Jusletter IT

Am 4. Juni 2012 legte die Europäische Kommission den Vorschlag KOM(2012) 238 final für eine Verordnung des Europäischen Parlaments und des Rates über die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt vor. ¹

In den letzten Jahren betonte eine Reihe politischer Dokumente im Rahmen der Europäischen Union die Regelungsnotwendigkeit auf den Gebieten der elektronischen Signatur und der elektronischen Identität («eID»):

• Die digitale Agenda für Europa² unterstreicht in ihren Schlüsselaktionen 3 und 16 die beiden Themen;
• der E-Government-Aktionsplan 2011-2015³ der Europäischen Kommission übernahm diese Zielsetzungen;
• entsprechende Ratsschlussfolgerungen vom 27. Mai 2011⁴ begrüssten diese Prioritäten.
• Zudem enthält auch die Binnenmarktakte⁵ eine Leitaktion zum digitalen Binnenmarkt, die unter anderem den Erlass von Rechtsvorschriften zur EU-weiten gegenseitigen Anerkennung der elektronischen Identifizierung und Authentifizierung und Überarbeitung der Richtlinie über die elektronische Signatur vorsieht.
• Schließlich nahm auch der Europäische Rat auf diese beiden Themen Bezug und forderte eine beschleunigte Behandlung. ⁶

Obwohl die Richtlinie 1999/93/EG des Europäischen Parlaments und des Rates vom 13. Dezember 1999 über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen, ABl. Nr. L 13 vom 19.1.2000, S. 12, ⁷ die Verwendung und rechtliche Anerkennung elektronischer Signaturen fördern und im Binnenmarkt den freien Verkehr von Produkten, Geräten und Diensten für elektronische Signaturen sicherstellen sollte, zeigt die Praxis nach wie vor erhebliche Interoperabilitätsprobleme, die eine grenzüberschreitende Verwendung elektronischer Signaturen beeinträchtigen. Die Fragmentierung aufgrund mangelnder Interoperabilität schränkt insbesondere auch die grenzüberschreitende Nutzung elektronischer Behördendienste ein.

Unionsweit einheitliche Regelungen für die Anerkennung bzw. Interoperabilität von in den einzelnen Mitgliedstaaten verwendeten Lösungen für den Nachweis der Identität in der «elektronischen Welt» sind hingegen bislang überhaupt nicht vorhanden. Vielfach – so auch in Österreich mit der Bürgerkarte bzw. der neuen Ausprägung der Bürgerkarte mittels Mobiltelefon («Handy-Signatur») – wird auf dem Rechtsrahmen der Signaturrichtlinie aufgesetzt.

Von einer sicheren und ungehinderten elektronischen Interaktion zwischen Unternehmen, BürgerInnen und öffentlicher Verwaltung wird eine Effizienzsteigerung des öffentlichen Dienstes und des öffentlichen Auftragswesens sowie eine Steigerung der grenzüberschreitenden Dienstleistungserbringung und des elektronischen Geschäftsverkehrs erwartet. Die Europäische Kommission betrachtet die Themen «eID» und «elektronische Signatur» daher als Schlüsselvoraussetzung für das Funktionieren des «digitalen Binnenmarkts», um Zugangsmöglichkeiten zu elektronischen Diensten anderer Mitgliedstaaten zu erleichtern, Hürden bei der Nutzung dieser Services zu beseitigen, die grenzüberschreitende Nutzung der eigenen Identifikationsmöglichkeiten sicherzustellen und damit auch das Vertrauen und die Sicherheit in elektronische Dienste zu heben.⁸

Im Gegensatz zu den ersten Planungen und Ankündigungen der Europäischen Kommission⁹ bezieht sich der Vorschlag für einen – einzigen – Rechtsakt auf die beiden Themen elektronische Signatur und elektronische Identifizierung. Die neue VO soll an die Stelle der bisherigen Signaturrichtlinie treten.

Der Verordnungsvorschlag basiert auf Artikel 114 AEUV und enthält sechs Kapitel sowie vier Anhänge. Bemerkenswert sind die überaus weitgehenden vorgesehenen Befugnisse zu delegierten Rechtsakten und Durchführungsrechtsakten.

Kapitel I enthält die allgemeinen Bestimmungen zum Regelungsgegenstand sowie zum Anwendungsbereich und den Definitionen.

Kapitel II regelt die elektronische Identifizierung (eID). Dabei ist vorgesehen, dass es den Mitgliedstaaten frei steht, unter bestimmten Voraussetzungen ihre Identifizierungssysteme zu notifizieren. Solcherart notifizierte eID-Systeme sind sodann von den anderen MGS anzuerkennen.

Zu betonen ist, dass kein Zwang für die Mitgliedstaaten zur Einführung von eID oder von bestimmten Mitteln oder Methoden besteht, sondern dass lediglich eine Verpflichtung zur gegenseitigen Anerkennung der von den anderen Mitgliedstaaten notifizierten eID normiert wird.

Bestimmte technische Mindeststandards oder Sicherheitsniveaus sind nicht definiert, die Mitgliedstaaten sind vielmehr zur Zusammenarbeit verpflichtet, um die Interoperabilität und die Sicherheit der Mittel der elektronischen Identifizierung zu gewährleisten.

Kapitel III widmet sich den so genannten «Vertrauensdiensten». Das umfangreichste Kapitel des Vorschlags regelt zunächst eine Reihe von allgemeinen Bestimmungen, die für alle Vertrauensdienste gelten sollen. Sie betreffen unter anderem die Haftung der Vertrauensdiensteanbieter, die Anerkennung qualifizierter Vertrauensdienste, die von in Drittländern niedergelassenen Anbietern bereitgestellt werden, Fragen des Datenschutzes und der Zugänglichkeit der Vertrauensdienste für Personen mit Behinderungen sowie Regelungen zur Beaufsichtigung und diverse Meldepflichten der Vertrauensdiensteanbieter.

Während die Regelungen zur elektronischen Signatur weitestgehend auf der bestehenden Signaturrichtlinie aufbauen, soll mit dem «elektronischen Siegel» ein neues Instrument für juristische Personen geschaffen werden, wobei rechtlich eine Vermutung eingeführt werden soll, dass ein qualifiziertes elektronisches Siegel den Ursprung und die Unversehrtheit des damit verbundenen elektronischen Dokuments garantiert.

Bestimmungen zum elektronischen Zeitstempel, der die Gewissheit des Anbringungszeitpunkts garantieren soll, zu den Akzeptanzbedingungen für elektronische Dokumente, zu Anforderungen an elektronische Zustelldienste und zur Website-Authentifizierung ergänzen die Liste der von der VO zu regelnden «Vertrauensdiensten».

Kapitel IV widmet sich den Rahmenbedingungen der vorgesehenen delegierten Rechtsakte und Kapitel V jenen der Durchführungsrechtsakte, während Kapitel VI die Schlussbestimmungen enthält. Es fällt dabei auf, dass im vorliegenden Vorschlag kein Übergangszeitraum vorgesehen ist.

Grundsätzlich ist die Vorlage des Legislativvorschlags der Europäischen Kommission zu begrüßen. eID ist eine wichtige Schlüsselvoraussetzung für innovative öffentliche Verwaltung, aber auch für den Wirtschaftsbereich. Die Regelungen zur gegenseitigen Anerkennung sowie zur klareren Gestaltung des Rechtsrahmens für die elektronische Signatur haben das realistische Potential, zur Stärkung des digitalen Binnenmarkts beizutragen.

Die Rechtsform des Vorschlags als Verordnung erscheint vor dem Hintergrund der Erfahrungen mit der Umsetzung der Signaturrichtlinie angemessen: Gerade aufgrund der nationalen Unterschiede in der Umsetzung der Signaturrichtlinie kam es in der praktischen Verwendung elektronischer Signaturen im grenzüberschreitenden Bereich laufend zu Problemen. Nicht zuletzt deshalb ergingen in Ausführung des Artikels 8 der EU-Dienstleistungsrichtlinie¹⁰, der die elektronische Abwickelbarkeit von Anträgen und Verfahren im Zusammenhang mit der Aufnahme und Ausübung von Dienstleistungstätigkeiten vorsieht, eine Reihe von Komitologiebeschlüssen, die einige der praktischen Probleme zu beseitigen versuchen. So wurden mittels derartiger Rechtsakte so genannte Vertrauenslisten¹¹ vorgesehen und anzuerkennende Signaturformate¹² geregelt. Mit dem neuen Verordnungsvorschlag wird auf diesen Komitologiebeschlüssen zur Umsetzung der EU-Dienstleistungsrichtlinie aufgebaut und eine verallgemeinerte Lösung definiert.

Die Tatsache, dass die Themen Signaturen und elektronische Identität gemeinsam in einem Rechtsakt geregelt werden, erscheint sinnvoll, da ansonsten ein «Auseinanderlaufen» der – technisch (kryptographisch) und organisatorisch vielfach nicht unähnlich umgesetzen - Regelungen mit den sich dadurch ergebenden negativen Folgen nicht auszuschließen wäre.

Diese Wertung ist aber in den derzeitigen Diskussionen nicht unbestritten.¹³

Im Rahmen des EU-Großpilotprojekts STORK¹⁴ wurde die Interoperabilität der personalisierten Zugänge zu help.gv.at und anderen Portalen mit einigen anderen nationalen Portalen und Anwendungen getestet. Die technische Machbarkeit der gegenseitigen Verwendung elektronischer Identitäten in anderen Mitgliedstaaten wird dadurch erfolgreich demonstriert.¹⁵ Die rechtlichen Regelungen dazu fehlen bislang aber auf europäischer Ebene. Eine klare rechtliche Regelung, die die Mitgliedstaaten dazu verpflichtet, die jeweiligen offiziellen eID-Lösungen der anderen Mitgliedstaaten anzuerkennen, ist daher hoch an der Zeit.

Dem Kommissionsvorschlag fehlt allerdings derzeit eine konkrete Festlegung von Mindestsicherheitsstandards. Die klare Regelung der gegenseitigen Anerkennung qualitativ hochwertiger eIDs sollte Vorrang haben. Dazu bedarf es ähnliche technische und organisatorische Mindestanforderungen wie für die qualifizierte Signatur. In den Verhandlungen wird teilweise darauf gedrängt, unterschiedliche Sicherheitsstufen unterhalb der qualitativ hochwertigen eIDs festzulegen und deren jeweilige Gleichwertigkeit vorzusehen.¹⁶ Dies würde allerdings die Komplexität enorm steigern und die Vollziehung kaum handhabbar machen. Ein pragmatischer Lösungsweg bestünde darin, mit der «höchsten» Stufe zu beginnen und für diese konkrete Mindestsicherheitsstandards (wie etwa «zumindest 2-Faktor-System»¹⁷) festzulegen, während darunter liegende Stufen späteren Regelungen vorbehalten werden, sofern sich überhaupt eine Notwendigkeit dafür ergibt.

Interessanterweise sieht der derzeitige Wortlaut von Art. 5 vor, dass notifizierte eIDs anderer Mitgliedstaaten anzuerkennen und zu akzeptieren sind, sofern «für den Zugang zu einem Online-Dienst […] eine elektronische Identifizierung mit einem elektronischen Identifizierungsmittel und mit Authentifizierung erforderlich» ist. Es wird also nicht darauf abgestellt, dass die Verwendung eines Identifizierungsmittels erforderlich ist, das von diesem Mitgliedstaat selbst notifiziert wurde, sondern es wird auf jegliches Identifzierungs- und Authentifizierungserfordernis schlechthin abgestellt. Sofern es sich dabei nicht lediglich um eine ungewollte Formulierungsschwäche handelt, kann dies nur als überschießend qualifiziert werden, hieße dies doch, dass zB ein wenig sicherheitskritisches Online-Service, das derzeit nur mit User-ID/ Password und überhaupt nicht grenzüberschreitend genutzt wird, verpflichtend z.B. belgische Identitätskarten integrieren müsste, sobald diese von Belgien notifiziert werden. Es sollte wohl eine derartige Verpflichtung nur dort bestehen, wo auch die eigenen notifizierten eID verwendet werden können (oder müssen?).

Das «eID-Kapitel» betrifft nicht nur eID natürlicher Personen, sondern umfasst grundsätzlich auch eID juristischer Personen. Für Letztere fehlen aber bislang konkretere Bestimmungen: So wäre es wohl erforderlich, nicht «eID juristischer Personen» per se zu regeln, sondern vielmehr die gegenseitige Anerkennung der elektronisch abgebildeten Vollmachtsverhältnisse zwischen juristischen und natürlichen Personen.

Die Bedingungen, unter denen eID-Systeme notifiziert werden können, werden sicherlich noch im Detail zu diskutieren sein. So wird etwa die Voraussetzung der kostenlosen Online-Authentifizierungsmöglichkeit zur Validierung der empfangenen Personenidentifizierungsdaten¹⁸ vor allem für jene Mitgliedstaaten ein Problem darstellen, in denen derzeit die Validierung der eID-Daten als kostenpflichtiges Service eingerichtet ist. Auch die Voraussetzung, dass den vertrauenden Beteiligten eines anderen Mitgliedstaats «keine bestimmten technischen Vorgaben»¹⁹ für die Vornahme der Authentifizierung gemacht werden dürfen, könnte auf Widerstand stoßen, betrachtet man etwa die derzeit nicht unbeträchtlichen Anforderungen, die an Serviceanbieter gestellt werden, die z.B. den neuen deutschen Personalausweis einbinden möchten (insbes. die Voraussetzung des Erwerbs eines entsprechenden «Berechtigungszertifikats»).²⁰

Bei den allgemeinen Bestimmungen fällt auf, dass die Haftungsbestimmungen nicht als Mindestregelung definiert sind. Dies sollte noch geändert werden, da es wohl nicht Ziel der VO sein kann, eine Harmonisierung des Haftungsrechts der Mitgliedstaaten zu normieren.

Bei den jetzt vorgesehenen Regelungen zu den «Elektronischen Siegeln» stellt sich die Frage nach dem Mehrwert bzw. besteht allenfalls sogar das Risiko, verwirrende rechtliche Regelungen einzuführen. Vor allem die rechtliche Vermutung des «Ursprungs» der verbundenen Daten wirft mehr Fragen auf, als sie zu lösen vermag. Bedeutet diese Vermutung des Ursprungs, dass das mit einem Siegel versehene Dokument jedenfalls der juristischen Person zuzurechnen ist? Wird damit auch die Vertretungsbefugnis der das Siegel auslösenden Person vermutet? Entsteht daher etwa auch eine rechtliche Bindung der juristischen Person, selbst wenn eine überhaupt nicht vertretungsbefugte Person gehandelt hat? In welchem Verhältnis steht dies mit den Vertretungsregelungen für juristische Personen im Allgemeinen? Um solche Fragen zu vermeiden, sollte klargestellt werden, dass sich durch ein «Siegel» keine Vertretungsbefugnis der handelnden Person oder ein Bindungswille der vertretenen juristischen Person ableiten lassen. Lediglich die Unversehrtheit des «versiegelten» Dokuments lässt sich argumentieren – dafür benötigt man aber wiederum kein neues Instrument: dies ist vielmehr auch derzeit durch die «fortgeschrittene Signatur» gewährleistet.

Unklar erscheint, welche Interoperabilitätsprobleme sich im Zusammenhang mit den «elektronischen Bewahrungsdiensten»²¹ stellen, die eine Regelung mittels EU-Vorschrift angezeigt erscheinen lassen. Sofern damit das Thema der Langzeitarchivierung angesprochen wird, handelt es sich zwar um ein wesentliches Thema; dieses scheint allerdings weitgehend auf den nationalen Bereich beschränkt zu sein, sodass sich nicht klar erkennen lässt, welche grenzüberschreitenden Aspekte eine Regelung auf europäischer Ebene rechtfertigen. Allenfalls könnte die Bestimmung auf das «Nachsignieren» bezogen werden, doch erscheint auch hier der normative Mehrwert fraglich.

Skepsis ist schließlich zu den Regelungen zur Website-Authentifizierung²² angebracht: angesichts der Tatsache, dass sich diese Frage im Wesentlichen in der Nutzung von Internet-Browsern niederschlägt - die allerdings weitestgehend nicht europäischen Ursprungs sind - ist fraglich, welche Wirkungen eine Verordnungsregelung erzeugen können wird.

Der Verordnungsvorschlag enthält die wesentlichen Grundsätze, die zur gegenseitigen Anerkennung und zur Mindestharmonisierung notwendig sind. Details werden zu einem kleinen Teil in den vier Verordnungsanhängen geregelt, weitergehende Detaillierungen sollen nach dem Vorschlag der EK in Form von Durchführungsrechtsakten und delegierten Rechtsakten geregelt werden.

Tatsächlich enthält der vorliegende Vorschlag nicht weniger als 16 Ermächtigungen zu delegierten Rechtsakten und 23 Ermächtigungen zu Durchführungsrechtsakten. Eine derart große Zahl an derartigen Ermächtigungen an die Europäische Kommission kann durchaus als «exzessiv» bezeichnet werden.

Dabei ist die Regelungstechnik, Detaillierungen nachgelagerten Rechtsakten vorzubehalten, angesichts der einerseits sehr dynamischen Entwicklung in den Regelungsbereichen und andererseits vor dem Hintergrund der sehr ins technische Detail gehenden Spezifizierungen nachvollziehbar und im Grunde zu rechtfertigen.

Bei einigen Ermächtigungen erscheint allerdings überaus fraglich, ob es sich tatsächlich um die «Ergänzung oder Änderung bestimmter nicht wesentlicher Vorschriften» im Sinne des Art. 290 AEUV handeln würde. Jedenfalls kann den meisten Ermächtigungen nicht im Detail eine ausdrückliche Festlegung betreffend «Ziele, Inhalt, Geltungsbereich und Dauer der Befugnisübertragung» entnommen werden, wie dies Art. 290 EAUV vorsieht, sodass von einer überschießenden Befugnisübertragung gesprochen werden könnte.

An einigen Stellen ist für ein und denselben Regelungsgegenstand sowohl ein delegierter Rechtsakt als auch eine Durchführungsverordnung vorgesehen, wobei unklar ist, wie das Verhältnis zwischen diesen beiden Instrumenten gestaltet sein wird²³.

Schließlich könnte bei manchen Punkten diskutiert werden, ob die vorgesehenen Rechtsaktstypen immer sinnvoll gewählt sind oder ob nicht unter Umständen einige Punkte durch Durchführungsrechtsakte statt durch delegierte Rechtsakte geregelt werden sollten. Freilich gilt es dabei zu bedenken, dass der verstärkten Mitwirkung durch die Mitgliedstaaten bei Durchführungsrechtsakten eine wesentlich längere Diskussionsphase gegenübersteht, wodurch eine flexible Reaktion auf sich dynamisch ändernde Gegebenheiten schwieriger wird. Zusätzlich führt diese Mitwirkung unter Umständen dazu, dass die Ergebnisse wiederum einen Kompromiss etlicher divergierender nationaler Spezifika darstellen. Damit besteht wiederum die Gefahr, bei Durchführungsrechtsakten anstelle von delegierten Rechtsakten an Präzision und Klarheit zu verlieren, was die praktische Verwendbarkeit aufgrund von Ungenauigkeiten letztlich wieder beeinträchtigen könnte.

Das österreichische Parlament hat sich bereits frühzeitig mit dem VO-Vorschlag auseinandergesetzt. Der Ständige Unterausschuss in Angelegenheiten der Europäischen Union des Hauptausschusses des Nationalrats verabschiedete eine Mitteilung an das Europäische Parlament und den Rat nach Art. 23f Abs. 4 B-VG²⁴ sowie eine Stellungnahme gem. Art. 23e Abs. 3 B-VG, wonach davon ausgegangen werde, dass das zuständige Mitglied der Bundesregierung bei den Verhandlungen und Abstimmungen betreffend das vorliegende Vorhaben im Rat in Übereinstimmung mit der Mitteilung vorgeht.

Die konkreten Auswirkungen des Regelungsvorhabens auf die innerstaatliche Rechtslage werden im Zuge der Verhandlungen auf europäischer Ebene noch detailliert zu analysieren sein bzw. hängen diese stark von den noch ausstehenden Durchführungsrechtsakten und delegierten Rechtsakten ab. Klar ist, dass das bestehende Signaturgesetz sowie die Signaturverordnung 2008 in weiten Teilen aufgrund der unmittelbaren Anwendbarkeit der EU-Verordnung hinfällig sein werden. Freilich werden aber etwa Detailregelungen zur Frage der Signaturaufsicht weiterhin mit innerstaatlichen Rechtsakten zu regeln sein.

Das E-Government-Gesetz enthält Regelungen zur österreichischen eID (Bürgerkarte in all ihren technischen Ausprägungen) sowie Regelungen zur Anerkennung ausländischer eID. Jedenfalls letztere Regelungen werden im Lichte der EU-Verordnung anzupassen sein.

Auch für die weiteren in der VO geregelten Vertrauensdienste ist von einer Anpassungsnotwendigkeit im innenstaatlichen Recht auszugehen (so etwa im 3. Abschnitt des Zustellgesetzes, der die elektronische Zustellung einschließlich der Zulassungs- und Aufsichtsverfahren für elektronische Zustelldienste betrifft).

Bereits jetzt lässt sich aber abschätzen, dass die bestehenden österreichischen Instrumente eine gute Ausgangsbasis für die EU-weite Verwendung bilden, nicht zuletzt da bereits in der Konzeption der Bürgerkarte bzw. der elektronischen Zustellung auf die Interoperabilitätsaspekte und die möglichst breite Verwendbarkeit im europäischen Kontext geachtet wurde.

Nach der Vorlage des Vorschlags am 4.6.2012 wurde dieser von der EK in verschiedenen Gremien auf EU Ebene vorgestellt. Die Verhandlungen erfolgen in der zuständigen Ratsarbeitsgruppe «Telekommunikation und Informationsgesellschaft».

Der Vorsitz legte dem TELEKOM-Rat am 20.12.2012 einen Sachstandsbericht²⁵ vor, der den Stand der Beratungen in der Ratsarbeitsgruppe detailliert darstellt. Allgemein wird davon ausgegangen, dass die Prozesse auf EU-Ebene wohl das gesamte Jahr 2013 andauern werden, was wohl nur bedingt der vom Europäischen Rat geforderten «beschleunigten Behandlung» entspricht.

Im Europäischen Parlament wurde bislang ein erster Gedankenaustausch durchgeführt, das EP nimmt die Abstimmung im zuständigen ITRE-Ausschuss für Juli 2013 in Aussicht.²⁶

Die Europäische Kommission reagierte mit dem VO-Vorschlag auf einen schon seit geraumer Zeit bestehenden Bedarf nach Rechtssicherheit im Zusammenhang mit grenzüberschreitenden elektronischen Services. Der Vorschlag hat das Potential, einen wesentlichen Beitrag zum Funktionieren des «digitalen Binnenmarkts» zu leisten und die Themen Interoperabilität und Verbreitung der elektronische Signatur und der elektronische Identifizierung zu forcieren.

Der Vorschlag wirft noch eine Reihe von Fragen auf, viele Detaildiskussionen auf Ratsarbeitsgruppenebene sind noch zu führen. Es bleibt zu hoffen, dass das Vorhaben dennoch zügig und positiv abgeschlossen werden kann.

 

---

 

Peter Kustor, Abteilungsleiter, Bundeskanzleramt Abt. I/11 – E-Government – Recht, Organisation und Internationales. Die in diesem Artikel getroffenen Aussagen stellen die persönliche Meinung des Autors dar.

 

---