SigV
Signaturverordnung
Verordnung zur elektronischen Signatur
in der zum 15.09.2024 gültigen Fassung
Anlagen
Anlage 1
(zu § 11 Abs. 3, § 15 Abs. 5 und § 16 Abs. 2)
Vorgaben für die Prüfung von Produkten für qualifizierte elektronische Signaturen
I. Zu § 11 Abs. 3 dieser Verordnung und nach § 15 Abs. 7 des Signaturgesetzes (freiwillige Akkreditierung)
1. Prüfvorgaben
1.1 Anforderungen an Prüftiefen
Die Prüfung der Produkte für qualifizierte elektronische Signaturen nach Maßgabe des § 15 Abs. 7 und des § 17 Abs. 4 des Signaturgesetzes hat nach den „Gemeinsamen Kriterien für die Prüfung und Bewertung der Sicherheit von Informationstechnik“ (Common Criteria for Information Technology Security Evaluation, BAnz. 1999 S. 1945, – ISO/IEC 15408) oder nach den „Kriterien für die Bewertung der Sicherheit von Systemen der Informationstechnik“ (ITSEC – GMBl vom 8. August 1992, S. 545) in der jeweils geltenden Fassung zu erfolgen.
Die Prüfung muss
a) bei technischen Komponenten nach § 2 Nr. 12 Buchstabe a des Signaturgesetzes mindestens die Prüftiefe EAL 4 oder E 3 umfassen,
b) bei sicheren Signaturerstellungseinheiten nach § 2 Nr. 10 des Signaturgesetzes mindestens die Prüftiefe EAL 4 oder E 3 umfassen,
c) i) bei technischen Komponenten für Zertifizierungsdienste nach § 2 Nr. 12 Buchstabe b und c des Signaturgesetzes, die außerhalb eines besonders gesicherten Bereichs („Trustcenter“) eingesetzt werden, mindestens die Prüfstufe „EAL 4“ oder „E3“ umfassen,
ii) bei technischen Komponenten für Zertifizierungsdienste nach § 2 Nr. 12 Buchstabe b und c des Signaturgesetzes, die innerhalb eines besonders gesicherten Bereichs eingesetzt werden, mindestens die Prüfstufe „EAL 3“ oder „E 2“ umfassen,
d) bei Signaturanwendungskomponenten nach § 2 Nr. 11 des Signaturgesetzes mindestens die Prüfstufe „EAL 3“ oder „E 2“ umfassen.
1.2 Anforderungen an Schwachstellenbewertung/Mechanismenstärke
Bei den Prüfstufen „EAL 4“ und bei „EAL 3“ gemäß Abschnitt I Nr. 1.1 Buchstabe a bis c i) und Buchstabe d ist ergänzend zu den bei dieser Prüfstufe vorgeschriebenen Maßnahmen gegen ein hohes Angriffspotenzial zu prüfen und eine vollständige Missbrauchsanalyse durchzuführen.
Die Stärke der Sicherheitsmechanismen muss bei allen Produkten gemäß Abschnitt I Nr. 1.1 Buchstabe a bis d im Fall „E 3“ und „E 2“ mit „hoch“ bewertet werden.
Abweichend hiervon genügt für den Mechanismus zur Identifikation durch biometrische Merkmale eine Bewertung der Sicherheitsmechanismen mit „mittel“, wenn diese zusätzlich zur Identifikation durch Wissensdaten genutzt werden.
1.3 Anforderungen an Algorithmen
Die Algorithmen und zugehörigen Parameter müssen nach Abschnitt I Nr. 1.2 dieser Anlage als geeignet beurteilt sein.
2. Algorithmen – Veröffentlichung und Neubestimmung der Eignung
Die zuständige Behörde veröffentlicht im Bundesanzeiger eine Übersicht über die Algorithmen und zugehörigen Parameter, die zur Erzeugung von Signaturschlüsseln, zum Hashen zu signierender Daten oder zur Erzeugung und Prüfung qualifizierter elektronischer Signaturen als geeignet anzusehen sind, sowie den Zeitpunkt, bis zu dem die Eignung jeweils gilt. Der Zeitpunkt soll mindestens sechs Jahre nach dem Zeitpunkt der Bewertung und Veröffentlichung liegen. Die Eignung ist jährlich sowie bei Bedarf neu zu bestimmen. Die Eignung ist gegeben, wenn innerhalb des bestimmten Zeitraumes nach dem Stand von Wissenschaft und Technik eine nicht feststellbare Fälschung von qualifizierten elektronischen Signaturen oder Verfälschung von signierten Daten mit an Sicherheit grenzender Wahrscheinlichkeit ausgeschlossen werden kann. Die Eignung wird nach Angaben des Bundesamtes für Sicherheit in der Informationstechnik unter Berücksichtigung internationaler Standards festgestellt. Experten aus Wirtschaft und Wissenschaft sind zu beteiligen.
3. Sicherheitsbestätigungen für Signaturprodukte
In der Bestätigung der Erfüllung der Anforderungen für Produkte für qualifizierte elektronische Signaturen ist anzugeben,
a) für welche Anforderungen nach § 17 des Signaturgesetzes und nach § 15 dieser Verordnung die Bestätigung gilt und unter welchen Einsatzbedingungen,
b) welche Algorithmen und zugehörigen Parameter nach Abschnitt I Nr. 2 eingesetzt und bis zu welchem Zeitpunkt diese mindestens geeignet sind sowie
c) nach welcher Stufe die Produkte geprüft wurden und welche Mechanismenstärke erreicht wurde.
Eine Ausfertigung des Prüfberichtes, der Bewertung durch die Bestätigungsstelle und der Bestätigung ist bei der zuständigen Behörde zu hinterlegen. Auf Anforderung sind dieser auch alle weiteren Prüfunterlagen vorzulegen. Sie kann bei Anhaltspunkten für Mängel bei Prüfungen oder bei bestätigten Produkten sowie stichprobenweise Gutachten eines unabhängigen Dritten darüber einholen, ob die Produkte gemäß dieser Anlage geprüft wurden und ob diese die Anforderungen des Signaturgesetzes und der Signaturverordnung erfüllen. Betroffene Hersteller, Vertreiber und Prüfstellen haben die dafür erforderliche Unterstützung zu gewähren. Wird diese nicht gewährt oder stellt sich heraus, dass bestätigte Produkte nicht ausreichend geprüft wurden oder Anforderungen nicht erfüllen, so kann die zuständige Behörde erteilte Bestätigungen für ungültig erklären.
4. Veröffentlichung der Sicherheitsbestätigung für Produkte
Die zuständige Behörde hat Produkte für qualifizierte elektronische Signaturen, die von einer nach § 18 des Signaturgesetzes anerkannten Stelle eine Bestätigung gemäß Abschnitt I Nr. 3 erhalten haben, im Bundesanzeiger zu veröffentlichen. Dabei ist anzugeben, bis zu welchem Zeitpunkt die Bestätigung mindestens gilt. Wird eine Bestätigung für ungültig erklärt, so hat die zuständige Behörde dies unter Angabe des Zeitpunktes, ab dem diese Maßnahme gilt, ebenfalls im Bundesanzeiger zu veröffentlichen.
II. Zu § 15 Abs. 5 dieser Verordnung und nach § 17 Abs. 1 und 3 Nr. 1 des Signaturgesetzes (nach § 4 Abs. 3 des Signaturgesetzes angezeigte Zertifizierungsdiensteanbieter ohne freiwillige Akkreditierung)
Für die Prüfung von Produkten nach § 15 Abs. 5 gelten die Anforderungen nach Abschnitt I entsprechend.
Abweichend hiervon können
– Produkte zum Einsatz kommen, die den Normen nach § 15 Abs. 6 entsprechen,
– Produkte nach § 17 Abs. 2 und 3 Nr. 2 und 3 des Signaturgesetzes (bzw. nach Abschnitt I Nr. 1.1 Buchstabe c und d) zum Einsatz kommen, bei denen anstelle der Bestätigung eine Herstellererklärung nach § 17 Abs. 4 des Signaturgesetzes vorliegt.
Anlage 2
(zu § 12)
Kosten
Kosten für Amtshandlungen nach § 22 Abs. 1 des Signaturgesetzes
1.1 Kosten nach § 22 Abs. 1 Nr. 1 des Signaturgesetzes
| Kostennummer | Amtshandlung | Euro |
| 1 | Prüfung und Erteilung einer Akkreditierung nach § 15 Abs.1 des Signaturgesetzes | Gebühr nach Zeitaufwand |
| 2 | Ablehnung eines Antrages auf Akkreditierung nach § 15 Abs.4 des Signaturgesetzes oder Rücknahme oder Widerruf einer Akkreditierungnach § 15 Abs. 5 des Signaturgesetzes | Gebühr nach Zeitaufwand |
| 3 | Vollständige oder teilweise Zurückweisung einesWiderspruchs im Rahmen des Verfahrens nach § 15 Abs. 1 bis 6 desSignaturgesetzes | 2500 |
| 4 | Überprüfung von Prüfberichten und Bestätigungen nach §15 Abs. 2 des Signaturgesetzes | 3500 |
| 5 | Maßnahmen im Falle des Widerrufs oder der Rücknahme einerAkkreditierung oder im Falle der Einstellung der Tätigkeit einesakkreditierten Zertifizierungsdiensteanbieters nach § 15 Abs. 6 desSignaturgesetzes | Gebühr nach Zeitaufwand |
| 6 | Prüfungen und andere Maßnahmen nach § 19 desSignaturgesetzes | Gebühr nach Zeitaufwand |
1.2 Kosten nach § 22 Abs. 1 Nr. 2 des Signaturgesetzes
| Kostennummer | Amtshandlung | Euro |
| 7 | Ausstellung eines qualifizierten Zertifikates sowie dessenSperrung nach § 16 Abs. 1des Signaturgesetzes | 500 |
| 8 | Ausstellung einer Bescheinigung nach § 16 Abs. 3 desSignaturgesetzes | 500 |
1.3 Kosten nach § 22 Abs. 1 Nr. 3 des Signaturgesetzes
| Kostennummer | Amtshandlung | Euro |
| | Erteilung einer Anerkennung als Bestätigungsstelle oderPrüf- und Bestätigungsstelle nach § 18 Abs. 1 des Signaturgesetzes nach | |
| 9 | a) § 15 Abs. 2 des Signaturgesetzes | 2500 |
| 10 | b) § 15 Abs. 7 des Signaturgesetzes | 2500 |
| 11 | c) § 17 Abs. 3 des Signaturgesetzes | 1000 |
| | Ablehnung eines Antrages auf Anerkennung oder Rücknahmeoder Widerruf einer Anerkennung für Tätigkeiten nach | |
| 12 | a) § 15 Abs. 2 des Signaturgesetzes | 2500 |
| 13 | b) § 15 Abs. 7 des Signaturgesetzes | 2500 |
| 14 | c) § 17 Abs. 4 des Signaturgesetzes | 1000 |
| 15 | Vollständige oder teilweise Zurückweisung einesWiderspruchs im Rahmen des Verfahrens nach § 18 Abs. 1 desSignaturgesetzes | 1000 |
1.4 Kosten nach § 22 Abs. 1 Nr. 4 des Signaturgesetzes
| Kostennummer | Amtshandlung | Euro |
| 16 | Bearbeitung einer Anzeige nach § 4 Abs. 2 und 3 desSignaturgesetzes und erstmalige Überprüfung der Einhaltung desSignaturgesetzes und dieser Verordnung nach § 19 des Signaturgesetzes | Gebühr nach Zeitaufwand |
| 17 | Stichprobenartige Prüfungen im Rahmen der Aufsicht nach §19 Abs. 1 des Signaturgesetzes im Falle der Feststellung eines Verstoßesgegen die für den Betrieb eines Zertifizierungsdienstes maßgeblichenVorschriften des Signaturgesetzes oder dieser Verordnung | Gebühr nach Zeitaufwand |
| 18 | Anlassbezogene Prüfungen und andere Maßnahmen nach § 19Abs. 1 des Signaturgesetzes im Falle eines Verstoßes gegen die für denBetrieb eines Zertifizierungsdienstes maßgeblichen Vorschriften desSignaturgesetzes oder dieser Verordnung | Gebühr nach Zeitaufwand |
1.5 Kosten nach § 23 Abs. 1 des Signaturgesetzes
| Kostennummer | Amtshandlung | Euro |
| 19 | Bearbeitung einer Anzeige nach § 18 Abs. 1 Satz 1 dieserVerordnung einschließlich der Aufnahme in das Zertifikatsverzeichnis nach§ 18 Abs. 1 Satz 4 dieser Verordnung | Gebühr nach Zeitaufwand |
2. Stundensätze und Km-Pauschale für Kfz-Einsatz
| Kostennummer | Stundensatz/Km-Pauschale | Euro |
| 20 | Beamte des höheren Dienstes oder vergleichbare Angestellte | 125 |
| 21 | Beamte des gehobenen Dienstes oder vergleichbare Angestellte | 95 |
| 22 | Beamte des mittleren Dienstes oder vergleichbare Angestellte | 69 |
| 23 | Kraftfahrzeugeinsatz | 0,70 Euro/Km |
