Hintergrund TSE-Ausrüstung für Kassen(systeme) und Fristverlängerung
5. März 2021. Nach Maßgabe des sogenannten Kassengesetzes sind Unternehmen verpflichtet, ihre elektronischen Registrierkassen(systeme) ab dem 1. Januar 2020 mit einer zertifizierten technischen Sicherheitseinrichtung (TSE) auszurüsten. Da es jedoch bei der Erarbeitung der entsprechenden technischen Sicherheitsstandards (technische Richtlinien) durch das Bundesamt für Sicherheit in der Informationstechnik zu Verzögerungen kam und entsprechende Sicherheitsmodule nicht rechtzeitig am Markt verfügbar waren, hatte das BMF eine Nichtbeanstandungsregelung bis zum 30. September 2020 getroffen.
Hardware-TSE
Die Hersteller von Hardware-basierten TSE-Modulen konnten seit Frühjahr 2020 sukzessive ihre Produkte auf den Markt bringen, so dass eine flächendeckende Marktabdeckung mit Hardware-basierten TSE-Modulen bis zum Auslaufen der Nichtbeanstandungsregelung sichergestellt wurde.
Cloud-TSE
Da zu diesem Zeitpunkt jedoch noch keine zertifizierten Cloud-TSE-Lösungen verfügbar waren, hatten die Finanzverwaltungen der Bundesländer (Ausnahme: Bremen) ihrerseits eine weitergehende Fristverlängerung für beabsichtigte Cloud-TSE-Aufrüstungen bis zum 31. März 2021 per Allgemeinverfügungen bewilligt.
Eine erste Software-basierte Lösung (sog. Cloud-TSE) des Herstellerkonsortiums Bundesdruckerei/D-Trust wurde im Herbst 2020 vom BSI zertifiziert, wobei das Zertifikat bis zum 31. Januar 2021 befristet war. Weitere Anbieter (fiskaly, Wien, und A-Trust, Wien) befinden sich zurzeit im Zertifizierungsverfahren.
In den noch laufenden Zertifizierungsverfahren (bzw. dem Re-Zertifizierungsverfahren Bundesdruckerei/D-Trust) hatte das BSI jedoch weitergehende Anforderungen an die sog. Anwenderumgebung gestellt. Nach Auffassung des BSI sei es zusätzlich erforderlich, nicht nur die Cloud-TSE selbst, sondern auch die Anwenderumgebung (d.h. das Kassensystem des Unternehmens) vor Manipulationen zu schützen. Dies könne durch Implementierung eines Trusted Platform Modul 2.0 (TPM) in das Kassensystem oder aber durch eine Software-Lösung erfolgen. Diese setzt jedoch eine invasive Neukonfiguration der bestehenden und im (Re)Zertifizierungsprozess befindlichen Cloud-TSE-Lösungen der Hersteller voraus, welche voraussichtlich nicht bis zum Ablauf der länderspezifischen Fristverlängerungen (31. März 2021) umgesetzt werden kann.
Bereits mit Schreiben vom 15. Dezember 2020 hatte der DIHK gemeinsam mit den anderen Spitzenverbänden der deutschen gewerblichen Wirtschaft das BMF und die Landesfinanzverwaltungen über diese Entwicklungen informiert. In diesem Zusammenhang hatten wir insbesondere darauf hingewiesen, dass durch die neuen Anforderungen weitere Verzögerungen bei der Herstellung von Cloud-TSE-Lösungen ausgelöst würden und somit die Nichtbeanstandungsfrist 31. März 2021 nicht gehalten werden könne.
Auf Grund der unklaren Sachlage hat der DIHK am 25. Januar 2021 erneut gemeinsam mit den anderen Verbänden gegenüber dem BMF, dem BMWi und den Finanzverwaltungen der Länder interveniert und um Klärung gebeten.