Ausführungsreglement zum Gesetz vom 6. November 2018 über die elektronischen Identifizierungsmittel und das sichere Online-Dienstleistungsportal des Staates (RLCyber) - Zweck (RLCyber)

1. Diese Verordnung hat zum Ziel die Anwendung des Gesetzes vom 6. November 2018 über elektronische Identifikationsmittel und das gesicherte Online-Portal der staatlichen Dienstleistungen (nachfolgend "LCyber") [A].

1. Das für Informationssysteme zuständige Departement (nachfolgend: das Departement) [B] führt diese Verordnung aus. Es kann seine Zuständigkeiten und Aufgaben an den für Informationssysteme zuständigen Dienst (nachfolgend: der Dienst) [B] delegieren.

2. Jede durch Beschluss des Staatsrates bestimmte öffentliche oder konzessionierte Einrichtung wirkt bei der Durchführung des Verfahrens zur Ausgabe des vom Staat ausgestellten elektronischen Identifikationsmittels (nachfolgend: MIE) und beim Zugang zum sicheren Portal mit.

3. Das Departement erstellt Richtlinien zu den Mindestanforderungen an Sicherheit, Ausbildung und Schutz personenbezogener Daten, die auf das Verfahren zur Ausstellung eines MIE und den Zugang zum sicheren Portal anwendbar sind.

1. Der Staatsrat erkennt durch Beschluss die von anderen öffentlichen oder konzessionierten Anbietern ausgestellten elektronischen Identifikationsmittel an.

2. Diese Entscheidung listet die anerkannten öffentlichen oder konzessionierten Anbieter von elektronischen Identifikationsmitteln auf.

1. Jede Person, die mindestens 15 Jahre alt ist, kann eine EIG erhalten, wenn sie

a. Inhaberin einer AHV-Nummer ist;

b. über eine persönliche E-Mail-Adresse verfügt; und

c. über ein Identifizierungsmittel im Sinne von Art. 2a oder eine persönliche Mobiltelefonnummer verfügt.

1. Der Antrag eines MIE wird beim ersten Zugriff auf das sichere Portal über ein Identifikationsmittel im Sinne von Art. 2a oder ein elektronisches Formular beim Dienst eingereicht.

2. Sobald der Antrag eingereicht ist, erhält der Antragsteller vom Dienst eine Aufforderung zur Validierung seines Antrags. Bei dieser Validierung gibt der Antragsteller, basierend auf den erforderlichen Daten für das verwendete Identifikationsmittel, seine AVS-Nummer, sein Geburtsdatum, seine persönliche E-Mail-Adresse und seine persönliche Handynummer an.

3. Nach Erhalt des Antrags über ein elektronisches Formular stellt die Abteilung einen persönlichen und geheimen Code an die vom Antragsteller angegebene E-Mail-Adresse aus, der 90 Tage gültig ist.

4. Der Antrag gilt außerdem als Antrag auf persönlichen Zugang zum sicheren Portal.

1. Sobald der persönliche und geheime Code erhalten wurde, begibt sich der Antragsteller persönlich zu einer in Artikel 2 Absatz 2 bezeichneten Behörde oder zum Departement, um identifiziert zu werden. Das Departement kann auch die Möglichkeit anbieten, sich per Video zu identifizieren, ohne persönliche Vorsprache.

2. Der Antragsteller führt seinen persönlichen und geheimen Code sowie

a. für Schweizer Staatsangehörige, ein gültiges Schweizer Ausweisdokument im Sinne des Bundesgesetzes vom 22. Juni 2001 über die Ausweisdokumente von Schweizer Staatsangehörigen (Ausweisgesetz; SR 143.1); oder

b. für ausländische Staatsangehörige, ein gültiges und anerkanntes Identitätsdokument im Sinne von Artikel 13 Absatz 1 des Bundesgesetzes vom 16. Dezember 2005 über Ausländer und Integration (AIG; SR 142.20) [C] oder einen gültigen von einer schweizerischen Ausländerbehörde ausgestellten Aufenthaltsausweis mit.

3. Ist die Identifikation festgestellt, stellt das Departement einen EID aus.

4. Die Zustimmung des gesetzlichen Vertreters ist für Personen erforderlich, die nicht handlungsfähig sind.

5. Das Amt regelt die Modalitäten der Überprüfung der Zustimmung des gesetzlichen Vertreters in den Nutzungsbedingungen.

1. Die Identifizierung einer natürlichen Person ist 5 Jahre gültig.

2. Vor Ablauf dieser Frist lädt die Abteilung den Inhaber einer MIE ein, die Erneuerung zu beantragen. Das in Artikel 5 beschriebene Identifizierungsverfahren gilt analog für die Erneuerung der Identifizierung des Inhabers einer MIE.

1. Der Inhaber eines MIE kann jederzeit dessen Deaktivierung beantragen. Er richtet seinen Antrag an die zuständige Abteilung, entweder elektronisch oder persönlich bei einer Präfektur, und hat eines der in Artikel 5, Absatz 2, Buchstabe a oder b genannten Dokumente vorzulegen.

2. Nach Ablauf der Gültigkeitsdauer der Identifikation wird der MIE vorübergehend für 6 Monate gesperrt, und wenn innerhalb dieser Frist keine Erneuerung der Identifikation des Inhabers erfolgt, wird er deaktiviert.

3. Der MIE wird im Todesfall des Inhabers deaktiviert.

4. Die Entscheidungen der Abteilung, die auf Artikel 8 Absatz 3, LCyber [A] beruhen, bleiben vorbehalten.

5. Die Deaktivierung des MIE führt zur Beendigung aller Zugänge des Inhabers zum gesicherten Portal.

1. Der Inhaber eines MIE erhält Zugang zum gesicherten Portal unmittelbar bei der Erteilung dieses MIE, ohne zusätzlichen Antrag.

2. Die Entität, die über eine Unternehmens-Identifikationsnummer (nachfolgend: UID) im Sinne des Bundesgesetzes vom 18. Juni 2010 über die Unternehmens-Identifikationsnummer (UIDG; SR 431.03) verfügt und Zugang zum gesicherten Portal wünscht, stellt einen elektronischen Antrag mittels eines elektronischen Formulars. Sie handelt über eine natürliche Person, die Inhaber eines MIE ist und über Vertretungsbefugnisse verfügt, um einen Zugang zum gesicherten Portal zu beantragen und diesen Zugang zu verwalten (nachfolgend: der Referent).

1. Der Referent gibt die Identifikationsnummer der Unternehmen der Einrichtung mit einem Direktinvestition an, die er vertritt, sowie die Grundlage seiner Vertretungsbefugnisse an. Die Abteilung definiert die Dokumente, die zur Bestätigung der Vertretungsbefugnisse des Referenten erforderlich sind.

2. Der Referent lässt seine Vertretungsbefugnisse außerdem von den zuständigen Behörden gemäß Artikel 2 bestätigen.

3. Sobald die Vertretungsbefugnisse bestätigt sind, sendet die Abteilung per Post einen persönlichen und geheimen Code, der 90 Tage gültig ist, an die Adresse der Einrichtung mit einem Direktinvestition. Der Referent der Einrichtung mit einem Direktinvestition schließt den Antrag ab, indem er diesen persönlichen und geheimen Code im sicheren Portal eingibt.

4. Wenn die Zugangsvoraussetzungen erfüllt sind, gewährt die Abteilung der Einrichtung mit einem Direktinvestition den Zugang zum sicheren Portal. Der Referent wird der Einrichtung mit einem Direktinvestition zugeordnet.

1. Die Authentifizierung des Nutzers ist erforderlich, um auf das gesicherte Portal zuzugreifen. Sie ist bei jeder Verbindung zum gesicherten Portal erforderlich.

2. Die Authentifizierung erfolgt mittels des MIE.

1. Jede natürliche Person, die Inhaber eines MIE ist, und jede Einheit, die über ein IDE verfügt und Zugang zum sicheren Portal hat, verfügt über ein Benutzerkonto.

2. Wenn der Inhaber des MIE Zugang zu mehreren Benutzerkonten hat, gibt er bei jeder Anmeldung an, auf welches Konto er zugreifen möchte. Die Authentifizierung, die bei einer Anmeldung am sicheren Portal erfolgt, ermöglicht den Zugriff auf jeweils nur ein Konto.

3. Nach 30 Monaten ohne Anmeldung am sicheren Portal wird der Benutzer darüber informiert, dass sein Konto innerhalb von 6 Monaten deaktiviert wird. Erfolgt innerhalb dieser Frist keine erneute Anmeldung durch den Inhaber, wird das Konto deaktiviert.

1. Das Departement legt die Nutzungsbedingungen des gesicherten Portals fest. Es kann diese jederzeit ändern. Die Änderung tritt mit ihrer Veröffentlichung auf dem gesicherten Portal in Kraft.

2. Bei seiner ersten Anmeldung wird der Nutzer über die Rechte und Pflichten im Zusammenhang mit der Nutzung des gesicherten Portals informiert, die sich aus der geltenden Gesetzgebung und den Nutzungsbedingungen ergeben.

1. Der Referent ist verantwortlich für die Verwaltung des Zugangs zum sicheren Portal der über eine E-ID verfügenden Entität.

2. Ihm obliegt es, die Rollen der eventuellen Inhaber einer M-ID zu definieren, die Zugang zum Benutzerkonto und zu den Daten der über eine E-ID verfügenden Entität haben müssen, und insbesondere

a. die zur Vertretung der über eine E-ID verfügenden Entität befugten Personen zu bestimmen und abzuberufen, wobei für jede Person die Online-Leistungen festzulegen sind, auf die sie Zugriff hat;

b. die Vertreter der über eine E-ID verfügenden Entität zu bestimmen und abzuberufen und deren Vertretungsbefugnisse festzulegen, wobei für jeden die Online-Leistungen zu präzisieren sind, auf die er Zugriff hat;

c. die unter den Buchstaben a und b genannten Aufgaben zu delegieren.

3. Die auf dem sicheren Portal definierten Rollen beschränken sich auf die dort ausgeführten Handlungen.

4. Die Erstellung der Rollen auf dem sicheren Portal ist nicht gleichbedeutend mit einer Bestätigung der Gültigkeit der betreffenden Vertretungsverhältnisse.

1. Die Entität mit einer IDE kann jederzeit eine Änderung des Ansprechpartners beantragen. Sie richtet ihren Antrag auf elektronischem Wege an das zuständige Departement. Das Departement legt die Dokumente fest, die zur Nachweisführung der Vertretungsbefugnis des Ansprechpartners erforderlich sind.

2. Die Entität mit einer IDE gibt in ihrem Antrag an, ob der zuvor eingetragene Ansprechpartner weiterhin Zugang zum Konto der IDE-Entität behalten soll oder nicht.

3. Das Departement nimmt den Wechsel des Ansprechpartners vor, sobald die Vertretungsbefugnisse von den zuständigen Behörden im Sinne von Artikel 2 validiert wurden.

1. Der Nutzer kann elektronisch einem oder mehreren anderen Nutzern die Vollmacht erteilen, ihn zu vertreten und im gesicherten Portal in seinem Namen auf die Online-Dienstleistungen zuzugreifen.

2. Der Vertretene bestimmt den Umfang der Vertretungsvollmacht und insbesondere die Online-Dienstleistungen und Daten, auf die er dem Vertreter Zugriff gewährt, sowie den Empfänger der elektronischen Kommunikation.

3. Er kann diese Vollmachten jederzeit abändern oder widerrufen.

4. Jede betroffene Behörde legt im Rahmen des vorgesehenen technischen Services fest, ob sie die Online-Vertretung für die von ihr angebotenen Online-Dienstleistungen zulässt.

1. Der Nutzer ist verpflichtet, seine Kontodaten, seine Kontakt-E-Mail-Adresse, die Liste seiner bevollmächtigten Vertreter sowie den Umfang der Vertretungsbefugnisse jedes einzelnen im gesicherten Portal auf dem neuesten Stand zu halten.

2. Die gleiche Verpflichtung gilt für den Referenten hinsichtlich der Kontodaten der eine IDE besitzenden Entität, ihrer Kontakt-E-Mail-Adresse und der den bevollmächtigten Personen und Vertretern gemäß Artikel 13 zugewiesenen Rollen.

3. Der Referent ist außerdem verpflichtet, die Löschung der eine IDE besitzenden Entität aus dem IDE-Register bekanntzugeben.

1. Der Nutzer kann jederzeit auf seinen Zugang zum sicheren Portal verzichten. Er richtet seinen Verzicht an die Abteilung, elektronisch, oder begibt sich persönlich zu einer Präfektur und führt dabei eines der in Artikel 5, Absatz 2, Buchstabe a oder b genannten Dokumente mit sich.

2. Der Zugang des Nutzers endet mit seinem Tod.

3. Das Ende des Zugangs des Nutzers als natürliche Person führt zur Deaktivierung des MIE seines Inhabers.

1. Der Vertreter der juristischen Person mit einer IDE kann jederzeit bekanntgeben, dass die juristische Person auf ihren Zugriff verzichtet. Er reicht eine Verzichtserklärung beim Departement ein, entweder auf elektronischem Wege oder indem er sich persönlich bei einer Präfektur mit einem der in Artikel 5, Absatz 2, Buchstabe a oder b genannten Dokumente vorstellt.

2. Endet der Zugriff des Vertreters, informiert das Departement die juristische Person mit einer IDE und fordert die Benennung eines neuen Vertreters. Dem Unternehmen wird eine Frist gesetzt, um einen neuen Vertreter zu benennen. Sollte die juristische Person mit einer IDE innerhalb dieser Frist keinen neuen Vertreter benennen, widerruft das Departement den Zugriff der juristischen Person mit einer IDE.

3. Der Zugriff des Nutzers endet entweder mit der Bekanntgabe der Streichung der juristischen Person mit einer IDE aus dem IDE-Register durch den Vertreter oder, bei Ausbleiben einer solchen Mitteilung, nach drei Jahren Inaktivität des Nutzerkontos.

1. Wenn das Ende des Zugangs während eines Verfahrens eintritt, setzt die zuständige Behörde das Verfahren ohne Rückgriff auf das gesicherte Portal, auf nicht-elektronischem Weg fort. Besondere Regelungen bleiben vorbehalten.

1. Die Abteilung informiert den Inhaber eines MIE sowie den Nutzer über die erhobenen personenbezogenen Daten zum Zeitpunkt der Antragstellung für ein MIE sowie bei der ersten Anmeldung des Nutzers am Portal.

1. Die im Sinne von Artikel 4, Absatz 1, Buchstabe h LCyber ermächtigten Personen, die auf die Kontodaten, Metadaten und Inhaltsdaten der Nutzer auf dem sicheren Portal zugreifen, unterliegen einer Geheimhaltungsverpflichtung in Bezug auf den Zugriff auf die Daten der Nutzer.

2. Jeder Zugriff auf die Daten eines Nutzers wird vom Dienst für die Dauer von 18 Monaten protokolliert (Zugriffsprotokoll).

3. Im Falle eines Antrags eines Nutzers auf Einsichtnahme in das Zugriffsprotokoll seiner Daten teilt die Abteilung ihm dieses Protokoll mit, ohne die Identität der im Sinne von Artikel 4, Absatz 1, Buchstabe h LCyber [A] ermächtigten Personen zu nennen, die auf die Daten zugegriffen haben.

1. Nach Konsultation des Kantonalen Datenschutzbeauftragten kann das Departement dem Dienst die Verarbeitung personenbezogener Daten gestatten, wenn dies zur Durchführung eines Pilotversuchs oder zur Vorbereitung einer Anwendung während des Verfahrens zur Annahme oder Anpassung der erforderlichen rechtlichen Grundlage für eine solche Verarbeitung als unerlässlich erscheint.

2. Der Dienst übermittelt dem Departement spätestens zwei Jahre nach der Umsetzung der Erprobungsphase einen Evaluationsbericht. In diesem Bericht schlägt er die Fortsetzung oder die Beendigung der Verarbeitung vor.

1. Die von dem Dienst an die Vertreter der Gemeinden vor dem Inkrafttreten des LCyber [A] ausgestellten MIE werden als gültig anerkannt, sofern der Inhaber die persönlichen Voraussetzungen des Artikels 3 erfüllt.

2. Die Zustimmung des gesetzlichen Vertreters ist erforderlich für Personen, die zum Zeitpunkt des Inkrafttretens dieser Verordnung nicht in der Lage sind, ihre bürgerlichen Rechte auszuüben.

3. Die Identifizierung des Inhabers muss innerhalb von 5 Jahren seit der Ausstellung des MIE erneuert werden. Das Verfahren der Artikel 5 und 6 ist analog anwendbar.

1. Das Ministerium ist für die Durchführung dieser Verordnung zuständig, die am 1. Dezember 2020 in Kraft tritt.