Erläuternder Bericht

6. Der IdP ordnet der antragsstellenden Person ein Authentifizierungsmittel (Trägermittel

der E-ID) zu, mit dem sie oder er sich online identifizieren kann.

7. Der IdP sorgt für die richtige Zuordnung der E-ID-Registrierungsnummer zur E-ID mit

dem Authentifizierungsmittel und aktiviert die E-ID für den Gebrauch durch die Inhaberin oder den Inhaber.

Der ganze Vorgang sollte nicht mehr als ein paar Minuten dauern. Die technischen Vorgänge im Hintergrund werden über Standards und technische Protokolle definiert.

1.2.5 Sicherheitsniveaus

Nicht alle Geschäftsprozesse erfordern dasselbe Sicherheitsniveau. Zu hohe Sicherheitsanforderungen können in der Praxis als störend empfunden werden und Umgehungshandlungen begünstigen sowie höhere Kosten verursachen. Dies ist weder für die Akzeptanz noch die Sicherheit eines E-ID-Systems gut. Deshalb werden geeignete E-ID-Systeme auf einem von drei Sicherheitsniveaus anerkannt. Die Sicherheitsniveaus unterscheiden sich durch den Ausstellungsprozess, den Betrieb und den Einsatz und können sich durch weitere technische oder organisatorische Sicherheitsmassnahmen unterscheiden.

Das Gesetz definiert lediglich die möglichen Kategorien von E-ID, hier Sicherheitsniveaus genannt (vgl. Art. 5 VE). Jedes Sicherheitsniveau vermittelt ein unterschiedliches Mass an Vertrauen. Welches Sicherheitsniveau für welche Art der Anwendung in Frage kommt, wird in den jeweiligen Spezialerlassen festgehalten bzw. durch die privaten Betreiberinnen von E-ID-verwendenden Diensten definiert. So kann für E-Education ein anderes Sicherheitsniveau gewählt werden, als es für Vote électronique vorgeschrieben oder für E-Health-Anwendungen notwendig ist.

Die Bezeichnung und Ausgestaltung der Sicherheitsniveaus wurde aus der eIDAS-Verordnung und den dazugehörenden Durchführungsbestimmungen³ übernommen. Es wird zwischen den Niveaus „niedrig“, „substanziell“ und „hoch“ unterschieden. Die verschiedenen Sicherheitsniveaus vermitteln ein unterschiedliches Mass an Vertrauen in die zugeordneten Daten. Grundsätzlich können E-ID der Sicherheitsniveaus „substanziell“ und „hoch“ auch bei E-ID-verwendenden Diensten eingesetzt werden, die ein tieferes Sicherheitsniveau verlangen.

Die drei Sicherheitsniveaus für schweizerisch anerkannte E-ID-Systeme sind so definiert, dass sie bezüglich Sicherheit die gleichen Anforderungen erfüllen, die für die drei in der eIDAS-Verordnung der EU definierten E-ID-Sicherheitsniveaus gelten (Art. 8 der eIDAS Verordnung und dazugehörige Durchführungsrechtsakte). Die gleichen drei Sicherheitsniveaus werden auch durch das NIST⁴ für E-Government Anwendungen in den USA definiert und gelten heute als weltweiter Standard. Jedes Sicherheitsniveau wird sich, zur Erfüllung ihres Zwecks, durch spezifische technische Spezifikationen, Normen und Verfahren einschliesslich technischer Überprüfungen auszeichnen und im Detail noch auszuarbeiten sein.

Mit diesem Modell ist es zum Beispiel möglich, eine für das Sicherheitsniveau „substanziell“ in technischer Hinsicht geeignete E-ID vorerst auf Niveau „niedrig“ zu registrieren und diese später bei Bedarf mittels einer persönlichen Vorsprache auf ein höheres Sicherheitsniveau