Conformity Assessment Herausforderungen bei der Prüfung von Vertrauensdiensten

Transkript

1 Conformity Assessment Herausforderungen bei der Prüfung von Vertrauensdiensten Workshop Elektronische im Sinne der eidas-verordnung BMWi, Berlin, Clemens Wanko

2 ÜBERBLICK 1. Vertrauensdienste nach eidas-vo 2. Aufsicht und Prüfung 3. Herausforderungen und Ausblick Workshop Elektronische im Sinne der eidas-verordnung TÜV Informationstechnik GmbH

3 VERTRAUENSDIENSTE NACH eidas-vo (ARTIKEL 3.16) Erstellung, Überprüfung und Validierung von: elektronischen Signaturen elektronischen n elektronischen Zeitstempeln diese Dienste betreffenden Zertifikaten qualifizierten Zertifikaten für die Website-Authentifizierung Zustellung von: elektronischen Einschreiben (Auf-) Bewahrung von diese Dienste betreffenden: elektronische Signaturen elektronische n Zertifikaten Erzeugung von Zeitstempeln qual. Zertifikate für Website- Authentifizierung Elektronisches Einschreiben qualifizierte Zertifikate für Signaturen Validierung von Signaturen / qualifizierte Zertifikate für Bewahrung von Signaturen / Erzeugung von Signaturen / Workshop Elektronische im Sinne der eidas-verordnung TÜV Informationstechnik GmbH

4 AUFSICHT UND PRÜFUNG Aufsichtsstelle führt Aufsicht nichtqualifizierte Vertrauensdiensteanbieter (Art. 17.3b): Ex-post qualifizierte Vertrauensdiensteanbieter (Art. 17.3a): Ex-ante und Ex-post Prüfung vorgesehen für Qualifizierte Vertrauensdiensteanbieter (Art. 20.1) Vertrauensdiensteanbieter (Art.3, 19.) Vertrauensdiensteanbieter ist eine natürliche oder juristische Person, die einen oder mehrere Vertrauensdienste als qualifizierter oder nichtqualifizierter Vertrauensdiensteanbieter erbringt. Qualifizierter Vertrauensdiensteanbieter (Art.3, 20.) Qualifizierter Vertrauensdiensteanbieter ist ein Vertrauensdiensteanbieter, der einen oder mehrere qualifizierte Vertrauensdienste erbringt und dem von der Aufsichtsstelle der Status eines qualifizierten Anbieters verliehen wurde SmartCard-Workshop: Signaturen nach der eidas-verordnung TÜV Informationstechnik GmbH

5 WER PRÜFT? Konformitätsbewertungsstelle (Art. 3, 18.) Akkreditiert Konformitätsbewertungsstellen nach EA-Vorgaben SmartCard-Workshop: Signaturen nach der eidas-verordnung TÜV Informationstechnik GmbH

6 WER PRÜFT? Konformitätsbewertungsstelle (Art. 3, 18.) Prüfung im Rahmen der Aufsicht (17.4e i.v. m. Art. 20.2) Regelprüfung und Prüfung im Rahmen der Aufsicht (Art und Art. 17.4e i.v. m. Art. 20.2) SmartCard-Workshop: Signaturen nach der eidas-verordnung TÜV Informationstechnik GmbH

7 WAS MUSS GEPRÜFT WERDEN? Zweck dieser Prüfung ist es nachzuweisen, dass [die qualifizierten Vertrauensdiensteanbieter] und die von ihnen erbrachten qualifizierten Vertrauensdienste die in dieser Verordnung festgelegten Anforderungen erfüllen. (Art. 20.1) Zu prüfen Qualifizierte elektronische Signaturerstellungseinheiten (QSCD) Grundlage: Zertifizierung (Art. 30.1) Dienstebetrieb von Vertrauensdiensten Grundlage: ETSI EN Normenreihe SmartCard-Workshop: Signaturen nach der eidas-verordnung TÜV Informationstechnik GmbH

8 ANFORDERUNGEN AN QSCDs (ARTIKEL 29, 30, ANHANG II) QSCD Zertifizierung durch von Mitgliedsstaaten benannten Stellen Anforderung gemäß Anhang II: gelten sinngemäß auch für ; Unterschiede ausschließlich bei Authentifizierung des erstellers möglich angemessene Sicherstellung der Vertraulichkeit und Einmaligkeit der Signaturerstellungsdaten hinreichende Sicherheit gegen Ableitung der Signaturerstellungsdaten und Signaturfälschung verlässliche Schutzmöglichkeit der Signaturerstellungsdaten gegen eine Verwendung durch Dritte keine Veränderung der zu signierenden Daten; keine Verhinderung der Anzeige vor dem Unterzeichnen Erzeugen oder Verwalten von elektronischen Signaturerstellungsdaten im Namen eines Unterzeichners ausschließlich durch qualifizierten Vertrauensdiensteanbieter Kopien von Signaturerstellungsdaten sind möglich, jedoch ausschließlich zu Sicherungszwecken (nicht für eigene Signaturerstellungsdaten erlaubt!) gleiches Sicherheitsniveau der Kopien und minimale für die Dienstleistungskontinuität benötigte Anzahl Workshop Elektronische im Sinne der eidas-verordnung TÜV Informationstechnik GmbH

9 ANFORDERUNGEN DIENSTEBETRIEB VERTRAUENSDIENSTEANBIETER REFERENCE REFERENCE ETSI EN ESI; General Policy Requirements for Trust Service Providers ETSI EN ESI; Policy and security requirements for TSPs issuing certificates; Part 1: General requirements REFERENCE ETSI EN / EN ESI; Policy and security requirements for Trust Service Providers issuing certificates; Part 2: Requirements for trust service providers issuing EU qualified certificates / Time Stamps Workshop Elektronische im Sinne der eidas-verordnung TÜV Informationstechnik GmbH

10 WIE WIRD DER DIENSTEBETRIEB GEPRÜFT? Prüfung der Dokumentation Prüfung der Umsetzung Bericht (KBB) Security Concept, CP, CPS, Technical Processes IT Network Trustworthy Systems Organisation & organisational Procedures Workshop Elektronische im Sinne der eidas-verordnung

11 WANN MUSS EIN KONFORMITÄTSBEWERTUNGSBERICHT (KBB) VORLIEGEN? Positiver KBB Voraussetzung für qualifizierten Betrieb Stichtage und Wiedervorlage mindestens alle 24 Monate (Art. 20.1) Fall 1. bestehender ZDA nach SigG Klassische Dienste: qualifizierte Zertifikate für Signaturen Erzeugung von Zeitstempeln qualifizierter VD nach eidas zum ; KBB bis erforderlich Fall 2. Neuer VDA nach eidas Alle Dienste (ab ) KBB erforderlich, wird qual. VD nach Prüfung durch Aufsichtsstelle Neue Dienste (ab ): KBB durch Konformitätsbewertungsstelle erforderlich; wird qualifizierter VD nach Prüfung durch Aufsichtsstelle SmartCard-Workshop: Signaturen nach der eidas-verordnung TÜV Informationstechnik GmbH

12 HERAUSFORDERUNGEN UND AUSBLICK Aufsichtsstelle BNetzA (designiert) Rechtliche Anforderungen eidas-vo + RA, VDG qual. Zert. für Website- Authentifizier. qualifizierte Zertifikate für Signaturen qualifizierte Zertifikate für Normative Anforderungen ETSI EN, CEN Erzeugung von Zeitstempeln Erzeugung von Signaturen / Akkreditierung von Konformitätsbewertungsstellen DAkkS Validierung von Signaturen / Bewahrung von Signaturen / Elektronisches Einschreiben Start qualifizierter Vertrauensdienste nach eidas-vo ab ! Workshop Elektronische im Sinne der eidas-verordnung TÜV Informationstechnik GmbH

13 Vielen Dank für Ihre Aufmerksamkeit! Workshop Elektronische im Sinne der eidas-verordnung TÜV Informationstechnik GmbH

14 Ihr Ansprechpartner Clemens Wanko Leiter Zertifizierungsfachbereich eid&vd TÜV Informationstechnik GmbH IT Infrastructure TÜV Informationstechnik GmbH