Anforderungen der eANV an die eingesetzte Software

Zur Umsetzung der Vorgaben der elektronischen Nachweisführung sind neben einer Reihe funktional-inhaltlicher Anforderungen weitere Anforderungen zu erfüllen, die sich aus dem Einsatz der qualifizierten elektronischen Signatur ergeben.

Die folgende Aufstellung stellt die wichtigsten Anforderungen zusammen. Insbesondere ist zu beachten, dass das Signaturgesetz für die eingesetzte Signaturanwendungskomponente eine Herstellererklärung vorschreibt, oder aber eine Bestätigung durch die Bundesnetzagentur (BNEtzA) auf Basis einer Zertifizierung nach Common Criteria  (CC) mit mindestens Sicherheitslevel EAL 3+.

Anforderungen aus der Nachweisverordnung (NachwV)

Die NachwV legt fest, dass für bestimmte Entsorgungsvorgänge künftig ausschließlich elektronische Dokumente genutzt werden. Der Inhalt ergibt sich aus der NachwV, das Format  der Dokumente ist in der BMU Schnittstelle (derzeit 1.04) festgelegt. Es handelt sich um komplexe XML-Dokumente, die sich umschließende elektronische Signaturen für Teile der Dokumente nach XMLDSIG-, genauer XAdES-T-Standard enthalten.

Die Dokumente werden zwischen den Beteiligten elektronisch übermittelt, wobei für die Kommunikation mit dem zentralen System der Behörden (ZKS) das OSCI-Protokoll vorgeschrieben ist.

Elektronische Signaturen sind außerdem als qualifizierte elektronische Signaturen (QES) nach Signaturgesetz (SigG) auszuführen.

Eine weitere Anforderung ist die elektronische Registerführung, die ein Aufbewahren über viele Jahre verlangt.

Anforderungen nach SigG

Zur Erstellung von QES werden sichere Signaturerstellungseinheiten mit qualifizierten Zertifikaten benötigt, also Signaturkarten sowie Kartenterminals (mit Bestätigung der Bundesnetzagentur) und eine geeignete Signaturanwendungskomponente (SAK).

Die Herstellererklärung erfolgt nach Vorgaben durch die BNetzA. Der Hersteller erklärt die Konformität mit dem SigG und liefert weitere Unterlagen, die die Konformität und Sicherheit nachweisen, inklusive entsprechender Testnachweise, Dokumentation der Funktionsweise und der Anforderungen an die Einsatzumgebung. Bei erfolgreicher Begutachtung erfolgt die Veröffentlichung der Herstellererklärung durch die BNetzA.  Eine Herstellererklärung ist bereits mit der Abgabe bei der BNetzA hinterlegt und die Nutzung der SAK für QES damit möglich.

Die Bestätigung einer SAK erfolgt durch die BNetzA auf Basis einer CC Zertifizierung nach einem Sicherheitslevel mit mindestens EAL 3+ (SigV, Anlage 1).  Die Zertifizierung erfolgt anhand allgemeiner Sicherheitsanforderungen des Sicherheitslevels, die in einem konkreten Anforderungskatalog (Protection Profile) für die konkrete Anwendung festgelegt werden. Es gibt derzeit kein einheitliches Protection Profile für SAKs. Somit werden heute individuell erstellte Protection Profiles der jeweiligen SAK-Hersteller verwendet.

Das Procedere der Bestätigung ist sehr aufwändig und richtet sich insbesondere mit noch höheren Protection Profiles an besondere Einsatzszenarien, wie z. B. bei Sicherheitsumgebungen im militärischen Bereich. Insbesondere für kommerzielle Anwendungen, wie z. B. auch zur Anerkennung des Vorsteuerabzugs bei elektronischen Rechnungen, ist daher im SigG explizit die Herstellererklärung als Alternative vorgesehen.

Erfüllung der Anforderungen mit MODAWI

Modawi leistet die Erstellung, Modifikation, Speicherung und Kommunikation der elektronischen Nachrichten. Für die Signaturerzeugung und Signaturprüfung kommt mit den SecCommerce-Produkten eine SAK nach SigG zum Einsatz. Zusätzlich deckt die MODAWI-SAK-Lösung auch Mehrfachsignaturen, Stapelsignaturen und Signaturarchivierung ab. Für den Praxiseinsatz unterstützt die MODAWI-Lösung ein breites Spektrum von Systemarchitekturen.

Die SAK in Modawi verfügt über eine Herstellererklärung und erfüllt damit vollständig die gesetzlichen Forderungen. Die SecCommerce-Produkte befinden sich im Zertifizierungsprozess nach Common Criteria EAL 3+ für eine Bestätigung nach SigG durch die Bundesnetzagentur, damit erfolgt ein zusätzlicher Sicherheitsnachweis, der auch den Einsatz in noch anspruchsvolleren Umgebungen ermöglicht.