptiert werden müssen, wenn ein Mitgliedstaat für die
Erbringung eines von einer öffentlichen Stelle angebotenen Online-Dienstes
entsprechend Absatz 2 ein unterzeichnetes oder besiegeltes Dokument
verlangt. Solche Durchführungsrechtsakte werden nach dem in Artikel 39
Absatz 2 genannten Prüfverfahren erlassen.
Abschnitt 7
Qualifizierter
elektronischer Zustelldienst
Artikel 35
Rechtswirkung
des elektronischen Zustelldienstes
(1) Daten, die mittels eines elektronischen
Zustelldienstes abgesendet oder empfangen werden, sind in Bezug auf die
Unversehrtheit der Daten und die Gewissheit des Datums und der Uhrzeit, zu
denen die Daten an einen bestimmten Empfänger abgesendet oder von diesem
empfangen wurden, in Gerichtsverfahren als Beweismittel zulässig.
(2) Für Daten, die mittels eines
qualifizierten elektronischen Zustelldienstes abgesendet oder empfangen werden,
gilt die rechtliche Vermutung der Unversehrtheit der Daten und der Korrektheit
des vom qualifizierten elektronischen Zustellsystem angegebenen Datums und der
Uhrzeit der Absendung oder des Empfangs.
(3) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zu erlassen, um zur Förderung der Interoperabilität
elektronischer Zustelldienste Mechanismen zum Absenden und Empfangen von Daten
mittels elektronischer Zustelldienste festzulegen.
Artikel 36
Anforderungen
an qualifizierte elektronische Zustelldienste
(1) Qualifizierte elektronische Zustelldienste
müssen folgende Anforderungen erfüllen:
a)           sie müssen von einem oder mehreren
qualifizierten Vertrauensdiensteanbietern erbracht werden;
b)           sie müssen die eindeutige
Identifizierung des Absenders und gegebenenfalls des Empfängers ermöglichen;
c)           der Prozess des Absendens oder
Empfangens der Daten muss durch eine fortgeschrittene elektronische Signatur
oder ein fortgeschrittenes elektronisches Siegel eines qualifizierten
Vertrauensdiensteanbieters auf eine Weise gesichert sein, die jede Möglichkeit
einer unbemerkten Veränderung der Daten ausschließt;
d)           jede Veränderung der Daten, die zum
Absenden oder Empfangen der Daten nötig ist, muss dem Absender und dem
Empfänger der Daten deutlich angezeigt werden;
e)           das Datum des Absendens, Empfangens
oder einer Änderung der Daten muss durch einen qualifizierten elektronischen
Zeitstempel angezeigt werden;
f)            im Fall der Weiterleitung der Daten
zwischen zwei oder mehreren qualifizierten Vertrauensdiensteanbietern gelten
die Anforderungen der Buchstaben a bis e für alle beteiligten
qualifizierten Vertrauensdiensteanbieter.
(2) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für Prozesse des Absendens und
Empfangens von Daten festlegen. Bei Prozessen des Absendens und Empfangens von
Daten, die diesen Normen entsprechen, wird davon ausgegangen, dass sie die
Anforderungen des Absatzes 1 erfüllen. Solche Durchführungsrechtsakte
werden nach dem in Artikel 39 Absatz 2 genannten Prüfverfahren
erlassen. Die Kommission veröffentlicht solche Rechtsakte im Amtsblatt der
Europäischen Union.
Abschnitt 8
Website-Authentifizierung
Artikel 37
Anforderungen
an qualifizierte Zertifikate für die Website-Authentifizierung
(1) Qualifizierte Zertifikate für die
Website-Authentifizierung müssen die Anforderungen des Anhangs IV
erfüllen.
(2) Qualifizierte Zertifikate für die
Website-Authentifizierung werden in allen Mitgliedstaaten anerkannt und
akzeptiert.
(3) Die Kommission wird ermächtigt, delegierte
Rechtsakte gemäß Artikel 38 zur Präzisierung der in Anhang IV festgelegten
Anforderungen zu erlassen.
(4) Die Kommission kann mittels
Durchführungsrechtsakten Verweise auf Normen für qualifizierte Zertifikate für
die Website-Authentifizierung festlegen. Bei Zertifikaten für die
Website-Authentifizierung, die diesen Normen entsprechen, wird davon
ausgegangen, dass sie die Anforderungen des Anhangs IV erfüllen. Solche
Durchführungsrechtsakte werden nach dem in Artikel 39 Absatz 2
genannten Prüfverfahren erlassen. Die Kommission veröffentlicht solche Rechtsakte
im Amtsblatt der Europäischen Union.
KAPITEL IV
DELEGIERTE
RECHTSAKTE
Artikel 38
Befugnisübertragung
(1) Die Befugnis zum Erlass delegierter
Rechtsakte wird der Kommission unter den in diesem Artikel festgelegten
Bedingungen übertragen.
(2) Die Befugnis zum Erlass der in
Artikel 8 Absatz 3, Artikel 13 Absatz 5, Artikel 15
Absatz 5, Artikel 16 Absatz 5, Artikel 18 Absatz 5,
Artikel 20 Absatz 6, Artikel 21 Absatz 4, Artikel 23
Absatz 3, Artikel 25 Absatz 2, Artikel 27 Absatz 2,
Artikel 28 Absatz 6, Artikel 29 Absatz 4, Artikel 30
Absatz 2, Artikel 31, Artikel 35 Absatz 3 und
Artikel 37 Absatz 3 genannten delegierten Rechtsakte wird der
Kommission auf unbestimmte Zeit ab Inkrafttreten dieser Verordnung übertragen.
(3) Die Befugnisübertragung gemäß
Artikel 8 Absatz 3, Artikel 13 Absatz 5, Artikel 15
Absatz 5, Artikel 16 Absatz 5, Artikel 18 Absatz 5,
Artikel 20 Absatz 6, Artikel 21 Absatz 4, Artikel 23
Absatz 3, Artikel 25 Absatz 2, Artikel 27 Absatz 2,
Artikel 28 Absatz 6, Artikel 29 Absatz 4, Artikel 30
Absatz 2, Artikel 31, Artikel 35 Absatz 3 und
Artikel 37 Absatz 3 kann vom Europäischen Parlament oder vom Rat
jederzeit widerrufen werden. Der Beschluss über den Widerruf beendet die
Übertragung der darin genannten Befugnisse. Er wird am Tag nach seiner
Veröffentlichung im Amtsblatt der Europäischen Union oder zu einem darin
angegebenen späteren Zeitpunkt wirksam. Die Gültigkeit bereits in Kraft
getretener delegierter Rechtsakte wird von dem Beschluss nicht berührt.
(4) Sobald die Kommission einen delegierten
Rechtsakt erlässt, übermittelt sie ihn gleichzeitig dem Europäischen Parlament
und dem Rat.
(5) Ein delegierter Rechtsakt, der gemäß
Artikel 8 Absatz 3, Artikel 13 Absatz 5, Artikel 15
Absatz 5, Artikel 16 Absatz 5, Artikel 18 Absatz 5,
Artikel 20 Absatz 6, Artikel 21 Absatz 4, Artikel 23
Absatz 3, Artikel 25 Absatz 2, Artikel 27 Absatz 2,
Artikel 28 Absatz 6, Artikel 29 Absatz 4, Artikel 30
Absatz 2, Artikel 31, Artikel 35 Absatz 3 und Artikel 37
Absatz 3 erlassen wurde, tritt nur in Kraft, wenn weder das Europäische Parlament
noch der Rat innerhalb von zwei Monaten nach Übermittlung dieses Rechtsakts an
das Europäische Parlament und den Rat Einwände erhoben haben oder wenn vor
Ablauf dieser Frist sowohl das Europäische Parlament als auch der Rat der
Kommission mitgeteilt haben, dass sie keine Einwände erheben werden. Auf
Veranlassung des Europäischen Parlaments oder des Rates wird diese Frist um
zwei Monate verlängert.
KAPITEL V
DURCHFÜHRUNGSRECHTSAKTE
Artikel 39
Ausschussverfahren
(1) Die Kommission wird von einem Ausschuss
unterstützt. Dieser Ausschuss ist ein Ausschuss im Sinne der Verordnung (EU)
Nr. 182/2011.
(2) Wird auf diesen Absatz Bezug genommen, so
gilt Artikel 5 der Verordnung 182/2011.
KAPITEL VI
SCHLUSSBESTIMMUNGEN
Artikel 40
Berichterstattung
Die Kommission erstattet dem Europäischen
Parlament und dem Rat Bericht über die Anwendung dieser Verordnung. Der erste
Bericht wird spätestens vier Jahre nach Inkrafttreten dieser Verordnung
vorgelegt. Danach wird alle vier Jahre ein weiterer Bericht vorgelegt.
Artikel 41
Aufhebung
(1) Die Richtlinie 1999/93/EG wird aufgehoben.
(2) Bezugnahmen auf die aufgehobene Richtlinie
gelten als Bezugnahmen auf diese Verordnung.
(3) Sichere Signaturerstellungseinheiten,
deren Übereinstimmung mit den Anforderungen gemäß Artikel 3 Absatz 4
der Richtlinie 1999/93/EG festgestellt wurde, gelten als qualifizierte
Signaturerstellungseinheiten gemäß dieser Verordnung.
(4) Qualifizierte Zertifikate, die gemäß der
Richtlinie 1999/93/EG ausgestellt worden sind, gelten bis zu ihrem Ablauf, aber
nicht länger als 5 Jahre ab dem Inkrafttreten dieser Verordnung, als
qualifizierte Zertifikate für elektronische Signaturen gemäß dieser Verordnung.
Artikel 42
Inkrafttreten
Diese Verordnung tritt am 20. Tag nach
ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Diese
Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem
Mitgliedstaat.
Geschehen zu Brüssel am 
Im Namen des Europäischen Parlaments     Im
Namen des Rates
Der Präsident                                                Der
Präsident
ANHANG I
Anforderungen
an qualifizierte Zertifikate für elektronische Signaturen
Qualifizierte Zertifikate für elektronische
Signaturen enthalten
a)           eine Angabe, dass das Zertifikat als
qualifiziertes Zertifikat für elektronische Signaturen ausgestellt wurde,
zumindest in einer zur automatischen Verarbeitung geeigneten Form;
b)           einen Datensatz, der den
qualifizierten Vertrauensdiensteanbieter, der die qualifizierten Zertifikate
ausstellt, eindeutig repräsentiert und zumindest die Angabe des Mitgliedstaates
enthält, in dem der Anbieter niedergelassen ist, sowie
–              
für eine juristische Person: den Namen und die
Registriernummer gemäß der amtlichen Eintragung,
–              
für eine natürliche Person: den Namen der Person;
c)           einen Datensatz, der den
Unterzeichner, dem das Zertifikat ausgestellt wird, eindeutig repräsentiert und
zumindest den Namen des Unterzeichners oder ein Pseudonym, das als solches
gekennzeichnet ist, enthält;
d)           elektronische
Signaturvalidierungsdaten, die den elektronischen Signaturerstellungsdaten
entsprechen;
e)           Angaben zu Beginn und Ende der
Gültigkeitsdauer des Zertifikats;
f)            den Identitätscode des Zertifikats,
der für den qualifizierten Vertrauensdiensteanbieter eindeutig sein muss;
g)           die fortgeschrittene elektronische
Signatur oder das fortgeschrittene elektronische Siegel des ausstellenden
qualifizierten Vertrauensdiensteanbieters;
h)           den Ort, an dem das Zertifikat, das
der fortgeschrittenen elektronischen Signatur oder dem fortgeschrittenen
elektronischen Siegel gemäß Buchstabe g zugrunde liegt, kostenlos zur
Verfügung steht;
i)            den Ort, an dem die Dienste für die
Abfrage des Zertifikatsgültigkeitsstatus genutzt werden können, um den
Gültigkeitsstatus des qualifizierten Zertifikats zu überprüfen;
j)            falls die elektronischen
Signaturerstellungsdaten, die den elektronischen Signaturvalidierungsdaten
entsprechen, sich in einer qualifizierten elektronischen
Signaturerstellungseinheit befinden, eine geeignete Angabe dieses Umstands,
zumindest in einer zur automatischen Verarbeitung geeigneten Form.
ANHANG II
Anforderungen
an qualifizierte Signaturerstellungseinheiten
1. Qualifizierte elektronische
Signaturerstellungseinheiten müssen durch geeignete Technik und Verfahren
zumindest gewährleisten, dass
a)           die zum Erzeugen der elektronischen
Signatur verwendeten elektronischen Signaturerstellungsdaten geheim bleiben;
b)           die zum Erzeugen der elektronischen
Signatur verwendeten elektronischen Signaturerstellungsdaten nur einmal
vorkommen können;
c)           die zum Erzeugen der elektronischen
Signatur verwendeten elektronischen Signaturerstellungsdaten mit hinreichender
Sicherheit nicht abgeleitet werden können und die elektronische Signatur bei
Verwendung der jeweils verfügbaren Technik vor Fälschungen geschützt ist;
d)           die zum Erzeugen der elektronischen
Signatur verwendeten elektronischen Signaturerstellungsdaten vom rechtmäßigen
Unterzeichner gegen eine Verwendung durch andere verlässlich geschützt werden
können.
2. Qualifizierte elektronische
Signaturerstellungseinheiten dürfen die zu unterzeichnenden Daten nicht
verändern und nicht verhindern, dass dem Unterzeichner diese Daten vor dem
Unterzeichnen angezeigt werden.
3. Das Erzeugen oder Verwalten von
elektronischen Signaturerstellungsdaten im Namen eines Unterzeichners darf nur
von einem qualifizierten Vertrauensdiensteanbieter durchgeführt werden.
4. Qualifizierte Vertrauensdiensteanbieter,
die elektronische Signaturerstellungsdaten im Namen des Unterzeichners
verwalten, können die elektronischen Signaturerstellungsdaten zu
Sicherungszwecken kopieren, sofern folgende Anforderungen erfüllt sind:
a)           die kopierten Datensätze müssen das
gleiche Sicherheitsniveau wie die Original-Datensätze aufweisen;
b)           es dürfen nicht mehr kopierte
Datensätze vorhanden sein als zur Gewährleistung der Dienstleistungskontinuität
unbedingt nötig.
ANHANG III
Anforderungen
an qualifizierte Zertifikate für elektronische Siegel
Qualifizierte Zertifikate für elektronische
Siegel enthalten
a)           eine Angabe, dass das Zertifikat als
qualifiziertes Zertifikat für elektronische Siegel ausgestellt wurde, zumindest
in einer zur automatischen Verarbeitung geeigneten Form;
b)           einen Datensatz, der den
qualifizierten Vertrauensdiensteanbieter, der die qualifizierten Zertifikate
ausstellt, eindeutig repräsentiert und zumindest die Angabe des Mitgliedstaates
enthält, in dem der Anbieter niedergelassen ist, sowie
–              
für eine juristische Person: den Namen und die
Registriernummer gemäß der amtlichen Eintragung,
–              
für eine natürliche Person: den Namen der Person;
c)           einen Datensatz, der die juristische
Person, der das Zertifikat ausgestellt wird, eindeutig repräsentiert und
zumindest den Namen und die Registriernummer gemäß der amtlichen Eintragung
enthält;
d)           elektronische
Siegelvalidierungsdaten, die den elektronischen Siegelerstellungsdaten
entsprechen;
e)           Angaben zu Beginn und Ende der
Gültigkeitsdauer des Zertifikats;
f)            den Identitätscode des Zertifikats,
der für den qualifizierten Vertrauensdiensteanbieter eindeutig sein muss;
g)           die fortgeschrittene elektronische
Signatur oder das fortgeschrittene elektronische Siegel des ausstellenden
qualifizierten Vertrauensdiensteanbieters;
h)           den Ort, an dem das Zertifikat, das
der fortgeschrittenen elektronischen Signatur oder dem fortgeschrittenen
elektronischen Siegel gemäß Buchstabe g zugrunde liegt, kostenlos zur
Verfügung steht;
i)            den Ort, an dem die Dienste für die
Abfrage des Zertifikatsgültigkeitsstatus genutzt werden können, um den
Gültigkeitsstatus des qualifizierten Zertifikats zu überprüfen;
j)            falls die elektronischen
Siegelerstellungsdaten, die den elektronischen Siegelvalidierungsdaten
entsprechen, sich in einer qualifizierten elektronischen
Siegelerstellungseinheit befinden, eine geeignete Angabe dieses Umstands,
zumindest in einer zur automatischen Verarbeitung geeigneten Form.
ANHANG IV
Anforderungen
an qualifizierte Zertifikate für die Website-Authentifizierung
Qualifizierte Zertifikate für die
Website-Authentifizierung enthalten:
(a)                   
eine Angabe, dass das Zertifikat als qualifiziertes
Zertifikat für die Website-Authentifizierung ausgestellt wurde, zumindest in
einer zur automatischen Verarbeitung geeigneten Form;
(b)                   
einen Datensatz, der den qualifizierten
Vertrauensdiensteanbieter, der die qualifizierten Zertifikate ausstellt,
eindeutig repräsentiert und zumindest die Angabe des Mitgliedstaates enthält,
in dem der Anbieter niedergelassen ist, sowie
–              
für eine juristische Person: den Namen und die
Registriernummer gemäß der amtlichen Eintragung,
–              
für eine natürliche Person: den Namen der Person;
c)           einen Datensatz, der die juristische
Person, der das Zertifikat ausgestellt wird, eindeutig repräsentiert und
zumindest den Namen und die Registriernummer gemäß der amtlichen Eintragung
enthält;
d)           Bestandteile der Anschrift der
juristischen Person, der das Zertifikat ausgestellt wird, zumindest den Ort und
den Mitgliedstaat, gemäß der amtlichen Eintragung;
e)           die Domänennamen, die von der
juristischen Person, der das Zertifikat ausgestellt wird, betrieben werden;
f)            Angaben zu Beginn und Ende der
Gültigkeitsdauer des Zertifikats;
g)           den Identitätscode des Zertifikats,
der für den qualifizierten Vertrauensdiensteanbieter eindeutig sein muss;
h)           die fortgeschrittene elektronische
Signatur oder das fortgeschrittene elektronische Siegel des ausstellenden
qualifizierten Vertrauensdiensteanbieters;
i)            den Ort, an dem das Zertifikat, das
der fortgeschrittenen elektronischen Signatur oder dem fortgeschrittenen
elektronischen Siegel gemäß Buchstabe h zugrunde liegt, kostenlos zur
Verfügung steht;
j)            den Ort, an dem die Dienste für die
Abfrage des Zertifikatsgültigkeitsstatus genutzt werden können, um den Gültigkeitsstatus
des qualifizierten Zertifikats zu überprüfen.
FINANZBOGEN
ZU RECHTSAKTEN
1.           RAHMEN DES VORSCHLAGS/DER INITIATIVE
In diesem Finanzbogen wird der Bedarf an
Verwaltungsmitteln für die Umsetzung der vorgeschlagenen Verordnung über die
elektronische Identifizierung und Vertrauensdienste für elektronische
Transaktionen im Binnenmarkt aufgeführt.
Im Anschluss an das Rechtsetzungsverfahren und die
Gespräche über die Verabschiedung der vorgeschlagenen Verordnung durch das
Europäische Parlament und den Rat wird die Kommission zwölf Vollzeitäquivalente
(FTE) benötigen, um die zugehörigen delegierten Durchführungsvorschriften
auszuarbeiten, für die Verfügbarkeit organisatorischer und technischer
Standards zu sorgen und die von den Mitgliedstaaten übermittelten Informationen
zu bearbeiten, insbesondere aber auch für die Pflege der Informationen in Bezug
auf Vertrauenslisten, die Bekanntmachung der Vorteile der elektronischen
Identifizierung, Authentifizierung und Signatur sowie der einschlägigen Vertrauensdienste
(eIAS) bei den Beteiligten (vor allem Bürger und KMU) sowie die Aufnahme von
Gesprächen mit Drittländern über die Herstellung der eIAS-Interoperabilität auf
weltweiter Ebene.
1.1         Bezeichnung des
Vorschlags/der Initiative
Vorschlag der Kommission für eine Verordnung über die elektronische
Identifizierung und Vertrauensdienste für elektronische Transaktionen im
Binnenmarkt
1.2         Politikbereiche in der
ABM/ABB-Struktur[25]
09 INFORMATIONSGESELLSCHAFT
1.3         Art des Vorschlags/der
Initiative
¨ Der Vorschlag/die Initiative betrifft eine neue Maßnahme.
¨ Der Vorschlag/die Initiative betrifft eine neue Maßnahme im
Anschluss an ein Pilotprojekt/eine vorbereitende Maßnahme[26].
¨ Der Vorschlag/die Initiative betrifft die Verlängerung einer
bestehenden Maßnahme.
þ Der Vorschlag/die Initiative betrifft eine neu ausgerichtete
Maßnahme.
1.4         Ziele
1.4.1      Mit dem Vorschlag/der
Initiative verfolgte mehrjährige strategische Ziele der Kommission
Die
allgemeinen Ziele des Vorschlags entsprechen denen der allgemeinen EU-Politik, in
die sich der Vorschlag einfügt, wie beispielsweise der Strategie
Europa 2020. So wird angestrebt, die EU „in eine intelligente, nachhaltige
und integrative Wirtschaft zu verwandeln, die durch ein hohes Beschäftigungs-
und Produktivitätsniveau sowie einen ausgeprägten sozialen Zusammenhalt
gekennzeichnet ist“.
1.4.2      Einzelziel(e) und
ABM/ABB-Tätigkeiten
Erhöhung
des Vertrauens in europaweite elektronische Transaktionen und
grenzübergreifende rechtliche Anerkennung der elektronischen Identifizierung,
Authentifizierung und Signaturen sowie zugehöriger einschlägiger Dienste,
ferner ein hoher Datenschutz und die Stärkung der Benutzer im Binnenmarkt
(siehe die Digitale Agenda für Europa, Schlüsselaktionen 3 und 16).
ABM/ABB-Tätigkeiten
09 02
– Rechtsrahmen für die Digitale Agenda für Europa
1.4.3      Erwartete(s) Ergebnisse und
Auswirkungen
Bitte geben Sie an,
wie sich der Vorschlag/die Initiative auf die Begünstigten/Zielgruppe auswirken
dürfte.
Schaffung klarer
rechtlicher Rahmenbedingungen für eIAS-Dienste zur Steigerung der
Benutzerfreundlichkeit und des Vertrauens in der digitalen Welt.
1.4.4      Leistungs- und
Erfolgsindikatoren
Bitte geben Sie an,
anhand welcher Indikatoren sich die Realisierung des Vorschlags/der Initiative
verfolgen lässt.
1. Existenz von eIAS-Anbietern,
die in mehreren EU-Mitgliedstaaten tätig sind;
2. Umfang, in dem Geräte
(z. B. Chipkartenlesegeräte) zwischen Sektoren und Ländern interoperabel
werden;
3. Nutzung von
eIAS-Diensten durch alle Bevölkerungskategorien;
4. Ausmaß der Nutzung
von eIAS-Diensten durch Endnutzer für nationale und internationale
(grenzüberschreitende) Transaktionen;
5. Grad der
Harmonisierung der eIAS-Regulierung zwischen den Mitgliedstaaten;
6. der Kommission
notifizierte elektronische Identifizierungssysteme;
7. Dienste, die mit
notifizierten elektronischen Identifizierungsmitteln im öffentlichen Sektor
genutzt werden können (z. B. eGovernment, eGesundheit, eJustiz,
eBeschaffung);
8. Dienste, die im Privatsektor mit notifizierten
elektronischen Identifizierungsmitteln genutzt werden können (z. B.
Online-Bankgeschäfte, elektronischer Handel, elektronische Glücksspiele,
Anmeldung auf Websites, Safer-Internet-Dienste).
1.5         Begründung des Vorschlags/der
Initiative
1.5.1      Kurz- oder langfristig zu
deckender Bedarf
Die
abweichende nationale Umsetzung der Richtlinie über elektronische Signaturen,
die auf ihre unterschiedliche Auslegung zurückgeht, führt zu
grenzübergreifenden Interoperabilitätsproblemen und dadurch zu einer
segmentierten EU-Landschaft sowie zu Verzerrungen im Binnenmarkt. Gleichzeitig
besteht ein Mangel an Vertrauen in elektronische Systeme, der die europäischen
Bürger daran hindert, sich in der digitalen Welt die gleichen Dienste wie in
der physischen Welt zunutze zu machen.
1.5.2      Mehrwert durch die
Intervention der EU
Ein
Vorgehen auf EU-Ebene würde deutliche Vorteile gegenüber Maßnahmen der
einzelnen Mitgliedstaaten bringen. Die Erfahrung hat gezeigt, dass nationale
Maßnahmen nicht nur unzulänglich sind, um elektronische Transaktionen
grenzüberschreitend zu ermöglichen, sondern dass sie ganz im Gegenteil zu
Hindernissen bei der EU-weiten Interoperabilität elektronischer Signaturen
geführt haben und dass von ihnen derzeit die gleiche Wirkung auf die
elektronische Identifizierung, Authentifizierung und einschlägige Vertrauensdienste
ausgeht.
1.5.3      Aus früheren ähnlichen
Maßnahmen gewonnene wesentliche Erkenntnisse
Der
Vorschlag baut auf den Erfahrungen mit der e-Signatur-Richtlinie und mit den
Problemen aufgrund der unterschiedlichen Um- und Durchsetzung der Richtlinie
auf, die ein Erreichen der Ziele bislang verhindert haben.
1.5.4      Kohärenz mit anderen
Finanzierungsinstrumenten sowie mögliche Synergieeffekte
Auf
die Richtlinie über elektronische Signaturen wird in mehreren anderen
EU-Initiativen Bezug genommen, die ergriffen wurden, um
Interoperabilitätsprobleme zu beseitigen und Fragen der grenzübergreifende
Anerkennung und Akzeptierung bestimmter Arten elektronischer Interaktionen zu
klären, z. B. in der Dienstleistungsrichtlinie, den Richtlinien zum
öffentlichen Auftragswesen, der neugefassten Mehrwertsteuer-Richtlinie
(elektronische Rechnungslegung) und der Verordnung über die europäische
Bürgerinitiative.
Darüber
hinaus wird die vorgeschlagene Verordnung einen Rechtsrahmen schaffen, der eine
breite Übernahme von Großpilotprojekten begünstigt, die auf EU-Ebene
eingerichtet wurden, um die Entwicklung interoperabler und vertrauenswürdiger
elektronischer Kommunikationsmittel zu unterstützen (darunter SPOCS für die
Umsetzung der Dienstleistungsrichtlinie, STORK für die Entwicklung und Nutzung
interoperabler eIDs, PEPPOL für die Entwicklung und Nutzung interoperabler
e-Beschaffungslösungen, epSOS für die Entwicklung und Nutzung interoperabler
e-Gesundheitslösungen, eCodex für die Entwicklung und Nutzung interoperabler e-Justiz-Lösungen).
1.6         Dauer der Maßnahme und ihrer
finanziellen Auswirkungen
¨ Vorschlag/Initiative mit befristeter
Geltungsdauer
–     
¨  Geltungsdauer: [TT/MM]JJJJ bis [TT/MM]JJJJ
–     
¨  Finanzielle Auswirkungen: JJJJ bis JJJJ
þ Vorschlag/Initiative mit unbefristeter
Geltungsdauer
1.7         Vorgeschlagene Methoden der
Mittelverwaltung[27]
þ Direkte zentrale Verwaltung durch die Kommission
¨ Indirekte zentrale Verwaltung durch Übertragung von Haushaltsvollzugsaufgaben an:
–     
¨  Exekutivagenturen
–     
¨  von den Europäischen Gemeinschaften geschaffene Einrichtungen[28]
–     
¨  nationale öffentliche Einrichtungen bzw. privatrechtliche
Einrichtungen, die im öffentlichen Auftrag tätig werden
–     
¨  Personen, die mit der Durchführung bestimmter Maßnahmen im Rahmen des
Titels V des Vertrags über die Europäische Union betraut und in dem
maßgeblichen Basisrechtsakt nach Artikel 49 der Haushaltsordnung
bezeichnet sind
¨ Mit den Mitgliedstaaten geteilte
Verwaltung
¨ Dezentrale Verwaltung mit Drittstaaten
¨ Gemeinsame Verwaltung mit internationalen Organisationen (bitte auflisten)
Falls mehrere Methoden
der Mittelverwaltung zum Einsatz kommen, ist dies unter „Bemerkungen“ näher zu
erläutern.
Bemerkungen
[//]
2.           VERWALTUNGSMASSNAHMEN
2.1         Monitoring und
Berichterstattung
Bitte geben Sie an,
wie oft und unter welchen Bedingungen diese Tätigkeiten erfolgen.
Die
erste Bewertung wird vier Jahre nach Inkrafttreten der Verordnung vorgenommen.
Die Verordnung enthält eine ausdrückliche Berichterstattungsklausel, wonach die
Kommission dem Europäischen Parlament und dem Rat über die Anwendung Bericht
erstatten muss. Danach wird alle vier Jahre ein weiterer Bericht vorgelegt. Die
Bewertung erfolgt nach der einschlägigen Methode der Kommission. Dazu werden
u. a. gezielte Studien zur Umsetzung der Rechtsinstrumente, Fragebögen an nationale
Behörden, Sachverständigendiskussionen, Workshops und Eurobarometer-Umfragen
durchgeführt.
2.2         Verwaltungs- und
Kontrollsystem
2.2.1      Ermittelte Risiken
Zu
dem Verordnungsvorschlag wurde eine Folgenabschätzung durchgeführt. Das neue
Rechtsinstrument wird für die gegenseitige Anerkennung und Akzeptierung der
grenzüberschreitenden elektronischen Identifizierung sorgen und den derzeitigen
Rahmen für elektronische Signaturen verbessern, indem es insbesondere die
nationale Beaufsichtigung der Vertrauensdiensteanbieter stärkt und den
zugehörigen Vertrauensdiensten Rechtswirkung und Anerkennung verleiht. Außerdem
sieht es die Verwendung von delegierten Rechtsakten und
Durchführungsvorschriften als Mechanismus zur Gewährleistung der Flexibilität
gegenüber technologischen Entwicklungen vor.
2.2.2      Vorgesehene Kontrollen
Die
Verwaltung der zusätzlichen Mittel wird nach den bestehenden Verfahren der
Kommission kontrolliert.
2.3         Prävention von Betrug und
Unregelmäßigkeiten
Bitte geben Sie an,
welche Präventions- und Schutzmaßnahmen vorhanden oder vorgesehen sind.
Die
Prävention von Betrug und Unregelmäßigkeiten erfolgt nach den üblichen
Verfahren der Kommission.
3.           GESCHÄTZTE FINANZIELLE AUSWIRKUNGEN DES
VORSCHLAGS/DER INITIATIVE
3.1         Betroffene Rubrik(en) des mehrjährigen
Finanzrahmens und Ausgabenlinie(n):
·      Bestehende Haushaltslinien
In der Reihenfolge der
Rubriken des mehrjährigen Finanzrahmens und der Haushaltslinien.
 Rubrik des mehrjährigen Finanzrahmens || Haushaltslinie || Art der Ausgaben || Finanzierungsbeiträge 
 Nummer [Bezeichnung…………………………] || GM/NGM ([29])   || von EFTA-Ländern[30]   || von Bewerber­ländern[31]   || von Dritt­ländern || nach Artikel 18 Absatz 1 Buchstabe aa der Haushalts­ordnung 
 5 || 09. 01 01 01 Ausgaben für Personal im aktiven Dienst der Generaldirektion Informationsgesellschaft und Medien || NGM || Nein || Nein || Nein || Nein 
 5 || 09. 01 02 01 Externes Personal || NGM || Nein || Nein || Nein || Nein 
3.2         Geschätzte Auswirkungen auf
die Ausgaben
3.2.1      Übersicht
in Mio. EUR (3 Dezimalstellen)
 Rubrik des mehrjährigen Finanzrahmens || Nummer || [Bezeichnung: 1. Intelligentes und integratives Wachstum] 
 GD: INFSO ||   ||   || Jahr 2014 || Jahr 2015 || Jahr 2016 || Jahr 2017 || Jahr 2018 || Jahr 2019 || Jahr 2020 || INSGESAMT 
  Operative Mittel ||   ||   ||   ||   ||   ||   ||   ||   
 Nummer der Haushaltslinie – k.A. || Verpflichtungen || (1) || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 
 Zahlungen || (2) || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 
 Nummer der Haushaltslinie – k.A. || Verpflichtungen || (1a) || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 
 Zahlungen || (2a) || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 
 Aus der Dotation bestimmter operativer Programme finanzierte Verwaltungsausgaben[32] || 0.000 || 0.000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 
 Nummer der Haushaltslinie ||   || (3) || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 
 Mittel INSGESAMT für DG INFSO || Verpflichtungen || =1+1a +3 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 
 Zahlungen || =2+2a +3 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 || 0,000 
 Rubrik des mehrjährigen Finanzrahmens: || 5 || „Verwaltungsausgaben“ 
in Mio. EUR (3 Dezimalstellen)
   ||   ||   || Jahr 2014 || Jahr 2015 || Jahr 2016 || Jahr 2017 || Jahr 2018 || Jahr 2019 || Jahr 2020 || INSGESAMT 
 GD: INFSO 
  Personalausgaben || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 9,408 
  Sonstige Verwaltungsausgaben ||   ||   ||   ||   ||   ||   ||   ||   
 GD INFSO INSGESAMT || Mittel || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 9,408 
 Mittel INSGESAMT unter RUBRIK 5 des mehrjährigen Finanzrahmens || (Verpflichtungen insges. = Zahlungen insges.) || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 9,408 
in Mio. EUR (3 Dezimalstellen)
   ||   ||   || Jahr 2014 || Jahr 2015 || Jahr 2016 || Jahr 2017 || Jahr 2018 || Jahr 2019 || Jahr 2020 || INSGESAMT 
 Mittel INSGESAMT unter RUBRIKEN 1 bis 5 des mehrjährigen Finanzrahmens || Verpflichtungen || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 9,408 
 Zahlungen || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 9,408 
3.2.2      Geschätzte Auswirkungen auf
die operativen Mittel
–     
þ  Für den Vorschlag/die Initiative werden keine operativen Mittel
benötigt.
–     
¨  Für den Vorschlag/die Initiative werden die folgenden operativen
Mittel benötigt:
3.2.3      Geschätzte Auswirkungen auf
die Verwaltungsmittel
3.2.3.1   Übersicht
–     
¨  Für den Vorschlag/die Initiative werden keine Verwaltungsmittel
benötigt.
–     
þ  Für den Vorschlag/die Initiative werden die folgenden
Verwaltungsmittel benötigt:
in Mio. EUR (3 Dezimalstellen)
   || Jahr N 2014 || Jahr 2015 || Jahr 2016 || Jahr 2017 || Jahr 2018 || Jahr 2019 || Jahr 2020 || INSGESAMT 
 RUBRIK 5 des mehrjährigen Finanzrahmens ||   ||   ||   ||   ||   ||   ||   ||   
 Personalausgaben || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 9,408 
 Sonstige Verwaltungs­ausgaben ||   ||   ||   ||   ||   ||   ||   ||   
 Zwischensumme RUBRIK 5 des mehrjährigen Finanzrahmens || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 9,408 
 Außerhalb der RUBRIK 5[33] des mehrjährigen Finanzrahmens   ||   ||   ||   ||   ||   ||   ||   ||   
 Personalausgaben ||   ||   ||   ||   ||   ||   ||   ||   
 Sonstige Verwaltungs­ausgaben ||   ||   ||   ||   ||   ||   ||   ||   
 Zwischensumme der Mittel außerhalb der RUBRIK 5 des mehrjährigen Finanzrahmens ||   ||   ||   ||   ||   ||   ||   ||   
 INSGESAMT || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 1,344 || 9,408 
3.2.3.2   Geschätzter Personalbedarf
–     
¨  Für den Vorschlag/die Initiative wird kein Personal benötigt.
–     
þ  Für den Vorschlag/die Initiative wird das folgende Personal benötigt:
Schätzung in ganzzahligen Werten (oder mit
höchstens einer Dezimalstelle)
   || Jahr 2014 || Jahr 2015 || Jahr 2016 || Jahr 2017 || Jahr 2018 || Jahr 2019 || Jahr 2020 
  Im Stellenplan vorgesehene Planstellen (Beamte und Bedienstete auf Zeit) 
 09 01 01 01 (am Sitz und in den Vertretungen der Kommission) || 9 || 9 || 9 || 9 || 9 || 9 || 9 
 XX 01 01 02 (in den Delegationen) ||   ||   ||   ||   ||   ||   ||   
 XX 01 05 01 (indirekte Forschung) ||   ||   ||   ||   ||   ||   ||   
 10 01 05 01 (direkte Forschung) ||   ||   ||   ||   ||   ||   ||   
  Externes Personal (in Vollzeitäquivalenten = FTE)[34]   
 09 01 02 01 (AC, INT, ANS der Globaldotation) || 3 || 3 || 3 || 3 || 3 || 3 || 3 
 XX 01 02 02 (AC, AL, JED, INT und ANS in den Delegationen) ||   ||   ||   ||   ||   ||   ||   
 XX 01 04 yy[35]   || am Sitz[36] ||   ||   ||   ||   ||   ||   ||   
 in den Delegationen ||   ||   ||   ||   ||   ||   ||   
 XX 01 05 02 (AC, INT, ANS der indirekten Forschung) ||   ||   ||   ||   ||   ||   ||   
 10 01 05 02 (AC, INT, ANS der direkten Forschung) ||   ||   ||   ||   ||   ||   ||   
 Sonstige Haushaltslinien (bitte angeben) ||   ||   ||   ||   ||   ||   ||   
 INSGESAMT || 12 || 12 || 12 || 12 || 12 || 12 || 12 
Der Personalbedarf wird
durch bereits der Verwaltung der Maßnahme zugeordnetes Personal der GD oder
GD-interne Personalumsetzung gedeckt. Hinzu kommen etwaige zusätzliche Mittel
für Personal, die der für die Verwaltung der Maßnahme zuständigen GD nach
Maßgabe der verfügbaren Mittel im Rahmen der jährlichen Mittelzuweisung
zugeteilt werden.
Beschreibung der
auszuführenden Aufgaben:
 Beamte und Zeitbedienstete || Verwaltung der Rechtsetzungsverfahren zur Verabschiedung der geplanten Verordnung durch das Europäische Parlament und den Rat sowie der zugehörigen delegierten Rechtsakte/Durchführungsvorschriften. Schwerpunktbereiche: 1. Schaffung eines neuen Rechtsrahmens für elektronische Vertrauensdienste 2. Förderung der Übernahme elektronischer Vertrauensdienste durch Aufklärung der KMU und Bürger über deren Potenzial 3. Weiterverfolgung der Anwendung der Richtlinie 1999/93/EG einschließlich der internationalen Aspekte 4. Nutzbarmachung der Großpilotprojekte zur Beschleunigung der konkreten Verwirklichung der Ziele des neuen Rechtsrahmens. 
 Externes Personal || wie oben 
3.2.4      Vereinbarkeit mit dem
mehrjährigen Finanzrahmen
–     
þ  Der Vorschlag/die Initiative ist mit dem derzeitigen mehrjährigen
Finanzrahmen vereinbar.
–     
¨  Der Vorschlag erfordert eine Anpassung der betreffenden Rubrik des
mehrjährigen Finanzrahmens.
Bitte erläutern Sie die erforderliche Anpassung unter
Angabe der einschlägigen Haushaltslinien und der entsprechenden Beträge.
–     
¨  Der Vorschlag/die Initiative erfordert eine Inanspruchnahme des
Flexibilitätsinstruments oder eine Änderung des mehrjährigen Finanzrahmens[37].
Bitte erläutern Sie den Bedarf unter Angabe der
einschlägigen Rubriken und Haushaltslinien sowie der entsprechenden Beträge.
3.2.5      Finanzierungsbeteiligung
Dritter
–     
þ Der Vorschlag/die Initiative sieht keine Kofinanzierung durch Dritte
vor.
–     
¨ Der Vorschlag/die Initiative sieht folgende Kofinanzierung vor:
3.3         Geschätzte Auswirkungen auf
die Einnahmen
–     
þ  Der Vorschlag/die Initiative wirkt sich nicht auf die Einnahmen aus.
–     
¨  Der Vorschlag/die Initiative wirkt sich auf die Einnahmen aus, und
zwar
·              
¨            auf die Eigenmittel
·              
¨            auf die sonstigen Einnahmen
[1]               KOM(2010) 245 vom 19.5.2010.
[2]               KOM(2011) 206 endg. vom 13.4.2011.
[3]               KOM(2011) 669 vom 12.10.2011.
[4]               ABl. L 13 vom 19.1.2000, S. 12.
[5]               Näheres zu den Konsultationen: http://ec.europa.eu/information_society/policy/esignature/eu_legislation/revision.
[6]               Ein Workshop der Akteure wurde am 10.3.2011 mit
Vertretern aus dem öffentlichen und dem privaten Sektor und Hochschulvertretern
veranstaltet, um zu erörtern, welche Rechtsetzungsmaßnahmen erforderlich sind,
um den bevorstehenden Herausforderungen zu begegnen. Dabei handelte es sich um
ein interaktives Forum zum Meinungsaustausch, in dem auch die unterschiedlichen
Standpunkte zu den in der öffentlichen Konsultation aufgeworfenen Fragen
aufgegriffen wurden. Mehrere Organisationen übermittelten von sich aus
Positionspapiere.
[7]               Insbesondere die vom polnischen Ratsvorsitz
veranstalteten Treffen der Mitgliedstaaten zum Thema elektronische Signaturen
am 9.11.2011 in Warschau sowie zur elektronischen Identifizierung am 17.11.2011
in Posen. Am 25.1.2012 lud die Kommission zu einem Workshop mit den Mitgliedstaaten
ein, um verbleibende Fragen im Zusammenhang mit elektronischer Identifizierung,
Authentifizierung und Signaturen zu erörtern.
[8]               Zum ersten Aspekt wurden vier Optionen geprüft:
Aufhebung der e-Signatur-Richtlinie; keine Änderung; Erhöhung der Rechtssicherheit,
verstärkte Koordinierung der nationalen Beaufsichtigung und EU-weite
Gewährleistung der gegenseitigen Anerkennung und Akzeptierung der
elektronischen Identifizierung; Erweiterung um bestimmte einschlägige
Vertrauensdienste. Der zweite Aspekt betraf die Einschätzung der relativen
Vorteile einer Rechtsetzung mittels eines oder zweier Rechtsinstrumente sowie
des Erlasses in Form einer Richtlinie oder einer Verordnung. Unter dem dritten
Aspekt wurden die Möglichkeiten der Einführung nationaler Aufsichtssysteme auf
der Grundlage gemeinsamer wesentlicher Grundanforderungen oder eines
EU-Aufsichtssystems geprüft. Bei jeder Politikoption wurde mithilfe einer
Gruppe mit Vertretern aus den beteiligten Generaldirektionen der Kommission
geprüft, inwieweit damit die Politikziele effektiv erreicht werden, welche
wirtschaftlichen Auswirkungen auf die Akteure sich daraus ergeben (auch auf den
Haushalt der EU-Organe), welche sozialen und Umweltauswirkungen mit ihr
verbunden sind und welche Auswirkungen auf Verwaltungslasten zu erwarten sind.
[9]               Mitteilung der Kommission: Europa 2020. Eine Strategie
für intelligentes, nachhaltiges und integratives Wachstum,
KOM(2010) 2020 endg. vom 3.3.2010.
[10]             Die gemäß der Entscheidung 2009/767/EG der Kommission,
geändert durch den Beschluss 2010/425/EU der Kommission, aufgestellte
„vertrauenswürdige Liste“ wird als Grundlage für einen neuen Beschluss der
Kommission über Vertrauenslisten im Rahmen dieser Verordnung dienen.
[11]             ABl. C […] vom […], S. […].
[12]             ABl. C […] vom […], S. […].
[13]             ABl. L 13 vom 19.1.2000, S. 12.
[14]             KOM(2010) 245 endg./2.
[15]             Bericht über die Unionsbürgerschaft 2010: Weniger
Hindernisse für die Ausübung von Unionsbürgerrechten,
KOM(2010) 603 endg., Abschnitt 2.2.2, Seite 15.
[16]             4.2.2011: EUCO 2/1/11.
[17]             23.10.2011: EUCO 52/1/11.
[18]             Schlussfolgerungen
des Rates zum eGovernment-Aktionsplan 2011–2015, 3093. Tagung des
Rates der Europäischen Union (Verkehr, Telekommunikation und Energie), Brüssel,
27. Mai 2011.
[19]             Entschließung des Europäischen Parlaments vom 21.9.2010 zur
Vollendung des Binnenmarktes für den elektronischen Handel, P7_TA(2010)0320,
und Entschließung des Europäischen Parlaments vom 15.6.2010 zur Verwaltung des
Internet: Die nächsten Schritte, P7_TA(2010)0208.
[20]             ABl. L 376 vom 27.12.2006, S. 36.
[21]             ABl. L 88 vom 4.4.2011, S. 45.
[22]             ABl. L 281 vom 23.11.1995, S. 31.
[23]             ABl. L 274 vom 20.10.2009, S. 36.
[24]             ABl. L 55 vom 28.2.2011, S. 13.
[25]             ABM: Activity Based Management (maßnahmenbezogenes
Management) – ABB: Activity Based Budgeting (maßnahmenbezogene
Budgetierung).
[26]             Im Sinne von Artikel 49 Absatz 6
Buchstabe a oder b der Haushaltsordnung.
[27]             Erläuterungen zu den Methoden der Mittelverwaltung und
Verweise auf die Haushaltsordnung enthält die Website BudgWeb (in
französischer und englischer Sprache): http://www.cc.cec/budg/man/budgmanag/budgmanag_en.html.
[28]             Im Sinne von Artikel 185 der Haushaltsordnung.
[29]             GM=Getrennte Mittel / NGM=Nicht getrennte Mittel.
[30]             EFTA: Europäische Freihandelsassoziation
[31]             Bewerberländer und gegebenenfalls potenzielle
Bewerberländer des Westbalkans.
[32]             Ausgaben für technische und administrative Unterstützung
und Ausgaben zur Unterstützung der Umsetzung von Programmen bzw. Maßnahmen der
EU (vormalige BA-Linien), indirekte Forschung, direkte Forschung.
[33]             Ausgaben für technische und administrative Unterstützung
und Ausgaben zur Unterstützung der Umsetzung von Programmen bzw. Maßnahmen der
EU (vormalige BA-Linien), indirekte Forschung, direkte Forschung.
[34]             AC = Vertragsbediensteter;
INT = Leiharbeitskraft („Intérimaire“); JED = Junger
Sachverständiger in Delegationen („Jeune Expert en Délégation“);
AL = örtlich Bediensteter; ANS = Abgeordneter nationaler
Sacherverständiger.
[35]             Teilobergrenze für aus den operativen Mitteln finanziertes
externes Personal (vormalige BA-Linien).
[36]             Insbesondere Strukturfonds, Europäischer
Landwirtschaftsfonds für die Entwicklung des ländlichen Raums (ELER) und
Europäischer Fischereifonds (EFF).
[37]             Siehe Nummern 19 und 24 der Interinstitutionellen
Vereinbarung.