Bundesgesetz über anerkannte elektronische Identifizierungseinheiten (E-ID-Gesetz), Schreiben an das EJPD

Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich Sitzung vom 17. Mai 2017

471. Bundesgesetz über anerkannte elektronische Identifizierungs-

Erwägungen

einheiten (E-ID-Gesetz) (Vernehmlassung) Das Eidgenössische Justiz- und Polizeidepartement (EJPD) hat am 23. Februar 2017 im Auftrag des Bundesrates das Vernehmlassungsverfah- ren zum Bundesgesetz über anerkannte elektronische Identifizierungs- einheiten (E-ID-Gesetz) eröffnet. Mit der Vorlage sollen die Grundlagen für sogenannte anerkannte elektronische Identifizierungseinheiten (E-ID) geschaffen werden. Eine E-ID soll es Geschäftspartnern erlauben, anspruchsvollere Geschäfte on- line abzuwickeln und dabei berechtigte natürliche Personen für eine Dienstleistung zu identifizieren. Damit vereinfacht die Vorlage durch die Einführung einer E-ID die elektronische Registrierung der Bürgerinnen und Bürger für den Zugang und die Abfrage von Online-Diensten. Dieses Anliegen einer schweizweit staatlich anerkannten Identifikationslösung wird durch die Rahmenvereinbarung über die Zusammenarbeit E-Go- vernment Schweiz unterstützt (vgl. RRB Nr. 1106/2015). Der Vorentwurf sieht für die Implementierung einer E-ID eine Auf- gabenteilung zwischen Staat und privaten Akteuren vor: Geeignete pri- vate (oder allenfalls öffentliche) Identitätsdienstleister (IdP) sollen vom Bund zur Ausstellung von staatlich anerkannten E-ID ermächtigt wer- den können. Die Schaffung einer für alle Dienstleistungen kompatiblen E-ID hängt dabei im Wesentlichen von vorhandenen Marktanreizen ab. Ob sich über den freien Markt eine einfache und übersichtliche Lösung verwirklichen lässt, die gleichzeitig durch ständige Innovation vorange- trieben wird, ist allerdings ungewiss. Hohe Investitionskosten für den Auf- bau der diesbezüglichen Kommunikations- und Informationsinfrastruk- turen stellen eine erhebliche Hürde zur Implementierung einer allgemein kompatiblen E-ID dar. Vor diesem Hintergrund wird angeregt, unter der Leitung des Gemeinwesens eine Trägerschaft als Identitätsdienstleister einzusetzen, welche die zur Aufgabenerfüllung erforderlichen Techno- logien durch Ausschreibung auf dem privaten Markt beschafft.

Dispositiv

Auf Antrag der Direktion der Justiz und des Innern beschliesst der Regierungsrat:

I. Schreiben an das Eidgenössische Justiz- und Polizeidepartement (EJPD), Bundeshaus West, 3003 Bern (auch per E-Mail als PDF- und Word-Version an [e-mail]): Mit Zuschrift vom 23. Februar 2017 haben Sie uns den Entwurf für das Bundesgesetz über anerkannte elektronische Identifizierungseinheiten (E-ID-Gesetz) zur Stellungnahme unterbreitet. Wir danken Ihnen für diese Gelegenheit und äussern uns wie folgt:

A. Allgemeine Bemerkungen Wir begrüssen die mit dem E-ID-Gesetz verbundene Stossrichtung, allgemein anerkannte elektronische Identifizierungseinheiten (E-ID) ein- zuführen. Mit dem Gesetz werden die Grundlagen geschaffen, um die Identifizierung und Authentifizierung von Personen bei der Anwendung von Online-Diensten über allgemein kompatible Schnittstellen zu ermög- lichen. Insbesondere entspricht die E-ID einem grossen und immer wie- der geäusserten Bedürfnis der Gemeinwesen, den elektronischen Behör- denverkehr zu vereinfachen und zu erleichtern. Die im Vorentwurf vorgesehene Aufgabenteilung zwischen Staat und Privaten setzt voraus, dass der Markt über die ihm inhärenten Anreize selbstständig unkomplizierte und untereinander kompatible Identifika- tionslösungen entwickelt, die durch ständige Innovation vorangetrieben werden und über eine einfache Handhabung in allen Dienstleistungsbe- reichen eingesetzt werden können. Ob sich der Markt aufgrund der für den Aufbau von Kommunikations- und Informationsinfrastrukturen not- wendigen Investitionskosten in diese vorgesehene Richtung bewegen wird, ist indessen ungewiss, zumal die privaten Akteure alle von Gesetz und Verordnung vorgegebenen Regeln zu berücksichtigen haben und da- mit der Produktentwicklung eine kostenintensive Aufbauphase vorange- hen dürfte. Insofern wird angeregt, unter der Leitung des Bundes eine Trägerschaft bestehend aus Bund, Kantonen und Gemeinden als Identi- tätsdienstleister einzusetzen, welche die zur Aufgabenerfüllung erforder- liche Technologie durch Ausschreibung auf dem privaten Markt beschafft. Der Bund soll diese Trägerschaft anleiten und insbesondere mit finan- ziellen Mitteln zur Entwicklung einer ersten Identifikationslösung unter- stützen. Der Betrieb dieser Trägerschaft soll auf einem selbsttragenden Geschäftsmodell beruhen und damit mittelfristig ohne staatliche Subven- tionen auskommen. Dieses Vorgehen orientiert sich an den Strukturen, die der Kanton Zürich für die Einführung des Elektronischen Patienten-

dossiers aufgebaut hat. Die Vorteile eines solchen Vorgehens liegen auf der Hand: Durch die Ausschreibung und die Wahl eines Anbieters stei- gen Investitionssicherheit und Investitionsbereitschaft deutlich. Der ge- wählte Anbieter ist für die Grundversorgung verantwortlichen, während sich die anderen Marktteilnehmer auf weitere Geschäftsfelder und Er- weiterungsoptionen konzentrieren können. Damit können alle Ziele er- reicht werden: eine rasche Verwirklichung, eine taugliche Basisarchitek- tur und klar umrissene Innovationsfelder. Die Erfahrungen, die der Kanton Zürich mit dem Elektronischen Pa- tientendossier gemacht hat, zeigen klar, dass es den staatlichen Akteur im Lead braucht. Nur er verfügt über die nötige Autorität und Legitimation, alle weiteren Beteiligten in einen verbindlichen Prozess einzubinden. Gleichzeitig soll der Staat nicht selber als IT-Entwicklungsunternehmen auftreten. Deshalb ist die Technologie auszuschreiben. Um Doppelspu- rigkeiten für eine hoheitliche Aufgabe wie die Elektronische Identifika- tion zu vermeiden, ist dabei nur ein Produkt für die Basisangebote zu wäh- len. Der Markt wiederum soll auf die Entwicklung weiterer Anwendungs- felder fokussieren. Neben diesen grundsätzlichen Bemerkungen bleibt allgemein anzu- fügen, dass im vorgelegten Vorentwurf in vielen (keineswegs nur unter- geordneten) Fragen auf die noch zu erarbeitende Verordnung verwiesen wird, welche die erforderlichen Präzisierungen bringen soll. Unter diesen Umständen regen wir an, auch die noch auszuarbeitende Verordnung in die Vernehmlassung zu geben, damit dort die Bedürfnisse der Kantone und gegebenenfalls der Gemeinden eingebracht werden können. Weiter ist anzumerken, dass im erläuternden Bericht des EJPD ledig- lich die finanziellen Folgen des Gesetzes für den Bund erwähnt werden (erläuternder Bericht, Ziff. 1.4.2). Die finanziellen Auswirkungen auf die Kantone und die Gemeinden werden dagegen nicht erläutert. Für den Ein- satz der E-ID müssten die Kantone und die Gemeinden allerdings ent- sprechende elektronische Schnittstellen zur Verfügung stellen, damit die E-ID für die vorgesehenen Dienstleistungen des Gemeinwesens überhaupt angewendet werden können. Insofern haben diese Gemeinwesen Inves- titionskosten zu tragen. Ferner müssten die Kantone Auskünfte erteilen, wenn bei einer Abfrage gemäss Art. 3 Abs. 1 Bst. b E-ID-Gesetz der aus- länderrechtliche Status einer Person abzuklären ist. Der damit verbun- dene Mehraufwand findet ebenfalls keine Erwähnung im erläuternden Bericht.

B. Bemerkungen zu den einzelnen Bestimmungen Art. 2 Begriffe Der Begriff «Identitätsstelle» wird z. B. in Art. 9 und 17 Abs. 2 E-ID- Gesetz erwähnt, allerdings erst in Art. 19 ff. E-ID-Gesetz erläutert. Zu- gunsten einer besseren Verständlichkeit sollte der Begriff bereits in Art. 2 E-ID-Gesetz definiert werden. Art. 3 Persönliche Voraussetzung Gemäss der Vorlage sollen die Identitätsdienstleister (IdP) nicht zur Eingehung eines Vertragsverhältnisses verpflichtet werden. Vielmehr sieht Art. 3 E-ID-Gesetz für die Ausstellung einer E-ID an Privatpersonen eine Kann-Bestimmung vor. Diese Konzeption darf indessen nicht dazu füh- ren, dass Personengruppen willkürlich von staatlichen Leistungen, die sie allenfalls nur mit einer E-ID beziehen können, ausgeschlossen werden. Die Vertragsfreiheit sollte hier in diesem Sinne sinnvoll eingeschränkt werden. Im erläuternden Bericht zum Vorentwurf wird auf S. 21 ausgeführt, dass auch Inhaberinnen und Inhaber einer Grenzgängerbewilligung (Art. 71a Verordnung vom 24. Oktober 2007 über Zulassung, Aufenthalt und Er- werbstätigkeit; VZAE) Zugang zu einer E-ID haben sollen. Der Ausweis G für Grenzgängerinnen und Grenzgänger stellt indessen keine ausrei- chende Identifizierung sicher. Im Rahmen der Gesuchsprüfung verlangen die Migrationsbehörden zwar eine Passkopie, die Gesuchstellerinnen und Gesuchsteller müssen aber im Laufe des Bewilligungsverfahrens bei kei- ner Behörde persönlich vorsprechen. Damit fehlt eine behördliche Kont- rolle über die Berechtigung der Inhaberin oder des Inhabers des heimat- lichen Passes. Wenn einem Begehren um Erteilung einer Grenzgänger- bewilligung zugestimmt wird, wird der Ausweis zudem direkt dem Ar- beitgeber mit der Bitte um Aushändigung und Unterzeichnung durch ein und dieselbe Person zugestellt. Es ist daher auch nicht sichergestellt, dass die Unterschrift auf dem Ausweis G mit derjenigen im heimatlichen Pass identisch ist. Art. 5 Sicherheitsniveaus Die Festlegung von drei verschiedenen Sicherheitsniveaus begrüssen wir, da damit den unterschiedlichen Anforderungen von E-ID-verwen- denden Diensten entsprechende Identifizierungssicherheiten zur Verfü- gung stehen. Insbesondere ist auch die Einsatzmöglichkeit einer E-ID mit höherem Sicherheitsstandard auf Ebenen mit tieferen Sicherheitsniveaus, wie sie in Art. 5 Abs. 3 E-ID-Gesetz vorgesehen ist, zur Gewährleistung der Kompatibilität sinnvoll.

Art. 8 Aktualisierung der Personenidentifizierungsdaten Aus Effizienzgründen ist grundsätzlich eine zeitnahe (tagesaktuelle) Zustellung der Personenidentifizierungsdaten an den IdP anzustreben. Viele staatliche Aufgaben können nur effizient erledigt werden, wenn die entsprechenden Informationen aktuell sind (z. B. nach Zivilstandsände- rung, Ausweisverlust oder Einbürgerung). Insbesondere die quartalsweise Übermittlung für Sicherheitsniveau «substanziell» (Art. 8 Abs.1 Bst. b E-ID-Gesetz) erachten wir als ungenügend. Der Bundesrat sollte die Frei- heit haben, auf dem Verordnungsweg die minimalen Aktualisierungszei- ten nach den Bedürfnissen der Rechtsunterworfenen bzw. der Behörden und dem technisch Machbaren zu verkürzen. Das vorgesehene Verfahren der automatisierten Abfrage (Art. 8 Abs. 1 E-ID-Gesetz) ist eine technische Lösung. Es sollte nicht im Gesetz fest- geschrieben werden, muss es doch einfach und flexibel an die in diesem Be- reich rasch ändernden Verhältnisse angepasst werden können. Art. 9 Verwendung der Versichertennummer Dass Art. 9 E-ID-Gesetz die Identitätsstelle berechtigt, die AHV-Num- mer zu verwenden, ist zu begrüssen. Eine solche Verwendung der AHV- Nummer ist für ein effizientes und reibungsloses Funktionieren des Sys- tems unumgänglich und bildet eines der Kernstücke des Gesetzes. Daher sollte dieser Grundsatz jedenfalls vollumfänglich beibehalten werden. Finanzierung: Art. 16 Betreiberinnen, Art.18 Interoperabilität, Art. 23 Gebühren Die Finanzierung ist erst angedacht. Ein eigentliches Finanzierungs- modell bzw. Finanzierungskonzept steht noch aus (erläuternder Bericht, Ziff. 1.4.2). Denkbar wäre daher etwa, dass Nutzungskosten entsprechend den neueren Marktmodellen von den Betreiberinnen von E-ID-verwen- denden Diensten nach «pay per use» zu tragen sein werden. Nach Art. 16 E-ID-Gesetz ist die Behörde, die nach diesem Gesetz die E-ID nutzt, ver- pflichtet, jede anerkannte E-ID zu akzeptieren. Damit könnte ein im Ver- gleich zu anderen Produkten teures und wenig wirtschaftliches E-ID- Produkt trotzdem Verbreitung finden, weil seine Nutzung nicht durch die Inhaberin oder den Inhaber, sondern aufgrund der gebrauchsbasierten Abgeltung mit staatlichen Mitteln finanziert würde. Die Folge wären Marktverzerrungen, weil die E-ID-verwendenden Dienste häufig von den Kantonen bzw. Gemeinden angeboten werden. Art. 17 Pflichten Nach Art. 17 Abs. 1 Bst. g E-ID-Gesetz hat der IdP die Daten über die Anwendung einer E-ID nach sechs Monaten zu löschen. Wünschens- wert wäre hierbei eine Ergänzung im Sinne der informationellen Selbst- bestimmung: Die Inhaberin oder der Inhaber der E-ID sollte zusätzlich

die Möglichkeit haben, auf eigenes Begehren hin die Aufbewahrungszeit zu verlängern. Überdies soll die Inhaberin oder der Inhaber auf Wunsch die Daten einsehen und allenfalls selbstverantwortlich zu einem späte- ren Zeitpunkt (d. h. nach Ablauf der Frist von sechs Monaten) löschen können. Sodann hat der IdP gemäss Art. 17 Abs. 3 E-ID-Gesetz die E-ID un- verzüglich zu sperren, wenn der Verlust oder die Gefahr des Missbrauchs einer E-ID besteht. Nach Art. 17 Abs. 4 E-ID-Gesetz muss die Sperrung lediglich der Inhaberin oder dem Inhaber der E-ID gemeldet werden. Sinnvollerweise müsste der IdP aber ebenfalls verpflichtet werden, die Sperrliste auch der Identitätsstelle nach Art. 19 E-ID-Gesetz zu melden. Zudem ist zu prüfen, ob auch den Strafverfolgungsbehörden Zugriff auf diese Sperrliste gewährt werden sollte.

C. Redaktionelles Wegen der Funktion als Identitätsnachweis der E-ID für natürliche Personen wurde offensichtlich in der deutschen Version der elDAS-Ver- ordnung der EU der Begriff «elektronisches ldentifizierungsmittel» ge- wählt. Im Konzept des EJPD wird entsprechend der Begriff «staatlich an- erkanntes ldentifizierungsmittel (E-ID)» verwendet. Im vorliegenden Vor- entwurf für ein E-ID-Gesetz lautet der Begriff hingegen «anerkannte elektronische ldentifizierungseinheit (E-ID)». Von «Einheiten» zu spre- chen, erscheint aber im Hinblick auf die Funktion der E-ID unpräzis und vor allem zu wenig am Nutzen für die Anwendenden orientiert. Im neuen Bundesgesetz sollte daher der Begriff «anerkanntes elektronischen Iden- tifizierungsmittel (E-ID)» verwendet werden.

II. Mitteilung an die Geschäftsleitung des Kantonsrates, die Mitglieder des Regierungsrates sowie an die Direktion der Justiz und des Innern.

Vor dem Regierungsrat Der Staatsschreiber:

Husi