Zertifizierung der eIDAS-Konformität von qualifizierten Signatur- und Siegelerstellungseinheiten

Qualifizierte elektronische Signaturen- und Siegelerstellungseinheiten (QSCDs) müssen die Anforderungen der eIDAS-Verordnung (Anhang II) erfüllen und nach dieser zertifiziert sein. Die Prüfung und Zertifizierung erfolgt nach einem zugelassenen Sicherheitsbewertungs­verfahren durch eine unabhängige, von Mitgliedsstaaten der EU-Kommission benannte, Stelle. Die Zertifizierung durch eine unabhängige und benannte Stelle ist Voraussetzung dafür, dass die QSCD in die EU-Liste der zertifizierten QSCDs aufgenommen wird.

Als akkreditierte Prüf- und Zertifizierungsstelle für Common Criteria und benannte Zertifizierungsstelle für QSCDs unterstützen wir Sie von der Planung über die Bewertung und Zertifizierung bis hin zum letzten Schritt bei der Veröffentlichung Ihrer QSCD durch die Europäische Kommission. Je nach QSCD-Typ erfolgt die Bewertung nach Common Criteria oder basiert auf einem von TÜV IT dafür eigens entwickelten Zertifizierungsprozess mit gleichwertiger Sicherheit.

Darüber hinaus bieten wir Ihnen maßgeschneiderte Workshops an, um Sie optimal auf eine anstehende Zertifizierung vorzubereiten, oder machen Sie im Rahmen unseres eIDAS.PROFESSIONAL-Trainings zum Experten oder zur Expertin in Sachen eIDAS und ETSI.

Eine qualifizierte Signatur- bzw. Siegelerstellungseinheit (QSCD) ist eine besondere Kombination von Hardware und -software, die kryptografische Schlüssel sicher verwaltet und mit Hilfe derer qualifizierte elektronische Signaturen/Siegel (QES) erstellt werden können. Speziell bei Serversignaturen werden QSCDs basierend auf Kryptomodulen eingesetzt. Dabei greift die QSCD auf unterschiedliche technische Verfahren und Mittel zurück, um unter anderem sicherzustellen, dass Signaturschlüssel vertraulich bleiben und mit etablierten kryptographischen Verfahren erzeugt werden. 

Um offiziell als QSCD eingestuft zu werden, muss eine QSCD die Anforderungen des Anhangs II der Verordnung (EU) Nr. 910/2014 (eIDAS) erfüllen. Artikel 1 [CID (EU) 2016/650] unterscheidet zwei Arten von QSCD:

1. QSCDs, bei denen sich die elektronischen Signatur- bzw. Siegelerstellungsdaten vollständig, aber nicht notwendigerweise ausschließlich in der Umgebung des Nutzers befinden. Hier erfolgt die Zertifizierung auf Basis von Common Criteria Schutzprofilen.
    
2. QSCDs, bei denen ein qualifizierter Vertrauensdiensteanbieter die elektronischen Signatur- bzw. Siegelerstellungsdaten im Namen eines Unterzeichners oder eines Siegelerstellers verwaltet (Remote-QSCD oder Server-Signatur QSCD). Da es keine anwendbaren Normen für die Bewertung von Remote-QSCDs gibt, können zugelassene Zertifizierungsverfahren mit einem der Common Criteria Zertifizierung gleichwertigem Sicherheitsniveau angewendet werden.