eidas: Antworten auf häufig gestellte Fragen, neue Dienste und Zertifikatsklassen

Transkript

1 TeleTrusT-EBCA "PKI-Workshop" Berlin, eidas: Antworten auf häufig gestellte Fragen, neue Dienste und Zertifikatsklassen Christian Seegebarth, Bundesdruckerei GmbH 1

2 Motivation 2

3 Kernpunkte der eidas-verordnung (Regulation no 910 / 2014) Ziel Schaffung eines digitalen Binnenmarkts der eid-mittel und VDAs in Europa Festlegung eines Rechtsrahmens für betroffene Dienste Gegenseitige Anerkennung der notifizierten eid Systeme Schaffung einer gemeinsamen Grundlage für sichere elektronische Interaktion zwischen Unternehmen, Bürgern und öffentlichen Verwaltungen Betroffene Dienste Notifizierte Systeme (eid) (Identifizierung/Authentisierung) und Vertrauensdienste (TSP) Ausgenommen: Geschlossene Nutzergruppen der Privatwirtschaft oder der Behörden, z.b. EGVP, Firmenkarten, Register Status August 2014: in Kraft getreten Durchführungsrechtsakte als Verbindung von technischen Normen und Verordnung wurden geschaffen Juli 2016: eidas Kapitel III (elektronische Vertrauensdienste) findet Anwendung i Durch den gesetzgeberischen Charakter für die Mitgliedsstaaten müssen SigG/SigV ersetzt werden 3

4 Roadmap der eidas-verordnung reicht bis in 2018 hinein heute eidas-verordnung Inkrafttreten eidas-verordnung Vertrauensdienste Inkrafttreten Regelung Vertrauensdienste eid-service Übergangsphase Inkrafttreten eid-anerkennung Beendigung der alten Dienste 4

5 eidas-verordnung wird über Durchführungsrechtsakte und technische Standards spezifiziert Chapter I. General Provisions II. Electronic Identification III. Trust Services IV. Electronic Documents V. Delegation of power and Implementing Provision VI. Final Provisions Sections 1. General Provisions 2. Supervision 3. Qualified trust services 4. Electronic signatures 5. Electronic seals 6. Electronic time stamps 7. Electronic registered delivery services 8. Website authentication Legal Article Durchführungsrechtsakte (Implementing Acts) Art. 17(8) Art. 19(4) Art. 20(4) Art. 21(4) Art. 22(5) Art.23(3) Art. 24(5) Art. 27(4) Art. 27(5) Art. 28(6) Art. 29(2) Art. 30(3) Art. 31(3) Art. 32(3) Art 33 (2) Art. 34(2) Art 37 (5) Art. 38(6) Art. 42(2) Art.44(2) Art45 (2) Technical ETSI Conformity Assessment Framework General Policy Requirements Req. for Conformity Assessments Website Certs Qulified Certs Pub. Key Certs Attribute Certs Time Stamps

6 Was bisher geschah Quelle: Andrea Servida (EU Kommission) 6

7 eidas Standards Framework: Published Standards June 2017 Trust services for: Issuing certificates Time Stamping Signature creation services Validation services Procedures for AdES creation & validation x19 4xx TSPs supporting digital signatures 119 6xx Trust service status lists x19 1xx Signature Creation & Validation x19 5xx Trust application service providers List of approved QTSPs & services supervised by National Bodies Trust services for: Registered edelivery / Long term preservation Formats: XAdES (XML) CAdES (CMS) PAdES (PDF) ASiC (containers) 7 CC Protection Profiles QSCD - Smart Cards HSM used as QSCD HSM used by TSPs Remote QSCD 419 2xx Signing Devices 119 0xx General Framework 119 3xx Signature suites Cryptographic suites - Hash - Asymmetric crypto - Key generation - Lifetime Standards framework Common definitions Guides ETSI All rights reserved 7

8 Vertrauensdienste gemäß eidas Qualifizierte Websitezertifikate (QWACs) Fortgeschrittene / qualifizierte Signaturen (auch fernausgelöst) Fortgeschrittene/ qualifizierte Siegel Elektronische Einschreib- Zustelldienste Vertrauensdienste qualifizierte Zeitstempel Elektronisches Dokument Prüf und Bewahrungsdienste 8

9 eidas wirkt an mehreren Stellen in einem typischen E-Transaktions-Workflow Beispiel Bundesmeldegesetz Website besuchen Website-Authentifizierung Vermieter Einloggen / Registrieren eid/ Identifikation Formular ausfüllen und unterzeichnen esignatur (Fernsignatur) Formular erstellen Antragseingang bestätigen Zeitstempel Behörde Bestätigung erstellen Siegel E-registrierte Zustellung Bescheinigung zustellen Aufbewahrung Vorgang archivieren xxx eidas relevante Komponente 9

10 Regelungen - Zertifikatsklassen und Level of Assurance (LoA) Level of Assurance (eidas Artikel 8 und Durchführungsverordnung (EU) 2015/1502) notifizierter Systeme 1. Low Begrenztes Maß an Vertrauen in elektronisches Identifizierungssystem 2. Substanziell Substanzielles Maß an Vertrauen in das elektronische Identifizierungssystem 3. High "Zertifikats-/Signaturklassen" 1. Fortgeschrittene esignatur (eidas Artikel 3.11, 26) 2. Qualifizierte esignatur (eidas Artikel 3.12/ Anhang II (QSCD)) 3. Qualifizierte Zertifikate esignatur (eidas Artikel 3.15, 28/ Anhang I) 4. Fortgeschrittenes esiegel (eidas Artikel 36) 5. Qualifizierte Zertifikate für esiegel (eidas Artikel 38/ Anhang III) 6. Qualifizierter Zeitstempel (eidas Artikel 42) Höheres Maß an Vertrauen in das elektronische Identifizierungssystem 10

11 Vertrauensniveaus der Handreichung des IT Planungsrat 2015 Grundlage für die Zuordnung ist die Technische Richtlinie TR , Elektronische Identitäten/ Vertrauensdienste des BSI. Quelle: 11

12 eidas Durchführungsgesetz - Vertrauensdienste Gesetz (VDG) Federführung: BMWi VDG ersetzt Signaturgesetz Regelungen soweit Ergänzungs- bzw. Konkretisierungsbedarf besteht Anlehnung an Signaturgesetz Regelung der Zuständigkeiten entsprechend KOM-Meldung Allgemeine Vorschriften: Verfahren, Datenschutz, Bußgelder, Ermächtigungsgrundlage für Rechtsverordnungen u. a. Spezielle Vorschriften: Attribute, Widerruf von Zertifikaten, Beendigungsplan u. a. Vertrauensdiensteverordnung wird parallel erarbeitet Erste Lesung im Bundesstag ->Wirtschaftsausschuss Ende der Stillhaltefrist 22/ Bundestag II und III Bundesrat II tritt am Tag nach Verkündung im Amtsblatt in Kraft, wahrscheinlich vor dem Quelle: BMWI 12

13 Status 06/ 2017 eidas Ausblick Wesentliche Richtlinen für eidas Mittel PSD2 - Second Payment Service Directive -> RTS (QWACs, Siegel etc) AML 4 - Fourth Anti Money Laundering Directive (Kundenidentifikation (Customer Due Diligence (CDD) - Glücksspiel) PAD - Payment Account Directive Status GDPR - General Data Protection Regulation BMI will eid notifizierten und "Die grenzüberschreitende Anerkennung notifizierter eid Systeme ist verpflichtend und bis zum 18. September 2018 sicher zu stellen" ( Verordnung_EU_node.html) 13

14 Disclaimer Lassen Sie uns darüber reden! Christian Seegebarth Senior Expert Trusted Solutions Telefon: Hinweis: Diese Präsentation ist Eigentum der Bundesdruckerei GmbH. Sämtliche Inhalte auch auszugsweise dürfen nicht ohne die Genehmigung der Bundesdruckerei GmbH vervielfältigt, weitergegeben oder veröffentlicht werden. Copyright 2016 by Bundesdruckerei GmbH. 14