Vertrauensdienste in Estland

Um welche Tätigkeit es geht

Die Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste (eIDAS-Verordnung, geändert durch die Verordnung (EU) 2024/1183) definiert den Vertrauensdienst als elektronischen Dienst, der in der Regel gegen Entgelt erbracht wird und aus Tätigkeiten besteht wie: Ausstellung oder Validierung von Zertifikaten für elektronische Signaturen, elektronische Siegel oder Website-Authentifizierung; Erstellung oder Validierung elektronischer Signaturen und Siegel; Bewahrung von Signaturen, Siegeln und ihren Zertifikaten; Verwaltung von Fernsignatur- oder Fernsiegelerstellungseinheiten; Ausstellung oder Validierung elektronischer Attributsbescheinigungen; Erstellung oder Validierung elektronischer Zeitstempel; Zustellung elektronischer Einschreiben; elektronische Archivierung; Aufzeichnung von Daten in einem elektronischen Journal¹.

Ein Vertrauensdiensteanbieter kann seine Dienste als qualifizierter oder als nichtqualifizierter Anbieter erbringen². Qualifiziert ist ein Anbieter, der einen oder mehrere qualifizierte Vertrauensdienste erbringt und dem die Aufsichtsstelle den qualifizierten Status verliehen hat³. Eine qualifizierte elektronische Signatur hat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift⁴.

Nicht erfasst sind Vertrauensdienste, die ausschließlich in geschlossenen Systemen verwendet werden, die sich aus nationalem Recht oder aus Vereinbarungen zwischen einem bestimmten Kreis von Beteiligten ergeben⁵. Ebenfalls nicht erfasst sind „Treuhand- und Gesellschaftsdienste“ nach dem Geldwäschegesetz (Gesellschaftsgründung, Tätigkeit als Geschäftsleiter, Bereitstellung einer Sitzadresse und Ähnliches) – eine andere Tätigkeit nach einem anderen Gesetz⁶.

Rechtsakte und Behörde

Unmittelbar gilt die Verordnung (EU) Nr. 910/2014 (eIDAS) in der durch die Verordnung (EU) 2024/1183 geänderten Fassung. Das Gesetz über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen (e-identimise ja e-tehingute usaldusteenuste seadus, EUTS) regelt Vertrauensdienste, soweit die eIDAS-Verordnung es nicht tut⁷. Der Allgemeine Teil des Gesetzbuchs über die wirtschaftliche Tätigkeit (majandustegevuse seadustiku üldosa seadus) gilt für Aufnahme und Ausübung der Tätigkeit, vorbehaltlich der Sonderregeln von EUTS und eIDAS⁸.

Zuständige Behörde nach dem EUTS ist das Amt für das staatliche Informationssystem (Riigi Infosüsteemi Amet, RIA)⁹. Die RIA entscheidet über den Genehmigungsantrag¹⁰, führt die estnische Vertrauensliste nach Artikel 22 eIDAS¹¹, veröffentlicht auf ihrer Website die Liste der Vertrauensdiensteanbieter und Vertrauensdienste¹² und führt die staatliche und die Verwaltungsaufsicht¹³. Das Amt für Verbraucherschutz und technische Aufsicht (TTJA) verantwortet das Register der wirtschaftlichen Tätigkeiten¹⁴.

Ein qualifizierter Anbieter und sein Dienst werden für die Geltungsdauer der Genehmigung in die Vertrauensliste eingetragen¹⁵. Nach den allgemeinen Regeln werden die Daten jeder Tätigkeitsgenehmigung auch in das Register eingetragen¹⁶.

Wer die Genehmigung braucht

Eine Genehmigung ist für die Erbringung eines qualifizierten Vertrauensdienstes nötig: Person und Dienst müssen den qualifizierten Status nach Artikel 21 Absatz 2 eIDAS haben, den die Genehmigung belegt¹⁷. Die Genehmigung gilt zwei Jahre¹⁸.

Ein nichtqualifizierter Anbieter kann durch Entscheidung der RIA für zwei Jahre in die Vertrauensliste eingetragen werden¹⁹; dann muss er sich vor Aufnahme des Dienstes und mindestens alle zwei Jahre einer Konformitätsbewertung durch eine Konformitätsbewertungsstelle unterziehen²⁰. Nichtqualifizierte Anbieter müssen Risikomanagementkonzepte haben und Sicherheitsverletzungen binnen 24 Stunden nach Kenntnis melden²¹; die Aufsichtsstelle wird ihnen gegenüber im Wege der nachträglichen Aufsicht tätig²².

Die eIDAS-Verordnung gilt für in der Union niedergelassene Vertrauensdiensteanbieter²³.

Anforderungen an den Antragsteller

• Finanzielle Deckung: Ob ein Mindeststammkapital gilt, wird für die Situation des Kunden geklärt. Der Anbieter muss eine Haftpflichtversicherung mit einer Jahresversicherungssumme von mindestens 1 Million Euro je Versicherungsfall und mindestens 1 Million Euro für alle Fälle zusammen haben oder eine vergleichbare Garantie oder Finanzmittel in gleicher Höhe und muss Angaben zu dieser Deckung veröffentlichen²⁴.
• Beendigungsplan: Ein aktueller Beendigungsplan muss mindestens regeln, wie Kunden unterrichtet, wie private Schlüssel vernichtet und wie Hardware vernichtet oder zurückgesetzt wird²⁵. Auch eIDAS verlangt einen aktuellen Beendigungsplan²⁶.
• Personal: Mitarbeiter, die den Dienst erbringen, dürfen keine gültige Verurteilung wegen einer vorsätzlichen Straftat haben²⁷. Nach eIDAS müssen Personal und Unterauftragnehmer das nötige Fachwissen, die Zuverlässigkeit, Erfahrung und Qualifikation sowie eine Schulung in Sicherheit und Schutz personenbezogener Daten haben, und die Verwaltungsverfahren müssen europäischen oder internationalen Normen entsprechen²⁸.
• Systeme und Betrieb: eIDAS verlangt vertrauenswürdige, vor Veränderung geschützte Systeme und Produkte, sichere Datenspeicherung, Maßnahmen gegen Fälschung und Diebstahl, Risikomanagementkonzepte, die Meldung erheblicher Sicherheitsverletzungen binnen 24 Stunden und für Zertifikatsaussteller eine Zertifikatsdatenbank²⁹. Das EUTS verlangt, ein Protokoll der Vorgänge zehn Jahre aufzubewahren und Identitätsnachweise zehn Jahre nach Ende der Gültigkeit des qualifizierten Zertifikats³⁰.
• Mitteilungen: Ein qualifizierter Anbieter unterrichtet die Aufsichtsstelle mindestens einen Monat vor jeder Änderung seiner qualifizierten Dienste und mindestens drei Monate vor deren Einstellung³¹.
• Steuern: Der Antragsteller darf keine staatlichen oder örtlichen Steuerschulden haben³².
• Grundlagen der Erteilung: Die Genehmigung wird nach § 8 EUTS erteilt: Anforderungen des Artikels 24 Absatz 2 Buchstaben e, f, g und k der eIDAS-Verordnung und des § 5 Abs. 2, 4 und 9 EUTS, Konformitätsbewertung und keine Steuerschuld³³; ob Geldwäscheregeln anderer Gesetze für das Unternehmen gelten, wird für die Situation des Kunden geklärt.
• Laufende Prüfung: Qualifizierte Anbieter werden auf eigene Kosten mindestens alle 24 Monate geprüft und müssen den Bericht binnen drei Arbeitstagen nach Erhalt der Aufsichtsstelle übermitteln³⁴.

Welche Unterlagen eingereicht werden

• Das Verfahren beginnt mit der Mitteilung an die Aufsichtsstelle zusammen mit einem Konformitätsbewertungsbericht einer Konformitätsbewertungsstelle³⁵. Das ist eine Stelle, die nach der Verordnung (EG) Nr. 765/2008 als zur Bewertung qualifizierter Vertrauensdiensteanbieter befähigt akkreditiert ist³⁶.
• Der Antrag nach dem EUTS enthält neben den Daten nach dem Allgemeinen Teil des Gesetzbuchs über die wirtschaftliche Tätigkeit: Name und Beschreibung des Vertrauensdienstes, seine Grundsätze (Policies), das Zertifikat und den Konformitätsbewertungsbericht³⁷; den Nachweis, dass keine staatlichen oder örtlichen Steuerschulden bestehen, wenn diese Daten nicht aus einer staatlichen Datenbank verfügbar sind³⁸.
• Die Grundsätze müssen erschöpfend beschrieben sein; das wird vermutet, wenn sie den Normen des Europäischen Instituts für Telekommunikationsnormen (ETSI) oder einer gleichwertigen öffentlichen Spezifikation folgen³⁹.
• Zu den allgemeinen Daten gehören Name und Registernummer der Gesellschaft, Kontaktdaten, Bezeichnung und Klassifikationscode der Tätigkeit sowie Name und Kontaktdaten des Unterzeichners⁴⁰.

Staatsgebühr und Bearbeitungsfrist

Staatsgebühren nach § 116² des Staatsgebührengesetzes: Erstantrag 1.030 Euro je Vertrauensdienst, Folgeantrag 770 Euro je Vertrauensdienst, Antrag auf Datenänderung 65 Euro⁴¹.

Die RIA entscheidet nach Eingang ordnungsgemäßer Daten und Unterlagen binnen 80 Tagen über eine erste und binnen 50 Tagen über eine Folgegenehmigung⁴². Nach Artikel 21 Absatz 2 eIDAS ist der qualifizierte Status spätestens drei Monate nach der Mitteilung zu verleihen und die für die Vertrauensliste zuständige Stelle zu unterrichten; ist die Überprüfung dann nicht abgeschlossen, teilt die Aufsichtsstelle dem Anbieter die Gründe und den Zeitraum mit, in dem sie abgeschlossen wird⁴³. Die RIA kann im Verfahren ergänzende Angaben verlangen⁴⁴. Nach Erteilung trägt die RIA den Anbieter binnen zehn Tagen in die Vertrauensliste ein⁴⁵; der qualifizierte Dienst darf erst beginnen, wenn der qualifizierte Status in der Vertrauensliste angegeben ist⁴⁶.

Das sind die Fristen des Gesetzes, keine Zusage eines Datums oder Ergebnisses; die Entscheidung trifft die RIA.

Pflichten im laufenden Betrieb

Die Genehmigung gilt zwei Jahre¹⁸; in dieser Zeit führt die RIA die Aufsicht¹³.

Was LexorCorp Global OÜ übernimmt

Wir stellen die Anforderungen des Gesetzes an die Tätigkeit aus dem amtlichen Text zusammen, bereiten den Antrag und die nötigen Unterlagen vor und beantworten Rückfragen der Behörde schriftlich. Staatsgebühren sind nicht enthalten und werden vom Kunden gezahlt.

Wir leisten keine Rechts-, Steuer- oder Prüfungsberatung, führen die Konformitätsbewertung nicht durch (das tut eine akkreditierte Konformitätsbewertungsstelle) und erfüllen die Anforderungen an Versicherung, Personal oder Systeme nicht für den Kunden. Die Genehmigung kann nicht zugesagt werden; die RIA entscheidet.

Häufige Fragen

Quellen

Jede nummerierte Angabe stammt aus einer amtlichen Quelle. Die Quellen sind auf der englischen Seite aufgeführt: Trust services in Estonia: qualified and non-qualified providers

Wir bereiten die Antragsunterlagen vor und begleiten das Verfahren; die Entscheidung trifft die Behörde. Dies ist keine Rechtsberatung.

Antragsunterlagen bestellen · ab €3,500 Vollständige Rechtsinformationen (auf Englisch) Alle genehmigungspflichtigen Tätigkeiten