Erläuternder Bericht

Die IdP sind gehalten, die zu einer E-ID-Registrierungsnummer bezogenen Personenidentifizierungsdaten periodisch zu aktualisieren. Je nach Sicherheitsniveau müssen die IdP die Aktualisierungen jährlich (Sicherheitsniveau „niedrig“), quartalsweise (Sicherheitsniveau „substanziell“) oder wöchentlich (Sicherheitsniveau „hoch“) vornehmen (Art. 8 Abs. 1 VE).

Anerkennungsstelle für Identitätsdienstleister (Anerkennungsstelle)

Anerkennung

Geeignete IdP (privatwirtschaftliche und solche der öffentlichen Hand) können sich und ihre E-ID-Systeme auf einem der vorgesehenen Sicherheitsniveaus von der Anerkennungsstelle anerkennen lassen. Ein IdP kann mehrere E-ID-Systeme auf unterschiedlichem Sicherheitsniveau betreiben und alle oder nur einzelne anerkennen lassen. Dazu werden vom Bundesrat rechtliche, organisatorische und technische Auflagen für die IdP festgelegt, deren Erfüllung von der Anerkennungsstelle überprüft wird.

Die Anerkennungsstelle publiziert eine Liste mit den anerkannten IdP und E-ID-Systemen, anhand derer die Betreiberinnen von E-ID-verwendenden Diensten und natürliche Personen den Status eines konkreten IdP resp. E-ID-Systems prüfen können (Art. 22 VE).

Aufsicht

Die Anerkennungsstelle übt die Aufsicht über die anerkannten IdP und E-ID-Systeme aus und reagiert im Falle von Abweichungen von den Vorgaben oder Vorfällen im IKT-Sicherheitsbereich. Dazu fordert die Anerkennungsstelle von den anerkannten IdP in den festgelegten zeitlichen Abständen die notwendigen Konformitätsnachweise ein und prüft sie. Die Anerkennungsstelle kann einem IdP oder E-ID-System Massnahmen auferlegen und unter bestimmten Voraussetzungen die Anerkennung entziehen (Art. 12 VE).

1.3 Begründung und Bewertung der vorgeschlagenen Lösung

1.3.1 Marktlösung

Bereits heute sind verschiedene E-ID im Gebrauch. Zum Beispiel wird mit der Anmeldung beim mobilen internetfähigen Gerät in der Regel ein E-ID-Profil erstellt (z. B. AppleID,

Google ID). Damit kann die Inhaberin oder der Inhaber sich auch auf einfache Weise bei anderen Internet-Diensten registrieren lassen. Diese anderen Dienste vertrauen dabei auf diese Identifizierung.

Staatliche Internet-Dienste im E-Government-Bereich sind angewiesen auf eine eindeutige und vertrauenswürdige Identifizierung, die durch standardisierte Prozesse sicherstellt, dass der Inhaber oder die Inhaberin einer E-ID verifiziert wurde. Mehrere Staaten haben eigene E-ID herausgegeben, bei denen entweder alles in staatlicher Hand ist oder private Lösungen anerkannt wurden. Diese rein staatlichen Lösungen beinhalten jedoch keine Garantie für die Akzeptanz beim Bürger und sind für die öffentliche Hand mit einem hohen Investitions- und insbesondere Betriebsaufwand verbunden. Rein staatliche Systeme können mit der Entwicklung der Technologien nur sehr schwer und mit kostspieligen Anpassungen oder gestützt auf eine Neuausschreibung mithalten. Staatliche Lösungen erreichen vielfach nicht die gewünschte Verbreitung und werden zum Teil unter Zwang und nur einmal jährlich zum Einreichen der Steuererklärung eingesetzt. Weitere Ausführungen zu den Entwicklungen der staatlich herausgegebenen E-ID finden sich unter Ziffer 1.5.