Question 1

Was ist eIDAS 2.0, und ab wann gilt die Verordnung?

Accepted Answer

eIDAS 2.0 ist der aktualisierte EU-Rahmen für elektronische Identifizierung und Vertrauensdienste. Er wurde durch die Verordnung (EU) 2024/1183 geschaffen, die die ursprüngliche eIDAS-Verordnung geändert hat und am 20. Mai 2024 in Kraft getreten ist. Die zentrale Neuerung ist die europäische Brieftasche für die digitale Identität (EUDI-Wallet): Jeder Mitgliedstaat muss Bürgerinnen und Bürgern sowie Unternehmen eine Wallet bereitstellen, und bestimmte Organisationen des Privatsektors müssen sie akzeptieren. Der Rahmen modernisiert außerdem die Regeln für Vertrauensdienste wie elektronische Signaturen, Siegel, Zeitstempel, die Zustellung elektronischer Einschreiben, Archivierung und elektronische Journale. Die Mitgliedstaaten sollen bis Ende 2026 Wallets bereitstellen, und erfasste private vertrauende Beteiligte müssen die Wallet bis zum 24. Dezember 2027 akzeptieren können.

Question 2

Welche Unternehmen müssen eIDAS 2.0 einhalten?

Accepted Answer

Der Anwendungsbereich ergibt sich aus der Rolle, die ein Unternehmen ausübt, nicht einfach aus seinem Sektor. Sie fallen darunter, wenn Sie einer der folgenden Akteure sind: Vertrauensdiensteanbieter, Anbieter einer EUDI-Wallet, ein Unternehmen, das Identitätsdaten aus Wallets abfragt (ein vertrauender Beteiligter), eine sehr große Online-Plattform nach dem Digital Services Act, die eine Anmeldung verlangt, oder ein Browser-Anbieter. Der häufigste Auslöser im Privatsektor ist Art. 5f: Unternehmen, die weder Kleinst- noch Kleinunternehmen sind und aufgrund von EU-Recht, nationalem Recht oder einer vertraglichen Pflicht eine starke Nutzerauthentifizierung für die Online-Identifizierung verwenden müssen, müssen die Wallet akzeptieren. Artikel 5f nennt die Sektoren, die am wahrscheinlichsten betroffen sind: Bankwesen, Finanzdienstleistungen, Verkehr, Energie, Gesundheit, Telekommunikation, Postdienste, digitale Infrastruktur, Bildung, Trinkwasser und soziale Sicherheit.

Question 3

Welche Frist gilt nach eIDAS 2.0?

Accepted Answer

Das entscheidende Datum für die meisten privaten Unternehmen ist der 24. Dezember 2027. Artikel 5f Abs. 2 gibt erfassten privaten vertrauenden Beteiligten 36 Monate ab Inkrafttreten der maßgeblichen Durchführungsrechtsakte zur Wallet, und diese Rechtsakte sind am 24. Dezember 2024 in Kraft getreten. Rechnerisch ergibt sich daraus als Frist für die Wallet-Akzeptanz der 24. Dezember 2027. Davon unabhängig sollen die Mitgliedstaaten ihre nationalen Wallets bis Ende 2026 bereitstellen. Vertrauensdiensteanbieter haben bereits laufende Pflichten, darunter eine erneute Konformitätsbewertung mindestens alle 24 Monate für qualifizierte Vertrauensdienste.

Question 4

Ist mein Unternehmen als Kleinunternehmen ausgenommen?

Accepted Answer

Kleinst- und Kleinunternehmen sind von der verpflichtenden Wallet-Akzeptanz nach Art. 5f Abs. 2 ausgenommen. Nach dem KMU-Test der EU bedeutet Kleinstunternehmen weniger als 10 Beschäftigte und höchstens 2 Millionen Euro Umsatz oder Bilanzsumme; Kleinunternehmen bedeutet weniger als 50 Beschäftigte und höchstens 10 Millionen Euro. Konzern- und Partnerbeziehungen zählen mit, sodass ein Unternehmen mit weniger als 50 Beschäftigten den Test für Kleinunternehmen trotzdem wegen seiner Finanzen oder seiner Eigentümerstruktur verfehlen kann. Die Ausnahme ist keine pauschale Befreiung von eIDAS: Auch ein Kleinst- oder Kleinunternehmen hat Pflichten, wenn es als Vertrauensdiensteanbieter tätig ist, eine Wallet bereitstellt, elektronische Attributsbescheinigungen ausstellt, als akkreditierte Konformitätsbewertungsstelle handelt oder freiwillig Daten aus Wallets abfragt.

Question 5

Was muss ein vertrauender Beteiligter nach eIDAS 2.0 konkret tun?

Accepted Answer

Ein vertrauender Beteiligter muss sich in den Mitgliedstaaten registrieren, in denen er niedergelassen ist, und dabei die beabsichtigte Nutzung der Wallet sowie die Daten angeben, die er abfragen wird. Er muss sich gegenüber Wallet-Nutzern identifizieren, damit diese wissen, wer ihre Daten anfragt. Er muss technisch in der Lage sein, die Wallet als Authentifizierungsmittel zu akzeptieren, wo eine starke Nutzeridentifizierung verlangt wird, die empfangenen Credentials und Bescheinigungen validieren und nur die Attribute abfragen, die er bei der Registrierung angegeben hat. Er muss Datenminimierung und Zweckbindung anwenden, darf Nutzer nicht dienstübergreifend verfolgen und muss Aufzeichnungen führen, die zum Nachweis der Einhaltung ausreichen. Nutzer, die sich für die Wallet entscheiden, dürfen nicht benachteiligt werden.

Question 6

Gibt es Compliance-Software für eIDAS 2.0?

Accepted Answer

Ja. Venvera ist Compliance-Software für eIDAS 2.0, gebaut für die Compliance-Verantwortlichen, nicht für die Wallet-Entwicklung. Sie erhalten einen zugeschnittenen Kontrollsatz, einen Anwendbarkeits- und KMU-Test, einen Tracker für die Wallet-Bereitschaft mit Countdown bis zur Frist am 24. Dezember 2027, eine Gap-Analyse, die genau zeigt, wo Sie stehen, und einen Arbeitsbereich für Nachweise mit Ablauf und Erneuerung. Weil Venvera Kontrollen über Rahmenwerke hinweg zuordnet, füllt die Arbeit, die Sie bereits für DORA, NIS2 und ISO 27001 geleistet haben, einen großen Teil Ihrer eIDAS-Ausgangslage vor, und die bedingten Pflichten der Vertrauensdiensteanbieter werden automatisch ein- oder ausgeschlossen. Sie können mit einem kostenlosen Gap-Bericht beginnen, bevor Sie sich auf irgendetwas festlegen.

Question 7

Wie unterstützt Venvera Sie bei eIDAS 2.0?

Accepted Answer

Venvera fügt eIDAS 2.0 als Rahmenwerk neben den Regelwerken hinzu, die Sie bereits umsetzen. Sie erhalten einen zugeschnittenen Kontrollsatz für Anwendbarkeit und KMU-Test, Registrierung und Identifizierung als vertrauender Beteiligter, Bereitschaft zur Wallet-Akzeptanz, Datenminimierung, Nutzung von Vertrauensdiensten, Meldung von Sicherheitsvorfällen und, soweit relevant, die Pflichten der Vertrauensdiensteanbieter einschließlich des 24-monatigen Neubewertungszyklus. Eine Gap-Analyse zeigt genau, wo Sie stehen und was als Nächstes zu beheben ist. Weil Venvera Kontrollen über Rahmenwerke hinweg zuordnet, füllen die Nachweise, die Sie bereits für DORA, NIS2 und ISO 27001 vorhalten (starke Authentifizierung, Vorfallsmeldung, Zertifikatsverwaltung, Lieferantenkontrollen), einen großen Teil Ihrer eIDAS-Ausgangslage vor, und Evidence Autopilot fordert den Rest bei den richtigen Ansprechpartnern der jeweiligen Bereiche an.

Question 8

Ersetzt eIDAS 2.0 die bisherige Verordnung eIDAS 1?

Accepted Answer

Nein. eIDAS 2.0 ändert und erweitert die ursprüngliche eIDAS-Verordnung von 2014, statt sie zu ersetzen. Die bestehenden Vertrauensdienste und ihre Rechtswirkungen bleiben erhalten, und die Änderungen ergänzen die EUDI-Wallet, neue Vertrauensdienste wie die elektronische Archivierung, elektronische Journale und die Verwaltung von Fernsignaturerstellungseinheiten sowie die Akzeptanzpflichten für vertrauende Beteiligte. Wenn Sie sich bereits unter eIDAS 1 auf qualifizierte elektronische Signaturen oder Siegel gestützt haben, funktionieren diese weiter; die neuen Pflichten kommen hinzu.

Question 9

Was passiert, wenn wir die Frist verpassen?

Accepted Answer

Erfasste vertrauende Beteiligte, die die Wallet nach Ablauf der Frist nicht akzeptieren können, müssen mit aufsichtlichen Maßnahmen nach den nationalen Durchführungsbestimmungen zur Verordnung rechnen, und Vertrauensdiensteanbietern drohen bei Verstößen Aufsicht, Prüfung und möglicherweise der Verlust des qualifizierten Status. Über die Durchsetzung hinaus ist das praktische Risiko kommerziell: Partner und regulierte Gegenparteien erwarten zunehmend Wallet-Akzeptanz und gültige Vertrauensdienste, sodass fehlende Bereitschaft zum Geschäftshindernis wird. Der sicherste Weg zum Termin 2027 ist, das Vorhaben früh zu starten und dabei jede Gesellschaft und jeden kundennahen Dienst zu erfassen.

Bereich	ISO 27001	eIDAS 2.0
Schlüsselmanagement	A.8.24Verwendung von Kryptografie	EIDAS-15Management des Zertifikatslebenszyklus
Authentifizierung und MFA	A.5.17Authentifizierungsinformationen A.8.5Sichere Authentifizierung	EIDAS-17Sicherheit von Identifizierungssystemen
Protokollierung und Überwachung	A.8.15Protokollierung A.8.16Überwachung von Aktivitäten	EIDAS-13Aufzeichnungen über Identitätstransaktionen
Vorfallsmanagement	A.5.24Planung der Handhabung von Informationssicherheitsvorfällen A.5.25Beurteilung und Entscheidung über Informationssicherheitsereignisse A.5.26Reaktion auf Informationssicherheitsvorfälle	EIDAS-18Reaktion auf und Meldung von Identitätsvorfällen
Lieferantenverträge	A.5.20Behandlung der Informationssicherheit in Lieferantenvereinbarungen	EIDAS-19Pflichten von Lieferanten bei Identitätsdiensten

Die Wallet-Akzeptanz wird Pflicht am 24. Dezember 2027.

Wie viel von eIDAS 2.0 erfüllen Sie bereits?

Compliance-Software für eIDAS 2.0: Wallet-Akzeptanz und Vertrauensdienste

Was ist eIDAS 2.0, und fallen Sie darunter?

Klären Sie Gesellschaft für Gesellschaft, ob eIDAS 2.0 gilt.

Seien Sie vor Ablauf der Frist bereit, die Wallet zu akzeptieren.

Fragen Sie nur das Minimum ab. Und belegen Sie es.

Ihre Arbeit für DORA und NIS2 zählt auch hier.

Für Anbieter: die 24-Monats-Uhr im Griff.

Wissen Sie in fünf Minuten genau, wo Sie stehen.

Die Tabelle oder Venvera.

eIDAS 2.0, beantwortet.

Leitfäden zu eIDAS 2.0

Wissen Sie, wo Sie bei eIDAS 2.0 stehen, lange vor 2027.