Legalize / Schweiz / VZertES / Verlauf

Änderungshistorie

Verordnung vom 23. November 2016 über Zertifizierungsdienste im Bereich der elektronischen Signatur und anderer Anwendungen digitaler Zertifikate (Verordnung über die elektronische Signatur, VZertES)

2 Versionen · 2016-11-23

2017-01-01

VZertES

Änderungen anzeigen Text zu diesem Datum

Änderungen vom 2017-01-01

@@ -1,27 +1,30 @@

# Verordnung vom 23. November 2016 über Zertifizierungsdienste im Bereich der elektronischen Signatur und anderer Anwendungen digitaler Zertifikate (Verordnung über die elektronische Signatur, VZertES)

Der Schweizerische Bundesrat,

gestützt auf die Artikel 4, 6 Absatz 1, 7 Absatz 4, 9 Absatz 4, 10 Absatz 3,

12 Absatz 4, 14 Absatz 2 und 21 des Bundesgesetzes vom 18. März 2016[^1]

über die elektronische Signatur (ZertES),

gestützt auf Artikel 59*a* Absatz 3 des Obligationenrechts[^2],

1 12 Absatz 4, 14 Absatz 2 und 21 des Bundesgesetzes vom 18. März 2016 über die elektronische Signatur (ZertES),

verordnet:

2 gestützt auf Artikel 59 a Absatz 3 des Obligationenrechts , verordnet:

##### **Art. 1** Anerkennungsstellen

1 Die Schweizerische Akkreditierungsstelle (SAS) des Staatssekretariats für Wirtschaft akkreditiert gemäss den Bestimmungen der Akkreditierungs- und Bezeichnungsverordnung vom 17. Juni 1996[^3] die Stellen, die die Anbieterinnen von Zertifizierungsdiensten anerkennen.

1 Die Schweizerische Akkreditierungsstelle (SAS) des Staatssekretariats für Wirtschaft akkreditiert gemäss den Bestimmungen der Akkreditierungsund Bezeich-

3 nungsverordnung vom 17. Juni 1996 die Stellen, die die Anbieterinnen von Zertifizierungsdiensten anerkennen.

2 Besteht keine akkreditierte Anerkennungsstelle, so anerkennt das Bundesamt für Kommunikation (BAKOM) die Anbieterinnen von Zertifizierungsdiensten (Anbieterinnen).

##### **Art. 2** Versicherung

1 Eine Anbieterin, die anerkannt werden will, muss zur Deckung ihrer Haftung eine Versicherung von mindestens 2 Millionen Franken pro Versicherungsfall und 8 Millionen Franken pro Versicherungsjahr abschliessen.

1 Eine Anbieterin, die anerkannt werden will, muss zur Deckung ihrer Haftung eine Versicherung von mindestens 2 Millionen Franken pro Versicherungsfall und

8 Millionen Franken pro Versicherungsjahr abschliessen.

2 Sie kann anstelle einer Versicherung eine gleichwertige Garantie vorlegen.

##### **Art. 3** Generierung, Speicherung und Verwendung kryptografischer Schlüssel

##### **Art. 3** Generierung, Speicherung und Verwendung kryptografischer

Schlüssel

1 Die Länge der Schlüssel und der verwendete Algorithmus müssen während der Gültigkeitsdauer des geregelten Zertifikats kryptografischen Angriffen standhalten können.

@@ -31,7 +34,9 @@

1 Das BAKOM regelt das Format der geregelten Zertifikate für die folgenden Anwendungen:

- a. die elektronische Signatur einer natürlichen Person oder das elektronische Siegel einer UID-Einheit im Sinne von Artikel 3 Absatz 1 Buchstabe c des Bundesgesetzes vom 18. Juni 2010[^4] über die Unternehmens-Identifikationsnummer (UIDG);

- a. die elektronische Signatur einer natürlichen Person oder das elektronische Siegel einer UID-Einheit im Sinne von Artikel 3 Absatz 1 Buchstabe c des

4 Bundesgesetzes vom 18. Juni 2010 über die Unternehmens-Identifikationsnummer (UIDG);

- b. die elektronische Identifikation einer solchen Person oder Einheit;

@@ -49,15 +54,21 @@

4 Ist die vertretene UID-Einheit im Handelsregister eingetragen, muss die Zustimmung zur Aufnahme von nicht im Handelsregister eingetragenen Vertretungsbefugnissen in das Zertifikat von einer Person, die laut Handelsregister zur Vertretung der UID-Einheit befugt ist, unterzeichnet werden.

5 Die anerkannten Anbieterinnen überprüfen ausserdem die Daten zu den Kernmerkmalen der vertretenen UID-Einheiten anhand des UID-Registers (Art. 11 Abs. 1 UIDG[^5]). Hat die UID-Einheit der Veröffentlichung ihrer Daten zu den Kernmerkmalen nicht zugstimmt (Art. 11 Abs. 3 UIDG), müssen sie einen aktuellen beglaubigten Auszug aus dem UID-Register verlangen.

5 Die anerkannten Anbieterinnen überprüfen ausserdem die Daten zu den Kernmerkmalen der vertretenen UID-Einheiten anhand des UID-Registers (Art. 11

5 Abs. 1 UIDG ). Hat die UID-Einheit der Veröffentlichung ihrer Daten zu den Kernmerkmalen nicht zugstimmt (Art. 11 Abs. 3 UIDG), müssen sie einen aktuellen beglaubigten Auszug aus dem UID-Register verlangen.

6 Die Absätze 1–5 gelten auch für die Ausstellung eines geregelten Zertifikats auf eine natürliche Person, die ein Pseudonym verwendet.

##### **Art. 6** Ausstellung geregelter Zertifikate auf UID-Einheiten, die keine natürlichen Personen sind

##### **Art. 6** Ausstellung geregelter Zertifikate auf UID-Einheiten,

die keine natürlichen Personen sind

1 Die Identität einer Person, die ein geregeltes Zertifikat für eine UID-Einheit beantragt, die keine natürliche Person ist, muss nach Artikel 5 Absatz 1 überprüft werden. Die Vertretungsbefugnisse dieser Person müssen mit einer schriftlichen Vollmacht begründet werden, sofern sie nicht im Handelsregister eingetragen sind.

2 Die anerkannten Anbieterinnen müssen die Daten zu den Kernmerkmalen der UID-Einheiten anhand des UID-Registers überprüfen (Art. 11 Abs. 1 UIDG[^6]). Hat die UID-Einheit der Veröffentlichung ihrer Daten zu den Kernmerkmalen nicht zugestimmt (Art. 11 Abs. 3 UIDG), müssen sie einen aktuellen beglaubigten Auszug aus dem UID-Register verlangen.

2 Die anerkannten Anbieterinnen müssen die Daten zu den Kernmerkmalen der

6 UID-Einheiten anhand des UID-Registers überprüfen (Art. 11 Abs. 1 UIDG ). Hat die UID-Einheit der Veröffentlichung ihrer Daten zu den Kernmerkmalen nicht zugestimmt (Art. 11 Abs. 3 UIDG), müssen sie einen aktuellen beglaubigten Auszug aus dem UID-Register verlangen.

3 Ist die UID-Einheit im Handelsregister eingetragen, muss ein aktueller beglaubigter Auszug verlangt werden.

@@ -65,34 +76,15 @@

1 Die Identität einer Person, die ein geregeltes Zertifikat beantragt, kann auf Distanz festgestellt werden, sofern eine Konformitätsbewertungsstelle bestätigt hat, dass das verwendete Verfahren zur Personenidentifikation eine gleichwertige Sicherheit zum persönlichen Erscheinen bietet.

2 Die anerkannten Anbieterinnen können geregelte Zertifikate im Rahmen eines Verfahrens zur Personenidentifikation mittels audiovisueller Kommunikation in Echtzeit ausstellen, wenn das Verfahren den Anforderungen des Geldwäschereigesetzes vom 10. Oktober 1997[^7] entspricht. Die so ausgestellten Zertifikate dürfen nur im Rahmen der Beziehungen zwischen deren Inhaberinnen und Inhabern und den Finanzintermediären, die ihre Identität überprüft haben, verwendet werden.

7 setzes vom 10. Oktober 1997 entspricht. Die so ausgestellten Zertifikate dürfen nur im Rahmen der Beziehungen zwischen deren Inhaberinnen und Inhabern und den Finanzintermediären, die ihre Identität überprüft haben, verwendet werden.

3 Die anerkannten Anbieterinnen können einen mit einer qualifizierten elektronischen Signatur versehenen Antrag entgegennehmen, der die Ausstellung eines geregelten Zertifikats an die folgende Einheit oder Person betrifft:

- a. an eine UID-Einheit, die keine natürliche Person ist, sofern die Vertretungsbefugnisse der antragstellenden Person in einem öffentlichen Register eingetragen sind;

- b. an eine natürliche Person ohne spezifische Attribute und Vertretungsbefugnisse, sofern deren Identität bereits von der Anbieterin nach Artikel 5 oder nach den Absätzen 1 und 2 dieses Artikels festgestellt worden ist.

##### **Art. 7***a*[^8] Befreiung von der Pflicht des persönlichen Erscheinens

während der COVID-19-Pandemie

1 Die Identität einer Person, die ein geregeltes Zertifikat beantragt, kann mittels audiovisueller Kommunikation in Echtzeit festgestellt werden, sofern diese Teil eines Verfahrens ist, das den folgenden Anforderungen entspricht:

- a. den Anforderungen der Geldwäschereigesetzgebung; oder

- b. den Anforderungen von Artikel 24 Absatz 1 Unterabsatz 2 Buchstabe d der Verordnung (EU) Nr. 910/2014[^9] und des nationalen Rechts eines durch diese Verordnung gebundenen Staates.

2 Die anerkannten Anbieterinnen können das Verfahren nach Absatz 1 selbst durchführen oder diese Aufgabe einem Dritten übertragen. Das Verfahren muss von einer der folgenden Stellen, die gemäss dem nach Absatz 1 anwendbaren Recht zuständig ist, bewertet worden sein:

- a. einer Prüfgesellschaft im Rahmen einer Prüfung in Zusammenhang mit den Fällen nach Absatz 1 Buchstabe a;

- b. einer Konformitätsbewertungsstelle in den Fällen nach Absatz 1 Buchstabe b.

3 Die Gültigkeitsdauer von Zertifikaten, die in Anwendung von Absatz 1 ausgestellt werden, darf nicht über die Geltungsdauer dieses Artikels hinausgehen. Wird dieser Artikel vor dem vorgesehenen Datum aufgehoben, so widerrufen die Anbieterinnen die Zertifikate, die nach der Aufhebung noch gültig wären.

4 Eine qualifizierte elektronische Signatur, die auf einem in Anwendung von Absatz 1 ausgestellten Zertifikat beruht, darf nicht verwendet werden, um ein neues geregeltes Zertifikat zu beantragen, das über die Geltungsdauer dieses Artikels hinaus gültig ist.

5 Die anerkannten Anbieterinnen, die Zertifikate nach diesem Artikel ausstellen, melden dies unverzüglich der Anerkennungsstelle. Sie reichen ihr so bald wie möglich eine Bescheinigung ein, wonach das Identifikationsverfahren gemäss Absatz 2 bewertet worden ist.

##### **Art. 8** Kopieren der Schlüssel und Aufbewahren von Doppeln

@@ -116,9 +108,9 @@

2 Für die Tätigkeiten im Zusammenhang mit den Zertifikaten beginnt die Frist mit dem Ablauf der Zertifikate.

3 Für die in Anwendung von Artikel 7 Absatz 3 Buchstabe b ausgestellten Zertifikate müssen die Eintragungen und die Belege zur Identifizierung ihrer Inhaberinnen oder Inhaber gemäss den Artikeln 5 und 7 Absätze 1 und 2 so lange aufbewahrt werden, bis die Elfjahresfrist für das letzte der so ausgestellten Zertifikate abgelaufen ist.

3 Für die in Anwendung von Artikel 7 Absatz 3 Buchstabe b ausgestellten Zertifikate müssen die Eintragungen und die Belege zur Identifizierung ihrer Inhaberinnen oder Inhaber gemäss den Artikeln 5 und 7 Absätze 1 und 2 so lange aufbewahrt werden, bis die Elfjahresfrist für das letzte der so ausgestellten Zertifikate abgelaufen ist.

##### **Art.**** 12** Einstellung der Geschäftstätigkeit

##### **Art. 12** Einstellung der Geschäftstätigkeit

1 Die anerkannten Anbieterinnen melden der SAS und der Anerkennungsstelle unverzüglich, mindestens aber 30 Tage im Voraus, die Aufgabe ihrer Geschäftstätigkeit.

@@ -134,19 +126,21 @@

##### **Art. 13** Sicherheitsvorkehren

1 Die Inhaberin oder der Inhaber eines geregelten Zertifikats muss den ausschliesslichen Zugang zum kryptografischen Schlüssel, der zur Generierung elektronischer Signaturen oder Siegel eingesetzt wird, behalten. Soweit zumutbar, muss sie oder er die Signatur- oder Siegelerstellungseinheit auf sich tragen oder wegschliessen.

1 Die Inhaberin oder der Inhaber eines geregelten Zertifikats muss den ausschliesslichen Zugang zum kryptografischen Schlüssel, der zur Generierung elektronischer Signaturen oder Siegel eingesetzt wird, behalten. Soweit zumutbar, muss sie oder er die Signaturoder Siegelerstellungseinheit auf sich tragen oder wegschliessen.

2 Bei Verlust oder Diebstahl der Signatur- oder Siegelerstellungseinheit muss die Inhaberin oder der Inhaber eines geregelten Zertifikats so rasch wie möglich dessen Ungültigerklärung beantragen. Das Gleiche gilt, wenn die Inhaberin oder der Inhaber weiss oder den begründeten Verdacht hat, dass eine Drittperson Zugang zum kryptografischen Schlüssel, der zur Generierung elektronischer Signaturen oder Siegel eingesetzt wird, haben konnte.

2 Bei Verlust oder Diebstahl der Signaturoder Siegelerstellungseinheit muss die Inhaberin oder der Inhaber eines geregelten Zertifikats so rasch wie möglich dessen Ungültigerklärung beantragen. Das Gleiche gilt, wenn die Inhaberin oder der Inhaber weiss oder den begründeten Verdacht hat, dass eine Drittperson Zugang zum kryptografischen Schlüssel, der zur Generierung elektronischer Signaturen oder Siegel eingesetzt wird, haben konnte.

3 Die Daten zur Aktivierung der Signatur- oder Siegelerstellungseinheit dürfen sich nicht auf Daten zur Person oder zur UID-Einheit, die Inhaberin eines geregelten Zertifikats ist, beziehen.

3 Die Daten zur Aktivierung der Signaturoder Siegelerstellungseinheit dürfen sich nicht auf Daten zur Person oder zur UID-Einheit, die Inhaberin eines geregelten Zertifikats ist, beziehen.

4 Aufzeichnungen der Aktivierungsdaten sind sicher und getrennt von der Signatur- oder Siegelerstellungseinheit aufzubewahren.

4 Aufzeichnungen der Aktivierungsdaten sind sicher und getrennt von der Signaturoder Siegelerstellungseinheit aufzubewahren.

5 Die Inhaberin oder der Inhaber eines geregelten Zertifikats muss die Aktivierungsdaten der Signatur- oder Siegelerstellungseinheit ändern, wenn sie oder er weiss oder den begründeten Verdacht hat, dass eine Drittperson Kenntnis davon erlangt hat. Wenn sie oder er die Aktivierungsdaten nicht selbst ändern kann, muss sie oder er so rasch wie möglich die Ungültigerklärung des Zertifikates beantragen.

5 Die Inhaberin oder der Inhaber eines geregelten Zertifikats muss die Aktivierungsdaten der Signaturoder Siegelerstellungseinheit ändern, wenn sie oder er weiss oder den begründeten Verdacht hat, dass eine Drittperson Kenntnis davon erlangt hat. Wenn sie oder er die Aktivierungsdaten nicht selbst ändern kann, muss sie oder er so rasch wie möglich die Ungültigerklärung des Zertifikates beantragen.

##### **Art. 14** Handelsregister

1 Was die Aufbewahrung der Belege betrifft, die zur Ausstellung eines geregelten Zertifikats für Personen mit im Handelsregister eingetragenen spezifischen Attributen oder Vertretungsbefugnissen vorgelegt werden müssen, so bleiben die Artikel 8 Absatz 5, 9 Absatz 4 und 166 der Handelsregisterverordnung vom 17. Oktober 2007[^10] vorbehalten.

8 vorbehalten. 2007

2 Der Handelsregistereintrag ist für den Beweis der spezifischen Attribute und Vertretungsbefugnisse der Inhaberinnen oder Inhaber geregelter Zertifikate allein massgebend.

@@ -170,22 +164,18 @@

###### Fussnoten

[^1]: [SR **943.03**](https://fedlex.data.admin.ch/eli/cc/2016/752)

[^1]: SR 943.03

[^2]: [SR **220**](https://fedlex.data.admin.ch/eli/cc/27/317_321_377)

[^2]: SR 220

[^3]: [SR **946.512**](https://fedlex.data.admin.ch/eli/cc/1996/1904_1904_1904)

[^3]: SR 946.512

[^4]: [SR **431.03**](https://fedlex.data.admin.ch/eli/cc/2010/705)

[^4]: SR 431.03

[^5]: [SR **431.03**](https://fedlex.data.admin.ch/eli/cc/2010/705)

[^5]: SR 431.03

[^6]: [SR **431.03**](https://fedlex.data.admin.ch/eli/cc/2010/705)

[^6]: SR 431.03

[^7]: [SR **955.0**](https://fedlex.data.admin.ch/eli/cc/1998/892_892_892)

[^7]: SR 955.0

[^8]: Eingefügt durch Ziff. I der V vom 1. April 2020, in Kraft vom 2. April 2020 bis zum 1. Okt. 2020 ([AS **2020** 1149](https://fedlex.data.admin.ch/eli/oc/2020/210)).

[^9]: Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG, Fassung gemäss ABl. L 257 vom 28.8.2014, S. 73.

[^10]: [SR **221.411**](https://fedlex.data.admin.ch/eli/cc/2007/686)

[^8]: SR 221.411

2016-11-23

VZertES

Originalfassung Text zu diesem Datum