Erläuternder Bericht

Für eine Anerkennung muss ein E-ID-System mindestens das Sicherheitsniveau „niedrig“ erfüllen. E-ID-Systeme der Sicherheitsniveaus „substanziell“ und „hoch“ erfüllen die Mindestanforderungen und darüber hinaus weitere Voraussetzungen. Das heisst, dass mit einer E-ID des Niveaus „hoch“ auch die Anforderungen an E-ID der Sicherheitsniveaus „substanziell und „niedrig“ erfüllt werden, aber nicht umgekehrt.

Je nach Sicherheitsniveau des Systems, wird durch die E-ID ein unterschiedliches Mass an Vertrauen vermittelt. Die Sicherheitsniveaus „niedrig“ und „substanziell“ bezwecken eine Minderung der Gefahr des Identitätsmissbrauchs, beim Niveau „hoch“ wird eine Verhinderung des Identitätsmissbrauchs oder der Identitätsveränderung bezweckt.

Absatz 2

Die Details zu den unterschiedlichen Sicherheitsniveaus werden auf Verordnungsstufe festgehalten. Die Sicherheitsniveaus unterscheiden sich durch den Ausstellungsprozess, den Betrieb und die Anwendung und können sich durch weitere technische oder organisatorische Sicherheitsmassnahmen unterscheiden. Die Anforderungen sind auf Gesetzesstufe möglichst technologieneutral umschrieben und werden auf Verordnungs- oder Weisungsstufe im Detail und für verschiedene E-ID-Trägerformen genauer bestimmt.

Absatz 3

Eine E ID eines höheren Sicherheitsniveaus soll auch bei einem E-ID-verwendenden Dienst eingesetzt werden können, wenn dieser ein niedrigeres Sicherheitsniveau verlangt. Inhaberinnen und Inhaber können deshalb ihre E ID bei allen E-ID-verwendenden Diensten einsetzen, vorausgesetzt die E ID erfüllt oder übertrifft das von der Betreiberin von E-ID-verwen- denden Diensten geforderte Sicherheitsniveau.

Artikel 6 Ausstellungsprozess

Vorbemerkung

Der Ausstellungsprozess findet zwischen der antragsstellenden Person, dem IdP und der Identitätsstelle statt. Je nach Sicherheitsniveau ist eine persönliche Vorsprache oder eine gleichwertige Identifizierung Voraussetzung für die Ausstellung. Der Bundesrat regelt den Ausstellungsprozess je Sicherheitsniveau; die entsprechenden Delegationen finden sich in verschiedenen Bestimmungen des Vorentwurfs (vgl. insbesondere Art. 3 Abs. 3, Art. 5 Abs. 4).

Absatz 1

Der IdP darf nicht von sich aus eine E-ID ausstellen, selbst wenn ihm die Person bereits durch bestehende Kundenbeziehungen bekannt ist. Der Antrag muss von der späteren Inhaberin oder dem späteren Inhaber der E-ID ausgehen (antragstellende Person). Gleichzeitig besteht auch keine Pflicht, eine E-ID zu beziehen.

Absatz 2 und 3

Der IdP überprüft, ob die antragsstellende Person die persönlichen Voraussetzungen nach Artikel 3 erfüllt und beantragt anschliessend bei der Identitätsstelle die Übermittlung der Personenidentifizierungsdaten in elektronischer Form. Falls er die E-ID nur einem eingeschränkten Personenkreis (Kunden) abgeben will, gehört auch die Kundenbeziehung zu den persönlichen Voraussetzungen. Die antragstellende Person muss der Übermittlung der Personenidentifizierungsdaten ausdrücklich zustimmen. Die Identitätsstelle stellt durch technische und organisatorische Massnahmen sicher, dass Personenidentifizierungsdaten nicht miss-