Konformitätsbewertungsbericht Konformitätsbewertung eines Teils (Modul) eines Vertrauensdienstes gemäß eidas

Transkript

1 Konformitätsbewertungsbericht Konformitätsbewertung eines Teils (Modul) eines Vertrauensdienstes gemäß eidas Gültig bis TÜV Informationstechnik GmbH Unternehmensgruppe TÜV NORD Zertifizierungsstelle Langemarckstraße Essen stellt hiermit gemäß Artikel 20 Abs. 1 eidas 1 die Konformität des Vertrauensdienstes (Modul) identity Management des Dienstleisters identity Trust Management AG für den gemäß eidas erbrachten Identitätsfeststellungsdienst für qualifizierte Vertrauensdienste für die Erstellung von qualifizierten Zertifikaten Identitätsfeststellung natürlicher Personen für VDA fest. Die Dokumentation zu dieser Konformitätsbewertung ist registriert unter: TUVIT.9701.TSP Essen, Dr. Christoph Sutter Leiter Zertifizierungsstelle TÜV Informationstechnik GmbH ist durch die Deutsche Akkreditierungsstelle (DAkkS mit Registrierungsnummer D-ZE nach DIN EN ISO/IEC 17065:2013 und ETSI EN V2.2.2 ( ) als Zertifizierungsstelle für Produkte, Prozesse und Dienstleistungen im Bereich qualifizierte Vertrauensdiensteanbieter und die von ihnen erbrachten qualifizierten Vertrauensdienste im Anwendungsbereich der eidas 1 akkreditiert. 1 VERORDNUNG (EU) Nr. 910/2014 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG Der Konformitätsbewertungsbericht TUVIT.9701.TSP besteht aus 7 Seiten.

2 Seite 2 von 7 Seiten Beschreibung des Vertrauensdienstes (Modul): 1 Bezeichnung des Vertrauensdiensteanbieters (Modul) identity Trust Management AG 2 Lierenfelderstraße Düsseldorf 2 Vertrauensdienst Die identity Trust Management AG ist ein Anbieter eines Identitätsfeststellungsdienstes, der die Anforderungen von Art. 24 Abs. 1 eidas erfüllt und der von einem Vertrauensdiensteanbieter 3 als Modul zu seinem Vertrauensdienst für die Ausstellung von qualifizierten Zertifikaten genutzt werden kann. Dabei wird identity AG als beauftragter Dritter vertraglich eingebunden. identity AG hat zur Erlangung der Konformität seines Identitätsfeststellungsdienstes als Modul für Vertrauensdiensteanbieter eine Konformitätsbewertung vornehmen lassen. identity AG bietet folgende Identifizierungsverfahren für natürliche Personen an, deren Konformität in dem vorliegenden Bericht bewertet wird: identity Kurier Papier: Identifizierung mittels eines Ausweisdokuments, bei der sich der Identifizierer persönlich zu der zu identifizierenden Person begibt. identity Shop Papier: Identifizierung mittels eines Ausweisdokuments, bei der sich die zu identifizierende Person persönlich in einen Shop begibt. identity Kurier Sign: Identifizierung mittels eines Ausweisdokuments, bei der sich der Identifizierer persönlich zu der zu identifizierenden Person begibt und die Unterschrift auf dem Vertrag durch den Identifizierer verifiziert wird. identity Shop Sign: Identifizierung mittels eines Ausweisdokuments, bei der sich die zu identifizierende Person persönlich in einen Shop begibt und die Unterschrift auf dem Vertrag durch den Identifizierer verifiziert wird. identity Video: Identifizierung mittels eines Ausweisdokuments, bei der sich die zu identifizierende Person persönlich per Video identifizieren lässt. identity eid: Identifizierung mittels Nutzung des elektronischen Identitätsnachweises gemäß 18 PAuswG. Alle Identifizierungsarten können für die Identitätsfeststellung einer natürlichen Person verwendet werden, die die Ausstellung eines qualifizierten Zertifikats bei einem Vertrauensdiensteanbieter beantragt. Dabei kann es sich um folgende Arten von Zertifikaten handeln: 1) Qualifizierte Zertifikate bei denen sich die elektronischen Signatur-/Siegelerstellungsdaten, die den elektronischen Signatur-/Siegelvalidierungsdaten entsprechen, in einer qualifizierten Signatur-/Siegelerstellungseinheit (QSCD) 2 Im Folgenden kurz: identity AG 3 Im Folgenden kurz: VDA

3 Seite 3 von 7 Seiten befinden. Diese Zertifikate enthalten das QC-Statement für die policy QCP-nqscd wie von ETSI EN verlangt. 2) Qualifizierte Zertifikate bei denen sich die elektronischen Signatur-/Siegelerstellungsdaten, die den elektronischen Signatur-/Siegelvalidierungsdaten entsprechen, nicht in einer qualifizierten Signatur-/Siegelerstellungseinheit (QSCD) befinden. Diese Zertifikate enthalten das QC-Statement für die policy QCP-n wie von ETSI EN verlangt. Der Identitätsfeststellungsdienst wird wie folgt identifiziert: Service type identifier (nach ETSI TS V2.1.1, Abs ) Service name Distinguished Name, Seriennummer (SN) und SHA-1 Hashwert des verwendeten Dienstezertifikats URI: identity Management entfällt Folgende Dokumente des Dienstleisters waren Gegenstand der Prüfung: [CPS] Certification Practice Statement, Version 1.0 vom Erfüllung der Anforderungen der eidas Dieser Konformitätsbewertungsbericht gibt ausschließlich die Erfüllung der Anforderungen aus der eidas wieder, die für die Identitätsfeststellung natürlicher Personen bei der Ausstellung von qualifizierten Zertifikaten durch einen Vertrauensdiensteanbieter relevant sind. Er ist als zusätzlicher Teil zu den detaillierten Prüfberichten, die die Erfüllung der Anforderungen aus den ETSI europäischen Normen (ETSI EN) angeben, zu betrachten. 3.1 Allgemeine Anforderungen an den Vertrauensdienst identity Trust Management AG hat die Konformität zu den folgenden Anforderungen für die Identitätsfeststellung natürlicher Personen bei der Ausstellung von qualifizierten Zertifikaten durch einen Vertrauensdiensteanbieter aus der eidas nachgewiesen. Anforderung Artikel 15 Erfüllung durch den Dienstleister Zugänglichkeit für Personen mit Behinderungen identity AG macht seinen Identitätsfeststellungsdienst und die zur Erbringung des Dienstes verwendete Endnutzerprodukte Personen mit Behinderungen zugänglich und nutzbar, soweit dies möglich ist.

4 Seite 4 von 7 Seiten Nachgewiesen durch ETSI EN Abs Artikel 19 Abs. 1 Sicherheitsanforderungen an Vertrauensdiensteanbieter identity AG ergreift geeignete technische und organisatorische Maßnahmen zu dem erbrachten Identitätsfeststellungsdienst. Diese Maßnahmen sind unter Berücksichtigung des aktuellen Standes der Technik implementiert, so dass das Sicherheitsniveau der Höhe des Risikos angemessen ist. Insbesondere sind Maßnahmen ergriffen, um Auswirkungen von Sicherheitsverletzungen zu vermeiden und die Beteiligten im Falle einer Sicherheitsverletzung zu informieren. Nachgewiesen durch ETSI EN Abs. 6.4, 6.5. Abs. 2 identity AG wird alle relevanten Stellen innerhalb von 24 Stunden informieren, im Falle einer Sicherheitsverletzung oder eines Vorfalls, die sich erheblich auf den erbrachten Identitätsfeststellungsdienst auswirken. Nachgewiesen durch ETSI EN Abs Artikel 24 Abs. 1 a-d) Abs. 2 a) Abs. 2 b) Anforderungen an qualifizierte Vertrauensdiensteanbieter identity AG identifiziert die antragstellende natürliche Person über einem zugelassenen Ausweisdokument. Die Informationen werden durch identity AG im Einklang mit dem nationalen Recht entweder unmittelbar oder unter Rückgriff auf einen Dritten wie folgt überprüft: a) durch persönliche Anwesenheit der natürlichen Person (identity Kurier Papier, identity Shop Papier, identity Kurier Sign, identity Shop Sign) oder b) nicht relevant für den bewerteten Identitätsfeststellungsdienst c) nicht relevant für den bewerteten Identitätsfeststellungsdienst d) durch sonstige Identifizierungsmethoden, die auf nationaler Ebene anerkannt sind und gleichwertige Sicherheit hinsichtlich der Verlässlichkeit bei der persönlichen Anwesenheit bieten (identity Video, identity eid). Die gleichwertige Sicherheit der beiden Identifizierungsmethoden wurde durch TÜViT festgestellt. Nachgewiesen durch ETSI EN Abs , identity AG wird die Aufsichtsstelle bei Änderungen der erbrachten Identitätsfeststellungsdienste sowie bei Einstellung der Tätigkeit unterrichten. identity AG beschäftigt nur fachkundiges und zuverlässiges Personal, das die notwendigen Qualifikationen vorweist und das regelmäßig geschult wird.

5 Seite 5 von 7 Seiten Nachgewiesen durch ETSI EN Abs Abs. 2 c) identity AG verfügt über ausreichende Finanzmittel in Bezug auf das Haftungsrisiko. Des Weiteren hat identity AG eine Haftpflichtversicherung abgeschlossen. Nachgewiesen durch ETSI EN Abs Abs. 2 d) identity AG unterrichtet alle Personen, die seinen Identitätsfeststellungsdienst nutzen wollen, über die Bedingungen und Nutzungsbeschränkungen bevor sie vertragliche Beziehungen eingehen. Nachgewiesen durch ETSI EN Abs. 6.1, 6.3.4, Abs. 2 e) Abs. 2 f) i-iii) Abs. 2 g) Abs. 2 h) Abs. 2 i) Abs. 2 j) Abs. 2 k) Abs. 3 Abs. 4 identity AG nutzt vertrauenswürdige Systeme und Produkte, die vor Veränderungen und Manipulationen geschützt sind. Nachgewiesen durch ETSI EN Abs identity AG speichert die übermittelten personenbezogenen Daten in vertrauenswürdigen Systemen, so dass diese nur mit der Zustimmung der Person öffentlich abrufbar sind, nur befugte Personen Zugriff auf diese Daten haben und Daten auf Echtheit überprüft werden können. Nachgewiesen durch ETSI EN Abs , 6.4.6, 6.5. identity AG hat technische und organisatorische Maßnahmen getroffen, um Daten vor Manipulation und Diebstahl zu schützen. Nachgewiesen durch ETSI EN Abs. 6.4, 6.5. identity AG hat ein Betriebseinstellungskonzept aufgestellt, das ständig aktualisiert wird und im Falle der Beendigung der Tätigkeit befolgt wird. Nachgewiesen durch ETSI EN Abs identity AG verarbeitet personenbezogenen Daten gemäß Richtlinie 95/46/EG. Nachgewiesen durch ETSI EN Abs

6 Seite 6 von 7 Seiten 3.2 Spezifische Anforderungen an den Vertrauensdienst identity Trust Management AG betreibt einen Identitätsfeststellungsdienst, der von einem VDA als Modul genutzt werden kann. Aus eidas ergeben sich keine spezifischen Anforderungen an Identitätsfeststellungsdienst. 4 Konformitätsbewertung und Ergebnisse Der Identitätsfeststellungsdienst wurde bezüglich der relevanten Anforderungen der eidas evaluiert. Die Erfüllung der Anforderungen aus der eidas, die in Kapitel 3 aufgelistet sind, wurde sowohl durch Prüfung der entsprechenden Dokumente des Dienstleisters als auch durch ein Audit vor Ort verifiziert. Aud_1 Prüfung der Dokumente des Dienstleisters. Die Prüfung erfolgte vom bis durch Frau Boryana Uri. Aud_2 Audit des Dienstleisters vor Ort. Das Audit erfolgte am in Düsseldorf, am in Bingen (Video-Callcenter) und am in Halle (Video-Callcenter) durch Herrn Alfons Tönnies und Frau Boryana Uri und wurde seitens der identity AG von Herrn Harald Jacobs begleitet. Als Grundlage für die Prüfung der Dokumente und die Durchführung des Audits wurden die in Kapitel 3 aufgeführten Anforderungen der eidas sowie der europäische Standard ETSI EN / ETSI EN herangezogen. Die detaillierten Ergebnisse sind in den folgenden separaten Berichten Evaluation Report Initial Certification ETSI EN , TUVIT-CA9701, Version 2.0 vom Evaluation Report Initial Certification ETSI EN , TUVIT-CA9701, Version 2.0 vom aufgeführt. Es wurden keine kritischen Nichtkonformitäten identifiziert. Es wurden keine nicht-kritischen Nichtkonformitäten identifiziert. Die folgenden Empfehlungen, deren Erfüllung bis zum nächsten, jährlich durchgeführten Überwachungsaudit gegenüber der Konformitätsbewertungsstelle nachzuweisen ist, wurden während des Audits vor Ort identifiziert und in die oben genannten Prüfberichten festgehalten: identity AG shall perform and document the trainings of the personnel in trusted roles within 12 months as defined by the training plan. [ETSI EN , 7.2 b)] identity AG shall document and centralize its change management process in order to have appropriate evidences that procedures are followed as defined. [ETSI EN , 7.7 b)] identity AG shall define and implement a security patch management. The procedures which are followed when applying a security patch shall be documented. In case of not applying patches, the reasons for this decision shall be also documented. [ETSI EN , 7.7 g)]

7 Seite 7 von 7 Seiten identity AG has implemented an identity verification service with six different identification methods. Two of the methods (identity Kurier Papier and identity Kurier Sign) are accessible for persons with disabilities as the identifier can visit the person at its home. For all other methods, identity AG shall verify, whether its services can be made accessible for persons with disabilities. If feasible, identity AG shall implement corresponding measures. If not, identity AG shall describe for each method in its security concept why accessibility for person with disabilities is not feasible. [ETSI EN , 7.13 b)] 5 Abschließende Zusammenfassung identity Trust Management AG betreibt einen Identitätsfeststellungsdienst mit verschiedenen Identifizierungsverfahren, der als Modul durch einen Vertrauensdiensteanbieter genutzt werden kann. Dabei ist identity AG ein beauftragter Dritter für die Erfüllung der Teile des Vertrauendsdienstes des VDA. Dabei bleibt die Gesamt-Verantwortung für die Erfüllung der Anforderungen aus der eidas beim VDA. Ein beauftragter Dritter kann seine Dienstleistung als Modul mit einer Konformitätsbewertung durch eine Konformitätsbewertungsstelle versehen. Diese Konformitätsbewertung ist nach sicherheitserheblichen Veränderungen spätestens aber bis zum zu erneuern. Der Betriebsablauf bei identity AG wurde der Konformitätsbewertungsstelle im Rahmen der Konformitätsbewertung gemäß Artikel 20 Abs. 1 demonstriert. Die korrekte Umsetzung der Anforderungen der eidas wurde festgestellt. Während des Betriebes sind die folgenden Bedingungen zu beachten: - Die Inbetriebnahme der Identifizierungsverfahren zur Identifizierung natürlicher Personen für die Nutzung durch Vertrauensdiensteanbieter darf erst nach erfolgreicher Konformitätsbewertung der Einbindung des Moduls beim VDA erfolgen. - Jede sicherheitserhebliche Veränderung des Vertrauensdienstes ist der Konformitätsbewertungsstelle anzuzeigen und erfordert ggf. eine Überprüfung und eine Erweiterung der Konformitätsbewertung. Ende der Konformitätsbewertung