FV UBIT: Registrierkassenpflicht
Informationen zur Kassen- und Belegerteilungspflicht
Lesedauer: 4 Minuten
Ablauf der Bescheinigung von RKSV-Signaturkarten – Kartentausch bis 21. Mai 2027 erforderlich
Der erforderliche Kartentausch steht nicht mit dem Ablauf des Zertifikats auf der Signaturkarte in Zusammenhang, sondern mit dem Auslaufen der für die Anerkennung als qualifizierte Signaturerstellungseinheit (QSCD) erforderlichen eIDAS-Zertifizierung (Verordnung (EU) Nr. 910/2014 zu qualifizierten elektronischen Signaturerstellungseinheiten – QSCD). Nach Wegfall dieser Zertifizierung erfüllt die Signaturkarte die gesetzlichen Anforderungen der RKSV nicht mehr und muss daher ersetzt werden. Die derzeit maßgebliche Frist für den Austausch der betroffenen Karten ACOS-ID-2.1 und ATOS CardOS-5.3 endet am 21. Mai 2027.
Online- sowie HSM-Lösungen sind hiervon NICHT betroffen!
Hintergrund
Die technischen Anforderungen an die Signaturerstellungseinheit (§ 12 RKSV) sehen den Einsatz qualifizierter Signaturerstellungseinheiten vor. Für Signaturkarten ist dafür gemäß eIDAS-Verordnung eine als QSCD (Qualified Signature Creation Device) zertifizierte Hardware erforderlich. Dieser QSCD-Status wird von einer zuständigen Bestätigungs- bzw. Zertifizierungsstelle nach Prüfung vergeben und muss regelmäßig erneuert werden. Maßgeblich ist daher nicht das auf der einzelnen Karte ausgewiesene Ablaufdatum, sondern die aufrechte Zertifizierung des jeweiligen Kartenprodukts.
Die Zertifizierung der ACOS-ID-2.1 wurde von der zuständigen französischen Zertifizierungsstelle aufgrund der Sicherheitslücke „EUCLeak“ nicht verlängert und ist bereits ausgelaufen. Die Karten gelten daher grundsätzlich nicht mehr als QSCD und erfüllen die technischen Anforderungen des § 12 RKSV nicht mehr. In Abstimmung mit dem BMF darf - um einen ordnungsgemäßen Tausch zu ermöglichen - die bisherige Signaturkarte über die Gültigkeit des Zertifikates hinaus auf Grund der außergewöhnlichen Umstände (Verfügbarkeit der Signaturkarten) weiterverwendet werden. Die Vornahme des Tausches der Signaturkarte sowie deren Implementierung in der Registrierkasse hat spätestens bis Mai 2027 zu erfolgen.
Auch Signaturkarten des Typs ATOS CardOS-5.3 sind vom bevorstehenden Auslaufen der QSCD-Zertifizierung betroffen. Deren Zertifizierung ist derzeit noch aufrecht, läuft jedoch spätestens mit 21. Mai 2027 aus. Eine Zertifizierung kann außerdem bereits vor dem regulären Stichtag widerrufen werden, wenn erhebliche oder ausnutzbare Sicherheitslücken festgestellt werden. Fällt die Zertifizierung weg, muss die betreffende Karte ausgetauscht werden; das auf der Karte angegebene Ablaufdatum ist dabei nicht maßgeblich.
Maßnahmen
Es ist ein Kartentausch beim Typ ACOS-ID 2.1 und ATOS CardOS-5.3 bis spätestens 21. Mai 2027 erforderlich, um die gesetzlichen Vorgaben für Registrierkassen weiter zu erfüllen.
Mit dem Tausch auf eine neue, den gesetzlichen Anforderungen entsprechende Signaturkarte ist die Außerbetriebnahme der alten und die Registrierung und Inbetriebnahme der neuen Karte im FinanzOnline notwendig.
Gültigkeit von RKSV Zertifikaten
Seit 1. April 2017 muss jede Registrierkasse zusätzlich über einen Manipulationsschutz, eine technische Sicherheitseinrichtung, verfügen.
Das erforderliche RKSV Zertifikat, welches von einem Vertrauensdiensteanbieter (VDA) bezogen wird, ist mit einer Gültigkeitsdauer von idR 5 Jahren versehen.
Einsatz abgelaufener RKSV Zertifikate auch nach Ablauf der Gültigkeit möglich
Ausgestellte und über FinanzOnline bereits registrierte RKSV Zertifikate können und dürfen nach aktueller Rechtslage auch nach Ablauf der Gültigkeit weiterverwendet werden, solange sie dem vorgegebenen technischen Stand der Dinge entsprechen. Dies wird in § 15 Abs. 3 RKSV klargestellt.
Allgemeines zur Registrierkassenpflicht
Der Arbeitskreis Kassensoftware im Fachverband UBIT befasst sich besonders mit der technischen Umsetzung der Registrierkassenpflicht, die in der Registrierkassensicherheitsverordnung (RKSV) geregelt wird.
In der Anlage zur RKSV befinden sich die technischen Anforderungen, die zur Erstellung der Kassen(software) von Relevanz sind.
Die Registrierkassenpflicht ist in der §§ 131b, 132a Bundesabgabenordnung (BAO) geregelt. Ebenso zu beachten ist die Barumsatzverordnung 2015 sowie § 51 Abs 1 Finanzstrafgesetz (FinStrG).
Der Erlass zur Einzelaufzeichnungs-, Registrierkassen- und Belegerteilungspflicht ist ebenso für die Umsetzung und Einhaltung der Registrierkassenpflicht heranzuziehen.
Zur Behandlung technischer Sachverhalte der RKSV sind Informationen der A-SIT Plus über die Plattform GitHub verfügbar.
Vorgaben und Strukturen für die Übermittlung von FinanzOnline Funktionen im Datenstromverfahren im Zusammenhang mit der Registrierkasse sind unter Informationen für Softwarehersteller (FinanzOnline)veröffentlicht.
Das Handbuch Registrierkassen in FinanzOnline des BMF bietet eine ausführliche Beschreibung zu den Registrierkassen-Funktionen in FinanzOnline samt Anleitung für die Registrierung von Registrierkassen in FinanzOnline.
Die FAQ-Sammlung steht als Hilfestellung für die technische Umsetzung zur Verfügung.
Die Vertrauensdiensteanbieter (VDA) A-Trust, GLOBALTRUST und primesign bieten Produkte an, um die Sicherheitseinrichtung in ein Kassensystem zu integrieren.
Nähere Informationen finden Sie auf den jeweiligen Homepage des VDAs.
Die Bundessparte Handel hat 2015 eine englische Übersetzung der Registrierkassensicherheitsverordnung und der Anlage zur RKSV erstellt. Die Zielgruppe sind internationale Konzerne mit Niederlassungen in Österreich (vor allem Handel), die Ihre EDV zentral ausrollen und Informationen über die neue Gesetzeslage benötigen. Ebenso können die Dokumente von national wie international agierenden Kassenanbietern für die Umsetzung der österreichischen Regelungen verwendet werden.