¹ Die Schweizerische Akkreditierungsstelle (SAS) des Staatssekretariats für Wirtschaft akkreditiert die Stellen, die die Anbieterinnen von Zertifizierungsdiensten für die Auditierung und Zertifizierung von Produkten, Prozessen und Dienstleistungen anerkennen. Sie stützt sich dabei auf die Bestimmungen der Akkreditierungs- und Bezeichnungsverordnung vom 17. Juni 1996³, die Norm ISO/IEC 17065⁴ sowie den Standard ETSI EN 319 403‑1⁵.⁶

² Besteht keine akkreditierte Anerkennungsstelle, so anerkennt das Bundesamt für Kommunikation (BAKOM) die Anbieterinnen von Zertifizierungsdiensten (Anbieterinnen).

¹ Eine Anbieterin, die anerkannt werden will, muss zur Deckung ihrer Haftung eine Versicherung von mindestens 2 Millionen Franken pro Versicherungsfall und 8 Millionen Franken pro Versicherungsjahr abschliessen.

² Sie kann anstelle einer Versicherung eine gleichwertige Garantie vorlegen.

¹ Die Länge der Schlüssel und der verwendete Algorithmus müssen während der Gültigkeitsdauer des geregelten Zertifikats kryptografischen Angriffen standhalten können.

² Das BAKOM regelt die Einzelheiten in den technischen und administrativen Vorschriften und legt die Anforderungen fest, die für die Systeme zur Generierung, Speicherung und Verwendung privater kryptografischer Schlüssel gelten.

¹ Das BAKOM regelt das Format der geregelten Zertifikate für die folgenden Anwendungen:

a.

die elektronische Signatur einer natürlichen Person oder das elektronische Siegel einer UID-Einheit im Sinne von Artikel 3 Absatz 1 Buchstabe c des Bundesgesetzes vom 18. Juni 2010⁷ über die Unternehmens-Identifikationsnummer (UIDG);

b.

die elektronische Identifikation einer solchen Person oder Einheit;

c.

die Verschlüsselung elektronischer Daten.

² Geregelte Zertifikate mit dem Hinweis, dass deren Inhaberin oder deren Inhaber sich selber oder die UID-Einheit, die sie oder er vertritt, durch ihre oder seine elektronische Signatur verpflichten kann, dürfen nur auf natürliche Personen ausgestellt werden.

¹ Die anerkannten Anbieterinnen müssen von den Personen, die ein geregeltes Zertifikat anfordern, verlangen, dass sie einen Pass, eine Schweizer Identitätskarte oder eine für die Einreise in die Schweiz anerkannte Identitätskarte persönlich vorweisen.

² Sind spezifische Attribute (Art. 7 Abs. 3 Bst. a ZertES), Vertretungsbefugnisse oder die vertretene UID-Einheit (Art. 7 Abs. 3 Bst. b ZertES) im Handelsregister eingetragen, so müssen die anerkannten Anbieterinnen einen aktuellen beglaubigten Handelsregisterauszug verlangen. Die im Auszug aufgeführten spezifischen Attribute und Vertretungsbefugnisse bedürfen weder einer Bestätigung durch die zuständigen Stelle noch der Zustimmung der vertretenen UID-Einheit im Sinne von Artikel 9 Absätze 2 und 3 ZertES.

³ Die anerkannten Anbieterinnen müssen sicherstellen, dass die Einträge im Zertifikat dem Handelsregister nicht widersprechen. Insbesondere dürfen sie für eine Person, die laut Handelsregister zur Vertretung einer Rechtseinheit befugt ist oder in ihr eine Funktion hat, in Bezug auf die betreffende Rechtseinheit nur dieselben Vertretungsbefugnisse oder dieselbe Funktion in das Zertifikat aufnehmen.

⁴ Ist die vertretene UID-Einheit im Handelsregister eingetragen, muss die Zustimmung zur Aufnahme von nicht im Handelsregister eingetragenen Vertretungsbefugnissen in das Zertifikat von einer Person, die laut Handelsregister zur Vertretung der UID-Einheit befugt ist, unterzeichnet werden.

⁵ Die anerkannten Anbieterinnen überprüfen ausserdem die Daten zu den Kernmerkmalen der vertretenen UID-Einheiten anhand des UID-Registers (Art. 11 Abs. 1 UIDG⁸). Hat die UID-Einheit der Veröffentlichung ihrer Daten zu den Kernmerkmalen nicht zugestimmt (Art. 11 Abs. 3 UIDG), so müssen sie einen aktuellen Auszug aus dem UID-Register verlangen.⁹

⁶ Die Absätze 1–5 gelten auch für die Ausstellung eines geregelten Zertifikats auf eine natürliche Person, die ein Pseudonym verwendet.

¹ Die Identität einer Person, die ein geregeltes Zertifikat für eine UID-Einheit beantragt, die keine natürliche Person ist, muss nach Artikel 5 Absatz 1 überprüft werden. Die Vertretungsbefugnisse dieser Person müssen mit einer schriftlichen Vollmacht begründet werden, sofern sie nicht im Handelsregister eingetragen sind.

² Die anerkannten Anbieterinnen müssen die Daten zu den Kernmerkmalen der UID-Einheiten anhand des UID-Registers überprüfen (Art. 11 Abs. 1 UIDG¹⁰). Hat die UID-Einheit der Veröffentlichung ihrer Daten zu den Kernmerkmalen nicht zugestimmt (Art. 11 Abs. 3 UIDG), so müssen sie einen aktuellen Auszug aus dem UID-Register verlangen.¹¹

³ Ist die UID-Einheit im Handelsregister eingetragen, muss ein aktueller beglaubigter Auszug verlangt werden.

¹ Die Identität einer Person, die ein geregeltes Zertifikat beantragt, kann auf Distanz festgestellt werden, sofern eine Konformitätsbewertungsstelle bestätigt hat, dass das verwendete Verfahren zur Personenidentifikation eine gleichwertige Sicherheit zum persönlichen Erscheinen bietet.

² Die anerkannten Anbieterinnen können geregelte Zertifikate im Rahmen eines Verfahrens zur Personenidentifikation mittels audiovisueller Kommunikation in Echtzeit ausstellen, wenn das Verfahren den Anforderungen des Geldwäschereigesetzes vom 10. Oktober 1997¹² entspricht. Die so ausgestellten Zertifikate dürfen nur im Rahmen der Beziehungen zwischen deren Inhaberinnen und Inhabern und den Finanzintermediären, die ihre Identität überprüft haben, verwendet werden.

³ Die anerkannten Anbieterinnen können sich auf die geregelte elektronische Signatur und das dazugehörende Zertifikat stützen, um:

a.

die Identität der Person festzustellen, die ein geregeltes Zertifikat für eine UID-Einheit beantragt, die keine natürliche Person ist, sofern die Vertretungsbefugnisse der antragstellenden Person im Handelsregister eingetragen sind oder mit einer schriftlichen Vollmacht begründet wurden;

b.

die Identität der natürlichen Person ohne spezifische Attribute und Vertretungsbefugnisse festzustellen, die ein geregeltes Zertifikat für sich selber beantragt.¹³

Die anerkannten Anbieterinnen dürfen die privaten kryptografischen Schlüssel ihrer Kundinnen und Kunden kopieren und die Doppel aufbewahren, ausser wenn diese für die elektronische Signatur verwendet werden und in Signaturerstellungseinheiten gespeichert sind, die sich im Besitz der Kundinnen und Kunden befinden.

¹ Die anerkannten Anbieterinnen informieren ihre Kundinnen und Kunden darüber, wie letztere die Ungültigerklärung von geregelten Zertifikaten verlangen können. Sie müssen in der Lage sein, die Anträge zur Ungültigerklärung jederzeit entgegenzunehmen.

² Sie müssen Dritten während mindestens elf Jahren ab Ablauf der Gültigkeit des Zertifikats, das für die Ausstellung geregelter Zertifikate verwendet wurde, Online-Zugang zu den folgenden Informationen zur Ungültigerklärung eines geregelten Zertifikats gewähren:

a.

die Seriennummer des Zertifikats;

b.

den Hinweis auf die Ungültigerklärung;

c.

das Datum und die Uhrzeit der Ungültigerklärung.¹⁵

³ Die Informationen nach Absatz 2 müssen durch das geregelte elektronische Siegel der anerkannten Anbieterin authentifiziert werden.¹⁶

⁴ Absatz 2 gilt nicht für elektronische Zertifikate, deren Laufzeiten kürzer sind als die Frist, die eine Anbieterin für die Bearbeitung eines Antrags um Ungültigkeitserklärung eines solchen Zertifikats benötigt. Absatz 2 gilt auch nicht für Zertifikate, auf denen Signaturen mit Langzeitvalidierungsinformationen beruhen.¹⁷

Das BAKOM legt die Anforderungen fest, die anerkannte Anbieterinnen erfüllen müssen, um qualifizierte elektronische Zeitstempel auszugeben.

¹ Die anerkannten Anbieterinnen bewahren die Eintragungen betreffend ihre Tätigkeiten sowie die dazugehörenden Belege während elf Jahren auf.

² Für die Tätigkeiten im Zusammenhang mit den Zertifikaten beginnt die Frist mit dem Ablauf der Zertifikate.

³ Für die in Anwendung von Artikel 7 Absatz 3 Buchstabe b ausgestellten Zertifikate müssen die Eintragungen und die Belege zur Identifizierung ihrer Inhaberinnen oder Inhaber gemäss den Artikeln 5 und 7 Absätze 1 und 2 so lange aufbewahrt werden, bis die Elfjahresfrist für das letzte der so ausgestellten Zertifikate abgelaufen ist.

¹ Die anerkannten Anbieterinnen melden der SAS und der Anerkennungsstelle unverzüglich, mindestens aber 30 Tage im Voraus, die Aufgabe ihrer Geschäftstätigkeit.

² Gibt es keine andere anerkannte Anbieterin, der die SAS die Aufgaben nach Artikel 14 Absatz 2 ZertES übertragen kann, so übernimmt das BAKOM folgende Aufgaben:

a.

Es bearbeitet die Anträge auf Ungültigerklärung der geregelten Zertifikate weiter.

b.¹⁸

Es stellt sicher, dass Dritte die Informationen zur Ungültigerklärung der geregelten Zertifikate gemäss Artikel 9 Absatz 2 elektronisch abrufen können.

c.

Es führt das Tätigkeitsjournal nach und bewahrt dieses sowie die dazugehörenden Belege auf.

³ Es kann die noch gültigen Zertifikate von sich aus für ungültig erklären.

¹ Die Inhaberin oder der Inhaber eines geregelten Zertifikats muss den ausschliesslichen Zugang zum kryptografischen Schlüssel, der zur Generierung elektronischer Signaturen oder Siegel eingesetzt wird, behalten. Soweit zumutbar, muss sie oder er die Signatur- oder Siegelerstellungseinheit auf sich tragen oder wegschliessen.

² Bei Verlust oder Diebstahl der Signatur- oder Siegelerstellungseinheit muss die Inhaberin oder der Inhaber eines geregelten Zertifikats so rasch wie möglich dessen Ungültigerklärung beantragen. Das Gleiche gilt, wenn die Inhaberin oder der Inhaber weiss oder den begründeten Verdacht hat, dass eine Drittperson Zugang zum kryptografischen Schlüssel, der zur Generierung elektronischer Signaturen oder Siegel eingesetzt wird, haben konnte.

³ Die Daten zur Aktivierung der Signatur- oder Siegelerstellungseinheit dürfen sich nicht auf Daten zur Person oder zur UID-Einheit, die Inhaberin eines geregelten Zertifikats ist, beziehen.

⁴ Aufzeichnungen der Aktivierungsdaten sind sicher und getrennt von der Signatur- oder Siegelerstellungseinheit aufzubewahren.

⁵ Die Inhaberin oder der Inhaber eines geregelten Zertifikats muss die Aktivierungsdaten der Signatur- oder Siegelerstellungseinheit ändern, wenn sie oder er weiss oder den begründeten Verdacht hat, dass eine Drittperson Kenntnis davon erlangt hat. Wenn sie oder er die Aktivierungsdaten nicht selbst ändern kann, muss sie oder er so rasch wie möglich die Ungültigerklärung des Zertifikates beantragen.

¹ Was die Aufbewahrung der Belege betrifft, die zur Ausstellung eines geregelten Zertifikats für Personen mit im Handelsregister eingetragenen spezifischen Attributen oder Vertretungsbefugnissen vorgelegt werden müssen, so bleiben die Artikel 8 Absatz 5, 9 Absatz 4 und 166 der Handelsregisterverordnung vom 17. Oktober 2007¹⁹ vorbehalten.

² Der Handelsregistereintrag ist für den Beweis der spezifischen Attribute und Vertretungsbefugnisse der Inhaberinnen oder Inhaber geregelter Zertifikate allein massgebend.

Das BAKOM erlässt die notwendigen technischen und administrativen Vorschriften. Es berücksichtigt dabei das entsprechende internationale Recht und kann internationale technische Normen für anwendbar erklären.

Die Aufhebung und die Änderung anderer Erlasse werden im Anhang geregelt.

¹ Vor dem 1. Januar 2017 ausgestellte qualifizierte Zertifikate bleiben bis zu ihrem Ablauf, jedoch längstens bis am 31. Dezember 2019 gültig.

² Die nach altem Recht anerkannten Anbieterinnen können geregelte Zertifikate im Sinne des neuen Rechts ausstellen, bis sie nach dem neuen Recht anerkannt worden sind oder ihnen die Anerkennung entzogen worden ist, jedoch längstens bis am 31. Dezember 2018. Bis zur Erlangung der neuen Anerkennung sind die von ihnen ausgestellten geregelten Zertifikate längstens bis zum 31. Dezember 2019 gültig.

¹ Die Anforderungen nach Artikel 1 Absatz 1 sind spätestens bis zum 1. Februar 2026 umzusetzen.

² Die Anforderungen nach Artikel 9 Absatz 2 sind spätestens bis zum 1. Juli 2027 umzusetzen.

Diese Verordnung tritt am 1. Januar 2017 in Kraft.