eIDAS 2.0 im Jahr 2026: Verordnung 910/2014, Vertrauensdienste und die EU Digital Identity Wallet

Entstehung: von der Richtlinie zur Verordnung

Vorgängerin von eIDAS war die Richtlinie 1999/93/EG über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen. Nach fünfzehn Jahren waren vier Schwächen sichtbar. Die Umsetzung verlief in den Mitgliedstaaten unterschiedlich, sodass eine in einem Land anerkannte Signatur im anderen nicht immer anerkannt wurde. Die elektronische Identifizierung fiel ganz aus dem Anwendungsbereich, sodass niemand ein nationales Identifizierungsmittel im Ausland nutzen konnte. Der Dienstekatalog umfasste allein die Signatur - ohne Siegel, Zeitstempel und Website-Zertifikate. Und es fehlte ein Mechanismus zur gegenseitigen Anerkennung nationaler Lösungen.

Die Verordnung von 2014 antwortete darauf auf einen Schlag. Sie trat am 17. September 2014 in Kraft und gilt seit dem 1. Juli 2016 für Vertrauensdienste und seit dem 29. September 2018 für die verpflichtende Anerkennung notifizierter Identifizierungsmittel. Sie schuf einen einheitlichen Rahmen für Vertrauensdienste in der ganzen Union, eine dreistufige Signaturhierarchie, einen erweiterten Dienstekatalog und eine öffentliche Liste qualifizierter Anbieter. Die Wahl der Verordnung statt einer Richtlinie war kein Zufall: Sie beseitigte die Quelle der früheren Unterschiede, weil es nichts mehr umzusetzen gab.

Die Novelle vom 11. April 2024 ^[2] verschob den Schwerpunkt vom Dokument zur Identität. Sie führte die europäische Wallet für digitale Identität ein, deren Bereitstellung Pflicht des Staates und deren Nutzung Wahl der Person ist. Sie ergänzte einen Mechanismus zur Offenlegung ausgewählter Attribute statt ganzer Dokumente, erweiterte den Katalog der Vertrauensdienste um Attributbescheinigungen, elektronische Archivierung und elektronische Register, verschärfte die Anforderungen an Anbieter und verpflichtete benannte Stellen zur Annahme der Wallet.

Auf die Daten ist zu achten. Die Novelle trat am 20. Mai 2024 in Kraft, doch die Fristen der Pflichten werden nicht davon gerechnet - sie laufen ab dem Inkrafttreten der Durchführungsrechtsakte der Kommission ^[10], die Ende 2024 erlassen wurden. Daraus ergeben sich die beiden unten behandelten Termine: die Pflicht der Mitgliedstaaten zur Bereitstellung der Wallet und die ein Jahr später einsetzende Pflicht benannter Stellen, sie zu akzeptieren.

Zwei Säulen: Identifizierung und Vertrauensdienste

Die Verordnung verbindet zwei Felder, die leicht zu verwechseln sind, weil beide die "elektronische Bestätigung" betreffen. Die erste Säule beantwortet, wer die Person auf der anderen Seite ist; die zweite, ob ein Dokument echt und unverändert ist.

Die elektronische Identifizierung beruht auf der Notifizierung. Ein Mitgliedstaat meldet der Kommission ein nationales Identifizierungssystem, und nach der Notifizierung müssen die übrigen Staaten es in ihren öffentlichen Diensten auf dem entsprechenden Niveau anerkennen. Polen hat ein System notifiziert - das öffentliche System der elektronischen Identifizierung, bekannt gemacht am 19. April 2023 ^[12] - mit zwei Mitteln: dem Vertrauensprofil auf substanziellem Niveau und dem persönlichen Profil in der elektronischen Schicht des Personalausweises auf hohem Niveau. Die Anwendung mObywatel erscheint in dieser Notifizierung nicht als eigenes Identifizierungsmittel, was oft für Verwirrung sorgt.

Vertrauensdienste sind elektronische Dienste, meist gegen Entgelt erbracht, deren Katalog die Novelle von 2024 in Artikel 3 Nummer 16 auf vierzehn Tätigkeiten aufgefächert hat. Sie umfassen die Ausstellung und Validierung von Zertifikaten für Signaturen, Siegel und Website-Authentifizierung, die Erzeugung und Validierung der Signaturen und Siegel selbst, deren Bewahrung, die Verwaltung von Fernsignaturerstellungseinheiten, die Ausstellung und Validierung von Attributbescheinigungen, Zeitstempel, die elektronische Einschreibzustellung samt Validierung der damit übermittelten Daten, die elektronische Archivierung und die Eintragung von Daten in ein elektronisches Register. Die letzten vier - Attributbescheinigungen, Fernsignatureinheiten, Archivierung und elektronisches Register - sind neu und geben die Marktrichtung der kommenden Jahre vor.

Sicherheitsniveaus der Identifizierung

Artikel 8 teilt elektronische Identifizierungsmittel in drei Sicherheitsniveaus, und die technischen und verfahrensmäßigen Anforderungen dazu bestimmt die Durchführungsverordnung 2015/1502 ^[11]. Der Unterschied betrifft zweierlei zugleich: wie die Identität bei der Ausgabe geprüft wurde und wie stark die Authentifizierung bei jeder Nutzung ist.

Niedrig unterstellt eine begrenzte Gewissheit über die Identität. Ein Authentifizierungsfaktor genügt, und die Identitätsprüfung kann aus der Ferne anhand von Dokumentdaten erfolgen. Es eignet sich für Dienste, bei denen die Folgen einer Identitätsvortäuschung gering sind - etwa Informationsformulare oder Mitteilungsblätter.

Substanziell verlangt eine Authentifizierung mit mindestens zwei verschiedenen Faktoren aus Wissen, Besitz und Inhärenz sowie eine Identitätsprüfung bei der Ausgabe, die einem persönlichen Kontakt entspricht - etwa per Videoprüfung mit Dokument oder Bestätigung durch eine Bank. Auf diesem Niveau ist das polnische Vertrauensprofil notifiziert.

Hoch fügt drei Anforderungen hinzu: die Bestätigung der Identität gegenüber einer amtlichen Quelle mit physischer Anwesenheit oder einem gleichwertigen Verfahren, den Schutz des Mittels vor Kopieren und Manipulation sowie eine gegen Identitätsvortäuschung widerstandsfähige Authentifizierung. Praktisch geschieht das über ein kryptografisches Element in einer Karte oder im sicheren Modul eines Geräts. Auf diesem Niveau ist das persönliche Profil aus der elektronischen Schicht des Personalausweises notifiziert. Zwei Bedeutungen des Wortes "qualifiziert" gehören getrennt: Hoch ist ein Niveau der elektronischen Identifizierung, während der qualifizierte Status Vertrauensdienste betrifft - zwei unabhängige Kategorien, und das eine bedeutet nicht das andere.

Die Anerkennungsregel ist einfach und wirkt in eine Richtung. Ein Dienst, der substanziell verlangt, muss auf substanziellem und hohem Niveau notifizierte Mittel akzeptieren; ein Dienst, der hoch verlangt, akzeptiert nur Mittel dieses Niveaus; ein Dienst mit niedriger Anforderung akzeptiert alle drei.

Qualifizierte und nicht qualifizierte Dienste

Die wichtigste Unterscheidung der zweiten Säule verläuft zwischen qualifizierten und übrigen Diensten, und ihr Kern ist die Beweislast. Einen nicht qualifizierten Dienst darf jeder Anbieter erbringen; ihm ist keine Rechtsvermutung zugeordnet, sodass ein Gericht seinen Beweiswert im Streitfall wie jeden anderen Beweis würdigt. Solche Dienste sind günstiger und in vielen Anwendungen ausreichend - ein typisches Beispiel sind fortgeschrittene Signaturen in internen Dokumentensystemen.

Einen qualifizierten Dienst darf nur ein Anbieter erbringen, dem die nationale Aufsicht den Status verliehen hat und der auf der Vertrauensliste steht. Die Anforderungen sind deutlich höher: ein Pflichtaudit mindestens alle 24 Monate durch eine akkreditierte Konformitätsbewertungsstelle, Übereinstimmung mit den ETSI-Normen - darunter die allgemeine Norm EN 319 401 ^[4] sowie die dienstspezifischen -, eine Haftpflichtversicherung, zertifizierte kryptografische Einheiten, dokumentierte Richtlinien und Verfahren samt Kontinuitätsplan und die Eintragung in die Vertrauensliste.

Im Gegenzug gewährt der Gesetzgeber eine Rechtswirkung, die vom Beweis entlastet. Eine qualifizierte elektronische Signatur hat nach Artikel 25 Absatz 2 unionsweit dieselbe Rechtswirkung wie eine handschriftliche Unterschrift. Ein qualifiziertes Siegel genießt die Vermutung der Integrität und der Authentizität des Datenursprungs, ein qualifizierter Zeitstempel die Vermutung der Richtigkeit des angegebenen Zeitpunkts und der Integrität der Daten in diesem Moment. Gerade diese Vermutungen und nicht die Technik selbst rechtfertigen den Preisunterschied.

Den Status prüft man über die Vertrauensliste ^[6]. Jeder Mitgliedstaat veröffentlicht ein Verzeichnis seiner qualifizierten Anbieter als XML nach ETSI TS 119 612, und die Kommission stellt einen Sammelbrowser bereit. Eine Prüfung dort vor Vertragsschluss dauert eine Minute und ist der einzige verlässliche Weg, sich zu vergewissern, dass ein Dienst wirklich qualifiziert ist.

Drei Stufen der elektronischen Signatur

Die Verordnung baut eine Hierarchie, in der jede Stufe die Anforderungen der vorigen enthält. Die einfache elektronische Signatur nach Artikel 3 Nummer 10 sind Daten in elektronischer Form, die anderen Daten beigefügt oder logisch mit ihnen verbunden sind und die die unterzeichnende Person zum Unterzeichnen verwendet - also auch ein eingescanntes Unterschriftsbild, ein Wort in einer Nachricht oder ein angekreuztes Feld. Ihr ist keine Vermutung zugeordnet, doch Artikel 25 Absatz 1 sichert zu, dass ihr die Rechtswirkung und die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden darf, weil sie elektronisch ist. Das ist eine Mindestgarantie, keine Gleichstellung mit der handschriftlichen Unterschrift.

Die fortgeschrittene elektronische Signatur muss die vier Bedingungen des Artikels 26 erfüllen: eindeutig der unterzeichnenden Person zugeordnet sein, deren Identifizierung ermöglichen, mit Daten erzeugt werden, die unter deren alleiniger Kontrolle stehen, und so mit den Daten verbunden sein, dass jede spätere Änderung erkennbar ist. Umgesetzt wird sie meist als kryptografische Signatur mit Zertifikat, wobei das Zertifikat nicht qualifiziert sein muss. Der Beweiswert liegt deutlich über der einfachen Signatur, unterliegt aber weiterhin der Würdigung durch das Gericht.

Die qualifizierte elektronische Signatur erfüllt alle Bedingungen der fortgeschrittenen und wird zusätzlich mit einer qualifizierten Signaturerstellungseinheit erzeugt - einer Kryptokarte, einem Token oder einer konformen Fernlösung - auf Grundlage eines qualifizierten Zertifikats eines qualifizierten Anbieters. Nur sie hat dieselbe Wirkung wie eine handschriftliche Unterschrift, und nur sie muss in allen Mitgliedstaaten anerkannt werden.

In der polnischen Praxis wird eine qualifizierte Signatur unter anderem beim Abschluss eines Arbeitsvertrags aus der Ferne, bei den meisten Anmeldungen zum Landesgerichtsregister und bei elektronischen Schriftsätzen verlangt; sie kommt auch im Rechnungslauf und bei elektronisch errichteten notariellen Dokumenten vor. Der Anwendungsbereich weitet sich schrittweise, weshalb man bei einem konkreten Rechtsgeschäft die Sondervorschrift prüfen und sich nicht auf eine allgemeine Regel stützen sollte.

Eine eigene Frage sind die Formate, denn von ihnen hängt ab, ob eine Signatur in einigen Jahren noch prüfbar ist. Der Standard PAdES bettet die Signatur in eine PDF-Datei ein und beherrscht den Geschäftsverkehr. XAdES signiert XML-Dokumente und tritt in Verwaltungslösungen auf. CAdES ist ein allgemeines, von einem Dokumenttyp unabhängiges Format, und JAdES ein neueres Format für Schnittstellen, die Daten im JSON-Format austauschen. Das Format ist mit der empfangenden Stelle abzustimmen, denn nicht jedes System prüft alle vier.

Elektronisches Siegel und Zeitstempel

Das elektronische Siegel nach den Artikeln 35 bis 40 ist das Gegenstück zur Signatur für juristische Personen. Der Unterschied ist nicht formal: Eine Signatur weist einen bestimmten Menschen aus und drückt dessen Willen aus, ein Siegel weist eine Organisation aus und bestätigt Ursprung und Integrität eines Dokuments. Deshalb eignet sich das Siegel für massenhaft und automatisch ausgestellte Dokumente - Rechnungen, Bescheinigungen, zwischen Systemen ausgetauschte Nachrichten -, bei denen die Nennung einer natürlichen Person künstlich wäre. Wie die Signatur gibt es das Siegel in einfacher, fortgeschrittener und qualifizierter Form, und die letzte genießt die Vermutung der Datenintegrität und der Authentizität des Ursprungs.

Der Zeitstempel nach den Artikeln 41 und 42 bescheinigt hingegen, dass bestimmte Daten zu einem Zeitpunkt vorlagen. Ein qualifizierter Zeitstempel, von einem qualifizierten Anbieter aus einer genauen, mit der koordinierten Weltzeit verbundenen Zeitquelle erzeugt, genießt die Vermutung der Richtigkeit des Datums und der Datenintegrität. Seine Bedeutung ist größer, als die Einfachheit des Verfahrens vermuten lässt: Erst der Zeitstempel erlaubt den Nachweis, dass eine Signatur innerhalb der Gültigkeit des Zertifikats erzeugt wurde, und erhält damit die Beweiskraft eines Dokuments auch nach Ablauf oder Widerruf dieses Zertifikats. Ohne ihn wird ein qualifiziert signiertes Dokument mit der Zeit schwer prüfbar, was für die Langzeitarchivierung unmittelbar zählt.

Zertifikate für die Website-Authentifizierung

Das qualifizierte Zertifikat für die Website-Authentifizierung nach Artikel 45 ist das Gegenstück zum im TLS-Protokoll genutzten Zertifikat, jedoch unter Aufsicht eines Mitgliedstaats ausgestellt und die Identität der betreibenden Stelle nach den Anforderungen der Verordnung bescheinigend. Von kommerziellen Zertifikaten mit erweiterter Prüfung unterscheidet es gerade das Aufsichtsregime und die daraus folgende Rechtsvermutung, nicht die Technik.

Um diese Vorschrift wurde bei der Novelle einer der schärfsten Streite geführt. Browserhersteller argumentierten, ein Zwang zum Vertrauen in von Mitgliedstaaten benannte Zertifikate würde die Fähigkeit schwächen, rasch auf Missbrauch in der Zertifikatsinfrastruktur zu reagieren. Die verabschiedete Fassung legt Browsern zwei Pflichten auf - solche Zertifikate anzuerkennen und die Identitätsdaten der Stelle nutzerfreundlich darzustellen -, sieht aber eine Sicherung vor: In Ausnahmefällen kann ein Browser bei begründeten Bedenken über eine Beeinträchtigung der Sicherheit oder Integrität der Zertifikate Vorsorgemaßnahmen treffen und informiert dabei die Kommission und die zuständigen Behörden.

Die praktischen Anwendungen sind heute enger als erwartet. Am deutlichsten ist der Zahlungsverkehr, wo qualifizierte Zertifikate der wechselseitigen Identifizierung von Instituten in Schnittstellen des offenen Bankwesens dienen. Daneben treten sie in Verwaltungsdiensten auf, in denen die Identität der ausstellenden Stelle Beweisbedeutung hat, und als Element des Nachweises der Kontrolle über die Kommunikation im Finanzsektor (siehe Artikel zu DORA).

Qualifizierte Anbieter in Polen

Die polnische Vertrauensliste ^[13] nennt die Anbieter, denen die Aufsichtsbehörde - der für Digitalisierung zuständige Minister - den qualifizierten Status verliehen hat. Nach Ausgabe 160 vom 3. Juni 2026 halten neun Stellen diesen Status, doch der Umfang ihrer Dienste unterscheidet sich stark, und die blosse Listung sagt noch nichts.

Sechs von ihnen stellen qualifizierte Zertifikate aus. Den weitesten Umfang hat Asseco Data Systems unter der Marke Certum - Zertifikate, Zeitstempel, Validierung, Bewahrung von Signaturen und Siegeln sowie Einschreibzustellung. Die Polnische Wertpapierdruckerei unter der Marke Sigillum stellt Zertifikate und Zeitstempel aus, betreibt Fernsignatur- und Fernsiegeleinheiten und bietet Einschreibzustellung. Die Nationale Clearingstelle unter der Marke Szafir bietet Zertifikate und Zeitstempel. Enigma Systemy Ochrony Informacji unter der Marke CenCert stellt Zertifikate und Zeitstempel aus und betreibt Validierung sowie Fernsignatureinheiten. EuroCert stellt Zertifikate und Zeitstempel aus, Unizeto Technologies qualifizierte Zertifikate. Die übrigen drei Stellen - die Polnische Post, Autenti und ein weiteres Unternehmen - erbringen ausschließlich qualifizierte elektronische Einschreibzustellung, eine davon auch Validierung.

Zwei praktische Hinweise sind häufige Quellen teurer Irrtümer. Erstens ist die Marke nicht die Stelle: CenCert gehört zu Enigma, EuroCert ist ein eigenständiges Unternehmen, sodass ein "mit CenCert" geschlossener Vertrag in Wahrheit eine andere Firma bindet, als die Bestellerin annimmt. Zweitens ist vor dem Kauf nicht nur die Listung zu prüfen, sondern auch, ob der Anbieter den qualifizierten Status für den konkreten Dienst hat - wer für Zustellung qualifiziert ist, muss es für Signaturzertifikate nicht sein.

Der Erwerb des Status ist mehrstufig. Die Stelle muss eine juristische Person mit ausreichender organisatorischer und finanzieller Ausstattung und mit Haftpflichtversicherung sein, Richtlinien, Verfahren und einen Kontinuitätsplan nach ETSI EN 319 401 ^[4] und den dienstspezifischen Normen vorbereiten, ein Audit einer akkreditierten Konformitätsbewertungsstelle bestehen, die Anzeige samt Bewertungsbericht bei der Aufsicht einreichen, den Status und die Eintragung in die Vertrauensliste erlangen und sich danach mindestens alle 24 Monate Audits unterziehen. Der Markteintritt ist gerade deshalb kostspielig, weil kryptografische Infrastruktur, erstes Audit und Versicherung bestehen müssen, bevor der Status verliehen wird. Preislisten für Endkundinnen veröffentlichen die Anbieter selbst und ändern sie unabhängig voneinander, weshalb die einzige sinnvolle Preisquelle die aktuelle Liste des jeweiligen Anbieters ist.

Die europäische Wallet für digitale Identität

Die Wallet für digitale Identität ist die sichtbarste Änderung durch eIDAS 2.0 ^[2]. Die Pflichtenlage ist asymmetrisch: Die Bereitstellung ist Pflicht des Mitgliedstaats, die Nutzung bleibt Wahl der Person, und niemand kann dazu gezwungen werden.

Die Wallet soll das nationale Identifizierungsmittel und Attributbescheinigungen aufbewahren - Berufsqualifikationen, Zeugnisse, Führerschein, Fahrzeugdaten, Rezepte oder Bankdaten - und die Erzeugung einer qualifizierten Signatur sowie die Authentifizierung in öffentlichen und privaten Diensten erlauben. Die interessanteste Eigenschaft ist jedoch die Art der Datenoffenlegung. Statt ein ganzes Dokument vorzuzeigen, soll die nutzende Person nur das in der Lage nötige Attribut offenlegen - etwa die Bestätigung der Volljährigkeit statt des vollständigen Geburtsdatums. Die Kommission kündigt Mechanismen an, mit denen sich die Erfüllung einer Bedingung bestätigen lässt, ohne den Attributwert selbst preiszugeben. Für den Datenschutz ist das eine qualitative Änderung: Sie verwirklicht den Grundsatz der Datenminimierung auf Ebene der Architektur statt als Erklärung (siehe Artikel zur DSGVO).

Die Architektur beschreibt der von der Kommission erarbeitete Referenzrahmen ^[5], der die Rollen trennt: Die Wallet-Instanz ist die Anwendung auf dem Gerät, die Wallet-Lösung umfasst sie samt Hintergrundsystem und Verwaltung, der Wallet-Anbieter ist der Staat oder eine von ihm ermächtigte Stelle, die ausstellende Stelle gibt Attributbescheinigungen aus, und die vertrauende Stelle nimmt sie entgegen und prüft sie. Die Trennung soll verhindern, dass eine einzige Stelle die gesamte Aktivität sieht.

Polen baut die Wallet auf der Anwendung mObywatel auf; die rechtliche Schicht soll eine Novelle des Gesetzes über Vertrauensdienste und elektronische Identifizierung ^[3] liefern, die unter anderem die nationalen Datensätze zur Identifizierung der nutzenden Person bestimmt, getrennt für natürliche und juristische Personen. Die Frist der Verordnung für die Bereitstellung durch die Mitgliedstaaten fällt auf den 24. Dezember 2026. Vernünftigerweise ist anzunehmen, dass die erste Ausgabe einen begrenzten Attributkatalog umfasst und ihr Ausbau länger dauert.

Die Pflicht zur Annahme der Wallet regelt Artikel 5f und trennt drei Lagen. Öffentliche Stellen, die für den Zugang zu ihren Online-Diensten eine elektronische Identifizierung verlangen, müssen auch die Wallet akzeptieren. Benannte private Sektoren - Verkehr, Energie, Bankwesen und Finanzdienste, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastruktur, Telekommunikation und Bildung - sind erfasst, soweit das Recht von ihnen eine starke Kundenauthentifizierung verlangt, ausgenommen Kleinst- und Kleinunternehmen. Die dritte Gruppe sind sehr große Online-Plattformen, die nach dem Gesetz über digitale Dienste benannt sind; ein häufiger Fehler ist, diese Pflicht auf alle Websites auszudehnen. Diese Pflichten gelten ab einem späteren Termin als die Bereitstellung - dem 24. Dezember 2027 -, was den erfassten Stellen ein Jahr Vorbereitung gibt. In allen Fällen erfolgt die Nutzung auf Wunsch der Person, für eine Bank oder einen Betreiber bedeutet das also einen zusätzlichen Weg neben den bestehenden und keinen Ersatz.

Die Sicherheitsanforderungen an die Wallet sind entsprechend hoch. Kryptografisches Material soll in einem Hardwareelement des Geräts liegen, die Authentifizierung der Person auf Biometrie oder einem starken Code beruhen, die Kommunikation mit der vertrauenden Stelle verschlüsselt und wechselseitig authentifiziert sein und die gesamte Lösung vor dem Start zertifiziert werden. Eine eigene, technisch schwierigere Anforderung ist, dass Dritte verschiedene Transaktionen derselben Person nicht miteinander verknüpfen können.

Aufsicht und nationale Vertrauensinfrastruktur

Zunächst gehört ein verbreiteter Irrtum berichtigt. Im eIDAS-Zusammenhang wird mitunter die Abkürzung NCCB für die nationale Behörde für Cybersicherheitszertifizierung angeführt. Sie stammt aus dem Rechtsakt zur Cybersicherheit, der Verordnung 2019/881, und betrifft ein ganz anderes System - europäische Zertifizierungsschemata für Produkte und Dienste. Die Aufsicht über Vertrauensdienste führt in Polen der für Digitalisierung zuständige Minister nach Artikel 27 Absatz 1 des Gesetzes vom 5. September 2016 über Vertrauensdienste und elektronische Identifizierung ^[3].

Dasselbe Gesetz überträgt dem Minister, das Funktionieren dreier Elemente der nationalen Vertrauensinfrastruktur sicherzustellen: eines öffentlichen elektronischen Registers der Vertrauensdiensteanbieter, der als XML-Datei im Format ETSI TS 119 612 veröffentlichten Vertrauensliste und des nationalen Zertifizierungszentrums, das qualifizierten Anbietern die Zertifikate zur Prüfung ihrer Signaturen und Siegel ausstellt und Widerrufslisten veröffentlicht. Auf Antrag der Präsidentin der Polnischen Nationalbank kann der Minister die Zentralbank mit den Aufgaben des nationalen Zertifizierungszentrums sowie mit der Führung des Registers und der Vertrauensliste betrauen.

Die Befugnisse der Aufsicht umfassen die Verleihung und den Entzug des qualifizierten Status samt Eintragung und Streichung, Kontrollen der Anbieter durch eigene Auditierende, Aufforderungen zur Beseitigung von Mängeln, Geldbußen und die Zusammenarbeit mit Aufsichtsbehörden anderer Mitgliedstaaten. Das Gesetz regelt ferner das Eintragungsverfahren, Sanktionen für das Erbringen von Diensten als qualifiziert ohne Berechtigung sowie das nationale System der elektronischen Identifizierung und dessen Aufsicht.

Das Herz der Aufsicht ist jedoch das zyklische Audit. Artikel 20 Absatz 1 der Verordnung verlangt, dass sich qualifizierte Anbieter mindestens alle 24 Monate auf eigene Kosten einem Audit einer akkreditierten Konformitätsbewertungsstelle unterziehen. Geprüft werden die Übereinstimmung mit den ETSI-Normen einschließlich EN 319 401 ^[4], die eingesetzten kryptografischen Mittel und die Infrastruktur, organisatorische Verfahren, Personalsicherheit, Betriebskontinuität und Vorfallmanagement. Der Bericht geht an die Aufsicht, und ein negatives Ergebnis kann zum Entzug des Status führen - eine reale Sanktion, denn sie bedeutet den Verlust der Geschäftsgrundlage und nicht bloss eine Geldbuße.

Verhältnis zu anderen Vorschriften

Qualifizierte Vertrauensdiensteanbieter wirken im Schnittpunkt mehrerer Regime zugleich, und sie tragen die größte Konformitätslast. Nach der DSGVO ^[7] sind sie Verantwortliche für personenbezogene Daten: Sie verarbeiten Identifizierungsdaten bei der Ausstellung eines Zertifikats, Daten zur Signaturhandlung selbst und im Fall der Identitäts-Wallet potenziell das gesamte Spektrum der Attribute. Die Anforderungen des Datenschutzrechts gelten für sie vollständig, neben den branchenspezifischen (siehe Artikel zur DSGVO).

Nach der NIS2-Richtlinie ^[8] gehören Vertrauensdiensteanbieter zum Sektor digitale Infrastruktur aus Anhang I und sind - was wichtig ist - unabhängig von ihrer Größe erfasst, also auch als Kleinunternehmen. Folge ist ein doppelter Pflichtenpfad: der volle Katalog der Risikomanagementmaßnahmen aus Artikel 21 der Richtlinie und die Meldung von Vorfällen sowohl an das zuständige Reaktionsteam als auch an die Aufsicht über Vertrauensdienste. Das polnische Cybersicherheitsgesetz setzt Vertrauensdiensteanbietern dabei eine kürzere Frist für die Meldung eines schwerwiegenden Vorfalls - 24 Stunden ab Erkennung (siehe Artikel zu NIS2). Die Dokumentation beider Regime lässt sich gemeinsam führen, wenn sie auf einem Informationssicherheits-Managementsystem nach ISO/IEC 27001 ^[9] beruht.

Zwei weitere Bezüge sind enger. Ein Teil der Wallet-Lösungen nutzt den Abgleich von Gesichtsbildern bei der Identitätsbestätigung, was in den Anwendungsbereich der Regeln für Systeme künstlicher Intelligenz fällt und die parallele Erfüllung beider Regime verlangt (siehe Artikel zum AI Act). Finanzinstitute, die qualifizierte Signaturen, Siegel und Zertifikate nutzen, unterliegen wiederum den Anforderungen an digitale Resilienz, und Dienstleister dieses Sektors können der Überwachung kritischer externer IKT-Dienstleister unterfallen (siehe Artikel zu DORA).

Was vor der Einführung zu prüfen ist

Die erste Entscheidung betrifft, was die Organisation eigentlich braucht. Zu klären ist, welches Sicherheitsniveau dem Risiko des Dienstes entspricht und ob eine qualifizierte Signatur, ein Siegel oder ein Website-Zertifikat nötig ist - diese drei lösen verschiedene Probleme und werden oft verwechselt bestellt. Erst daraus folgt die Wahl des Anbieters, dessen Status auf der Vertrauensliste zu bestätigen ist, und zwar für den konkreten Dienst.

Die zweite Gruppe von Entscheidungen ist technisch. Systeme müssen Signaturen nicht nur erzeugen, sondern auch prüfen können, und zwar in den Formaten, die tatsächlich von Vertragspartnern eintreffen, und den Status eines Anbieters auf der europäischen Liste abfragen statt auf einer eigenen Kopie von vor einem Jahr. Nötig sind außerdem eine Kryptografierichtlinie samt Verwaltung und rechtzeitiger Erneuerung der Zertifikate sowie, bei lange aufzubewahrenden Dokumenten, qualifizierte Zeitstempel, ohne die die Beweiskraft mit dem Zertifikat erlischt.

Die dritte Gruppe betrifft das Kommende. Die Organisation sollte prüfen, ob sie zu den ab dem 24. Dezember 2027 zur Annahme der Identitäts-Wallet verpflichteten Stellen gehört, und wenn ja, die Anbindung als zusätzlichen Weg neben den bestehenden planen, samt Unterstützung der selektiven Attributoffenlegung. Die gesamte Konformitätsdokumentation führt man am besten als Teil eines Informationssicherheits-Managementsystems ^[9], denn sonst wird dieselbe Arbeit dreimal geleistet - einmal für eIDAS, einmal für NIS2 und einmal für die DSGVO.