Erläuternder Bericht

Erfahrungen und Qualifikationen verfügen und insbesondere kein Risiko für die Sicherheit darstellen.

Als Sicherheitsrisiko würde beispielsweise die Beschäftigung einer Person gelten, die aufgrund von bestimmten Straftaten rechtskräftig verurteilt wurde (vgl. Erläuterungen zu Art. 12 Abs. 2 Bst. d) oder einer Person, die verschuldet ist und deshalb allenfalls für Bestechung offen sein könnte. Die Nachweise dafür lassen sich durch Auszüge aus dem Strafregister und den Betreibungsregistern erbringen.

Buchstabe e

Der Nachweis über die Verlässlichkeit und Vertrauenswürdigkeit ist durch die Einhaltung der jeweils aktuell gültigen Sicherheitsstandards und durch Zertifizierung der Prozesse zu erbringen.

Buchstabe f

Der IdP hat sicherzustellen, dass die Datenbearbeitung und Datenhaltung ausschliesslich in der Schweiz erfolgt. Jeglicher unerlaubte Zugriff vom Ausland von Dritten auf die Daten ist zu verhindern. Unter Datenbearbeitung ist jeder Umgang mit Daten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Archivieren oder Vernichten von Daten gemeint. Diese Bestimmung betrifft alle Daten, welche der IdP im Rahmen der Dienstleistungen nach diesem Gesetz bearbeitet, insbesondere auch vorübergehende Daten, Daten aus Zwischenspeicherung oder Randdaten.

Buchstabe g

Der IdP muss sich gegen die Haftungsrisiken versichern. Die Haftung richtet sich nach dem Obligationenrecht (vgl. 9. Abschnitt Art. 24).

Absatz 3

Die technischen Entwicklungen im Bereich elektronische Identifizierung und Authentifizierung sind kaum einzuschätzen. Deshalb muss die Anerkennung in regelmässigen Abständen erneuert werden. Ein IdP erstellt jährlich einen Sicherheitsbericht, der alle durch ihn betriebenen anerkannten E-ID-Systeme umfasst, und übermittelt diesen der Anerkennungsstelle.

Form und Inhalt des Sicherheitsberichts werden durch den Bundesrat festgelegt.

Absatz 4

Wie an anderer Stelle wird auch hier die Regelung des Verfahrens und technischer Details an den Verordnungsgeber delegiert.

Auf Verordnungs- und Weisungsebene werden insbesondere die anwendbaren Standards und technischen Protokolle für die E-ID-Systeme geregelt. Die Anwendung der Standards und Protokolle wird durch die Anerkennungsstelle regelmässig geprüft. Dadurch wird auch eine Anerkennung der E-ID-Systeme erreicht.

Artikel 5 Sicherheitsniveaus

Absatz 1

Nicht alle Geschäftsprozesse erfordern dasselbe Sicherheitsniveau. Oft führt eine höhere Sicherheit zu mehr Aufwand beim Bezug, einer reduzierten Benutzerfreundlichkeit und höheren Kosten. Aus diesem Grund sollen IdP E-ID-Systeme marktgerecht auf drei unterschiedlichen Sicherheitsniveaus anbieten können, wie diese auch von der EU und der NIST festgeschrieben werden. Betreiberinnen von E-ID-verwendenden Diensten können selbst bestimmen, welches Sicherheitsniveau sie akzeptieren wollen (vgl. Art. 15 VE).