BGBl II 210/2016

210. Verordnung des Bundesministers für Finanzen, mit der die Registrierkassensicherheitsverordnung geändert wird

Aufgrund der §§ 131b Abs. 5 Z 1, 3 und 4 und 132a Abs. 8 der Bundesabgabenordnung - BAO, BGBl. Nr. 194/1961, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 77/2016, wird verordnet:

Verordnung des Bundesministers für Finanzen über die technischen Einzelheiten für Sicherheitseinrichtungen in den Registrierkassen und andere, der Datensicherheit dienende Maßnahmen (Registrierkassensicherheitsverordnung, RKSV), BGBl. II Nr. 410/2015, wird wie folgt geändert:

1. In § 1 Z 1 lit. b und c, in § 3 Z 12, in § 3 Z 14, in § 3 Z 30, in § 5 Abs. 2, in § 6 Abs. 3, in § 17 Abs. 1 Z 1, Z 2 und Z 3, Abs. 4 und Abs. 7, in § 20 Abs. 2, in § 21 Abs. 2 und in § 22 Abs. 4 wird jeweils das Wort „Signaturerstellungseinheit“ durch das Wort „Signatur- bzw. Siegelerstellungseinheit“ ersetzt.

2. § 3 wird wie folgt geändert:

a) Nach Z 5 wird folgende Z 5a eingefügt:

1. „5a. „eIDAS-VO“: Verordnung (EU) Nr. 910/2014 über die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG, ABl. Nr. L 257/73 vom 28. August 2014“

b) Z 8 lautet:

1. „8. Elektronische (kryptografische) Signatur: Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner im Sinne des Art. 3 Z 9 eIDAS-VO zum Unterzeichnen im Sinne des Art. 3 Abs. 10 der eIDAS-VO verwendet“

c) Nach Z 8 wird folgende Z 8a eingefügt:

1. „8a. Elektronisches (kryptografisches) Siegel: Daten in elektronischer Form, die anderen Daten in elektronischer Form beigefügt oder logisch mit ihnen verbunden werden, um deren Ursprung und Unversehrtheit sicherzustellen (Art. 3 Abs. 25 eIDAS-VO)“

d) In Z 17 wird das Wort „Signaturzertifikates“ durch das Wort „Signatur- bzw. Siegelzertifikates“ ersetzt und es entfällt die Wortfolge samt Satzzeichen „Signaturzertifikates nach § 5 Abs. 1 Z 8 SigG in der jeweils geltenden Fassung,“.

e) In Z 22 wird das Wort „Signaturzertifikates“ durch das Wort „Signatur- bzw. Siegelzertifikates“ ersetzt, das Wort „Zertifizierungsdiensteanbieter“ wird durch „VDA“ ersetzt und „ZDA“ wird durch „VDA“ ersetzt.

f) Z 23 wird die Wortfolge „Sichere Signaturerstellungseinheit“ durch die Wortfolge „qualifizierte elektronische Signaturerstellungseinheit“ ersetzt und die Wortfolge „SigG sowie den dazu erlassenen Verordnungen entspricht (§ 2 Z 5 SigG)“ wird durch die Wortfolge „Anhangs II der eIDAS-VO entspricht“ ersetzt.

g) Z 24 lautet:

1. „24. Qualifizierte elektronische Siegelerstellungseinheit: konfigurierte Software oder Hardware, die zur Verarbeitung der Siegelerstellungsdaten verwendet wird und die den Sicherheitsanforderungen des Anhangs II der eIDAS-VO sinngemäß entspricht“

h) Z 25 lautet:

1. „25. Signatur- bzw. Siegelwert: im Rahmen der Signatur- bzw. Siegelerstellung ermittelter elektronischer Wert der Signatur bzw. des Siegels“

i) In Z 28 wird „ZDAs“ durch „VDAs“ ersetzt.

j) Nach Z 29 werden folgende Z 29a und Z 29b eingefügt:

1. „29a. Validierungsdaten: Daten wie Codes oder öffentliche Signaturschlüssel, die zur Überprüfung einer elektronischen Signatur verwendet werden
2. 29b. Vertrauensdiensteanbieter (VDA): natürliche oder juristische Person, die einen oder mehrere Vertrauensdienste als qualifizierter oder nichtqualifizierter Vertrauensdiensteanbieter (Art. 3 Z 19 eIDAS-VO)“

k) Z 32 und Z 33 lauten:

1. „32. Zertifikat für elektronische Siegel: elektronische Bescheinigung, die elektronische Siegelvalidierungsdaten mit einer juristischen Person verknüpft und den Namen dieser Person bestätigt
2. 33. Zertifikat für elektronische Signaturen: elektronische Bescheinigung, die elektronische Signaturvalidierungsdaten mit einer natürlichen Person verknüpft und die mindestens den Namen oder das Pseudonym dieser Person bestätigt.“

3. § 4 wird wie folgt geändert:

a) In Abs. 1 wird nach dem Wort „Signaturerstellungseinheit“ die Wortfolge „bzw. des elektronischen Siegels der Siegelerstellungseinheit“ angefügt.

b) Abs. 2 lautet:

„(2) Die Verkettung wird durch die Einbeziehung von Elementen der zuletzt vergebenen, im Datenerfassungsprotokoll gespeicherten Signatur bzw. des zuletzt vergebenen, im Datenerfassungsprotokoll gespeicherten Siegels in die aktuell zu erstellende Signatur bzw. in das aktuell zu erstellende Siegel gebildet. Bei der Erfassung des ersten Barumsatzes tritt an die Stelle der zuletzt vergebenen Signatur bzw. des zuletzt vergebenen Siegels die Kassenidentifikationsnummer.“

4. § 6 wird wie folgt geändert:

a) In Abs. 2 wird jeweils das Wort „Jänner“ durch das Wort „April“ ersetzt.

b) Abs. 3 lautet:

„(3) Wird die Inbetriebnahme der Sicherheitseinrichtung nach dem 31. März 2017 vorgenommen, muss die Registrierung (§ 16) spätestens binnen einer Woche nach Inbetriebnahme erfolgen.“

c) Abs. 4 lautet:

„(4) Der Unternehmer hat unmittelbar nach der Registrierung (§ 16) die Erstellung der Signatur bzw. des Siegels (§ 9 Abs. 3) und die Verschlüsselung des Umsatzzählers (§ 9 Abs. 2 Z 5) unter Zuhilfenahme des Startbeleges zu überprüfen. Entspricht die Erstellung der Signatur bzw. des Siegels oder die Verschlüsselung des Umsatzzählers nicht den Erfordernissen des § 9, so ist die Registrierkasse unmittelbar als Registrierkasse mit ausgefallener Signatur- bzw. Siegelerstellungseinheit im Sinne des § 17 Abs. 4 zu behandeln. Das Prüfergebnis ist zu protokollieren und mit dem Startbeleg gemäß § 132 BAO aufzubewahren.“

5. In § 7 Abs. 5 wird das Wort „Jänner“ durch das Wort „April“ ersetzt.

6. § 8 Abs. 2 lautet:

„(2) Zu jedem Monatsende sind die Zwischenstände des Umsatzzählers zu ermitteln (Monatszähler) und als Barumsatz mit Betrag Null (0) und elektronischer Signatur bzw. Siegel der Signatur- bzw. Siegelerstellungseinheit (Monatsbeleg) im Datenerfassungsprotokoll der Registrierkasse zu speichern.“

7. § 9 lautet samt Überschrift:

„Signatur- bzw. Siegelerstellung durch die Signatur- bzw. Siegelerstellungseinheit

§ 9. (1) Zur Gewährleistung des Manipulationsschutzes im Sinne des § 131b Abs. 2 BAO müssen von der Registrierkasse über eine geeignete Schnittstelle zur Signatur- bzw. Siegelerstellungseinheit elektronische Signaturen bzw. Siegel angefordert und übernommen werden können. Jeder einzelne Barumsatz und Monats-, Jahres- und Schlussbeleg sowie jede Trainings- und Stornobuchung sind elektronisch zu signieren.

(2) In die Signatur- bzw. Siegelerstellung sind folgende Daten einzubeziehen:

1. 1. Kassenidentifikationsnummer
2. 2. fortlaufende Nummer des Barumsatzes
3. 3. Datum und Uhrzeit der Belegausstellung
4. 4. Betrag der Barzahlung getrennt nach Steuersätzen gemäß § 10 des Umsatzsteuergesetzes 1994 - UStG 1994, BGBl. Nr. 663/1994, in der jeweils geltenden Fassung
5. 5. mit dem Verschlüsselungsalgorithmus AES 256 laut Z 8 und Z 9 der Anlage verschlüsselter Stand des Umsatzzählers
6. 6. Seriennummer des Signatur- bzw. Siegelzertifikates
7. 7. Signatur- bzw. Siegelwert des vorhergehenden Barumsatzes des Datenerfassungsprotokolls (Verkettungswert laut Z 4 der Anlage). Signaturalgorithmen sowie Schlüssel zu den Algorithmen und Parametern für qualifizierte Signaturen und Siegel müssen qualifizierten Signaturerstellungseinheiten oder qualifizierten Siegelerstellungseinheiten nach der eIDAS-VO entsprechen.

(3) Die aufbereiteten Daten (Abs. 2) müssen nach dem Signaturformat laut Z 4 und Z 5 der Anlage durch die Signatur- bzw. Siegelerstellungseinheit automatisiert elektronisch signiert werden.

(4) Die von der Signatur- bzw. Siegelerstellungseinheit im Ergebnisformat der Signatur- bzw. Siegelerstellung laut Z 6 der Anlage rückgemeldete Signatur bzw. das rückgemeldete Siegel ist auf dem zugehörigen Beleg nach den Vorgaben des § 10 als Teil des maschinenlesbaren Codes abzudrucken und im Datenerfassungsprotokoll mit den Belegdaten laut Z 11 der Anlage dauerhaft zu speichern (§ 7 Abs. 4).“

8. In § 10 Abs. 1 und § 17 Abs. 4 wird das Wort „Signaturwertes“ durch das Wort „Signatur- bzw. Siegelwertes“ ersetzt.

9. In § 10 Abs. 2 Z 6 und in § 20 Abs. 3 wird jeweils das Wort „Signaturzertifikates“ durch das Wort „Signatur- bzw. Siegelzertifikates“ ersetzt.

10. In § 10 Abs. 2 Z 7 und Z 8, § 11 Abs. 2 Z 1, § 14 und in § 17 Abs. 6 wird jeweils das Wort „Signaturwert“ durch das Wort „Signatur- bzw. Siegelwert“ ersetzt.

11. Die Überschrift des 3. Abschnittes lautet:

„Anforderungen an die Signatur- bzw. Siegelerstellungseinheiten“

12. § 12 lautet:

„§ 12. Die technischen Anforderungen an die Signaturerstellungseinheit entsprechen den Anforderungen an Signaturerstellungseinheiten für qualifizierte Signaturen nach Anhang II der eIDAS-VO. Die technischen Anforderungen an die Siegelerstellungseinheit entsprechen den Anforderungen an Siegelerstellungseinheiten für qualifizierte Siegel nach Art. 3 Anhang II der eIDAS-VO sinngemäß. Anstelle der in Art. 30 Abs. 1 der eIDAS-VO vorgesehenen Zertifizierung kann eine Prüfung in Bezug auf die inhaltlichen Anforderungen dieser Verordnung erfolgen, wobei die Anforderung der alleinigen Kontrolle und deren Auswirkungen auf den Betrieb auf Grund der Verkettung nicht Gegenstand dieser Prüfung sind.“

13. § 13 lautet samt Überschrift:

„Signaturschlüsselpaar und Signatur- bzw. Siegelerstellung

§ 13. Signaturalgorithmen sowie Schlüssel zu den Algorithmen und Parametern für qualifizierte Signaturen und Siegel müssen qualifizierten Signaturerstellungseinheiten oder qualifizierten Siegelerstellungseinheiten nach der eIDAS-VO entsprechen.“

14. Die Überschrift zu § 14 lautet:

„Verifizierbarkeit der Signaturen bzw. Siegel“

15. Die Überschrift des 3. Hauptstückes lautet:

„Beschaffung und Registrierung der Signatur- bzw. Siegelerstellungseinheit; Kontrolle“

16. § 15 und § 16 lauten jeweils samt Überschrift:

„Beschaffung der Signatur- bzw. Siegelerstellungseinheit

§ 15. (1) Unternehmer, die der Registrierkassenpflicht nach § 131b BAO unterliegen, haben die erforderliche Anzahl von Signatur- bzw. Siegelerstellungseinheiten bei einem im EU-/EWR-Raum oder in der Schweiz niedergelassenen VDA oder einem nach Art. 14 eIDAS-VO anerkannten VDA, der qualifizierte Signatur- bzw. Siegelzertifikate anbietet, zu erwerben. Die Kosten für die Beschaffung der Signatur- bzw. Siegelerstellungseinheit trägt der Unternehmer.

(2) Der Unternehmer hat zur Erlangung des Signatur- bzw. Siegelzertifikates einen der Abgabenbehörde bekannten, dem Unternehmer zugeordneten Ordnungsbegriff und als Wert des OID „Österreichische Finanzverwaltung Registrierkasseninhaber“ (Z 16 der Anlage) in seinem Signatur- bzw. Siegelzertifikat eintragen zu lassen.

(3) Der VDA vergibt für jede Signatur- bzw. Siegelerstellungseinheit ein Signatur- bzw. Siegelzertifikat, das folgende Angaben beinhaltet:

1. 1. Typ und Wert des der Signatur- bzw. Siegelerstellungseinheit zugeordneten Ordnungsbegriffs des Unternehmers,
2. 2. Seriennummer des Signatur- bzw. Siegelzertifikates und
3. 3. Beginn und Ende der Gültigkeit des Zertifikats.

   Eine Verwendung des Zertifikates über das Ende seiner Gültigkeit hinaus ist zulässig, sofern der im Zertifikat vorhandene Signaturalgorithmus laut Z 2 der Anlage als sicher gilt.

Registrierung der Signatur- bzw. Siegelerstellungseinheiten und Registrierkassen

§ 16. (1) Der Unternehmer oder sein bevollmächtigter Parteienvertreter hat über FinanzOnline seine Signatur- bzw. Siegelerstellungseinheiten und Registrierkassen zu melden. Dazu sind pro Signatur- bzw. Siegelerstellungseinheit die Seriennummer des Signatur- bzw. Siegelzertifikates, die Art der Signatur- bzw. Siegelerstellungseinheit und die Kassenidentifikationsnummern der mit den Signatur- bzw. Siegelerstellungseinheiten zu verbindenden Registrierkassen bekannt zu geben. Zusätzlich hat der Unternehmer den frei wählbaren Benutzerschlüssel für die Entschlüsselung (Z 8 der Anlage) der mit dem Verschlüsselungsalgorithmus AES 256 verschlüsselten Daten im maschinenlesbaren Code über FinanzOnline bekannt zu geben. Ist dem Unternehmer die Meldung über FinanzOnline mangels technischer Voraussetzungen unzumutbar, hat die Meldung unter Verwendung des amtlichen Vordrucks zu erfolgen.

(2) Erst nach Prüfung, ob für jede gemeldete Signatur- bzw. Siegelerstellungseinheit unter der angegebenen Seriennummer des Signatur- bzw. Siegelzertifikates und dem gültigen Ordnungsbegriff des Unternehmers der VDA in der öffentlichen Trust-List und das Signatur- bzw. Siegelzertifikat im Verzeichnis des VDA vorhanden sind, werden diese Daten an die Datenbank über Sicherheitseinrichtungen in Registrierkassen (§ 18) übergeben.“

17. In § 17 Abs. 4 wird das Wort „Signaturerstellung“ durch das Wort „Signatur- bzw. Siegelerstellung“ ersetzt.

18. § 18 wird wie folgt geändert:

a) In Abs. 1 wird das Wort „Signaturerstellungseinheiten“ durch das Wort „Signatur- bzw. Siegelerstellungseinheiten“ ersetzt.

b) In Abs. 2 Z 4 wird das Wort „Signaturzertifikate“ durch das Wort „Signatur- bzw. Siegelzertifikate“ ersetzt.

19. § 20 wird wie folgt geändert:

a) In Abs. 2 wird das Wort „Signaturzertifikat“ durch das Wort „Signatur- bzw. Siegelzertifikat“ ersetzt.

b) In Abs. 3 wird jeweils das Wort „Signaturprüfdaten“ durch das Wort „Validierungsdaten“ ersetzt.

20. In § 21 Abs. 6 wird der Verweis auf „§ 19 SigG“ durch den Verweis auf „Art. 30 eIDAS-VO“ ersetzt.

21. In § 25 Abs. 1 wird der Monat „Jänner“ durch den Monat „April“ ersetzt.

22. Die Anlage wird wie folgt geändert:

a) Das Wort „Zertifizierungsdiensteanbieter (ZDA)“ wird durch das Wort „Vertrauensdiensteanbieter (VDA)“ ersetzt.

b) Die Wortfolge „im Anhang der SigV 2008 genannt wird“ wird durch die Wortfolge „nicht mehr dem Stand der Technik entspricht“ ersetzt.

c) „ZDAs“ wird jeweils durch „VDAs“ ersetzt.

d) „ZDA“ wird jeweils durch „VDA“ ersetzt.

e) Das Wort „Signaturzertifikate“ wird jeweils durch das Wort „Signatur- bzw. Siegelzertifikate“ ersetzt.

f) Das Wort „Signaturzertifikat“ wird jeweils durch das Wort „Signatur- bzw. Siegelzertifikat“ ersetzt.

g) Das Wort „Signaturzertifikats“ wird jeweils durch das Wort „Signatur- bzw. Siegelzertifikats“ ersetzt.

h) Das Wort „Signaturerstellungseinheit“ wird jeweils durch das Wort „Signatur- bzw. Siegelerstellungseinheit“ ersetzt.

i) Das Wort „Signaturerstellung“ wird jeweils durch das Wort „Signatur- bzw. Siegelerstellung“ ersetzt.

j) Das Wort „Signaturwerte“ wird jeweils durch das Wort „Signatur- bzw. Siegelwerte“ ersetzt.

k) Das Wort „Signaturwert“ wird jeweils durch das Wort „Signatur- bzw. Siegelwert“ ersetzt.

l) Die Wortfolge „keine digitale Signatur“ wird durch die Wortfolge „keine digitale Signatur bzw. kein digitales Siegel“ ersetzt.

m) Die Wortfolge „einer Signatur“ wird durch die Wortfolge „einer Signatur bzw. eines Siegels“ ersetzt.

n) Das Wort „Signaturwertes“ bzw. das Wort „Signaturwerts“ wird jeweils durch das Wort „Signatur- bzw. Siegelwertes“ ersetzt.

o) Der Einleitungssatz der Ziffer 13 lautet:

„Die Prüfung der Signatur bzw. des Siegels, die in einem maschinenlesbaren Code aufbewahrt werden, wird wie folgt durchgeführt:“

p) Die Wortfolge „der Signatur“ wird durch die Wortfolge „der Signatur bzw. des Siegels“ ersetzt.