Der neue europäische Rechtsrahmen zu eid, esignatur und weiteren elektronischen Vertrauensdiensten

Transkript

1 Der neue europäische Rechtsrahmen zu eid, esignatur und weiteren elektronischen Vertrauensdiensten E-Government Konferenz 2014 Eisenstadt, Peter Kustor

2 Hintergrund 13 Mio EU BürgerInnen arbeiten in einem anderen EU MGS 21 Mio KMU ein signifikanter Teil davon hat arbeitet international 150 Mio EU BürgerInnen shoppen Online; nur 20% davon kaufen aus einem anderen EU MGS Ergo: Elektronischen Zugang erleichtern und Hürden bei der Nutzung der eigenen Methoden beseitigen Grenzüberschreitende el. Nutzung ermöglichen Vertrauen und Sicherheit heben Elektronischen Vertrauensdiensten den selben Wert verleihen wie in der Papierwelt eidas-vo - E-Government Konferenz

3 Politisches Committment auf EU-Ebene Die Digitale Agenda und der E-Government Aktionsplan enthalten wesentliche Maßnahmen: 2011: EK-Vorschlag zur Überprüfung der esignatur-richtlinie, um einen Rechtsrahmen für die grenzübergreifende Anerkennung und Interoperabilität gesicherter elektronischer Authentifizierungssysteme zu schaffen 2012: EK-Vorschlag für einen Beschluss zur EU-weiten gegenseitigen Anerkennung der elektronischen Identität und Authentifizierung : Einführung und Anwendung von eid-systemen in den MGS - gestützt auf die Ergebnisse des Projektes STORK. Zahlreiche weitere polit. Dokumente betreffen das Thema: Binnenmarktakte; Schlussfolgerungen des ER; Rats-SF; EP-Resolutionen eidas-vo - E-Government Konferenz

4 Grenzüberschreitende Verwendung der eid - STORK eidas-vo - E-Government Konferenz

5 eidas-vo : Der EK-Vorschlag Verordnung über die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (COM(2012) 238 final vom ) Kapitel I: Allg. Bestimmungen Kapitel II: Elektronische Identifizierung Kapitel III: Vertrauensdienste Elektronische Signaturen Elektronische Siegel Elektronische Zeitstempel Elektronische Dokumente Elektronische Zustelldienste Website Authentifizierung Kapitel IV: Delegierte Rechtsakte Kapitel V: Durchführungsrechtsakte Kapitel VI: Schlussbestimmungen 4 Anhänge (Anforderungen an qual. Zertifikate/ Signaturerstellungseinheiten/ el. Siegel/ Website-Authentifizierung) eidas-vo - E-Government Konferenz

6 Gang und Stand der Verhandlungen Behandlung des Dossiers in über 40 RAG-Sitzungen zwischen September 2012 und Februar 2014 Vier informelle Triloge mit dem EP sowie zahlreiche technische Gespräche mit dem EP Einigung im Trilog am Annahme des Gesamtpakets im Coreper am Nächste Schritte: Sprachjuristische Überarbeitung etc. Sprachjuristensitzung am Formelle Annahme durch das neu gewählte EP Formelle Annahme im Rat Publikation Inkrafttreten: Okt. (?) 2014 eidas-vo - E-Government Konferenz

7 Eckpunkte des Ergebnisses Nur ein Rechtsakt für die beiden Themen esignatur und eid Zusätzlich: weitere Vertrauensdienste Typ des Rechtsakts: Verordnung Die SigRL wird komplett ersetzt Einige Kernpunkte des EK-Vorschlags wurden grundlegend geändert VO ist unmittelbar anzuwenden; bestehende Umsetzungsvorschriften (SigG/ SigV etc.) sind zu bereinigen; Umsetzungen sind aber notwendig (zb Verfahrensvorschriften, Zuständigkeiten, Ausnahmen etc. eidas-vo - E-Government Konferenz

8 Definitionen zu eid "Elektronische Identifizierung" ist der Prozess der Verwendung von Personenidentifizierungsdaten in elektronischer Form, die eine natürliche oder juristische Person oder eine juristische Person vertretende natürliche Person eindeutig repräsentieren "Personenidentifizierungsdaten" sind ein Datensatz, der es ermöglicht, die Identität einer natürlichen oder juristischen Person oder einer eine juristische Person vertretenden natürlichen Person festzustellen "Elektronisches Identifizierungsmittel" ist eine materielle und/oder immaterielle Einheit, die Personenidentifizierungsdaten enthält und zur Authentifizierung bei Online-Diensten verwendet wird eidas-vo - E-Government Konferenz

9 eid (1/4) Keine EU-eID, keine zentrale Datenbank etc. Freiwillige Notifikation des eid-systems durch den MS Voraussetzung für Notifikation: eid-mittel werden vom Staat oder im Auftrag des Staates oder unabhängig vom Staat aber durch diesen anerkannt ausgestellt Architekturfragen. Dzt. Validierung über die Signatur der StZRegBeh über die Personenbindung. Personenbindung enthält Stammzahl - Privatsektor und Ausland eid muss zumindest für eine eigene E-Government Anwendungen nutzbar sein Zuordnung der eids zu einem der assurance levels Qualitätsvolle Personenzuordnung zur eid Validierungsmöglichkeit für die eid steht zur Verfügung Kostenlos für E-Government-Anwendungen Nichtdiskriminierung für private Anwendungsbetreiber eidas-vo - E-Government Konferenz

10 eid (2/4) Umsetzung legistisch und techn. (STORK-MOA-ID). Verpflichtende gegenseitige Anerkennung der von den anderen MS notifizierten eids für E-Government-Services, für die eids der Stufe substantial oder high verlangt werden Alle Verwaltungsebenen gleichermaßen betroffen Assurance Level des eid ist gleich hoch oder höher als der verlangte Level ( substantial oder high ) Freiwillige Anerkennung des assurance levels low E-Government Anwendungen müssen festlegen, welchen Assurance Level sie verlangen. Incoming eids: Umsetzungsfrage für ERnP, welche Daten werden eingetragen/ wie funktionieren Ausstattungsfälle? Art der Ermunterung? Finanzierungsfragen. Für private Services nur auf freiwilliger Basis und unter den Konditionen des Ausstellers Erwägungsgrund (14): Member States should encourage the private sector to use voluntarily eid eidas-vo - E-Government Konferenz

11 eid (3/4) Assurance Level: Low Substantial High Substantial und High entsprechen im Wesentlichen STORK Level 3 und 4 EK definiert mittels Durchführungsrechtsakt technische Minimalanforderungen für die Level, Zuordnungskriterien dafür sind: Identitätsprüfungsverfahren bei der Ausgabe Ausgabeverfahren Authentifizierungsmechanismus Ausgebende Stelle Detailanalyse notwendig nach Vorliegen der Implementierungsrechtsakte/ Mitwirkung an deren Ausarbeitung. Technische und Sicherheitsspezifikation des eid-mittels eidas-vo - E-Government Konferenz

12 eid (4/4) Weitere Bestimmungen zu eid betreffen: Kompromittierung der Sicherheit/ Notifikationspflichten etc. Haftung (geteilt MS/ ausgebende Stelle/ Authentifizierung) Kooperationsmechanismus der MS Verhältnis Stammzahlenregister ZDA. eidas-vo - E-Government Konferenz

13 Vertrauensdiensteanbieter (VDA) (1/2) Qualifizierte/ Nicht-qualifizierte VDA Haftung: Beweislastumkehr bei qual. VDA TKK/ RTR weiterhin als Aufsichtsbehörden? Einheitliche Aufsicht für alle Vertrauensdienste? Aufsicht über qual. VDA/ reaktive (ex post) Maßnahmen bei nicht-qual. VDA ( light touch approach ) detaillierte Aufsichtsregelungen Wer sind die Konformitätsbewertungsstellen in Ö? Sicherheitsanforderungen an VDA mit Notifikationspflichten bei Kompromittierungen Audit und Konformitätsprüfungen der qual. VDA Vorabgenehmigungsverfahren für qual. VDA und Vertrauensliste (TL) mit konstitutiver Wirkung Gütezeichen (trustmark) für qual. Vertrauensdienste Anerkennung von qual. VDA aus Drittstaaten nur bei Abkommen mit EU eidas-vo - E-Government Konferenz

14 Vertrauensdiensteanbieter (VDA) (2/2) Anforderungen an qual. VDA betreffend Identifikationsmechanismen bei Ausgabe von qual. Zertifikaten Verlässlichkeit Mitarbeiter Finanzielle Ressourcen/ Versicherung Informationspflichten Sicherheitsanforderungen an die Systeme und Produkte Dokumentationspflichten Verzeichnis- und Widerrufsdienste etc. Verhältnis zu den derzeitigen Vorschriften SigG Verhältnis zu den derzeitigen Vorschriften SigG zu NotfallZDA Notfall-(Einstellungs)pläne zur Sicherstellung der Kontinuität Allgemeine Bestimmungen zu Datenschutz, Accessibility, Strafbestimmungen eidas-vo - E-Government Konferenz

15 Vertrauensdienste (1/2) Elektronische Signatur nat. Person Rechtswirkungen wie bisher Signaturformate in Anlehnung an Beschluss 2011/130/EU Möglichkeit für Attribute im qual. Zert. Widerruf/ Suspendierung PAdES? Langzeitformate? SSCD QSCD: verpflichtende Zertifizierung; Berücksichtigung innovativer Möglichkeiten (server/remote signing; HSM etc.) Zertifizierung unserer Lösungen Elektronische Siegel jur. Person (weiter Begriff!) Qual. Siegel : enjoy presumption of integrity of the data and of correctness of the origin Amtssignatur = qual. Siegel? eidas-vo - E-Government Konferenz

16 Vertrauensdienste (2/2) Auswirkung auf unsere Archive? DigLA? CyberDoc/ Archivium etc.? Elektronische Bewahrungsdienste Elektronische Validierungsdienste Elektronische Zeitstempeldienste Elektronische Zustelldienste Website Authentifizierung lange Diskussion (fragliche (rechtliche) Wirkung, da hauptsächlich Internet-Browser ohne europäischen Ursprungs) Kompromiss mit Rumpfbestimmung Policy-Thema (zb Anforderung an öff. Webseiten?) Signaturprüfdienst bei RTR sollte weiterhin möglich sein (Definition VDA).wieder ein Thema! Notwendig für el. Zustelldienste!!! Auswirkungen auf unser System derzeit im Detail schwer abschätzbar Durchführungsrechtsakte eidas-vo - E-Government Konferenz

17 Elektronische Dokumente Kein Vertrauensdienst Lange Diskussion mit Kompromisslösung Rumpfbestimmung -Nichtdiskriminierungsbestimmung Rechtswirkung elektronischer Dokumente Einem elektronischen Dokument darf die Rechtswirkung und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht allein deshalb abgesprochen werden, weil es in elektronischer Form vorliegt. Konkrete Bedeutung/ Konsequenz? eidas-vo - E-Government Konferenz

18 Nachgelagerte Rechtsakte und Schlussbestimmungen Der urspr. EK-Vorschlag enthielt 16 Ermächtigungen zu delegierten Rechtsakten und 23 Ermächtigungen zu Durchführungsrechtsakten eidas-vo final: insges. 28 Durchführungsrechtsakte (4 davon zu eid, 24 zu den Trust Services) und ein delegierter Rechtsakt (zu den trust services) Reviewklausel und Übergangsbestimmungen Anwendung allgemein ab Einige Durchführungsrechtsakte sind essentiell für die Umsetzung und Anwendung durch die MS, da erst sie die Substanz liefern (va bei eid-kapitel Mitte 2018) Zeitliche Umsetzungsdimension: Zeitliche Dimension der Umsetzung Fahrplan für Novellen und zeitliche in Staffelung bei der Anwendung Abhängigkeit von diesen Durchführungsbestimmungen! eidas-vo - E-Government Konferenz

19 Inkrafttreten und Anwendung eid Inkrafttreten der VO und rasche Arbeit Komitologie zu eid etc. Freiwillige Anerkennung eid Anwendungsbeginn Vertrauensdienste Verpflichtende Anerkennung eid eidas-vo - E-Government Konferenz

20 Konsequenzen für Österreich Umfangreiche Anpassung des innerstaatlichen Rechtsrahmens notwendig, insbes. SigG und SigV 2008 E-GovG und VOen ZustG und ZustDV Wir haben aber doch noch ein bisschen was zu tun Ö. hat mit den bestehenden E-Government Strategieelementen und technischen Umsetzungen eine hervorragende Ausgangsbasis Verbreitungs- und Export -Potential unserer Lösungen und deren Einsatzmöglichkeiten [Handy-Signatur (Bürgerkarte)/ El. Zustellung/ ] steigen beachtlich Die Umsetzung (Akzeptanz ausländischer eids auf Basis STORK und bestehenden MOA etc.) ist eine bewältigbare Herausforderung eidas-vo - E-Government Konferenz

21 Danke für Ihre Aufmerksamkeit! Peter Kustor Bundeskanzleramt Abteilung I/11 Ballhausplatz Wien Peter.Kustor@bka.gv.at