Synopse aller Änderungen der PassDEÜV am 01.11.2010

PassDEÜV a.F. (alte Fassung)
in der vor dem 01.11.2010 geltenden Fassung

PassDEÜV n.F. (neue Fassung)
in der am 01.11.2010 geltenden Fassung
durch Artikel 2 V. v. 25.10.2010 BGBl. I S. 1440

(Textabschnitt unverändert)

Gliederung

§ 1 Anwendungsbereich
§ 2 Erfassung von Lichtbild und Fingerabdrücken; dezentrale Qualitätssicherung
§ 3 Übermittlung der Daten an den Passhersteller

(Text alte Fassung)

§ 4 Nachweis der Erfüllung der Anforderungen

(Text neue Fassung)

§ 4 Zertifizierung

(Textabschnitt unverändert)

§ 5 Qualitätsstatistik

(Text alte Fassung)

§ 6 Behebung technischer Fehler und Inkonsistenzen
§ 7 Übergangsregelungen
Anlage

(Text neue Fassung)

§ 6 Übergangsregelungen
Anlage 1 Übersicht über die Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik
Anlage 2 Übersicht über die zu zertifizierenden Systemkomponenten

(Textabschnitt unverändert)

§ 2 Erfassung von Lichtbild und Fingerabdrücken; dezentrale Qualitätssicherung

(Text alte Fassung)

Die Passbehörde hat durch geeignete technische und organisatorische Maßnahmen die erforderliche Qualität der Erfassung des Lichtbildes und der Fingerabdrücke sicherzustellen. Die einzelnen Anforderungen an die mit der Datenerfassung und Qualitätssicherung verbundenen technischen und organisatorischen Maßnahmen sowie an die in diesem Verfahren eingesetzten Systeme und Bestandteile bestimmen sich nach den Kapiteln 2 und 3 der Anlage*).

---

*) Die Anlage wird als Anlageband zu dieser Ausgabe des Bundesgesetzblatts ausgegeben. Innerhalb des Abonnements werden Anlagebände auf Anforderung gemäß den Bezugsbedingungen des Verlags übersandt. Außerhalb des Abonnements erfolgt die Lieferung gegen Kostenerstattung.

(Text neue Fassung)

(1) Die Passbehörde hat durch geeignete technische und organisatorische Maßnahmen die erforderliche Qualität der Erfassung des Lichtbildes und der Fingerabdrücke sicherzustellen.

(2) Die technischen und organisatorischen Anforderungen an

1. die Erfassung des Lichtbildes und der Fingerabdrücke,

2. die Qualitätssicherung des Lichtbildes und der Fingerabdrücke und

3. die Übermittlung sämtlicher Passantragsdaten zwischen Passbehörde und Passhersteller

sind nach dem Stand der Technik zu erfüllen. Der Stand der Technik ist als niedergelegt zu vermuten in den Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik. Diese sind in der Anlage 1 aufgeführt und gelten in der jeweils im elektronischen Bundesanzeiger veröffentlichten Fassung.

(Textabschnitt unverändert)

§ 3 Übermittlung der Daten an den Passhersteller

(1) ¹ Nach der Erfassung werden sämtliche Passantragsdaten in den Passbehörden zu einem digitalen Datensatz zusammengeführt und an den Passhersteller übermittelt. ² Die Datenübermittlung umfasst auch die Qualitätswerte zu den erhobenen Fingerabdrücken und - soweit vorhanden - zu den Lichtbildern, die Behördenkennzahl, die Versionsnummern der QS-Software und der Sollwerte, den Zeitstempel des Passantrags sowie die Speichergröße der kodierten biometrischen Daten. ³ Die Datenübermittlung erfolgt durch Datenübertragung über verwaltungseigene Kommunikationsnetze oder über das Internet. ⁴ Sie erfolgt unmittelbar zwischen Passbehörde und Passhersteller oder über Vermittlungsstellen. ⁵ Die zu übermittelnden Daten sind elektronisch zu signieren und zu verschlüsseln.

(2) ¹ Zum Signieren und Verschlüsseln der gemäß Absatz 1 zu übermittelnden Daten sind gültige Zertifikate gemäß den Anforderungen der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellten Sicherheitsleitlinien der Wurzelzertifizierungsinstanz der Verwaltung zu nutzen. ² Diese sind auf der Internetseite des BSI veröffentlicht und können dort auf Anfrage bezogen werden. ³ Der Passhersteller hat geeignete technische und organisatorische Regelungen zu treffen, die eine Weiterverarbeitung von ungültig signierten Antragsdaten ausschließen.

(Text alte Fassung)

(3) ¹ Die Datenübertragung nach Absatz 1 Satz 3 erfolgt unter Verwendung eines XML-basierten Datenaustauschformats (XPass) gemäß Kapitel 4 der Anlage und auf der Grundlage des Übermittlungsprotokolls OSCI-Transport in der im Bundesanzeiger sowie im elektronischen Bundesanzeiger bekannt gemachten jeweils gültigen Fassung. ² Das Auswärtige Amt kann für die Datenübertragung an den Passhersteller als Übermittlungsprotokoll auch WSDL/SOAP gemäß Kapitel 5 und 6 der Anlage verwenden. ³ Die Datenübertragung zwischen den Stellen, die gemäß § 19 Abs. 2 des Passgesetzes für Passangelegenheiten im Ausland zuständig sind, und dem Auswärtigen Amt muss hinsichtlich Datensicherheit und Datenschutz ein den Anforderungen der Verordnung entsprechendes Niveau aufweisen. ⁴ Zu Testzwecken kann nach Genehmigung durch das Bundesministerium des Innern von den Vorgaben für das Datenaustauschformat nach Satz 1 abgewichen werden.

(4) ¹ XPass ist ein auf XML basierendes Datenaustauschformat für Dokumentdaten und dokumentenabhängige Geschäftsprozesse in Nachrichten zwischen den Passbehörden und dem Passhersteller. ² OSCI-Transport ist der am 6. Juni 2002 vom Kooperationsausschuss ADV Bund/Länder/Kommunaler Bereich herausgegebene Standard für ein Datenübermittlungsprotokoll. ³ Hinsichtlich des Standards OSCI-Transport gilt § 2 Abs. 4 Satz 4 bis 7 der Ersten Bundesmeldedatenübermittlungsverordnung entsprechend.

(5) Die einzelnen Anforderungen an die mit der Datenübermittlung verbundenen technischen und organisatorischen Maßnahmen sowie an die in diesem Verfahren eingesetzten Systeme und Bestandteile bestimmen sich nach den Vorgaben der Kapitel 4 bis 7 und 9 der Anlage.

(Text neue Fassung)

(3) ¹ Die Datenübertragung nach Absatz 1 Satz 3 erfolgt unter Verwendung eines XML-basierten Datenaustauschformats (XhD) und auf der Grundlage des Datenübermittlungsprotokolls OSCI-Transport, das in der vom Bundesamt für Sicherheit in der Informationstechnik festgelegten Fassung, die im elektronischen Bundesanzeiger bekannt gemacht ist, zu verwenden ist. ² Das Auswärtige Amt kann für die Datenübertragung an den Passhersteller als Übermittlungsprotokoll auch WSDL/SOAP verwenden. ³ Die Datenübertragung zwischen den Stellen, die gemäß § 19 Abs. 2 des Passgesetzes für Passangelegenheiten im Ausland zuständig sind, und dem Auswärtigen Amt muss hinsichtlich Datensicherheit und Datenschutz ein den Anforderungen der Verordnung entsprechendes Niveau aufweisen. ⁴ Zu Testzwecken kann nach Genehmigung durch das Bundesministerium des Innern von den Vorgaben für das Datenaustauschformat nach Satz 1 abgewichen werden.

(4) ¹ XhD ist ein auf XML basierendes Datenaustauschformat für Dokumentdaten und dokumentenabhängige Geschäftsprozesse in Nachrichten zwischen den Passbehörden und dem Passhersteller. ² OSCI-Transport ist der am 6. Juni 2002 vom Kooperationsausschuss ADV Bund/Länder/Kommunaler Bereich herausgegebene Standard für ein Datenübermittlungsprotokoll. ³ Hinsichtlich des Standards OSCI-Transport gilt § 2 Abs. 4 Satz 4 bis 7 der Ersten Bundesmeldedatenübermittlungsverordnung entsprechend.

(5) ¹ Vor der Übermittlung der Passantragsdaten hinterlegen Passbehörden und Passhersteller alle für eine elektronische und automatisierte Kommunikation benötigten technischen Verbindungsparameter im Deutschen Verwaltungsdiensteverzeichnis (DVDV), insbesondere die dafür erforderlichen Zertifikate. ² Der Passhersteller nutzt eine Funktionalität des DVDV, um die Passbehörde als eine solche zu verifizieren. ³ Das Auswärtige Amt kann die benötigten technischen Verbindungsparameter und die damit verbundenen erforderlichen Zertifikate technisch unabhängig vom Deutschen Verwaltungsdiensteverzeichnis (DVDV) lösen. ⁴ Die Lösung muss hinsichtlich Datensicherheit und Datenschutz ein den Anforderungen dieser Verordnung entsprechendes Niveau aufweisen.

(Textabschnitt unverändert)

(6) ¹ Soweit die Datenübermittlung über Vermittlungsstellen erfolgt, gelten die Absätze 1 bis 5 für die Datenübermittlung zwischen Vermittlungsstelle und Passhersteller entsprechend. ² Die Datenübermittlung zwischen Passbehörde und Vermittlungsstelle muss hinsichtlich Datensicherheit und Datenschutz ein den Anforderungen der Verordnung entsprechendes Niveau aufweisen. ³ Die Einzelheiten richten sich nach dem jeweiligen Landesrecht.

(Text alte Fassung)

§ 4 Nachweis der Erfüllung der Anforderungen

(1) Die Einhaltung der Anforderungen dieser Verordnung ist vom BSI vor dem Einsatz der Systeme und Bestandteile festzustellen (Konformitätsbescheid). Hersteller und Lieferanten von technischen Systemen und Bestandteilen, die zum Einsatz bei den in den §§ 2 und 3 geregelten Verfahren bestimmt sind, können beim BSI einen Konformitätsbescheid gemäß Satz 1 beantragen. Zu Testzwecken können nach Genehmigung durch das Bundesministerium des Innern technische Systeme und Bestandteile eingesetzt werden, für die kein Konformitätsbescheid ausgestellt wurde.

(2) Die Prüfung der Konformität erfolgt durch eine beim BSI akkreditierte und für das Verfahren nach dieser Vorschrift speziell autorisierte Prüfstelle gemäß den Vorgaben des Kapitels 9 der Anlage zu dieser Verordnung. Die Prüfstelle dokumentiert Ablauf und Ergebnis der Prüfung in einem Prüfbericht. Das BSI stellt auf Grundlage des Prüfberichtes einen Konformitätsbescheid aus. Die Kosten des Verfahrens, die sich nach der Kostenverordnung für Amtshandlungen des Bundesamtes für Sicherheit in der Informationstechnik vom 3. März 2005 in der jeweils gültigen Fassung richten, und die Kosten, die von der jeweiligen Prüfstelle erhoben werden, trägt der Antragsteller.

(Text neue Fassung)

§ 4 Zertifizierung

(1) Die Systemkomponenten der Passbehörden und des Passherstellers, deren Zertifizierung verpflichtend ist, ergeben sich aus Anlage 2. Die Art und die Einzelheiten der Zertifizierung sind den Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik zu entnehmen.

(2) Für die Zertifizierung gilt § 9 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821) sowie die BSI-Zertifizierungsverordnung vom 7. Juli 1992 (BGBl. I S. 1230) in der jeweils geltenden Fassung.

(3) Die Kosten der Zertifizierung trägt der Antragsteller. Die BSI-Kostenverordnung vom 3. März 2005 (BGBl. I S. 519) in der jeweils geltenden Fassung findet Anwendung.

(Textabschnitt unverändert)

§ 5 Qualitätsstatistik

(Text alte Fassung)

Der Passhersteller erstellt eine Qualitätsstatistik. Sie enthält anonymisierte Qualitätswerte zu Lichtbildern und Fingerabdrücken, die sowohl in der Passbehörde als auch beim Passhersteller ermittelt und vom Passhersteller ausgewertet werden. Der Passhersteller stellt die Ergebnisse der Auswertung und auf Verlangen die in der Statistik erfassten anonymisierten Einzeldaten dem Bundesministerium des Innern und dem BSI zur Verfügung. Die Einzelheiten der Auswertung der Statistikdaten bestimmen sich nach den Vorgaben des Kapitels 10 der Anlage.

§ 6 Behebung technischer Fehler und Inkonsistenzen

(1) Soweit bei der Durchführung der in den §§ 2 bis 6 geregelten Verfahren geringfügige technische Fehler oder Inkonsistenzen offenbar werden, die das Datenaustauschformat XPass betreffen, kann das BSI nach Anhörung der Verfahrenshersteller, des Deutschen Städtetages, des Deutschen Städte- und Gemeindebundes, des Deutschen Landkreistages und des Passherstellers Empfehlungen zur Behebung dieser Fehler und Inkonsistenzen aussprechen. Die Empfehlungen sind auf der Internetseite des BSI zu veröffentlichen.

(2) Die nach den Vorschriften dieser Rechtsverordnung Verpflichteten können in dem vom BSI gemäß Absatz 1 empfohlenen Umfang von den in Kapitel 4 der Anlage enthaltenen technischen Vorgaben abweichen.

§ 7 Übergangsregelungen

(1) Passbehörden, die zum Zeitpunkt des Inkrafttretens dieser Verordnung bereits ein Verfahren zur elektronischen Datenübertragung betreiben, das auf einem von den Vorgaben des § 3 Abs. 3 Satz 1 abweichenden Datenaustauschformat beruht, können dieses Verfahren bis zum 31. Oktober 2009 weiterführen.

(2) Passbehörden, die zum Zeitpunkt des Inkrafttretens dieser Verordnung bereits ein Verfahren zur elektronischen Datenübertragung betreiben, das auf einem von den Vorgaben des § 3 Abs. 3 Satz 1 abweichenden Übermittlungsprotokoll beruht, können dieses Verfahren bis zum 31. Oktober 2009 weiterführen.

(3) Signaturkarten, die vor dem 1. Mai 2008 ausgestellt wurden, behalten bis zum Ablauf der Gültigkeitsdauer ihre Geltung. Das Auswärtige Amt tauscht bis zum 1. Mai 2008 mit dem Passhersteller bilateral Softwareschlüssel und Zertifikate aus.

(4) Abweichend von § 4 Abs. 1 Satz 1 können bis zum 31. Oktober 2009 auch Systeme und Bestandteile zur Qualitätssicherung der Lichtbilder bei der Erfassung eingesetzt werden, für die noch kein Konformitätsbescheid erteilt wurde.

Anlage

(siehe Anlagenband zu BGBl. I Nr. 49 vom 12.10.2007)

zu finden auf der Seite des Bundesanzeiger-Verlag http://www.bgblportal.de/BGBL/bgbl1f/bgbl107049_anlageband.pdf

Anlage 2 (neu)

(Text neue Fassung)

¹ Der Passhersteller erstellt eine Qualitätsstatistik. ² Sie enthält anonymisierte Qualitätswerte zu Lichtbildern und Fingerabdrücken, die sowohl in der Passbehörde als auch beim Passhersteller ermittelt und vom Passhersteller ausgewertet werden. ³ Der Passhersteller stellt die Ergebnisse der Auswertung und auf Verlangen die in der Statistik erfassten anonymisierten Einzeldaten dem Bundesministerium des Innern und dem BSI zur Verfügung.

§ 6 (aufgehoben)

§ 6 Übergangsregelungen

Passbehörden, die zum Zeitpunkt des Inkrafttretens dieser Verordnung bereits ein Verfahren zur elektronischen Datenübertragung betreiben, das auf einem von den Vorgaben des § 3 Abs. 3 Satz 1 abweichenden Datenaustauschformat (XPass) beruht, können dieses Verfahren bis zum 31. Dezember 2012 weiterführen.

Anlage 1 Übersicht über die Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik

1. BSI: Technische Richtlinie TR-03104, Technische Richtlinie zur Produktionsdatenerfassung, -qualitätsprüfung und -übermittlung (TR PDÜ)

2. BSI: Technische Richtlinie TR-03121, Biometrics for Public Sector Applications (TR Biometrie)

[Technische Richtlinie für Biometrie in hoheitlichen Anwendungen]

3. BSI: Technische Richtlinie TR-03123, XML-Datenaustauschformat für hoheitliche Dokumente (TR XhD)

4. BSI: Technische Richtlinie TR-03132, Sichere Szenarien für Kommunikationsprozesse im Bereich hoheitlicher Dokumente (TR SiSKo hD)

Anlage 2 Übersicht über die zu zertifizierenden Systemkomponenten

Nr. | Bezeichnung der Systemkomponente | Verpflichtung/Option

1 | Fingerabdruckleser | Verpflichtung für die Anbieter dieser
Geräte
Verpflichtung für den Passhersteller
Verpflichtung für die Passbehörden

2 | Software zur Erfassung und Qua-
litätssicherung von Lichtbild und
Fingerabdrücken | Verpflichtung für den Passhersteller
Verpflichtung für die Passbehörden

3 | Modul für die Datenübermittlung
von der Passbehörde an den
Passhersteller | Verpflichtung für den Passhersteller
Verpflichtung für die Passbehörden

4 | Modul zur Sicherung der Authen-
tizität und Vertraulichkeit der An-
tragsdaten | Verpflichtung für den Passhersteller
Verpflichtung für die Passbehörden