Konformitätsverfahren für Vertrauensdiensteanbieter So klappt die neue Zertifizierung elektronischer Signaturen

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Digitale Unterschriften erleichtern die durchgängige Digitalisierung von Prozessen in Unternehmen und Behörden. Für ihren grenzüberschreitenden Einsatz im europäischen Wirtschaftsraum hat die eIDAS-Verordnung die Rahmenbedingungen geschaffen. Anbieter von Vertrauensdiensten müssen dafür ein Zertifizierungsverfahren durchlaufen.

Je stärker die Digitalisierung Geschäftsprozesse definiert, desto größer ist der Bedarf an Datenschutz und Sicherheit. Um Prozesse und Vorgänge durchgängig digitalisieren und damit beschleunigen und effizienter gestalten zu können, benötigen gerade Behörden und Unternehmen elektronische Signaturen. Diese digitalen Unterschriften müssen rechtssicher sein, das bedeutet eindeutig, fälschungssicher und jederzeit nachverfolgbar. Damit das gewährleistet ist, werden in der Regel Signaturen der höchsten Sicherheitsstufe eingesetzt: sogenannte qualifizierte elektronische Signaturen.

Die eIDAS-Verordnung schafft dafür nun innerhalb der Europäischen Union einheitliche Rahmenbedingungen: Sie regelt die Nutzung elektronischer Identifizierungsmittel und Vertrauensdienste neu. Die Vorgaben für einzelne Anforderungen werden in den dazugehörigen Durchführungsrechtsakten konkretisiert.

Elektronische Signaturen bieten ein großes Einsatzspektrum

Außer natürlichen Personen können sich nun auch Unternehmen, Behörden oder Organisationen über elektronische Siegel rechtssicher und nachvollziehbar digital ausweisen. Die grenzüberschreitenden Regelungen für elektronische Signaturen und Siegel erleichtern europaweit tätigen Anwenderunternehmen die Geschäftstätigkeit - die Einsatzmöglichkeiten sind vielfältig. Sichere elektronische Signaturen sind bei Notarleistungen oder der öffentlichen Auftragsvergabe bereits gang und gäbe; Banken und Versicherungen nutzen sie ebenso wie Behörden.

Elektronische Siegel ermöglichen daneben auch die Prüfung über die Unversehrtheit der Daten und der Richtigkeit der Datenherkunft. Neue Möglichkeiten bieten die Entwicklung der Telematikinfrastruktur im Gesundheitswesen, etwa mit dem Einsatz des E-Health-Konnektors oder die geplante Einführung der elektronischen Patientenakte 2021. Besonders die neueren Verfahren der Fernsignatur versprechen ein breites Einsatzspektrum.

Vertrauensdienstanbieten müssen sich zertifizieren lassen

Unternehmen, die Dienstleistungen und Anwendungen nach den Vorgaben der eIDAS- Verordnung auf den Markt bringen wollen, wie beispielsweise die Ausgabe von qualifizierten Zertifikaten für elektronische Signaturen, müssen sich für diese Vertrauensdienste zunächst in einem Konformitätsbewertungsverfahren zertifizieren lassen.

Um die Zulassung als qualifizierter Vertrauensdiensteanbieter zu beantragen, muss der zuständigen Aufsichtsstelle ein Prüfbericht (Konformitätsbewertungsbericht) einer akkreditierten Konformitätsbewertungsstelle vorgelegt werden. Ein Vertrauensdiensteanbieter wählt also zunächst eine dieser Konformitätsbewertungsstellen aus, um die Prüfung zu beauftragen. Die in Deutschland tätigen akkreditierten Konformitätsbewertungs¬stellen sind auf der Website der Bundesnetzagentur aufgelistet.

Die Prüfung erfolgt gemäß dem Zertifizierungsprogramm der Konformitätsbewertungsstelle, das im Rahmen ihrer Akkreditierung festgelegt wird. Viele Konformitätsbewertungsstellen prüfen zum Beispiel anhand von CEN-Normen und Standards des Europäischen Instituts für Telekommunikationsnormen (ETSI).

Konformitätsbewertungsverfahren in zwei Schritten

Im ersten Schritt des Verfahrens werden zunächst alle für die Erstellung der Signatur verwendeten Dokumente, Vorgaben und Prozessdokumentationen in einem iterativen Prozess überprüft. Darunter fallen zum einen gesetzlich vorgeschriebene Unterlagen wie AGB, Sicherheitsvorgaben, Certificate Policy und der Beendigungsplan, aber auch weitere, unternehmenseigene Dokumente, etwa die die Vorgaben zur Netzwerksicherheit oder die Bestimmungen im Sicherheitskonzept.

Die Dokumente werden der Zertifizierungsstelle zugesandt und durch diese kommentiert; es folgen Anpassungsschleifen und erneute Prüfungen. Bis alle Dokumente vollständig und richtig vorliegen, kann es durchaus mehrere Monate dauern. Die Dokumentenprüfung und -freigabe stellt deswegen den zeitlich umfangreichsten Teil der Zertifizierung dar.

Der zweite Schritt des Konformitäts­bewertungsverfahrens ist das Audit vor Ort. Dabei wird geprüft, ob die in der Dokumentation beschriebenen Vorgaben in der Praxis auch eingehalten werden. Die Prüfer verfolgen den gesamten Ablauf aller zur Zertifizierung angemeldeten Leistungen: von der Identifizierung, über die Signaturerstellung bis zur Schlüsselgenerierung. Auch begleitende Maßnahmen werden erfasst. Wenn etwa eine jährliche Schulung der Mitarbeiter in den Unterlagen festgelegt ist, muss im Audit auch belegbar sein, dass diese Schulungen stattfinden.

Ist die Prüfung erfolgreich, stellt der Zertifizierungs­dienstleister einen Konformitätsbewertungsbericht sowie pro untersuchtem Standard zusätzlich je einen Evaluierungsreport aus. Das Unternehmen legt diese Unterlagen dann innerhalb von 3 Arbeitstagen nach Erhalt bei der zuständigen Aufsichtsstelle vor. Für die Zulassung des Dienstes von qualifizierten elektronischen Signaturen und Siegeln ist in Deutschland die Bundesnetzagentur zuständig.

Anforderungen prüfen und Kontakt zur Aufsichtsstelle suchen

Um den Abstimmungsaufwand auf das nötige Maß zu beschränken, sollten Unternehmen gerade bei Erstzulassungen noch vor dem Prüfungsprozess die genauen Anforderungen klären. In einer Vorbesprechung können erfahrene Prüfer erläutern, wie die einzelnen Standards zu verstehen sind. Das spart oft langwierige Abstimmungsschleifen in der Dokumentenprüfung.

Es ist wahrscheinlich, dass es bei der Zertifikatsvergabe in manchen Fällen zu Rückfragen kommen kann. Wenn Unternehmen neu entwickelte Technologien zertifizieren lassen, empfiehlt es sich, am besten parallel zur Konformitätsbewertung bereits den Kontakt zur Aufsichtsstelle zu suchen. Fragen lassen sich dann bereits im Vorfeld klären. Sollten zusätzliche Dokumentationen oder Nachweise nötig sein, können diese bereits parallel erstellt werden.

Auch Teilzertifizierungen sind möglich. Entwickeln Unternehmen neue Anwendungen, können eigene neue Teilverfahren mit bereits zertifizierten Lösungen anderer Anbieter kombiniert werden. Dabei sind jeweils nur die neuen Teilverfahren zu zertifizieren, was eine Verkürzung des Bewertungsverfahrens bedeutet. So ergeben sich für das eigene Geschäftsmodell auch Möglichkeiten zur Spezialisierung oder zur Erweiterung durch die Kombination mit bestehenden Verfahren.

Fazit

Die erstmalige Zertifizierung von Vertrauensdiensten lässt sich in einem angemessenen Zeitrahmen meistern. Die Voraussetzung dafür sind allerdings eine vorausschauende Planung und Beratung. Die dabei gewonnenen Erfahrungen erleichtern dann auch die Arbeit bei den Folgezertifizierungen.

Über den Autor: Thomas Hueske ist Leitender Berater bei der SRC Security Research & Consulting GmbH.

(ID:46641765)