Gesetz zum Schutz vor Manipulationen an digitalen Grundaufzeichnungen
der Abgeordneten Katja Hessel, Christian Dürr, Grigorios Aggelidis, Renata Alt, Jens Beeck, Nicola Beer, Dr. Jens Brandenburg (Rhein-Neckar), Dr. Marco Buschmann, Dr. Marcus Faber, Otto Fricke, Thomas Hacker, Katrin Helling-Plahr, Markus Herbrand, Dr. Christoph Hoffmann, Reinhard Houben, Ulla Ihnen, Olaf in der Beek, Thomas L. Kemmerich, Dr. Marcel Klinge, Pascal Kober, Ulrich Lechte, Oliver Luksic, Till Mansmann, Alexander Müller, Frank Müller-Rosentritt, Bernd Reuther, Christian Sauter, Frank Schäffler, Matthias Seestern-Pauly, Judith Skudelny, Bettina Stark-Watzinger, Katja Suding, Michael Theurer, Stephan Thomae, Gerald Ullrich und der Fraktion der FDP
Vorbemerkung
Durch das Gesetz zum Schutz vor Manipulationen an digitalen Grundaufzeichnungen sind elektronische Aufzeichnungssysteme grundsätzlich ab dem 1. Januar 2020 durch eine zertifizierte technische Sicherheitseinrichtung (TSE) zu schützen. Weiter wurde geregelt, dass die elektronischen Grundaufzeichnungen einzeln, vollständig, richtig, zeitgerecht, geordnet und unveränderbar aufzuzeichnen sind (Einzelaufzeichnungspflicht) und auf einem Speichermedium gesichert und verfügbar gehalten werden müssen.
Mit der Verordnung zur Bestimmung der technischen Anforderungen an elektronische Aufzeichnungs- und Sicherungssysteme im Geschäftsverkehr (Kassensicherungsverordnung – KassenSichV) werden die Anforderungen des § 146a der Abgabenordnung (AO) präzisiert.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in Technischen Richtlinien und Schutzprofilen die Anforderungen an das Sicherheitsmodul, das Speichermedium, die einheitliche digitale Schnittstelle sowie die organisatorischen Anforderungen zur Vergabe der Seriennummer des elektronischen Aufzeichnungssystems festgelegt.
Anwendungszeitpunkt
Fraglich erscheint aus Sicht der Fragesteller, ob der vorgesehene Anwendungszeitpunkt zum Einsatz einer TSE am 1. Januar 2020 eingehalten werden kann. Das Problem besteht hauptsächlich darin, dass derzeit am Markt noch keine technischen Sicherheitsmodule angeboten werden, weder zertifiziert noch unzertifiziert. Die für die TSE erforderliche interne Zeitquelle kann erst durch einen neuen Java-Card-Standard abgebildet werden, der erst in diesem Jahr verfügbar sein soll. Kassenhersteller können in der Folge nicht mit der Entwicklung nötiger Anpassungen der Kassensoftware beginnen, die für die Einbindung des Sicherheitsmoduls erforderlich ist.
Das BSI hat am 25. Juli 2018 das „Projekt 380 – Zertifizierung eines Sicherheitsmoduls für Registrierkassen und weitere Aufzeichnungssysteme (Zersika)“ ausgeschrieben. Auftragsgegenstand ist die praktische Erprobung des neuartigen Konzeptes für die Zertifizierung eines Sicherheitsmoduls für Registrierkassen und weitere Aufzeichnungssysteme sowie die Mitwirkung bei der Optimierung des Konzeptes.
Zunächst ist ein Zertifizierungsverfahren für eine bestehende Implementierung eines Sicherheitsmoduls für Registrierkassenanwendungen nach den vom BSI vorgegebenen Schutzprofilen BSI-CC-PP-x-y „Cryptographic Service Provider“ (CSP) oder BSI-CC-PP-x-y „Cryptographic Service Provider Light“ (CSP light) sowie BSI-CC-PP-x-y „Security Module Application for Electronic Recordkeeping Systems“ (SMAERS) nach CC zu durchlaufen. Anschließend ist zudem ein Zertifizierungsverfahren für ein Gesamtsystem einer technischen Sicherheitseinrichtung, bestehend aus Sicherheitsmodul, der zugehörigen Registrierkassenanwendung, einer digitalen Schnittstelle zur Einbindung in ein Aufzeichnungssystem sowie ein Speichermedium, nach der Technischen Richtlinie BSI TR-03153 „Technische Sicherheitseinrichtung für elektronische Aufzeichnungssysteme“ (funktionale Anforderungen) durchzuführen.
Die Laufzeit des Vertrages beträgt 15 Monate (vgl. https://ausschreibungen-deutschland.de/462419_Projekt_380_-_Zertifizierung_eines_Sicherheitsmoduls_ fuer_Registrierkassen_und_weitere_2018_Bonn).
Ausweislich der Begründung des Gesetzes zum Schutz vor Manipulationen an digitalen Grundaufzeichnungen hat das BSI geschätzt, dass etwa fünf Unternehmen die TSE herstellen könnten (vgl. Gesetzesbegründung Ziffer V.4 zum Erfüllungsaufwand für die Wirtschaft S. 16; Bundestagsdrucksache 18/9535).
Veröffentlichung des noch ausstehenden Anwendungserlasses durch das Bundesministerium der Finanzen (BMF)
Ausdrücklich wurde in der Gesetzesbegründung zu § 146a AO ausgeführt, dass die Regelungen §§ 148 und 158 AO unberührt bleiben. In den Beratungen des Bundestagsfinanzausschusses haben die Koalitionsfraktionen der CDU, CSU und SPD darauf ausdrücklich hingewiesen (Bundestagsdrucksache 18/10667, S. 21).
„Danach könnten Steuerpflichtige auch weiterhin einen Antrag zur Bewilligung von Erleichterungen stellen, z. B. zum Absehen von der Verwendung einer zertifizierten technischen Sicherheitseinrichtung. Dies könnte insbesondere dann der Fall sein, wenn geschlossene Warenwirtschaftssysteme verwendet würden, bei denen Manipulationen an digitalen Grundaufzeichnungen mit an Sicherheit grenzender Wahrscheinlichkeit ausgeschlossen seien, und die Besteuerung durch die Erleichterung nicht beeinträchtigt werde. Die Entscheidung über einen Antrag nach § 148 AO liege im pflichtgemäßen Ermessen der zuständigen Finanzbehörde. Das Bundesministerium der Finanzen werde gebeten, in Abstimmung mit den obersten Finanzbehörden der Länder den bundeseinheitlichen Anwendungserlass zu § 148 AO entsprechend zu überarbeiten.“
Im Hinblick auf den Anwendungszeitpunkt 1. Januar 2020 benötigen die Unternehmen Planungssicherheit, ob diese ggf. mit Aussicht auf Erfolg einen Antrag auf Bewilligung von Erleichterungen in Form einer Befreiung von der Nutzung einer zertifizierten technischen Sicherheitseinrichtung oder von der Belegabgabepflicht gemäß § 148 AO stellen können.
Aufzeichnung von Transaktionen (§ 2 KassenSichV)
Für jeden aufzeichnungspflichtigen Geschäftsvorfall oder anderen Vorgang im Sinne § 146a Absatz 1 Satz 1 AO muss von dem eingesetzten elektronischen Aufzeichnungssystem unmittelbar, d. h. zeitgleich, eine neue Transaktion gestartet werden. Die Transaktion dient der Zusammenführung von Daten in einem einheitlichen Prozess, wodurch die protokollierten einzelnen digitalen Grundaufzeichnungen nachfolgend nicht mehr manipuliert werden können.
Gemäß § 2 KassenSichV muss die Transaktion
- den Zeitpunkt des Vorgangbeginns,
- eine eindeutige und fortlaufende Transaktionsnummer,
- die Art des Vorgangs,
- die Daten des Vorgangs,
- die Zahlungsart,
- den Zeitpunkt der Vorgangsbeendigung oder des Vorgangsabbruchs,
- einen Prüfwert sowie
- die Seriennummer des elektronischen Aufzeichnungssystems oder die Seriennummer des Sicherheitsmoduls enthalten.
Ausweislich der TR-03153 erfolgt die Protokollierung eines aufzuzeichnenden Vorgangs mit der TSE in mehreren Phasen und Absicherungsschritten. In der Regel bestehen diese Phasen aus Beginn der Transaktion (StartTransaction), Aktualisierung der Transaktion (UpdateTransaction) und Beendigung der Transaktion (FinishTransaction). Eine Aktualisierung der Transaktion ist dann erforderlich, wenn nach dem Start und vor Beendigung der Transaktion neue Anwendungsdaten entstehen.
Ausweislich der Begründung von § 2 KassenSichV sind andere Vorgänge solche, die unmittelbar durch Betätigung der Kasse erfolgen (z. B. Tastendruck, Scanvorgang eines Barcodes), unabhängig davon, ob sich daraus ein Geschäftsvorfall entwickelt. Das heißt durch jede Betätigung der Kasse erfolgt eine Protokollierung.
In der Praxis sind Prozesse vorhanden, in denen im Rahmen der Erfassung eines Geschäftsvorfalls unterschiedliche elektronische Aufzeichnungssysteme – beim sog. Durchbedienen „reine“ Waagen und Waagen mit Kassenfunktion – mit divergenten Anforderungen eingebunden sind.
Arbeiten an einer Neufassung der KassenSichV
Ausweislich der Protokollerklärung des Bundesministeriums der Finanzen im Zuge des Verordnungsgebungsverfahrens (vgl. Beschlussempfehlung und Bericht des Finanzausschusses vom 31. Mai 2017, Bundestagsdrucksache 18/12581, S. 6) soll der Anwendungsbereich der Kassensicherungsverordnung auf betrugsanfällige kassenähnliche Systeme ausgedehnt werden. Das Bundesministerium der Finanzen hatte angestrebt, diese Arbeiten im ersten Halbjahr 2018 abzuschließen.
Bürokratiekosten
Im Rahmen der Abschätzung der Bürokratiekosten wurde angenommen, dass der Preis einer zertifizierten technischen Sicherheitseinrichtung etwa 10 Euro pro Einheit betragen wird (vgl. Gesetzesbegründung Gesetz zum Schutz vor Manipulationen an digitalen Grundaufzeichnungen Ziffer V.4 zum Erfüllungsaufwand für die Wirtschaft S. 16; Bundestagsdrucksache 18/9535).
Wir fragen die Bundesregierung:
Fragen15
Wann ist mit dem Abschluss des neuartigen Zertifizierungsverfahrens zu rechnen?
Wurden beim BSI weitere Anträge zur Zertifizierung von Sicherheitsmodulen für Registrierkassen und weitere Aufzeichnungssysteme gestellt? Wenn ja, wurde mit den Verfahren bereits begonnen, oder werden diese erst nach Abschluss des Zersika-Projektes durchgeführt?
Kann nach Ansicht der Bundesregierung unter Berücksichtigung des noch erforderlichen Entwicklungsbedarfs der Kassenhersteller für die Anpassungen der Kassensoftware, und der sich anschließenden „Ausrollung“ in den Markt, der Termin 1. Januar 2020 realistisch absehbar gehalten werden?
Aus welchen Gründen wird eine Zertifizierung nach BSI-CC-PP-x-y „Cryptographic Service Provider Light“ (CSP light) alternativ ermöglicht?
Soll für spätere Zertifizierungsverfahren auch diese Alternative (siehe Frage 4) bestehen? Wenn nicht, welche Konsequenzen sind damit auch im Hinblick auf die Sicherheitseinrichtungen verbunden, die im Rahmen von Zersika zertifiziert wurden?
Ist im Rahmen des Zersika-Projektes eine Erprobung der TSE hinsichtlich von Prozessen, Schnittstellen und Funktionalitäten im Gesamtablauf Kasse – zertifizierte technische Sicherheitseinrichtung sowie hinsichtlich Exporte für Prüfungszwecke auf Praxis- und Massentauglichkeit sowie auf mögliche Fehlerquellen vorgesehen?
Wann ist mit der Veröffentlichung des Anwendungserlasses zu § 148 AO zu rechnen?
Mit wie vielen Updates jeder Transaktion ist durchschnittlich vor dem Abschluss einer Transaktion zu rechnen?
Welche Datenvolumina werden dadurch erzeugt, und wie wirkt sich die vermehrte komplexe Kommunikation zwischen der TSE und mindestens einem elektronischen Aufzeichnungssystem auf die Anforderungen an die Leistungsfähigkeit von elektronischen Aufzeichnungssystemen und auf die Verarbeitungsdauer und damit auf die Dauer des Bedienvorgangs aus?
Wie wird sichergestellt, dass bei Nutzung unterschiedlicher Arten von elektronischen Aufzeichnungssystemen im Verbund wie im Rahmen des sog. Durchbedienens, z. B. durch das Update-Erfordernis keine faktische Erweiterung des Anwendungsbereiches von § 1 KassenSichV auf andere elektronische Aufzeichnungssysteme erfolgt?
Wie wird sichergestellt, dass Geschäftsprozesse, welche sich seit Jahrzehnten bewährt haben, auch in Zukunft zur Anwendung kommen können?
Wann ist mit der Veröffentlichung eines Referentenentwurfs der Neufassung der KassenSichV zu rechnen?
Gab es im Rahmen der Erstellung der Technischen Richtlinien oder des Zersika-Projektes Erkenntnisse, die einen Nachbesserungsbedarf über die Erweiterung des Anwendungsbereiches hinaus erforderlich machen?
Kann die in der Vorbemerkung genannte Kostenschätzung von 10 Euro Bürokratiekosten aufgrund der bisherigen Erfahrungen u. a. im Rahmen des Zersika-Projektes aufrechterhalten werden, oder ist absehbar, dass sich die Kosten für eine zertifizierte technische Sicherheitseinrichtung erhöhen werden? Wenn ja, mit welchen Kosten ist nunmehr zu rechnen?
Ist aus heutiger Bewertung bzw. Auslegung der Richtlinien und Ausschreibungen denkbar bzw. geplant, dass eine Sicherheitseinrichtung zertifiziert werden könnte, die filialisierte Handelsunternehmen zentral („cloudbasiert“), das heißt ohne TSE-Hardware-Module in einer Filiale/an der Kasse betreiben?