Bundesgesetz
über Zertifizierungsdienste im Bereich der
elektronischen Signatur und anderer Anwendungen
digitaler Zertifikate
(Bundesgesetz über die elektronische Signatur, ZertES)

Dieses Gesetz regelt:

1. die Anforderungen an die Qualität bestimmter digitaler Zertifikate und an ihre Verwendung;

2. die Voraussetzungen, unter denen sich Anbieterinnen von Zertifizierungsdiensten im Bereich der elektronischen Signatur und anderer Anwendungen digitaler Zertifikate (Zertifizierungsdienste) anerkennen lassen können;

3. die Rechte und Pflichten der anerkannten Anbieterinnen von Zertifizierungsdiensten.

Esregelt mit Ausnahme der Haftung nach den Artikeln¹⁷ und 18 nicht die Rechtswirkungen der Verwendung digitaler Zertifikate.

Es hat zum Zweck:

1. ein breites Angebot an sicheren Zertifizierungsdiensten zu fördern;

2. die Verwendung digitaler Zertifikate, elektronischer Signaturen und elektronischer Siegel zu begünstigen;

3. die internationale Anerkennung der Anbieterinnen von Zertifizierungsdiensten und ihrer Leistungen zu ermöglichen.

Als Anbieterinnen von Zertifizierungsdiensten anerkannt werden können natürliche oder juristische Personen, die:

1. im Handelsregister eingetragen sind;

2. in der Lage sind, qualifizierte Zertifikate gemäss den Anforderungen dieses Gesetzes auszustellen und zu verwalten;

3. Personal mit den erforderlichen Fachkenntnissen, Erfahrungen und Qualifikationen beschäftigen;

4. Informatiksysteme und -produkte, insbesondere Signatur- und Siegelerstellungseinheiten verwenden, die verlässlich und vertrauenswürdig sind;

5. über ausreichende Finanzmittel oder -garantien verfügen;

6. die notwendigen Versicherungen zur Deckung von Haftungsansprüchen aus

Die Voraussetzungen nach Absatz 1 gelten auch für ausländische Anbieterinnen von Zertifizierungsdiensten. Ist eine ausländische Anbieterin bereits von einer ausländischen Anerkennungsstelle anerkannt worden, so kann die schweizerische Anerkennungsstelle sie anerkennen, wenn erwiesen ist, dass:

1. sie die Anerkennung nach ausländischem Recht erworben hat;

2. die für die Anerkennung massgebenden Vorschriften des ausländischen Rechts den schweizerischen Vorschriften gleichwertig sind;

3. die ausländische Anerkennungsstelle über Qualifikationen verfügt, die denen, die von schweizerischen Anerkennungsstellen gefordert werden, gleichwertig sind;

Verwaltungseinheiten von Bund, Kantonen und Gemeinden dürfen als Anbieterinnen von Zertifizierungsdiensten anerkannt werden, ohne im Handelsregister eingetragen zu sein.

Der Bundesrat bezeichnet die für die Akkreditierung der Anerkennungsstellen zuständige Stelle (Akkreditierungsstelle).

Ist keine Stelle für die Anerkennung akkreditiert, so bezeichnet der Bundesrat die Akkreditierungsstelle oder eine andere geeignete Stelle als Anerkennungsstelle.

Die Anerkennungsstellen melden der Akkreditierungsstelle die von ihnen anerkannten Anbieterinnen von Zertifizierungsdiensten.

Die Akkreditierungsstelle stellt der Öffentlichkeit die Liste der anerkannten Anbieterinnen von Zertifizierungsdiensten zur Verfügung.

Der Bundesrat regelt die Generierung, Speicherung und Verwendung kryptografischer Schlüssel, für die geregelte Zertifikate im Sinne dieses Gesetzes ausgestellt werden können; er sorgt dabei für ein der technischen Entwicklung entsprechendes hohes Sicherheitsniveau.

Bei Systemen zur Generierung, Speicherung und Verwendung privater kryptografischer Schlüssel, insbesondere bei Signatur- und Siegelerstellungseinheiten, muss zumindest gewährleistet werden, dass diese Schlüssel:

1. praktisch nur einmal auftreten können und ihre Geheimhaltung hinreichend gewährleistet ist;

2. mit hinreichender Sicherheit nicht abgeleitet werden können und ihre Verwendung bei Einsatz der jeweils verfügbaren Technologie vor Fälschungen geschützt ist;

3. von der rechtmässigen Inhaberin oder vom rechtmässigen Inhaber vor der missbräuchlichen Verwendung durch andere verlässlich geschützt werden können.

Ein geregeltes Zertifikat kann auf natürliche Personen und UID-Einheiten ausgestellt werden.

Es muss folgende Angaben enthalten:

1. die Seriennummer;

2. den Hinweis, dass es sich um ein geregeltes Zertifikat handelt;

3. den Namen oder die Bezeichnung der Inhaberin oder des Inhabers des zugehörigen privaten kryptografischen Schlüssels; besteht eine Verwechslungsmöglichkeit, so ist der Name oder die Bezeichnung mit einem unterscheidenden Zusatz zu versehen;

4. bei natürlichen Personen gegebenenfalls das als solches gekennzeichnete Pseudonym anstelle des Namens;

5. bei UID-Einheiten die Unternehmens-Identifikationsnummer nach dem

6. den öffentlichen kryptografischen Schlüssel;

7. die Gültigkeitsdauer;

8. den Namen, den Niederlassungsstaat und das geregelte elektronische Siegel der Anbieterin von Zertifizierungsdiensten, die das Zertifikat ausstellt.

Das Zertifikat kann zudem die folgenden Elemente enthalten:

1. spezifische Attribute der Inhaberin oder des Inhabers des zugehörigen privaten kryptografischen Schlüssels, beispielsweise berufliche Qualifikationen;

2. bei natürlichen Personen den Hinweis, dass sie zur Vertretung einer bestimmten UID-Einheit berechtigt ist;

3. den Geltungsbereich, für den das Zertifikat bestimmt ist;

4. die Obergrenze der Transaktionen, für die das Zertifikat bestimmt ist.

Der Bundesrat bestimmt das Format der geregelten Zertifikate.

Ein qualifiziertes Zertifikat darf nur auf eine natürliche Person ausgestellt werden.

Es enthält einen Eintrag, wonach es nur für die elektronische Signatur bestimmt ist.

Anstelle des Hinweises nach Artikel 7 Absatz 2 Buchstabe b ist der Hinweis ins Zertifikat aufzunehmen, dass es sich um ein qualifiziertes Zertifikat handelt.

Die anerkannten Anbieterinnen von Zertifizierungsdiensten müssen von den Personen, die einen Antrag auf Ausstellung eines geregelten Zertifikats stellen, verlangen:

1. bei natürlichen Personen: dass sie persönlich erscheinen und den Nachweis ihrer Identität erbringen;

2. bei UID-Einheiten, die nicht natürliche Personen sind: dass eine Vertretung persönlich erscheint und den Nachweis sowohl für die eigene Identität als auch für die Vertretungsmacht erbringt.

Für Attribute zu berufsbezogenen oder sonstigen Angaben zur Person (Art. 7 Abs. 3 Bst. a) müssen sie überprüfen, ob die zuständige Stelle diese Angaben bestätigt hat.

Für Hinweise auf die Vertretungsbefugnis (Art. 7 Abs. 3 Bst. b) müssen sie überprüfen, ob die vertretene UID-Einheit zugestimmt hat.

Der Bundesrat bezeichnet die Dokumente, mit denen die antragstellende Person ihre Identität und allfällige Attribute nachweisen kann. Er kann vorsehen, dass unter bestimmten Voraussetzungen auf das persönliche Erscheinen der antragstellenden Person verzichtet wird.

Die anerkannten Anbieterinnen von Zertifizierungsdiensten müssen sich ferner vergewissern, dass die Person, die ein geregeltes Zertifikat verlangt, im Besitz des entsprechenden privaten kryptografischen Schlüssels ist.

Die anerkannten Anbieterinnen von Zertifizierungsdiensten können die Identifikation von Antragstellerinnen oder Antragstellern an Dritte delegieren (Registrierungsstellen). Sie haften für die korrekte Ausführung der Aufgabe durch die Registrierungsstelle.

Die anerkannten Anbieterinnen von Zertifizierungsdiensten müssen ihre allgemeinen Vertragsbedingungen sowie Informationen über ihre Zertifizierungspolitik allgemein zugänglich machen.

Sie müssen ihre Kundinnen und Kunden spätestens bei der Ausstellung der geregelten Zertifikate auf die Folgen eines möglichen Missbrauchs des privaten kryptografischen Schlüssels und auf die nach den Umständen notwendigen Vorkehrungen zur Geheimhaltung aufmerksam machen.

Sie führen ein Tätigkeitsjournal. Der Bundesrat regelt, wie lange das Tätigkeitsjournal und die dazugehörenden Belege aufzubewahren sind.

Die anerkannten Anbieterinnen von Zertifizierungsdiensten erklären ein geregeltes Zertifikat unverzüglich für ungültig, wenn:

1. die Inhaberin oder der Inhaber oder die Person, die sie oder ihn vertritt, einen entsprechenden Antrag stellt;

2. sich herausstellt, dass dieses unrechtmässig erlangt worden ist oder dass Angaben nach Artikel 7 Absatz 3 nicht oder nicht mehr richtig sind;

3. es keine Gewähr mehr bietet für die Zuordnung zur Inhaberin oder zum Inhaber.

Bei der Ungültigerklärung nach Absatz 1 Buchstabe a müssen sie sich vergewissern, dass die Person, welche die Ungültigerklärung beantragt, dazu berechtigt ist.

Sieinformieren die Inhaberinnen und Inhaber unverzüglich über die erfolgte Ungültigerklärung.

Jede anerkannte Anbieterin von Zertifizierungsdiensten stellt sicher, dass die Gültigkeit aller geregelten Zertifikate, die sie ausgestellt hat, mit einem gebräuchlichen Verfahren jederzeit zuverlässig überprüft werden kann.

Sie kann zudem einen Verzeichnisdienst anbieten, über den jedermann die von ihr ausgestellten geregelten Zertifikate suchen und abrufen kann. In dieses Verzeichnis wird ein Zertifikat nur auf Verlangen des Inhabers beziehungsweise der Inhaberin eingetragen.

Abfragen der öffentlichen Hand sind unentgeltlich.

Der Bundesrat bestimmt die Mindestdauer, während der die Überprüfung von nicht mehr gültigen geregelten Zertifikaten möglich bleiben muss.

Die anerkannten Anbieterinnen von Zertifizierungsdiensten melden der Akkreditierungsstelle die Einstellung ihrer Geschäftstätigkeit rechtzeitig. Eine gegen sie gerichtete Konkursandrohung melden sie unverzüglich.

Die Akkreditierungsstelle beauftragt eine andere anerkannte Anbieterin von Zertifizierungsdiensten, das Verzeichnis der gültigen, der abgelaufenen und der für ungültig erklärten geregelten Zertifikate zu führen und das Tätigkeitsjournal sowie die entsprechenden Belege aufzubewahren. Der Bundesrat bezeichnet eine geeignete Stelle zur Übernahme der Aufgabe, wenn es an einer anerkannten Anbieterin von Zertifizierungsdiensten fehlt. Die anerkannte Anbieterin von Zertifizierungsdiensten, die ihre Tätigkeit aufgibt, trägt die daraus entstehenden Kosten.

Absatz 2 gilt auch dann, wenn eine anerkannte Anbieterin von Zertifizierungsdiensten in Konkurs fällt.

Die anerkannten Anbieterinnen von Zertifizierungsdiensten und die von ihnen beauftragten Registrierungsstellen dürfen nur diejenigen Personendaten bearbeiten, die zur Erfüllung ihrer Aufgaben erforderlich sind. Sie dürfen mit diesen Daten keinen Handel treiben.

Im Übrigen gilt die Datenschutzgesetzgebung.

Die anerkannten Anbieterinnen von Zertifizierungsdiensten werden nach den Regeln der Bundesgesetzgebung über die technischen Handelshemmnisse⁶ von den Anerkennungsstellen beaufsichtigt.

Eine Anerkennungsstelle meldet der Akkreditierungsstelle unverzüglich den Entzug der Anerkennung einer Anbieterin von Zertifizierungsdiensten. Artikel 14 Absatz 2 findet Anwendung.

Die anerkannte Anbieterin von Zertifizierungsdiensten haftet der Inhaberin oder dem Inhaber eines gültigen geregelten Zertifikats und Drittpersonen, die sich auf ein solches Zertifikat verlassen haben, für Schäden, die diese erleiden, weil die Anbieterin den Pflichten aus diesem Gesetz und den entsprechenden Ausführungsbestimmungen nicht nachgekommen ist.

Sie trägt die Beweislast dafür, den Pflichten aus diesem Gesetz und den Ausführungsbestimmungen nachgekommen zu sein.

Sie kann ihre Haftung aus diesem Gesetz weder für eigenes Verhalten noch für jenes ihrer Hilfspersonen wegbedingen. Sie haftet jedoch nicht für Schäden, die sich aus der Nichtbeachtung oder Überschreitung einer Nutzungsbeschränkung (Art. 7 Abs. 3 Bst. c und d) ergeben.

Um die internationale Verwendung elektronischer Signaturen und anderer Anwendungen kryptografischer Schlüssel sowie deren rechtliche Anerkennung zu erleichtern, kann der Bundesrat internationale Abkommen schliessen, namentlich über:

1. die Anerkennung elektronischer Signaturen, elektronischer Siegel und digitaler Zertifikate;

2. die Anerkennung von Anbieterinnen von Zertifizierungsdiensten und von Anerkennungsstellen;

3. die Anerkennung von Prüfungen und Konformitätsbewertungen;

4. die Anerkennung von Konformitätszeichen;

5. die Anerkennung von Akkreditierungssystemen und akkreditierten Stellen;

6. die Erteilung von Normungsaufträgen an internationale Normungsorganisationen, soweit in der Gesetzgebung auf bestimmte technische Normen verwiesen wird oder verwiesen werden soll;

7. die Information und Konsultation bezüglich Vorbereitung, Erlass, Änderung und Anwendung solcher Vorschriften oder Normen.

Zur Ausführung internationaler Abkommen über Gegenstände nach Absatz 1 erlässt der Bundesrat die erforderlichen Bestimmungen.

Er kann Aufgaben im Zusammenhang mit der Information und der Konsultation bezüglich Vorbereitung, Erlass und Änderung von Vorschriften oder von technischen Normen Privaten übertragen und dafür eine Abgeltung vorsehen.

Der Bundesrat erlässt die Ausführungsbestimmungen. Er berücksichtigt dabei das entsprechende internationale Recht und kann internationale technische Normen für anwendbar erklären.

Er kann den Erlass administrativer und technischer Vorschriften dem Bundesamt für Kommunikation übertragen.

Um den Gesetzeszweck zu erfüllen, kann er eine Verwaltungseinheit des Bundes oder eines Kantons beauftragen, geregelte Zertifikate auch für den Privatrechtsverkehr auszustellen oder sich an einer privaten Anbieterin von Zertifizierungsdiensten zu beteiligen.

Dieses Gesetz untersteht dem fakultativen Referendum.

Der Bundesrat bestimmt das Inkrafttreten.