Zertifizierungsdiensteanbieter können sich auf Antrag von der zuständigen Behörde akkreditieren lassen, wenn sie nachweisen, dass die Vorschriften nach dem Signaturgesetz und der Signaturverordnung erfüllt sind.

Akkreditierte Zertifizierungsdiensteanbieter erhalten ein Gütezeichen der zuständigen Behörde. Sie dürfen sich als akkreditierte Zertifizierungsdiensteanbieter bezeichnen und sich im Rechts- und Geschäftsverkehr auf die nachgewiesene Sicherheit berufen.

Hinweis: Der Antrag auf freiwillige Akkreditierung gilt gleichzeitig auch als Anzeige des Betriebs eines Zertifizierungsdienstes, wenn die im Signaturgesetz und in der Signaturverordnung genannten Voraussetzungen erfüllt sind.

Voraussetzungen

Einen Zertifizierungsdienst dürfen Sie nur betreiben, wenn Sie die für den Betrieb erforderliche Zuverlässigkeit, Fachkunde und Deckungsvorsorge besitzen.
Zusätzlich müssen Sie ein auf Eignung und praktische Umsetzung geprüftes und bestätigtes Sicherheitskonzept vorlegen. Die Prüfung und Bestätigung muss von einer von der Bundesnetzagentur anerkannten Prüf- und Bestätigungsstelle vorgenommen werden.

Tipp: Eine Liste dieser Prüf- und Bestätigungsstellen finden Sie auf den Internetseiten der Bundesnetzagentur im Themenbereich "Veröffentlichungen" unter dem Punkt "Prüf- und Bestätigungsstellen ".

Des Weiteren müssen Sie gewährleisten, dass Sie die Anforderungen gemäß Signaturgesetz und Signaturverordnung in folgenden Bereichen erfüllen werden:

•  Erfüllung der Pflichten von Zertifizierungsdiensteanbietern
• Ausgestaltung des Inhalts von qualifizierten Zertifikaten
• Gültigkeitsdauer von qualifizierten Zertifikaten

die Bundesnetzagentur

Neben dem Antrag auf Akkreditierung müssen Sie folgende Unterlagen einreichen:

• Für den Nachweis der persönlichen Zuverlässigkeit:
  • Wenn Sie Ihren Wohnsitz in Deutschland haben, benötigen Sie:
    • Führungszeugnisse zur Vorlage bei einer Behörde nach § 30 Abs. 5 des Bundeszentralregistergesetzes für den Zertifizierungsdiensteanbieter (z. B. Leiter des Betriebs des Zertifizierungsdiensteanbieters und dessen Vertreter) und für die gesetzlichen Vertreter des Zertifizierungsdiensteanbieters
  • Wenn Sie Ihren Wohnsitz im EU-Ausland oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum haben, benötigen Sie Dokumente aus Ihrem Heimatland, die eine gleichwertige Funktion haben oder die nachweisen, dass die Anforderung an die persönliche Zuverlässigkeit zur Ausübung der gewünschten Dienstleistung erfüllt ist.
     
• Für den Nachweis zur unternehmerischen Rechtsform:
  • Wenn Sie Ihren Unternehmenssitz in Deutschland haben, benötigen Sie:
    • bei eingetragenen Unternehmen: Handelsregisterauszug; in anderen Fällen gegebenenfalls eine Ausfertigung des Gesellschaftsvertrages (z.B. bei einer Gesellschaft bürgerlichen Rechts (GbR)) oder andere Nachweise
  • Wenn Sie Ihren Unternehmenssitz im EU-Ausland oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum haben, benötigen Sie vergleichbare Dokumente aus dem Sitzland, die die Rechtsform nachweisen.
     
• Belege zum Nachweis der erforderlichen technischen, administrativen und juristischen Fachkunde
• Sicherheitskonzept mit folgenden Punkten:
  • Beschreibung aller erforderlichen technischen, baulichen und organisatorischen Sicherheitsmaßnahmen und deren Eignung
  • Übersicht über die eingesetzten Produkte für qualifizierte elektronische Signaturen mit entsprechenden Bestätigungen nach dem Signaturgesetz
  • Übersicht über die Aufbau- und Ablauforganisation sowie über die Zertifizierungstätigkeit
  • Vorkehrungen und Maßnahmen zur Sicherstellung und Aufrechterhaltung des Betriebs, insbesondere bei Notfällen
  • Verfahren zur Beurteilung und Sicherstellung der Zuverlässigkeit des eingesetzten Personals
  • Abschätzung und Bewertung verbleibender Sicherheitsrisiken
     
• Nachweis der Deckungsvorsorge (z.B. Haftpflichtversicherung oder vergleichbare Freistellungs-/Gewährleistungsverpflichtung eines im Geltungsbereich des deutschen Signaturgesetzes, in einem anderen Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum zum Geschäftsbetrieb befugten Versicherungsunternehmens/Kreditinstituts), welche die Anforderungen des § 12 des Signaturgesetzes und § 9 der Signaturverordnung erfüllt
• gegebenenfalls Nachweis der Übertragung von Aufgaben nach dem Signaturgesetz und der Signaturverordnung an Dritte (z.B. Verträge)
• Prüf- und Bestätigungsbericht der Prüf- und Bestätigungsstelle einschließlich der Bestätigung für die Umsetzung von Sicherheitskonzepten

Falls Sie Aufgaben nach dem Signaturgesetz und der Signaturverordnung an Dritte übertragen möchten, so sind diese entsprechend in Ihr Sicherheitskonzept einzubeziehen.

Bei der Überprüfung der persönlichen Zuverlässigkeit kann die genehmigende Behörde im Einzelfall neben den aufgeführten Dokumenten gegebenenfalls weitere Dokumente anfordern, die geeignet sind, eine Aussage über Ihre persönliche Zuverlässigkeit als Antragsteller zu treffen.
 

Die zuständige Stelle erhebt für die Bearbeitung des Antrags auf Akkreditierung Gebühren und Auslagen, deren Höhe sich nach dem Zeitaufwand richtet. Erkundigen Sie sich bei der zuständigen Stelle über die möglichen Kosten.

• §4 Signaturgesetz (SigG) (Allgemeine Anforderungen an Zertifizierungsdiensteanbieter)
• § 15 Signaturgersetz (SigG) (Freiwillige Akkreditierung von Zertifizierungsdiensteanbietern)
• § 11 Signaturverordnung (SigV) (Freiwillige Akkreditierung)
•  Anlage 1 Signaturverordnung (SigV) (Vorgaben für die Prüfung von Produkten für qualifizierte elektronische Signaturen)
   

Akkreditierte Zertifizierungsdiensteanbieter müssen spätestens im Abstand von drei Jahren von einer Prüf- und Bestätigungsstelle überprüfen und bestätigen lassen, dass die Anforderungen des Signaturgesetzes und der Signaturverordnung weiterhin in vollem Umfang erfüllt werden. Außerdem ist die Prüfung und Bestätigung nach sicherheitserheblichen Veränderungen zu wiederholen.

Den Prüf- und Bestätigungsbericht und die Bestätigung müssen Sie der zuständigen Behörde unaufgefordert vorlegen.
Akkreditierte Zertifizierungsdiensteanbieter

• müssen für ihre Zertifizierungstätigkeit geprüfte und bestätigte Produkte für qualifizierte elektronische Signaturen einsetzen,
• dürfen qualifizierte Zertifikate nur für Personen ausstellen, die nachweislich geprüfte und bestätigte Signaturerstellungseinheiten besitzen und
• müssen den Signaturschlüsselinhaber über geprüfte und bestätigte Signaturanwendungskomponenten unterrichten.

Tipp: Nähere Informationen zu bestätigten Produkten für qualifizierte elektronische Signaturen finden Sie auf den Internetseiten der Bundesnetzagentur im Themenbereich "Veröffentlichungen" unter "Produkte für qualifizierte elektronische Signaturen", Unterpunkt "Bestätigungen".

Weitere Anforderungen beziehungsweise Pflichten eines Zertifizierungsdiensteanbieters, die in dieser kurzen Aufstellung nicht beziehungsweise nicht im Einzelnen ausgeführt wurden (z.B. Identitätsprüfung, Dokumentation, Sperrung, Unterrichtungspflicht, Führung eines Zertifikatsverzeichnisses), entnehmen Sie bitte dem Signaturgesetz und der Signaturverordnung.
 

Verfahrensablauf

Wenden Sie sich frühzeitig an eine Prüf- und Bestätigungsstelle. Diese kann Sie beispielsweise bereits vorab bei Ihren Fragen beraten. Lassen Sie die Erfüllung der Voraussetzungen von ihr prüfen und bestätigen. Sie können die Prüf- und Bestätigungsstelle frei aus der oben genannten Liste auf der Internetseite der Bundesnetzagentur wählen.

Nachdem die Erfüllung der Voraussetzungen durch eine Prüf- und Bestätigungsstelle geprüft und bestätigt wurde, müssen Sie den Antrag auf Akkreditierung schriftlich bei der zuständigen Stelle einreichen. Er muss handschriftlich unterschrieben sein oder mittels eines mit einer qualifizierten elektronischen Signatur versehenen Dokuments gestellt werden. Er muss Namen und Anschrift des Zertifizierungsdiensteanbieters sowie die Namen der gesetzlichen Vertreter enthalten.