RKSV-Signatureinheit: Aufgabe und Varianten
Kurz gesagt
Die Signatur- oder Siegelerstellungseinheit signiert in Österreich jeden Barumsatz einer Registrierkasse und verkettet ihn mit dem vorherigen Beleg (§ 9 RKSV). Nach dem BMF-Erlass kommen dafür nur Signaturchip (Smartcard) oder Hardware-Sicherheitsmodul (HSM) in Frage, lokal oder bei einem Dienstleister. Beschafft wird sie bei einem Vertrauensdiensteanbieter auf Kosten des Unternehmers (§ 15 RKSV).
Das Wichtigste
- Österreich: Die Einheit signiert jeden Barumsatz sowie Monats-, Jahres-, Schluss-, Trainings- und Stornobuchungen einer Registrierkasse (§ 9 Abs. 1 RKSV).
- Der BMF-Erlass nennt als Bauformen nur Signaturchip (Smartcard) und Hardware-Sicherheitsmodul (HSM); bei Remote-Lösungen muss der Schlüssel in einer geeigneten Hardwarekomponente liegen.
- Eine Einheit kann mit mehreren Registrierkassen verbunden sein (§ 5 Abs. 2 RKSV); die Kosten der Beschaffung trägt der Unternehmer (§ 15 Abs. 1 RKSV).
- Die Registrierung in FinanzOnline muss bei Inbetriebnahme nach dem 31. März 2017 binnen einer Woche erfolgen.
- Geschlossene Gesamtsysteme nach Feststellungsbescheid brauchen weder Einheit noch Zertifikat (§ 20 Abs. 2 RKSV).
Was die Signatureinheit macht
Die Registrierkasse bereitet die Daten jedes Barumsatzes auf. Die Signatur- oder Siegelerstellungseinheit signiert sie mit dem privaten Schlüssel des Zertifikats, das dem Unternehmer zugeordnet ist (§ 9 Abs. 1 und 3 RKSV; Erlass 3.3.4). In die Signatur fließt der Signaturwert des vorherigen Barumsatzes ein. So entsteht eine Kette, in der nachträgliche Änderungen auffallen (§ 4 Abs. 1 und 2 RKSV). Die Einheit ist Teil der Sicherheitseinrichtung nach § 131b Abs. 2 BAO; die übrigen Bausteine der Kasse behandelt RKSV: Technische Anforderungen an die Registrierkasse. Eine Kurzdefinition steht unter Signaturerstellungseinheit.
Das Zertifikat der Einheit enthält einen Ordnungsbegriff des Unternehmers, also Steuernummer, UID-Nummer oder Global Location Number, sowie Seriennummer und Gültigkeitszeitraum (§ 15 Abs. 2 und 3 RKSV; Erlass 3.3.2.2.2). Ein Zertifikat für Signaturen ist nach § 3 Z 33 RKSV mit einer natürlichen Person verknüpft, ein Zertifikat für Siegel nach § 3 Z 32 mit einer juristischen Person.
Welche Varianten gibt es?
Der BMF-Erlass lässt als Speicher des privaten Schlüssels nur Signaturchip (Smartcard) und Hardware-Sicherheitsmodul (HSM) zu. Bei nicht lokaler Signaturerstellung, etwa als Remote-Lösung über das Internet, muss der Schlüssel in einer geeigneten Hardwarekomponente liegen, zumeist einem HSM (Erlass 3.3.1). Bei der Registrierung geben Sie an, ob die Erstellung über eine Signaturkarte, ein eigenes HSM oder ein HSM eines Dienstleisters erfolgt (Erlass 3.3.3.1).
Die Tabelle stellt die Varianten gegenüber. Sie nennt keine Preise, denn die Höhe der Kosten hängt vom Angebot ab.
| Variante | Aufbau | Was rechtlich gilt | Kosten: was Sie prüfen | Ausfall: was Sie prüfen |
|---|---|---|---|---|
| Signaturkarte (Smartcard) | Schlüssel im Chip; dieselben Sicherheitsanforderungen wie für qualifizierte Signaturen, der Chip muss die erforderliche Zertifizierung aufweisen (Erlass 3.3.1) | Beschaffung bei einem Vertrauensdiensteanbieter (§ 15 Abs. 1 RKSV) | Beschaffung trägt der Unternehmer; fragen Sie nach Zusatzkosten für Ersatzkarten | Diebstahl, Verlust und Funktionsverlust sind, wenn der Ausfall nicht nur vorübergehend ist, über FinanzOnline oder beim Finanzamt zu melden (§ 17 Abs. 1 RKSV); klären Sie, ob eine zweite Einheit vorgesehen ist |
| Eigenes HSM | Schlüssel im Hardware-Sicherheitsmodul in Ihrem Betrieb; der Vertrauensdiensteanbieter bringt den Schlüssel ein und lässt die Eignung bescheinigen (Erlass 3.3.1) | Sie müssen sicherstellen, dass der Schlüssel geheim bleibt und nicht extrahiert oder über ein Backup dupliziert werden kann (Erlass 3.3.1) | Beschaffung trägt der Unternehmer; klären Sie Betriebs- und Wartungsaufwand | Wer betreibt das HSM, wer behebt Störungen, und gibt es eine Ersatzeinheit |
| HSM eines Dienstleisters | Remote-Lösung; die Signatur wird nicht lokal erstellt (Erlass 3.3.1) | Schlüssel in geeigneter Hardwarekomponente; Registrierung als „HSM eines Dienstleisters“ (Erlass 3.3.3.1) | Entgelt laut Vertrag, Laufzeit und Kündigung prüfen | Verfügbarkeit des Dienstes und der Verbindung klären; ohne funktionierende Einheit gilt § 17 Abs. 4 RKSV |
| Geschlossenes Gesamtsystem | mehr als 30 Registrierkassen, Gutachten und Feststellungsbescheid (§ 131b Abs. 4 BAO) | weder Einheit noch Zertifikat erforderlich (§ 20 Abs. 2 RKSV) | Gutachten gerichtlich beeideter Sachverständiger trägt der Unternehmer (§ 21 Abs. 6 und 7 RKSV) | Ausfallplan Teil des Gutachtens (§ 21 Abs. 3 RKSV) |
Eine Einheit kann mit mehreren Kassen verbunden sein und eine Kasse mit mehreren Einheiten (Erlass 3.3.1). Angemietete Kassen laufen nur mit einer auf das mietende Unternehmen ausgestellten Einheit (Erlass 3.1.1.2).
Was bei einem Ausfall gilt
Für Signaturkarte und HSM gelten dieselben Folgen; bei einem bestätigten geschlossenen Gesamtsystem regelt der Ausfallplan im Gutachten den Ausfall (§ 20 Abs. 2, § 21 Abs. 3 RKSV). Fällt die Einheit aus, erfassen Sie die Barumsätze auf einer anderen Kasse mit funktionierender Einheit. Ist das nicht möglich, tragen die Belege den Hinweis „Sicherheitseinrichtung ausgefallen“, und nach der Wiederinbetriebnahme folgt ein signierter Sammelbeleg mit Betrag null (§ 17 Abs. 4 RKSV). Ein nicht nur vorübergehender Ausfall ist ohne unnötigen Aufschub über FinanzOnline oder beim Finanzamt zu melden. Als vorübergehend gilt nach dem Erlass (3.6) jedenfalls ein Ausfall bis 48 Stunden; ohne unnötigen Aufschub heißt im Allgemeinen längstens binnen einer Woche. Details stehen im Artikel Ausfall von Kasse oder Signatureinheit.
Ist die Wiederinbetriebnahme nicht mehr möglich, beschaffen Sie eine neue Einheit, registrieren sie und nehmen die Sicherheitseinrichtung erneut in Betrieb (§ 17 Abs. 7 RKSV); ist der zuletzt getätigte Barumsatz aus dem Datenerfassungsprotokoll feststellbar, entfällt die erneute Inbetriebnahme. Zum Ablauf des Zertifikats siehe Signaturkarte: Ablauf und Tausch.
Beschaffung und Registrierung
Sie erwerben die Einheit bei einem Vertrauensdiensteanbieter, der qualifizierte Signatur- oder Siegelzertifikate anbietet und im EU-/EWR-Raum oder in der Schweiz niedergelassen oder nach Art. 14 der eIDAS-Verordnung anerkannt ist; die Kosten trägt der Unternehmer (§ 15 Abs. 1 RKSV). Anschließend melden Sie Einheit und Kasse über FinanzOnline (§ 16 Abs. 1 RKSV). Bei Inbetriebnahme nach dem 31. März 2017 muss die Registrierung spätestens binnen einer Woche nach der Inbetriebnahme erfolgen (§ 6 Abs. 3 RKSV). FinanzOnline prüft dabei, ob das Zertifikat im Verzeichnis des Vertrauensdiensteanbieters vorhanden ist (§ 16 Abs. 2 RKSV). Den Ablauf zeigt Registrierkasse in FinanzOnline anmelden.
Was droht bei einem Verstoß?
Wer die Pflicht zur Einrichtung technischer Sicherheitsvorkehrungen vorsätzlich verletzt, ohne ein anderes Finanzvergehen zu erfüllen, begeht eine Finanzordnungswidrigkeit mit Geldstrafe bis zu 5.000 Euro (§ 51 Abs. 1 lit. c, Abs. 2 FinStrG).
Fragen an den Anbieter
- Bei welcher Variante wird der Schlüssel gespeichert, und wer trägt die Verantwortung für Geheimhaltung und Backup?
- Welche Einmal- und laufenden Kosten fallen an, einschließlich Ersatz?
- Wie lange gilt das Zertifikat, und wie läuft der Tausch?
- Was passiert bei Ausfall der Einheit, der Kasse oder der Verbindung, und gibt es eine zweite Einheit?
- Wird die Einheit auf Ihr Unternehmen ausgestellt, mit Ihrem Ordnungsbegriff im Zertifikat?