26.4.2016   

DE

Amtsblatt der Europäischen Union

L 109/40

(1)

In Anhang II der Verordnung (EU) Nr. 910/2014 sind die Anforderungen an qualifizierte elektronische Signaturerstellungseinheiten und qualifizierte elektronische Siegelerstellungseinheiten festgelegt.

(2)

Die Aufgabe der Ausarbeitung der technischen Spezifikationen, die für die Herstellung und das Inverkehrbringen von Produkten, die dem derzeitigen Stand der Technik entsprechen, erforderlich sind, wird von den für die Normung zuständigen Gremien wahrgenommen.

(3)

Die Internationale Organisation für Normung (ISO) und die Internationale Elektrotechnische Kommission (IEC) legen die allgemeinen Konzepte und Grundsätze der IT-Sicherheit fest und bestimmen das allgemeine Bewertungsmodell, das der Bewertung der Sicherheitseigenschaften von IT-Produkten zugrunde liegt.

(4)

Im Rahmen des durch die Kommission erteilten Normungsauftrags M/460 hat das Europäische Komitee für Normung (CEN) Normen für qualifizierte elektronische Signatur- und Siegelerstellungseinheiten ausgearbeitet, bei denen sich die elektronischen Signatur- bzw. Siegelerstellungsdaten vollständig, aber nicht notwendigerweise ausschließlich in der Umgebung des Nutzers befinden. Diese Normen gelten als geeignet, um die Konformität solcher Einheiten mit den einschlägigen Anforderungen gemäß Anhang II der Verordnung (EU) Nr. 910/2014 zu bewerten.

(5)

Gemäß Anhang II der Verordnung (EU) Nr. 910/2014 darf nur ein qualifizierter Vertrauensdiensteanbieter elektronische Signaturerstellungsdaten im Namen eines Unterzeichners verwalten. Andere Sicherheitsanforderungen und entsprechende Zulassungsspezifikationen gelten, wenn der Unterzeichner im physischen Besitz eines Produktes ist und wenn ein qualifizierter Vertrauensdiensteanbieter im Namen des Unterzeichners tätig ist. Um beide Fälle zu erfassen und außerdem die laufende Entwicklung von Produkten und Bewertungsnormen, die besonderen Bedürfnissen entsprechen, zu fördern, sollten im Anhang dieses Beschlusses Normen für beide Fälle aufgeführt werden.

(6)

Zum Zeitpunkt der Annahme dieses Beschlusses bieten bereits mehrere Vertrauensdiensteanbieter Lösungen für die Verwaltung elektronischer Signaturerstellungsdaten im Namen ihrer Kunden an. Die Zertifizierung von Produkten beschränkt sich derzeit auf die Hardware-Sicherheitsmodule, die zwar nach verschiedenen Normen, jedoch nicht nach den Anforderungen an qualifizierte Signatur- und Siegelerstellungseinheiten zertifiziert sind. Dennoch wurden bisher noch keine Normen, wie z. B. EN 419 211 (für elektronische Signaturen, die vollständig, aber nicht notwendigerweise ausschließlich in der Umgebung des Nutzers erstellt werden), für den ebenso wichtigen Markt für zertifizierte Fernsignaturen veröffentlicht. Da sich für derartige Zwecke möglicherweise geeignete Normen derzeit in der Entwicklung befinden, wird die Kommission den vorliegenden Beschluss ergänzen, sobald derartige Normen verfügbar sind und bewertungsgemäß den Anforderungen nach Anhang II der Verordnung (EU) Nr. 910/2014 entsprechen. Bis zur Aufstellung des Verzeichnisses solcher Normen wird unter den in Artikel 30 Absatz 3 Buchstabe b der Verordnung (EU) Nr. 910/2014 genannten Bedingungen ein alternatives Verfahren für die Bewertung der Konformität solcher Produkte verwendet.

(7)

Im Anhang ist die Norm EN 419 211 aufgeführt, die aus mehreren, verschiedene Fälle erfassenden Teilen (1 bis 6) besteht. Die Normen EN 419 211 Teil 5 und EN 419 211 Teil 6 enthalten Erweiterungen im Zusammenhang mit der Umgebung der qualifizierten Signaturerstellungseinheit, beispielsweise für die Kommunikation mit vertrauenswürdigen Signaturerstellungsanwendungen. Produktherstellern steht es frei, diese Erweiterungen zu verwenden. Gemäß Erwägungsgrund 56 der Verordnung (EU) Nr. 910/2014 erstreckt sich der Anwendungsbereich der Zertifizierung nach den Artikeln 30 und 39 dieser Verordnung nur auf den Schutz der Signaturerstellungsdaten, wogegen Signaturerstellungsanwendungen davon ausgeschlossen sind.

(8)

Damit die durch eine qualifizierte Signatur- oder Siegelerstellungseinheit erzeugten elektronischen Signaturen oder Siegel im Sinne des Anhangs II der Verordnung (EU) Nr. 910/2014 verlässlich gegen Fälschung geschützt sind, sind geeignete kryptografische Algorithmen, Schlüssellängen und Hash-Funktionen Voraussetzung für die Sicherheit des zertifizierten Produkts. Da der Bereich der elektronischen Signaturen und Siegel nicht auf europäischer Ebene harmonisiert ist, sollten die Mitgliedstaaten zusammenarbeiten, um sich auf die zu verwendenden kryptografischen Algorithmen, Schlüssellängen und Hash-Funktionen in diesem Bereich zu einigen.

(9)

Mit Annahme des vorliegenden Beschlusses wird die Entscheidung 2003/511/EG der Kommission (2) hinfällig. Sie ist daher aufzuheben.

(10)

Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des in Artikel 48 der Verordnung (EU) Nr. 910/2014 genannten Ausschusses —