Die eIDAS 2.0 Frist: Was bis zum 24. Dezember 2027 passiert

Das eine eIDAS 2.0 Datum, das private Organisationen bindet, ist der 24. Dezember 2027. An diesem Tag müssen private vertrauende Beteiligte, die - durch EU-Recht, nationales Recht oder Vertrag - zur starken Nutzerauthentifizierung bei der Online-Identifizierung verpflichtet sind, zusätzlich die EU Digital Identity Wallet akzeptieren, wann immer ein Nutzer sie freiwillig vorzeigen möchte. Die Pflicht steht in Artikel 5f der geänderten eIDAS-Verordnung. Sie trifft dabei längst nicht jedes Unternehmen: Kleinstunternehmen und Kleinunternehmen sind ausgenommen, und der Auslöser ist die Pflicht zur starken Authentifizierung, unabhängig davon, unter welchem Branchenetikett Sie Ihre Bilanz einreichen. Dieser Leitfaden zeigt, was bis zum 24. Dezember 2027 passiert, wen die Frist bindet, wie das Datum festgelegt wurde und was Sie 2026 und 2027 tun sollten, um bereit zu sein.

Die Verordnung (EU) 2024/1183 ändert die ursprüngliche eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014) und ist am 20. Mai 2024 in Kraft getreten. Von dort an läuft der Rahmen über eine Abfolge fester Meilensteine statt über ein einzelnes Stichtagsdatum. Zunächst die Fakten im Überblick.

Wen die Frist zum 24. Dezember 2027 tatsächlich bindet

Die Akzeptanzpflicht steht in Artikel 5f der geänderten Verordnung, und ihr Wortlaut zählt. Sie gilt für private vertrauende Beteiligte, die "nach Unionsrecht oder nationalem Recht verpflichtet sind, für die Online-Identifizierung eine starke Nutzerauthentifizierung zu verwenden, oder bei denen eine starke Nutzerauthentifizierung für die Online-Identifizierung vertraglich vorgeschrieben ist". Diese Beteiligten müssen spätestens 36 Monate nach Inkrafttreten der Wallet-Durchführungsrechtsakte und nur auf freiwilliges Verlangen des Nutzers auch europäische Digital Identity Wallets akzeptieren, die nach der Verordnung bereitgestellt werden.

Zwei Punkte werden regelmäßig missverstanden. Erstens: Der Auslöser ist die Pflicht zur starken Authentifizierung, und der Sektor allein entscheidet noch nichts. Artikel 5f nennt Verkehr, Energie, Banken, Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastruktur, Bildung und Telekommunikation, leitet die Liste aber mit den Worten "unter anderem in den Bereichen" ein. Diese Formulierung macht die Liste illustrativ. Wenn Sie gesetzlich oder vertraglich zur starken Nutzerauthentifizierung verpflichtet und nicht ausgenommen sind, kann die Pflicht Sie auch dann erreichen, wenn Ihre Tätigkeit auf der Liste fehlt; umgekehrt begründet die Zugehörigkeit zu einem genannten Sektor für sich allein noch keine Pflicht, wenn für Sie keine Anforderung an starke Authentifizierung gilt. Zweitens: Kleinstunternehmen und Kleinunternehmen im Sinne der Empfehlung 2003/361/EG der Kommission sind ausgenommen, die Akzeptanzpflicht zielt also auf größere vertrauende Beteiligte.

Die Ausnahme ist vernünftige Verhältnismäßigkeit, und sie ist enger, als viele annehmen, sobald verbundene Unternehmen und Partnerunternehmen mitgezählt werden. Bestimmen Sie Ihren Status sauber, halten Sie die Begründung schriftlich fest und lassen Sie sie von einer Führungskraft unterschreiben. Eine bloß angenommene Ausnahme ist eine Scope-Entscheidung, für die niemand die Verantwortung trägt.

Woher das Datum 24. Dezember 2027 kommt

Die Frist ist alles andere als eine geschätzte runde Zahl. Artikel 5f knüpft die Akzeptanzpflicht an "36 Monate ab dem Tag des Inkrafttretens der Durchführungsrechtsakte", die die technischen Regeln der Wallet festlegen. Diese ersten Durchführungsverordnungen wurden am 4. Dezember 2024 im Amtsblatt veröffentlicht und sind zwanzig Tage später, am 24. Dezember 2024, in Kraft getreten. Rechnet man 36 Monate hinzu, landet man beim 24. Dezember 2027.

Derselbe Anker setzt den früheren Meilenstein. Die Mitgliedstaaten müssen innerhalb von 24 Monaten nach den Durchführungsrechtsakten mindestens eine europäische Digital Identity Wallet bereitstellen, was die Wallet-Verfügbarkeit auf den 24. Dezember 2026 legt - die Kommission beschreibt das als Bereitstellung der Wallets für die Bürger bis Ende 2026. Die Reihenfolge ist bewusst gewählt: Wallets müssen existieren, bevor jemand zu ihrer Akzeptanz verpflichtet werden kann. Deshalb liegt der Bereitstellungsmeilenstein 2026 ein Jahr vor der Akzeptanzfrist 2027 und gibt vertrauenden Beteiligten echte Wallets, gegen die sie im Vorlauf testen können.

Anerkennung, wo sie verdient ist: Die Frist an die Durchführungsrechtsakte zu koppeln statt ein rundes Datum zu wählen, ist gute Gesetzestechnik, und die Sequenzierung ist wirklich durchdacht. Der Schwachpunkt ist die Annahme, dass die Mitgliedstaaten ihren eigenen Meilenstein einhalten. Kommen nationale Wallets zu spät oder mit rauen Kanten, verschiebt sich das Akzeptanzdatum kein Stück, und der Puffer verschwindet aus Ihrem Kalender statt aus deren. Planen Sie so, als wäre Ihr Testfenster kürzer, als es auf dem Papier aussieht.

Was ein vertrauender Beteiligter konkret tun muss

Die Akzeptanz der Wallet ist die Pflicht in der Schlagzeile, und daneben stehen weitere. Nach Artikel 5b muss sich ein vertrauender Beteiligter, der sich auf europäische Digital Identity Wallets stützen will, in dem Mitgliedstaat registrieren, in dem er niedergelassen ist, die Attribute deklarieren, die er anfordern will, und anschließend keine Daten über das Registrierte hinaus anfordern. Praktisch bedeutet das dreierlei: Registrieren Sie sich in Ihrem Heimat-Mitgliedstaat, gestalten Sie Ihren Identitätsablauf so, dass er nur die Attribute abfragt, die Sie wirklich brauchen, und bauen Sie die technische Fähigkeit auf, eine Wallet-Präsentation zu akzeptieren und zu validieren. Die Akzeptanzpflicht greift nur "auf freiwilliges Verlangen des Nutzers", die Wallet ist also eine Option, die Sie unterstützen müssen.

Nach Aufwand geordnet: Die Registrierung ist Verwaltungsarbeit, die Integration gewöhnliche Engineering-Arbeit. Die Attributdeklaration ist der Punkt, der Streit auslöst, denn sie zwingt Sie, jedes Feld Ihres Anmeldeformulars zu verteidigen, und die meisten Anmeldeformulare erheben Felder, die längst niemand mehr rechtfertigen kann. Führen Sie dieses Gespräch mit dem Produktteam früh, denn das Kürzen eines produktiven Onboarding-Ablaufs braucht mehr Freigaben als der Bau des Wallet-Handlers.

Das ist die Spur der vertrauenden Beteiligten. Parallel dazu läuft eine eigene, kontinuierliche Spur für Vertrauensdiensteanbieter, und beide sollten sauber auseinandergehalten werden.

Wer qualifizierte Vertrauensdienste betreibt, dessen Pflichten hängen überhaupt nicht am Datum 2027. Nach Artikel 20 müssen qualifizierte Vertrauensdiensteanbieter auf eigene Kosten mindestens alle 24 Monate von einer Konformitätsbewertungsstelle auditiert werden. Nach Artikel 19 müssen qualifizierte wie nicht qualifizierte Vertrauensdiensteanbieter der Aufsichtsstelle jede Sicherheitsverletzung oder jeden Integritätsverlust mit erheblichen Auswirkungen "unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntniserlangung" melden. Das sind laufende Rhythmen und keine einmaligen Fristen, und sie gelten unabhängig davon, was im Dezember 2027 geschieht. Die Vorfallsuhr verdient eine Markierung. Für einen kleinen Vertrauensdiensteanbieter ist dieses Fenster eng, und der schwierige Teil ist selten das Schreiben der Meldung. Es ist die Entscheidung, schnell und auf unvollständiger Informationslage, dass das, was Sie vor sich haben, erhebliche Auswirkungen hat. Halten Sie diese Ermessensentscheidung jetzt als Verfahren fest und benennen Sie eine Person, die sie auch außerhalb der Geschäftszeiten treffen kann.

Was 2026 zu tun ist

2026 ist das Jahr, um ohne Druck vorzubereiten. Beginnen Sie mit der Bestätigung des Geltungsbereichs: Arbeiten Sie den Auslöser aus Artikel 5f durch - besteht eine gesetzliche oder vertragliche Pflicht zur starken Authentifizierung, und schließen die Schwellenwerte für Kleinstunternehmen und Kleinunternehmen Sie aus -, damit Sie wissen, ob die Akzeptanzpflicht Sie überhaupt betrifft. Führen Sie danach eine Gap-Analyse gegen die Wallet-Anforderungen durch und kartieren Sie, was fehlt. Wenn die Wallets der Mitgliedstaaten Richtung 24. Dezember 2026 live gehen, erproben Sie die Wallet-Akzeptanz in einem Testablauf, damit die Integrationsarbeit verstanden ist, lange bevor sie dringend wird.

Realistisch betrachtet ist die Bestätigung des Geltungsbereichs ein Nachmittag Vertragslektüre plus ein Rechtsgutachten. Die Gap-Analyse ist eine Woche. Alles danach hängt davon ab, wie viele Identitäts- und Login-Abläufe Sie besitzen, und die meisten Organisationen besitzen mehr, als das Architekturdiagramm zugibt. Sie ehrlich zu zählen ist das Nützlichste, was Sie tun können, solange kein Druck herrscht.

Was 2027 zu tun ist

2027 ist das Lieferjahr. Integrieren Sie in der ersten Jahreshälfte die Wallet in Ihre produktiven Identitäts- und Login-Strecken und testen Sie sie unter Produktionsbedingungen. Schließen Sie in der zweiten Jahreshälfte Ihre Registrierung nach Artikel 5b in Ihrem Heimat-Mitgliedstaat ab und gehen Sie vor dem 24. Dezember 2027 live. Integration und Registrierung auf die letzten Wochen zu verschieben ist das größte vermeidbare Risiko, denn die Akzeptanz muss für echte Nutzer mit echten Wallets funktionieren, und Identitätsabläufe verhalten sich in der Produktion selten so wie in einer Sandbox.

Ein praktischer Weg zur Bereitschaft

Das Zeitfenster wirkt großzügig, doch die Arbeit ist real, und sie zerfällt in sechs Schritte. Bestätigen Sie den Geltungsbereich anhand des Auslösers in Artikel 5f. Inventarisieren Sie jeden Identitäts- und Authentifizierungsablauf, der die Wallet akzeptieren könnte. Führen Sie eine Gap-Analyse gegen die eIDAS-Wallet-Anforderungen durch. Verwenden Sie die Sicherheitsnachweise wieder, die Sie aus benachbarten Pflichten bereits besitzen. Planen Sie die Wallet-Integration und schließen Sie Ihre Registrierung im Mitgliedstaat ab. Testen Sie dann und gehen Sie vor dem 24. Dezember 2027 live.

Häufig gestellte Fragen

Was genau passiert am 24. Dezember 2027?

Private vertrauende Beteiligte, die gesetzlich oder vertraglich zur starken Nutzerauthentifizierung bei der Online-Identifizierung verpflichtet sind, müssen ab diesem Datum zusätzlich die EU Digital Identity Wallet akzeptieren, wann immer ein Nutzer sie freiwillig vorzeigen möchte. Das Datum liegt 36 Monate nach dem Inkrafttreten der Wallet-Durchführungsrechtsakte am 24. Dezember 2024, und die Pflicht steht in Artikel 5f der geänderten eIDAS-Verordnung.

Gilt die Akzeptanzpflicht automatisch für meinen Sektor?

Nein. Artikel 5f nennt Sektoren wie Verkehr, Energie, Banken, Finanzdienstleistungen, Gesundheit, Bildung und Telekommunikation, leitet sie aber mit den Worten "unter anderem in den Bereichen" ein, was die Liste zu einer illustrativen Aufzählung macht. Der eigentliche Auslöser ist eine gesetzliche oder vertragliche Pflicht zur starken Nutzerauthentifizierung. Gilt diese Pflicht für Sie und sind Sie nicht ausgenommen, kann die Pflicht Sie auch außerhalb der genannten Sektoren erreichen.

Sind kleine Unternehmen ausgenommen?

Ja, teilweise. Kleinstunternehmen und Kleinunternehmen im Sinne der Empfehlung 2003/361/EG der Kommission sind von der Akzeptanzpflicht des Artikels 5f ausgenommen, die Pflicht richtet sich also an größere vertrauende Beteiligte. Prüfen Sie Ihre Beschäftigtenzahl und Ihren Umsatz gegen diese Definition, bevor Sie von einer Pflicht ausgehen.

Wann werden die Wallets tatsächlich existieren?

Jeder Mitgliedstaat muss innerhalb von 24 Monaten nach den Durchführungsrechtsakten mindestens eine EU Digital Identity Wallet bereitstellen, was die Verfügbarkeit auf den 24. Dezember 2026 legt. Die Europäische Kommission beschreibt das als Bereitstellung der Wallets für die Bürger bis Ende 2026. Deshalb liegt die Akzeptanzfrist ein Jahr später: Vertrauende Beteiligte brauchen zuerst echte Wallets zum Testen.

Ist eIDAS 2.0 eine komplett neue Verordnung?

Nein. Die Verordnung (EU) 2024/1183 ändert die ursprüngliche eIDAS-Verordnung, die Verordnung (EU) Nr. 910/2014, und lässt sie fortbestehen. Bestehende Vertrauensdienste laufen weiter, und der Wallet-Rahmen sowie die Akzeptanzpflicht für vertrauende Beteiligte kommen obendrauf. Wer bereits Vertrauensdienste betreibt, für den gelten die vertrauten Pflichten aus Artikel 19 und Artikel 20 weiter.

Mit Venvera bereit für eIDAS 2.0

Der Geltungsbereich ist das Erste, was stimmen muss, denn ob die Pflicht aus Artikel 5f Sie überhaupt betrifft, entscheidet, wie viel Arbeit vor Ihnen liegt. Das Venvera eIDAS 2.0 Modul verwandelt den Auslösertest, die Registrierungspflichten und den Weg zur Bereitschaft in eine nachverfolgte Gap-Analyse, sodass Sie sehen, wo Sie stehen, statt zu raten. Weil sich die Wallet-Anforderungen mit Sicherheitskontrollen überschneiden, die Sie womöglich bereits betreiben, lässt Sie die Crosswalk-Engine Nachweise aus benachbarten Rahmenwerken wie NIS2 wiederverwenden, statt dieselben Kontrollen zweimal aufzubauen.

Wenn Sie vor der Planung der Arbeit für 2026 und 2027 eine schnelle Ausgangsbasis wollen, führen Sie einen kostenlosen Compliance-Check durch und nutzen Sie die Scope-Fragen oben als Startpunkt. Weil eIDAS 2.0 die ursprüngliche Verordnung ändert und fortbestehen lässt, laufen Ihre bestehenden Vertrauensdienste weiter, während die Wallet-Akzeptanzpflicht darüber gelegt wird.

Primärquellen

Dieser Leitfaden stützt sich auf die Verordnung und offizielle Leitlinien: die Verordnung (EU) 2024/1183 (die Änderungsverordnung, einschließlich Artikel 5b, Artikel 5f, Artikel 19 und Artikel 20); die Seiten der Europäischen Kommission zur European Digital Identity (EUDI) Regulation; und die Dokumentation der Kommission zur EU Digital Identity Wallet zu den Durchführungsverordnungen und dem Wallet-Meilenstein Ende 2026. Prüfen Sie stets den aktuellen Wortlaut, bevor Sie sich auf ein bestimmtes Datum oder einen bestimmten Artikel stützen.