Fragen und Antworten zum Kassengesetz / Thema: Zertifizierte technische Sicherheitseinrichtung (TSE)

1. Wo kann ich in Erfahrung bringen, ob eine TSE zertifiziert ist oder sich im Zertifizierungsverfahren befindet?

Nach Technischen Richtlinien zertifizierte Produkte werden auf der Internetseite des BSI veröffentlicht: "Zertifizierung nach Technischen Richtlinien" Informationen zu laufenden Zertifizierungsverfahren nach den Technischen Richtlinien werden nicht veröffentlicht.

Für die in der TSE enthaltenen Komponente "Sicherheitsmodul" wird eine Zertifizierung nach Common Criteria benötigt. Zertifizierte Produkte nach Common Criteria sind auf der Website des BSI gelistet: "Nach Technischen Richtlinien zertifizierte Produkte & Systeme - Aktuelle Zertifikate"

Eine Übersicht über laufende Common Criteria-Zertifizierungsverfahren veröffentlicht das BSI, sofern der Antragsteller der Veröffentlichung zugestimmt hat, unter diesem Link: "Produkte, die sich in Zertifizierung befinden"

2. Kann man bei Ausfall oder Nichterreichbarkeit einer TSE (z.B. bei einer Cloud-Lösung oder einer zentralen TSE im eigenen Rechenzentrum) auf eine zweite TSE zugreifen?

Nach Nr. 1.6 des AEAO zu § 146a muss ein elektronisches Aufzeichnungssystem oder eine Gruppe elektronischer Aufzeichnungssysteme bei störungsfreier Verwendung genau einer zertifizierten technischen Sicherheitseinrichtung zugeordnet sein. Im Falle einer Störung darf also auf eine zweite TSE zugegriffen werden.

3. Muss je Kasse genau eine TSE eingesetzt werden?

Nein. Mehrere Kassen können an eine TSE angebunden werden (vgl. Nr. 1.6 AEAO zu § 146a).

4. Wie lange kann eine TSE genutzt werden?

Grundsätzlich solange alle Zertifizierungen des BSI und die kryptografischen Zertifikate der TSE gültig sind.

5. Wird die TSE selbst personalisiert, also direkt bei der Herstellung dem späteren Anwender zugeordnet (so wie das z.B. bei Signaturkarten der Fall ist) oder kann man unbenutzte TSEs frei handeln?

TSEs werden bei der Herstellung nicht personalisiert. Die Zuordnung der TSE zum Anwender erfolgt aktuell ausschließlich über das Mitteilungsverfahren nach § 146a Absatz 4 AO.

6. Kann man bereits benutzte TSEs an andere Anwender weitergeben bzw. verkaufen?

Ja. Wird eine TSE an einen Dritten abgegeben, ist die Außerbetriebnahme innerhalb eines Monats durch den bisherigen Nutzer über das Mitteilungsverfahren anzuzeigen. Außerdem müssen alle Daten der TSE vorher gesichert werden. Der neue Anwender hat außerdem den Stand des Transaktionszählers sowie den Stand des Signaturzählers zu dokumentieren. Es empfiehlt sich eine Dokumentation des Transaktionszähler- und Signaturzähler-Stands im Übertragungsvertrag.

7. Was ist bei Verlust oder Diebstahl einer TSE zu tun?

Vgl. Nr. 2.7 des AEAO zu § 146a.

8. Ist eine Internet-Verbindung nötig, um eine Kasse mit TSE zu betreiben?

Das hängt vom Typ der TSE ab. Es befinden sich zurzeit neben den lokalen Lösungen auch TSE als Cloud-Lösungen in der Zertifizierung. Für eine Anbindung einer TSE als Cloud-Lösung ist eine ständige Internetverbindung erforderlich.

9. Laut FAQs des BSI ist bei einer "fernverbundenen“ TSE eine zertifizierte Softwarekomponente im Kassensystem erforderlich. Wie ist "fernverbunden” definiert?

"Fernverbunden" ist eine Komponente der TSE - wie etwa bei der Aufteilung SMAERS vs. CSP der TSE -, wenn sie nicht lokal in der operationellen Umgebung des Steuerpflichtigen betrieben wird. Die operationelle Umgebung muss dabei unter der physischen Kontrolle des Steuerpflichtigen sein. Siehe dazu auch Grafik Nr. 2 des BSI Schutzprofils.