Source: https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2015_II_410/BGBLA_2015_II_410.html
Timestamp: 2018-09-26 11:08:11
Document Index: 133786835

Matched Legal Cases: ['§ 132', '§ 131', '§ 18', '§ 2', '§ 5', '§ 2', '§ 2', '§ 2', '§ 4', '§ 131', '§ 16', '§ 16', '§ 9', '§ 9', '§ 9', '§ 17', '§ 132', '§ 9', '§ 131', '§ 10', '§ 7', '§ 10', '§ 12', '§ 18', '§ 6', '§ 6', '§ 13', '§ 14', '§ 10', '§ 15', '§ 131', '§ 5', '§ 16', '§ 18', '§ 10', '§ 10', '§ 11', '§ 10', '§ 15', '§ 16', '§ 6', '§ 6', '§ 18', '§ 5', '§ 4', '§ 9', '§ 10', '§ 18', '§ 21', '§ 20', '§ 19', '§ 131', '§ 131', '§ 25']

Ausgegeben am 11. Dezember 2015
Registrierkassensicherheitsverordnung, RKSV
410. Verordnung des Bundesministers für Finanzen über die technischen Einzelheiten für Sicherheitseinrichtungen in den Registrierkassen und andere, der Datensicherheit dienende Maßnahmen (Registrierkassensicherheitsverordnung, RKSV)
die zur technischen Umsetzung der Manipulationssicherheit elektronischer Aufzeichnungssysteme erforderlichen technischen Merkmale
der Signaturerstellungseinheit,
die zusätzlichen Anforderungen an den Beleg gemäß § 132a Abs. 8 der Bundesabgabenordnung BAO, BGBl. Nr. 164/1961,
Einzelheiten über die Erlassung von Feststellungsbescheiden betreffend geschlossene Gesamtsysteme und
den Zugriff der Behörden auf die dafür erforderlichen Daten für aufsichts- und abgabenrechtliche Zwecke.
AES-256: Verschlüsselungsverfahren nach dem Advanced Encryption Standard (AES FIPS 197 26/11/2001) mit einer Schlüssellänge von 256 Bit
Barcode: Standard „Code 128“, definiert in ISO/IEC 15417:2007
Barumsatz: Umsätze im Sinne § 131b Abs. 1 Z 3 BAO
Datenbank über Sicherheitseinrichtungen in Registrierkassen: Datenbank des Bundesministeriums für Finanzen, in der die in § 18 Abs. 2 genannten Daten betreffend die Sicherheitseinrichtungen in Registrierkassen und Kontrollen der Sicherheitseinrichtungen festgehalten werden
Datenerfassungsprotokoll (DEP): eine im Speicher der Registrierkasse oder in einem externen Speicher mitlaufende Ereignisprotokolldatei, die in Echtzeit jeweils mit Belegerstellung vollständig, fortlaufend chronologisch die Barumsätze mit Beleginhalten dokumentiert
Eingabestation: Einrichtung zur Erfassung von Barumsätzen, die mit einer Registrierkasse insbesondere zur Signierung und Dokumentation der Barumsätze verbunden ist
Elektronische Aufzeichnung: vollständige, fortlaufend chronologisch geordnete Dokumentation von Bargeschäften in elektronischer Form
Elektronische (kryptographische) Signatur: elektronische Daten, die anderen elektronischen Daten beigefügt oder mit diesen logisch verknüpft werden und die der Authentifizierung dienen im Sinne des § 2 Z 1 des Signaturgesetzes SigG, BGBl. I Nr. 190/1999
FinanzOnline: elektronisches Verfahren der Abgabenbehörde nach der FinanzOnline-Verordnung 2006, BGBl. II Nr. 97/2006, in der jeweils geltenden Fassung
Geschlossenes Gesamtsystem: elektronisches Aufzeichnungssystem, in welchem Warenwirtschafts-, Buchhaltungs- und Kassensysteme lückenlos miteinander verbunden sind und das mit mehr als 30 Registrierkassen verbunden ist
Global Location Number (GLN): von der Bundesanstalt Statistik Österreich unter der Bezeichnung „Sekundär ID“ vergebener Ordnungsbegriff
Hardware-Sicherheitsmodul (HSM): Signaturerstellungseinheit, die zur Erstellung (qualifizierter) elektronischer Signaturen verwendet wird und vor allem bei serverbasierten Lösungen zum Einsatz kommt
Homepage des Bundesministeriums für Finanzen (BMF): www.bmf.gv.at
Kassenidentifikationsnummer: über FinanzOnline gemeldetes Kennzeichen einer Registrierkasse, das auch die Unterscheidung verschiedener Registrierkassen mit gleicher Signaturerstellungseinheit ermöglicht
Maschinenlesbarer Code: Eingangswert für OCR-, Barcode- oder QR-Code-Repräsentation
Monatszähler: Summenspeicher in der Registrierkasse, der die Zwischenstände des Umsatzzählers zum Monatsende festhält
Object Identifier (OID): weltweit eindeutiger Bezeichner nach ISO/IEC 9834-1 und A 2642, der benutzt wird, um ein Informationsobjekt zu benennen. In dieser Verordnung wird der OID verwendet, um die Verwendung des Signaturzertifikates nach § 5 Abs. 1 Z 8 SigG in der jeweils geltenden Fassung, auf den Zweck 'Österreichische Finanzverwaltung Registrierkasseninhaber' einzuschränken
Optical Character Recognition (OCR): Standard OCR-A, definiert in ISO 1073-1:1976
Ordnungsbegriff des Unternehmers: ein der Abgabenbehörde bekannter Schlüssel zur Identifizierung des Unternehmers (Steuernummer, UID-Nummer, GLN)
QR-Code: zweidimensionales Symbol nach Standard JIS X 0510/2004
Registrierkasse (auch elektronische Registrierkasse): verallgemeinerte Form jedes elektronischen Datenverarbeitungssystems, das elektronische Aufzeichnungen zur Losungsermittlung und Dokumentation von einzelnen Barumsätzen erstellt, insbesondere elektronische Registrierkassen jeglicher Bauart, serverbasierte Aufzeichnungssysteme (auch zur Abwicklung von Online-Geschäften), Waagen mit Kassenfunktionen und Taxameter. Eine Registrierkasse kann mit Eingabestationen verbunden sein
Seriennummer des Signaturzertifikates: eine durch den Zertifizierungsdiensteanbieter ausgegebene, im Zertifikat enthaltene, eindeutige Kennung des Zertifikates zum erleichterten Auffinden des Zertifikates im Verzeichnis des ZDA
Sichere Signaturerstellungseinheit: konfigurierte Software oder Hardware, die zur Verarbeitung der Signaturerstellungsdaten verwendet wird und die den Sicherheitsanforderungen des SigG sowie den dazu erlassenen Verordnungen entspricht (§ 2 Z 5 SigG)
Signaturprüfdaten: Daten wie Codes oder öffentliche Signaturschlüssel, die zur Überprüfung einer elektronischen Signatur verwendet werden (§ 2 Z 6 SigG)
Signaturwert: im Rahmen der Signaturerstellung ermittelter elektronischer Wert der Signatur
Startbeleg: erster Beleg, der unter Verwendung einer Kassenidentifikationsnummer erstellt wird und die vollständige Verkettung aller unter dieser Kassenidentifikationsnummer erzeugten und gespeicherten Belege sicherstellt
Summenspeicher: Speicher in der Registrierkasse, die Zwischen- oder einen aktuellen Endstand aufsummierter Beträge wiedergeben
Trust-List (vertrauenswürdige Liste gemäß der Entscheidung der Kommission 2009/767/EG über Maßnahmen zur Erleichterung der Nutzung elektronischer Verfahren über einheitliche Ansprechpartner gemäß der Richtlinie 2006/123/EG über Dienstleistungen im Binnenmarkt, ABl. Nr. L 274 vom 20.10.2009 S. 36): nach den Verpflichtungen aus Artikel 2 der Entscheidung 2009/767/EG von allen Mitgliedstaaten zu führende Liste der ZDAs für qualifizierte Zertifikate
Umsatzzähler: Summenspeicher in der Registrierkasse, der die Barumsätze der Registrierkasse laufend aufsummiert
Verifikation: Überprüfung signierter Daten auf Integrität und Authentizität, dass die Daten nach der Signaturerstellung von der korrekten Signaturerstellungseinheit signiert und nicht verändert wurden
Zahlungsbeleg (Beleg): Bestätigung mit bestimmten formalen Inhalten, die in Papierform oder in elektronischer Form den wesentlichen Inhalt des Rechtsgeschäftes zwischen den Geschäftspartnern dokumentiert und bei Bezahlung übergeben bzw. elektronisch übermittelt wird
Zertifikat: eine elektronische Bescheinigung, mit der Signaturprüfdaten einer bestimmten Person zugeordnet werden und deren Identität bestätigt wird im Sinne des § 2 Z 8 SigG
Zertifizierungsdiensteanbieter (ZDA): Organisation, die Zertifikate ausstellt oder anderweitige Dienste im Zusammenhang mit elektronischen Signaturen bereitstellt im Sinne der Richtlinie 1999/93/EG über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen, ABl. Nr. L 13 vom 19.01.2000 S. 12.
§ 4. (1) Die Sicherheitseinrichtung gemäß § 131b Abs. 2 BAO besteht aus einer Verkettung der Barumsätze mit Hilfe der elektronischen Signatur der Signaturerstellungseinheit.
(2) Die Verkettung wird durch die Einbeziehung von Elementen der zuletzt vergebenen, im Datenerfassungsprotokoll gespeicherten Signatur in die aktuell zu erstellende Signatur gebildet. Bei der Erfassung des ersten Barumsatzes tritt an die Stelle der zuletzt vergebenen Signatur die Kassenidentifikationsnummer.
(2) Jede Registrierkasse muss über eine geeignete Schnittstelle zu einer Sicherheitseinrichtung mit einer Signaturerstellungseinheit verfügen. Mit einer Signaturerstellungseinheit können auch mehrere Registrierkassen verbunden sein.
(2) Vor dem 1. Jänner 2017 kann die Inbetriebnahme der Sicherheitseinrichtung im Sinne Abs. 1 bereits vor der Registrierung (§ 16) vorgenommen werden. Die Registrierung muss bis zum 1. Jänner 2017 erfolgt sein.
(3) Wird eine Registrierung nach dem 31. Dezember 2016 vorgenommen, so hat die Inbetriebnahme binnen einer Woche nach Registrierung der Signaturerstellungseinheit (§ 16) zu erfolgen.
(4) Der Unternehmer hat vor Inbetriebnahme die Erstellung der Signatur (§ 9 Abs. 3) und die Verschlüsselung des Umsatzzählers (§ 9 Abs. 2 Z 5) unter Zuhilfenahme des Startbeleges zu überprüfen. Entspricht die Erstellung der Signatur bzw. die Verschlüsselung des Umsatzzählers nicht den Erfordernissen des § 9, so ist die Registrierkasse unmittelbar als Registrierkasse mit ausgefallener Signaturerstellungseinheit im Sinne des § 17 Abs. 4 zu behandeln. Das Prüfergebnis ist zu protokollieren und mit dem ausgedruckten Startbeleg gemäß § 132 BAO aufzubewahren.
(5) Das Datenerfassungsprotokoll einer Registrierkasse muss ab 1. Jänner 2017 jederzeit auf einen externen Datenträger im Exportformat Datenerfassungsprotokoll laut Z 3 der Anlage exportiert werden können.
(2) Zu jedem Monatsende sind die Zwischenstände des Umsatzzählers zu ermitteln (Monatszähler) und als Barumsatz mit Betrag Null (0) und elektronischer Signatur der Signaturerstellungseinheit (Monatsbeleg) im Datenerfassungsprotokoll der Registrierkasse zu speichern.
§ 9. (1) Zur Gewährleistung des Manipulationsschutzes im Sinne des § 131b Abs. 2 BAO müssen von der Registrierkasse über eine geeignete Schnittstelle zur Signaturerstellungseinheit elektronische Signaturen angefordert und übernommen werden können. Jeder einzelne Barumsatz und Monats-, Jahres- und Schlussbeleg sowie jede Trainings- und Stornobuchung sind elektronisch zu signieren.
(2) In die Signaturerstellung sind folgende Daten einzubeziehen:
mit dem Verschlüsselungsalgorithmus AES 256 laut Z 8 und Z 9 der Anlage verschlüsselter Stand des Umsatzzählers
Signaturwert des vorhergehenden Barumsatzes des Datenerfassungsprotokolls (Verkettungswert laut Z 4 der Anlage)
(3) Die aufbereiteten Daten (Abs. 2) müssen nach dem Signaturformat laut Z 4 und Z 5 der Anlage durch die Signaturerstellungseinheit automatisiert elektronisch signiert werden.
(4) Die von der Signaturerstellungseinheit im Ergebnisformat der Signaturerstellung laut Z 6 der Anlage rückgemeldete Signatur ist auf dem zugehörigen Beleg nach den Vorgaben des § 10 als Teil des maschinenlesbaren Codes abzudrucken und im Datenerfassungsprotokoll mit den Belegdaten laut Z 11 der Anlage dauerhaft zu speichern (§ 7 Abs. 4).
§ 10. (1) Nach Ermittlung jedes Signaturwertes hat die Registrierkasse für die Belegerstellung und die Speicherung im Datenerfassungsprotokoll einen maschinenlesbaren Code laut Z 12 der Anlage aufzubereiten.
mit dem Verschlüsselungsalgorithmus AES 256 laut Z 8 und Z 9 der Anlage verschlüsselten Stand des Umsatzzählers
Signaturwert des betreffenden Barumsatzes.
Inhalt des maschinenlesbaren Code.
als ein vom Signaturwert des betreffenden Barumsatzes abhängiger Link in maschinenlesbarer Form als Barcode oder OCR zum Abruf der Daten bereitzuhalten und am Beleg auszuweisen oder
entsprechend der in Z 14 der Anlage festgelegten Codierung am Beleg auszuweisen.
§ 12. Die technischen Anforderungen an die Signaturerstellungseinheit entsprechen den Anforderungen an Signaturerstellungseinheiten für qualifizierte Signaturen nach § 18 SigG in der jeweils geltenden Fassung und nach § 6 der Signaturverordnung 2008 – SigV 2008, BGBl. II Nr. 3/2008, in der jeweils geltenden Fassung. Anstelle der in § 6 Abs. 3 letzter Satz SigV 2008 vorgesehenen Prüfung kann eine Prüfung in Bezug auf die inhaltlichen Anforderungen der Registrierkassensicherheitsverordnung erfolgen, wobei die Anforderung der alleinigen Kontrolle und deren Auswirkungen auf den Betrieb auf Grund der Verkettung nicht Gegenstand dieser Prüfung sind.
§ 13. Bezüglich anwendbarer Signaturalgorithmen sowie Schlüssel sind die Regelungen der SigV 2008 zu den Algorithmen und Parametern für qualifizierte Signaturen aus dem Anhang zur SigV 2008, Punkte 1 bis 7 „Algorithmen und Parameter für qualifizierte elektronische Signaturen“ anzuwenden.
§ 14. Der Signaturwert des betreffenden Barumsatzes muss an Hand des auf dem Beleg aufgebrachten maschinenlesbaren Codes verifizierbar sein. Dazu müssen insbesondere die in § 10 Abs. 2 enthaltenen Daten auf dem Beleg enthalten sein. Die Vorbearbeitung der dazu in komprimierter Form im maschinenlesbaren Code enthaltenen Daten hat gemäß Z 13 der Anlage zu erfolgen.
§ 15. (1) Unternehmer, die der Registrierkassenpflicht nach § 131b BAO unterliegen, haben die erforderliche Anzahl von Signaturerstellungseinheiten bei einem im EU-/EWR-Raum oder in der Schweiz niedergelassenen Zertifizierungsdienstanbieter, der qualifizierte Signaturzertifikate anbietet, zu erwerben. Die Kosten für die Beschaffung der Signaturerstellungseinheit trägt der Unternehmer.
(2) Der Unternehmer hat zur Erlangung des Signaturzertifikates einen der Abgabenbehörde bekannten, dem Unternehmer zugeordneten Ordnungsbegriff und als Wert des OID „Österreichische Finanzverwaltung Registrierkasseninhaber“ (Z 16 der Anlage) nach Maßgabe des § 5 Abs. 1 Z 8 SigG in seinem Signaturzertifikat eintragen zu lassen.
(3) Der Zertifizierungsdiensteanbieter vergibt für jede Signaturerstellungseinheit ein Signaturzertifikat, das folgende Angaben beinhaltet:
Typ und Wert des der Signaturerstellungseinheit zugeordneten Ordnungsbegriffs des Unternehmers,
§ 16. (1) Der Unternehmer oder sein bevollmächtigter Parteienvertreter hat über FinanzOnline den Erwerb seiner Signaturerstellungseinheiten zu melden. Dabei sind die Seriennummer des Signaturzertifikates, die Art der Signaturerstellungseinheit und die Kassenidentifikationsnummern der mit der Signaturerstellungseinheit zu verbindenden Registrierkassen bekannt zu geben. Zusätzlich hat der Unternehmer den frei wählbaren Benutzerschlüssel für die Entschlüsselung (Z 8 der Anlage) der mit dem Verschlüsselungsalgorithmus AES 256 verschlüsselten Daten im maschinenlesbaren Code über FinanzOnline bekannt zu geben. Ist dem Unternehmer die Meldung über FinanzOnline mangels technischer Voraussetzungen unzumutbar, hat die Meldung unter Verwendung des amtlichen Vordrucks zu erfolgen.
(2) Erst nach Prüfung, ob für jede gemeldete Signaturerstellungseinheit unter der angegebenen Seriennummer des Signaturzertifikates und dem gültigen Ordnungsbegriff des Unternehmers der ZDA in der öffentlichen Trust-List und das Signaturzertifikat im Verzeichnis des ZDA vorhanden sind, werden diese Daten an die Datenbank über Sicherheitseinrichtungen in Registrierkassen (§ 18) übergeben.
Diebstahl oder sonstigem Verlust der Signaturerstellungseinheit oder Registrierkasse,
Funktionsverlust der Signaturerstellungseinheit oder Registrierkasse oder
(4) Bei jedem Ausfall der Signaturerstellungseinheit sind die Barumsätze auf einer anderen Registrierkasse zu erfassen, die über eine aufrechte Verbindung zu einer Signaturerstellungseinheit verfügt. Sollte dies nicht möglich sein, hat der Unternehmer bei der Aufbereitung und Verwendung des maschinenlesbaren Codes (§ 10) an Stelle des Signaturwertes des betreffenden Barumsatzes (§ 10 Abs. 2 Z 8) die Zeichenkette „Sicherheitseinrichtung ausgefallen“ im Ergebnis der Signaturerstellung laut Z 6 der Anlage zu verwenden. Der Hinweis „Sicherheitseinrichtung ausgefallen“ ist zusätzlich gut sichtbar am Beleg (§ 11) anzubringen. Nach Wiederinbetriebnahme der Signaturerstellungseinheit ist zusätzlich über die Belege, die während des jeweiligen Ausfalles mit dem Hinweis „Sicherheitseinrichtung ausgefallen“ zu versehen waren, ein signierter Sammelbeleg mit Betrag Null (0) zu erstellen und im Datenerfassungsprotokoll zu speichern.
(6) Wenn nach dem Ausfall einer Registrierkasse ein neues Datenerfassungsprotokoll eingerichtet werden muss, ist als Signaturwert des vorhergehenden Barumsatzes (§ 10 Abs. 2 Z 7) der Signaturwert des zuletzt verfügbaren Barumsatzes bzw. der Signaturwert des Startbeleges im Datenerfassungsprotokoll zu verwenden. Das Ende des Ausfalles oder der Außerbetriebnahme ist über FinanzOnline bekanntzugeben. Ist dem Unternehmer die Meldung über FinanzOnline mangels technischer Voraussetzungen unzumutbar, hat die Meldung unter Verwendung des amtlichen Vordrucks zu erfolgen.
(7) Ist eine Wiederinbetriebnahme der Signaturerstellungseinheit (Abs. 4) nicht mehr möglich, hat der Unternehmer eine neue Signaturerstellungseinheit zu beschaffen (§ 15), zu registrieren (§ 16) und eine neuerliche Inbetriebnahme der Sicherheitseinrichtung im Sinne der § 6 Abs. 1 bis 4 durchzuführen. Ist der zuletzt getätigte Barumsatz aus dem Datenerfassungsprotokoll feststellbar, entfällt die Inbetriebnahme der Sicherheitseinrichtung im Sinne der § 6 Abs. 1 bis 4 und gelten die Bestimmungen zum Sammelbeleg des Abs. 4. Während des Ausfalles händisch erfasste Barumsätze sind jedenfalls nachzuerfassen.
§ 18. (1) Der Bundesminister für Finanzen führt zur internen Dokumentation über die einem Unternehmer zugeordneten Signaturerstellungseinheiten eine Datenbank über Sicherheitseinrichtungen für die Registrierkassen.
Name der Unternehmer
(2) Für geschlossene Gesamtsysteme gilt diese Verordnung mit Ausnahme der §§ 5 Abs. 2, 12, 15 und 17 Abs. 4. Die §§ 4 Abs. 1, 6 Abs. 4, 8 Abs. 2, 9, 16 Abs. 1 und 2, 17 Abs. 1 bis 3, 17 Abs. 7 und 18 sowie die Anlage sind mit der Maßgabe anzuwenden, dass weder eine Signaturerstellungseinheit noch ein Signaturzertifikat erforderlich sind und, dass einer Kassenidentifikationsnummer auch mehrere Registrierkassen mit einem gemeinsamen Datenerfassungsprotokoll zugeordnet werden dürfen. Abs. 4 bleibt hiervon unberührt.
(3) Bei geschlossenen Gesamtsystemen ist anstelle der Seriennummer des Signaturzertifikates (§ 9 Abs. 2 Z 6 und § 10 Abs. 2 Z 6) der Ordnungsbegriff des Unternehmers zu verwenden. Der Ordnungsbegriff des Unternehmers muss gegebenenfalls durch geeignete Zusätze (z. B. Ziffern) ergänzt werden, um eindeutige Signaturprüfdaten zu ermöglichen. In der Datenbank gemäß § 18 sind anstelle der Seriennummer des Signaturzertifikates die Signaturprüfdaten zu erfassen. Der Ordnungsbegriff des Unternehmers sowie die Signaturprüfdaten müssen aus dem Gutachten gemäß § 21 hervorgehen.
das Vorliegen eines geschlossenen Gesamtsystems,
das Vorliegen der technischen und organisatorischen Voraussetzungen für die Manipulationssicherheit des geschlossenen Gesamtsystems.
(2) Im Gutachten sind insbesondere alle für den Betrieb der Sicherheitseinrichtung des geschlossenen Gesamtsystems gemäß § 20 Abs. 1 erforderlichen Softwarekomponenten anzugeben und Prüfberichte für diese Komponenten anzuschließen. Die Softwarekomponenten sind mit der mathematischen Hashfunktion Secure Hash Algorithm (SHA-256) mit einem Startwert, der Null (0000 0000 0000 0000) entspricht, für eine spätere Verifikation zu signieren. Aus den Prüfberichten muss nachvollziehbar hervorgehen, wie die einzelnen Komponenten geprüft wurden. Die Manipulationssicherheit und sicherheitstechnische Gleichwertigkeit mit einer Signaturerstellungseinheit sind zu bestätigen. Dem Gutachten sind ein Organigramm mit allen Hard- und Softwarekomponenten und Datenspeicher des geschlossenen Gesamtsystems sowie ein Überblick über die automatisch ablaufenden Verarbeitungsprozesse anzuschließen.
(6) Mit der Erstellung solcher Gutachten dürfen nur gerichtlich beeidete Sachverständige beauftragt werden. Die Vollständigkeit der sicherheitsrelevanten Überprüfungen im Gutachten ist durch eine Bestätigungsstelle gemäß § 19 SigG zu bescheinigen.
(4) Wird die Manipulationssicherheit des geschlossenen Gesamtsystems mit rechtskräftigem Bescheid des Finanzamtes nicht bestätigt, hat der Unternehmer innerhalb von drei Monaten ab Eintritt der Rechtskraft die Manipulationssicherheit unter Verwendung einer Signaturerstellungseinheit (§ 131b Abs. 2 BAO) herbeizuführen, andernfalls mit Ablauf dieser Frist die Verpflichtungen nach § 131b Abs. 2 BAO als nicht erfüllt gelten.
§ 25. (1) Die Verordnung tritt mit 1. Jänner 2017 in Kraft.