Anzeige des Betriebs eines Zertifizierungsdiensteanbieter

Volltext

Vertrauensdiensteanbieter im Sinne der Verordnung (EU) Nr. 910/2014, die einen Vertrauensdienst

zur Erstellung von Zertifikaten für elektronische Signaturen oder für deren Validierung oder Bewahrung
zur Erstellung von Zertifikaten für elektronische Siegel oder für deren Validierung oder Bewahrung
zur Erstellung elektronischer Zeitstempel
zur Zustellung elektronischer Einschreiben

betreiben, können sich und den erbrachten Dienst bei der Bundesnetzagentur auf Antrag qualifizieren lassen.

Die Bundesnetzagentur überprüft, ob der Vertrauensdiensteanbieter und die von ihm erbrachten Vertrauensdienste den in der Verordnung (EU) Nr. 910/2014 sowie dem Vertrauensdienstegesetz festgelegten Anforderungen genügen, insbesondere hinsichtlich der Anforderungen an qualifizierte Vertrauensdiensteanbieter und an die von ihnen erbrachten qualifizierten Vertrauensdienste.

Nach positiver Prüfung wird der Status eines qualifizierten Vertrauensdiensteanbieters verliehen und der qualifizierte Vertrauensdienst in die deutsche Vertrauensliste (Trusted List) eingetragen.

Für den Betrieb eines solchen Zertifizierungsdienstes müssen Sie keine Genehmigung einholen, jedoch die Tätigkeit bei der zuständigen Stelle anzeigen und nachweisen, dass Sie die Voraussetzungen für den Betrieb erfüllen. Eine Auflistung der angezeigten Zertifizierungsdiensteanbieter finden Sie auf den Internetseiten der Bundesnetzagentur. Wenn Sie ein Gütezeichen für Ihre Zertifizierungsdienste erhalten möchten, können Sie sich freiwillig als Zertifizierungsdiensteanbieter akkreditieren lassen.

Rechtsgrundlage(n)

Verordnung (EU) Nr. 919/2014 (eIDAS-Verordnung)

eIDAS-Durchführungsgesetz

Vertrauensdienstegesetz

Erforderliche Unterlagen

• Mitteilung:

Die Mitteilung muss folgende Angaben enthalten:

• Nennung des Vertrauensdienstes/der Vertrauensdienste, die den Qualifikationsstatus erhalten sollen,

• Namen und Anschrift des Vertrauensdiensteanbieters sowie

• Namen der gesetzlichen Vertreter.

• für den Nachweis der persönlichen Zuverlässigkeit:

• bei Wohnsitz in Deutschland:

• Führungszeugnis zur Vorlage bei einer Behörde nach § 30 Absatz 5 BZRG (von den gesetzlichen Vertretern des Unternehmens; der Person, die mit der Leitung des Vertrauensdienstes beauftragt wurde, und deren Vertreter)

• bei Wohnsitz im EU-Ausland oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum: Dokumente aus Ihrem Heimatland, die Ihre persönliche Zuverlässigkeit nachweisen

• weitere Dokumente zur Überprüfung der persönlichen Zuverlässigkeit können im Einzelfall nachgefordert werden

• für den Nachweis der unternehmerischen Rechtsform:

• bei Unternehmenssitz in Deutschland:

• bei in einem Register eingetragenen Unternehmen: Auszug aus dem Handelsregister oder z.B. dem Partnerschaftsregister

• ansonsten eine Ausfertigung des Gesellschaftsvertrages (z.B. bei einer Gesellschaft bürgerlichen Rechts (GbR)) oder einen anderen vergleichbaren Nachweis

• bei Unternehmenssitz im EU-Ausland oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum: Dokumente aus dem Land, in dem Ihr Unternehmen seinen Unternehmenssitz hat, die die Rechtsform nachweisen

• gegebenenfalls Bevollmächtigung der verantwortlichen Personen (Leiter und Vertreter des Vertrauensdienstes)

• Belege zum Nachweis der erforderlichen technischen, administrativen und juristischen Fachkunde (z. B. Schulungs- und Ausbildungsnachweise)

• Konformitätsbewertungbericht über den Vertrauensdiensteanbieter und den von ihm erbrachten Vertrauensdiensten (Austeller des Berichts: Konformitätsbewertungsstelle)

• Certificate Policy (CP) und Certification Practice Statement (CPS)

• Betriebseinstellungskonzept

• Nachweis der Deckungsvorsorge:

• Haftpflichtversicherung oder

• vergleichbare Freistellungs-/Gewährleistungsverpflichtung bei einem in Deutschland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum zum Geschäftsbetrieb befugten Versicherungsunternehmen/ Kreditinstitut

è die Höhe richtet sich zurzeit nach § 12 des Signaturgesetzes in Verbindung mit § 9 der Signaturverordnung: Mindestversicherungssumme 2,5 Millionen Euro für den einzelnen Versicherungsfall; soweit eine Jahreshöchstleistung vereinbart wird, muss diese mindestens das Vierfache dieser Mindestversicherungssumme betragen, also mindestens 10 Millionen Euro

weitere Einzelheiten entnehmen Sie bitte

den oben aufgeführten Paragraphen

• wenn Sie Aufgaben Ihres Vertrauensdienstes an einen Dritten übertragen:

• Nachweis der Übertragung von Aufgaben des Vertrauensdiensteanbieters bzw. des Vertrauensdienstes an Dritte (z.B. Verträge)

• Einbeziehen der an den Dritten übertragenen Aufgaben in die entsprechenden Konzepte/CP/CPS

Alle personenbezogenen Unterlagen müssen Sie für alle in den Anforderungen genannten natürlichen Personen einreichen.

Voraussetzungen

Sowohl nichtqualifizierte als auch qualifizierte Vertrauensdiensteanbieter müssen die Sicherheitsanforderungen nach Artikel 19 der eIDAS-VO erfüllen:

• Es sind geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Sicherheitsrisiken im Zusammenhang mit denen vom Vertrauensdiensteanbieter erbrachten Vertrauensdiensten zu beherrschen.

• Die Maßnahmen müssen unter Berücksichtigung des jeweils neuesten Standes der Technik gewährleisten, dass das Sicherheitsniveau der Höhe des Risikos angemessen ist.

• Es sind Maßnahmen zu ergreifen, um Auswirkungen von Sicherheitsverletzungen zu vermeiden bzw. so gering wie möglich zu halten.

• Es sind Maßnahmen zu ergreifen, um die Beteiligten über die nachteiligen Folgen von Sicherheitsverletzungen zu informieren.

und den Meldepflichten nach Artikel 19 eIDAS-VO nachkommen:

• Unverzügliche - in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme von einem betreffenden Vorfall - Meldung jeder Sicherheitsverletzung und jedes Integritätsverlustes, die/der sich erheblich auf den erbrachten Vertrauensdienst oder den darin vorhandenen personenbezogenen Daten auswirkt, an die Aufsichtsstelle oder einschlägiger Stellen (z.B. Datenschutzbehörde oder für die Informationssicherheit zuständigen Stellen).

Die Qualifizierung des benannten Vertrauensdienstes unter der Verleihung des Status „qualifizierte Vertrauensdiensteanbieter“ durch die zuständige Aufsichtsstelle erfolgt erst, wenn sämtliche Anforderungen ab Artikel 20 eIDAS-VO und insbesondere die Anforderungen an solche Dienste nach Artikel 24 eIDAS-VO erfüllt sind.

Verfahrensablauf

Verfahrensbeschreibung zur Qualifikation

Fristen

Vorlage der entsprechenden Mitteilung und der Unterlagen/Nachweise vor Beginn der Aufnahme eines qualifizierten Vertrauensdienstes.

Der Betrieb eines qualifizierten Vertrauensdienstes darf erst aufgenommen werden, wenn die entsprechende Qualifikation durch Aufnahme in die TL nachgewiesen wurde.