eIDAS-Compliance-Software: Ein Einkaufsleitfaden für eIDAS 2.0

Suchen Sie nach eIDAS-Compliance-Software, finden Sie drei verschiedene Arten von Produkten, die dieselben zwei Worte tragen. Ein Anbieter verkauft eine kryptographische Engine, die qualifizierte elektronische Signaturen, Siegel und Zeitstempel erzeugt. Ein anderer verkauft ein Wallet- und Verifikations-Toolkit, das die EU Digital Identity Wallet integriert und die vorgezeigten Credentials prüft. Ein dritter verkauft eine Governance- und Compliance-Plattform, die Ihre Controls, Ihre Pflichten, Ihre Nachweise und Ihre Fristen in Ordnung hält. Alle drei beanspruchen den Begriff zu Recht. Keines davon erledigt die Aufgaben der anderen beiden. Kaufen Sie die falsche Kategorie, zahlen Sie entweder für Kryptographie, die Sie nie betreiben werden, oder Sie erreichen den 24. Dezember 2027 mit einem Signatur-Tool und ohne Beleg, dass Ihre Organisation ihre Pflichten tatsächlich erfüllt.

Dieser Leitfaden richtet sich an die Person, die die eIDAS-2.0-Compliance-Entscheidung verantwortet: die Compliance-Leitung, den Datenschutzbeauftragten, den CISO oder eine Schlüsselperson bei einem Vertrauensdiensteanbieter. Er erklärt die Kategorien in klarer Sprache, beschreibt, was die Governance-Schicht konkret abdecken muss, und zeigt, wie das richtige Tooling Arbeit wiederverwendet, die Sie bereits für DORA, NIS2 und ISO 27001 geleistet haben. Er ist bewusst ehrlich beim Scope, denn gegenüber einer Aufsichtsbehörde verliert man am schnellsten Glaubwürdigkeit, wenn man behauptet, die eigene Software könne etwas, das sie nicht kann.

Was eIDAS 2.0 tatsächlich ist und warum der Begriff mehrdeutig ist

eIDAS 2.0 ist die Verordnung (EU) 2024/1183, die die ursprüngliche eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014) ändert und den europäischen Rahmen für die digitale Identität sowie die EU Digital Identity Wallet (EUDI Wallet) schafft. Sie ist am 20. Mai 2024 in Kraft getreten. Die ersten Durchführungsverordnungen zur Wallet wurden am 4. Dezember 2024 im Amtsblatt veröffentlicht und sind am 24. Dezember 2024 in Kraft getreten. Von dort an läuft der Rahmen über eine Abfolge fester Meilensteine.

Das Datum, das private Organisationen bindet, ist der 24. Dezember 2027. An diesem Tag müssen private vertrauende Parteien, die (durch EU-Recht, nationales Recht oder vertraglich) verpflichtet sind, eine starke Nutzerauthentifizierung für die Online-Identifizierung zu verwenden, auch die EU Digital Identity Wallet akzeptieren, wann immer eine Nutzerin oder ein Nutzer sie vorzeigen möchte. Diese eine Pflicht verwandelt eIDAS 2.0 von einer politischen Schlagzeile in ein Projekt mit Frist, und sie ist der Grund, warum „eIDAS-Compliance-Software" plötzlich eine Kategorie ist, nach der Menschen suchen. Artikel 5f ist bei der Pflicht klar und beim Auslöser sperrig. Die Wallet zu akzeptieren, wenn jemand sie vorzeigt, ist leicht zu verstehen. Herauszufinden, ob Sie erfasst sind, ist der schwierige Teil, denn der Test hängt davon ab, ob ein anderes Gesetz oder ein Vertrag bereits eine starke Nutzerauthentifizierung verlangt - Ihre Scope-Antwort liegt also in sektoralen Regeln und Kundenverträgen und erst in zweiter Linie in eIDAS selbst. Wenn Sie noch klären, ob die Verordnung Sie erreicht, beginnen Sie mit unseren Begleitleitfäden dazu, wer eIDAS 2.0 erfüllen muss und was bis zum 24. Dezember 2027 passiert, und kommen Sie dann für die Tooling-Frage hierher zurück.

Die drei Kategorien von eIDAS-Software

Ein Großteil der Verwirrung im Markt entsteht, weil Käufer „eIDAS-Software" eintippen, ein Produkt erwarten und Anbieter aus drei verschiedenen Disziplinen finden, die um den Klick konkurrieren. Hier ist die saubere Aufteilung. Wenn Sie dieses Jahr nur eine der drei Kategorien finanzieren können, finanzieren Sie zuerst die Governance-Schicht: Sie liefert die Scope-Entscheidung, die Ihnen sagt, was Sie in den anderen beiden Kategorien kaufen müssen. In umgekehrter Reihenfolge riskieren Sie, Wallet-Akzeptanz in einen Dienst einzubauen, der sich später als außerhalb des Anwendungsbereichs herausstellt.

1. Vertrauensdienst- und Signatur-Engines

Diese Plattformen erzeugen qualifizierte elektronische Signaturen, elektronische Siegel, Zeitstempel und Dienste für die elektronische Einschreib-Zustellung und stellen die dahinterliegenden Zertifikate aus. Sie sind das kryptographische Herz der Vertrauensdienst-Seite von eIDAS. Wenn Sie ein Dokument auf qualifiziertem Niveau signieren oder besiegeln müssen, brauchen Sie eine davon, und kein Governance-Tool ersetzt sie. Käufer bewerten sie nach kryptographischer Konformität, qualifiziertem Status, Hardware-Sicherheitsmodulen und Signatur-Durchsatz.

2. Wallet- und Verifikations-Toolkits

Das sind die SDKs und Dienste, die die EU Digital Identity Wallet bauen oder integrieren, Attestierungen anfragen und die Authentizität, Integrität und den Widerrufsstatus eines Credentials, das eine Nutzerin oder ein Nutzer vorzeigt, kryptographisch prüfen. Wenn Sie als vertrauende Partei die Wallet-Akzeptanz in Ihren Login- oder Checkout-Flow einbauen, ist das die Schicht, die den eigentlichen Verifikations-Handshake ausführt. Käufer bewerten sie nach Protokollkonformität, Wallet-Interoperabilität und Integrationsaufwand.

3. Governance- und Compliance-Software

Das ist die Schicht, die Ihre eIDAS-2.0-Pflichten managt: Anwendbarkeit nach Rolle, das Control-Set, die schriftlichen Richtlinien, die Nachweise, die Vorfalls- und Meldepflichten und den Countdown zur Frist. Hier sitzt eIDAS-2.0-Compliance-Software wie Venvera. Sie signiert keine Dokumente, stellt keine Zertifikate aus und prüft kein Wallet-Credential kryptographisch. Sie ergänzt Ihre Signatur-Engine und Ihr Wallet-Toolkit, indem sie belegt, dass die Organisation, die beide betreibt, korrekt gescopet, kontrolliert, dokumentiert und bereit ist. Diese Grenze klar zu benennen zählt: Eine Governance-Plattform, die behauptete, kryptographische Verifikation durchzuführen, würde sich falsch darstellen, und eine Aufsichtsbehörde würde das schnell herausfinden.

Wer im Anwendungsbereich ist und was eIDAS-Compliance-Software für jede Rolle leistet

Der Anwendungsbereich von eIDAS 2.0 richtet sich allein nach der Rolle, die Sie spielen, unabhängig vom Branchenlabel in Ihren Unterlagen. Drei Rollen zählen für die Kaufentscheidung.

• Private vertrauende Parteien. Wenn Sie gesetzlich oder vertraglich verpflichtet sind, eine starke Nutzerauthentifizierung für die Online-Identifizierung zu verwenden, verlangt Artikel 5f, dass Sie bis zum 24. Dezember 2027 die EU Digital Identity Wallet akzeptieren, wenn eine Nutzerin oder ein Nutzer sie vorzeigt. Kleinstunternehmen und kleine Unternehmen sind ausgenommen. Für eine vertrauende Partei besteht die Aufgabe der Governance-Software darin, die Anwendbarkeit je Einheit und je Dienst zu belegen, die Wallet-Akzeptanz-Readiness nachzuweisen und die Aufzeichnungen zu Datenminimierung und Transparenz zu führen, die die Verordnung erwartet.
• Vertrauensdiensteanbieter (TSPs) und qualifizierte Vertrauensdiensteanbieter (QTSPs). Wenn Sie Signaturen, Siegel, Zeitstempel, Zustelldienste oder Zertifikate für die Website-Authentifizierung anbieten, tragen Sie die Vertrauensdienst-Pflichten: Sicherheits- und Vorfallsmeldung sowie, für qualifizierte Anbieter, die regelmäßige Konformitätsbewertung. Die Aufgabe der Governance-Software ist hier, diese Pflichten mit Verantwortlichen, Nachweisen und laufender Uhr zu führen.
• Wallet-Anbieter. Die Wallets stellen die Mitgliedstaaten selbst bereit. Die meisten Organisationen, die dies lesen, sind keine Wallet-Anbieter, weshalb diese Rolle selten einen Software-Kauf auslöst; sie definiert aber das Ökosystem, in das Ihre Pflichten als vertrauende Partei eingebettet sind.

Der praktische Punkt ist, dass eine Organisation mehr als einen Hut tragen kann. Eine Bank kann beim Login vertrauende Partei und zugleich Vertrauensdiensteanbieter für ihren Siegeldienst sein. Gute eIDAS-Compliance-Software scopet jede Pflicht unabhängig, damit Sie weder Pflichten beanspruchen, die nicht gelten, noch solche übersehen, die gelten. Den vollständigen Rolle-für-Rolle-Test finden Sie unter wer die EUDI Wallet akzeptieren muss.

Was eIDAS-Governance-Software abdecken muss

Die Pflichten bilden ein stehendes Set, das eine Aufsichtsbehörde jederzeit prüfen kann, und verlangen deshalb laufende Pflege. Gute eIDAS-2.0-Software macht aus jeder Pflicht etwas Strukturiertes mit Verantwortlichem, Nachweis und Review-Termin und holt sie damit aus der Folie, die jemand 2025 gebaut hat. Venvera organisiert diese Oberfläche in sieben Readiness-Bereiche, abgebildet auf 24 Controls.

Readiness-Bereich	Was die Software managt
Scope & Governance	Anwendbarkeit nach Artikel 5f je Einheit und Dienst, Verantwortlichkeiten, Richtlinien-Set
Nutzertransparenz	Was Sie Nutzern über Identitätsdaten, Einwilligung und Zweck mitteilen
Wallet-Readiness	Akzeptanzfähigkeit, Attestierungsvalidierung als geprüftes Control, Fallback
Datenschutz	Datenminimierung, Aufbewahrung und die DSGVO-Überschneidung bei Identitätsdaten
Vertrauensdienste	Governance von Signaturen, Siegeln, Zeitstempeln und Zertifikaten (falls Sie sie anbieten)
Sicherheit & Vorfälle	Reaktion auf Identitätsvorfälle und die Meldepflicht bei Sicherheitsverletzungen mit laufender Uhr
TSP-Pflichten (bedingt)	Melde- und Konformitätsbewertungspflichten, nur gescopet, wenn Sie ein TSP sind

Venveras eIDAS-2.0-Modul deckt diese Oberfläche mit 24 Controls über diese sieben Bereiche ab. Der Sinn des Zählens von Controls ist, dass jede Pflicht ein Zuhause, einen Verantwortlichen, einen Nachweis und einen Review-Termin hat, statt drei Wochen vor einer Frist im Gedächtnis von jemandem zu leben.

Wallet-Akzeptanz ist ein Control, das Sie nachweisen; die Kryptographie dafür liefert Ihr Wallet-Toolkit

Das ist die wichtigste Grenze, die Sie beim Einkauf von eIDAS-Compliance-Software richtig ziehen müssen, und sie ist das direkte Gegenstück zur bewährten Regel, dass ein Governance-Tool weder Ihr Kapital berechnet noch Ihren Penetrationstest durchführt. Der Bereich Wallet-Readiness umfasst die Attestierungsvalidierung: die Prüfung von Authentizität, Integrität und Widerrufsstatus eines Credentials, das eine Nutzerin oder ein Nutzer vorzeigt. Diese kryptographische Prüfung erledigt Ihr Wallet-Toolkit oder Ihr Verifier, Kategorie zwei oben. Eine Governance-Plattform führt sie an keiner Stelle aus.

Was die Governance-Schicht besitzt, ist der Beleg darum herum. Das heißt: die Aufzeichnung, dass Ihre Akzeptanzfähigkeit existiert und getestet wurde, der Nachweis, dass Ihr Validierungsprozess so läuft, wie Ihre Richtlinie es beschreibt, die Datenminimierungs-Controls, die verhindern, dass Sie mehr Identitätsdaten erheben, als die Transaktion braucht, und der Fallback-Pfad für den Fall, dass jemand keine Wallet vorzeigt. In Artikel 5f geht es darum, die Wallet akzeptieren zu können und dies rechtmäßig zu tun. Die Governance-Software belegt, dass Sie diese Pflicht erfüllen. Den Verifikations-Handshake selbst führt sie an keiner Stelle aus, und ein seriöser Anbieter behauptet das auch nie. Ein Anbieter, der diese Linie verwischt, verkauft Ihnen ein Glaubwürdigkeitsproblem vor Ihrer Aufsichtsbehörde.

Der Crosswalk: DORA- und NIS2-Nachweise wiederverwenden und die eIDAS-spezifischen Pflichten ehrlich einzeln belegen

Hier ist die Einsicht, die die Ökonomie von eIDAS 2.0 für die meisten Organisationen verändert. Wenn Sie groß genug sind, um vertrauende Partei nach Artikel 5f zu sein, tragen Sie sehr wahrscheinlich bereits andere EU-Pflichten mit hohen Governance-Anforderungen. Der Digital Operational Resilience Act (DORA) gilt seit Januar 2025 für Finanzunternehmen. Viele Organisationen halten ISO 27001. Etliche fallen unter NIS2. Jedes dieser Regime verlangt organisatorische Controls, die sich mit Teilen von eIDAS 2.0 tatsächlich überschneiden: Incident-Response- und Melde-Governance, Zugriffs- und Identitäts-Governance, Aufzeichnungsführung und Verantwortung der Leitungsebene.

Ohne Crosswalk weisen Sie jeden dieser Punkte separat nach, einmal pro Framework, in einem anderen Tool oder Ordner, mit einem anderen Review-Rhythmus. Das ist doppelte Arbeit und doppeltes Drift-Risiko. Ein Crosswalk ordnet einen einzelnen Nachweis jedem Framework zu, das er tatsächlich erfüllt. Belegen Sie Ihre Incident-Response-Governance einmal für DORA und NIS2, und das überlappende eIDAS-Control ist aus demselben Nachweis erfüllt. Einmal nachweisen, überall dort konform, wo es ehrlich zutrifft.

Die Disziplin, die das ehrlich hält, besteht darin zu wissen, was niemals automatisch erfüllt werden darf. In Venveras eIDAS-2.0-Modul sind nur 5 der 24 Controls echte organisatorische Prozess-Überschneidungen, die DORA-, NIS2- oder ISO-27001-Nachweise wiederverwenden. Die übrigen 19 sind eIDAS-spezifisch und nativ: Sie müssen direkt nachgewiesen werden, weil kein DORA- oder ISO-Control sie belegt. Es gibt keine Incident-Management-Richtlinie, die belegt, dass „wir die EU Digital Identity Wallet akzeptieren können", und kein ISO-Zugriffskontrolldokument, das belegt, dass „wir uns als vertrauende Partei registriert haben". Etwas anderes vorzugeben erzeugt Schein-Abdeckung, und Schein-Abdeckung ist schlimmer als keine Abdeckung, weil sie die Lücke versteckt. Ein seriöses Tool verwendet wieder, was sich tatsächlich überschneidet, und verweigert den automatischen Anspruch für alles Übrige. Lesen Sie diese Aufteilung als Aufwandsprognose. Die überlappenden Controls wissen Sie bereits nachzuweisen, sie kosten Sie einen Export. Die eIDAS-spezifischen sind frische Arbeit, und am langsamsten sind die Anwendbarkeitsfeststellung und die Datenminimierungs-Disziplin bei Identitätsattributen, weil beide Entscheidungen von Menschen außerhalb der Compliance brauchen.

Vertrauensdiensteanbieter: die 24-Stunden-Uhr und die Konformitätsbewertung

Wenn Sie Vertrauensdiensteanbieter sind, fügt eIDAS Pflichten hinzu, die eine vertrauende Partei nicht trägt, und Ihre eIDAS-Compliance-Software muss sie als erstklassige, zeitgebundene Pflichten behandeln statt als generische Aufgaben.

• Die Meldeuhr bei Sicherheitsverletzungen. Eine erhebliche Sicherheitsverletzung oder ein Integritätsverlust muss der Aufsichtsstelle unverzüglich und innerhalb von 24 Stunden nach Kenntnisnahme gemeldet werden; betroffene Parteien sind zu informieren, wo dies verlangt ist. Das ist eine Uhr, und die Software sollte sie als solche laufen lassen. Von den Vertrauensdienst-Pflichten ist das diejenige, die in der Praxis scheitert, und sie scheitert selten, weil niemand die Regel kannte. Sie scheitert, weil die Person, die das Problem zuerst sieht, ein Ingenieur an einem Samstag ist, der keine Ahnung hat, dass eine Uhr gestartet ist.
• Konformitätsbewertung. Qualifizierte Vertrauensdiensteanbieter werden mindestens alle 24 Monate von einer akkreditierten Konformitätsbewertungsstelle bewertet; Feststellungen werden behoben und der Bewertungsbericht wird als Nachweis aufbewahrt. Die Software sollte den Rhythmus, die Feststellungen und die Nachweise verfolgen, damit die nächste Bewertung nicht bei einer kalten Tabelle beginnt.
• Bedingter Scope. Diese Pflichten gelten nur, wenn Sie ein TSP sind. Das richtige Tool scopet sie ein, wenn sie gelten, und aus, wenn sie nicht gelten, damit eine vertrauende Partei nicht auf Vertrauensdienst-Controls starrt, die sie nie besitzen wird.

Die allgemeine Regel gilt über beide Rollen hinweg: Aufsichtsbehörden prüfen die tatsächliche Verankerung im Betrieb, gute Absichten allein tragen dort nicht. Wenn jemand fragt „Zeigen Sie mir, dass Sie diesen Vorfall innerhalb des Fensters gemeldet haben" oder „Zeigen Sie mir Ihre letzte Konformitätsbewertung und was Sie mit den Feststellungen gemacht haben", sollte die Antwort wenige Klicks entfernt sein.

Das eIDAS-2.0-Betriebsmodell

Für die meisten Organisationen ist der Weg zum 24. Dezember 2027 eine kurze, wiederholbare Sequenz, die sich ruhig abarbeiten lässt. Scopen Sie Ihre Rolle, mappen Sie die Controls, verwenden Sie wieder, was Sie bereits halten, schließen Sie die tatsächlich eIDAS-spezifischen Lücken und tragen Sie die Nachweise in die Readiness.

Der Effizienzgewinn versteckt sich in Schritt drei. Wenn Sie bereits DORA, NIS2 oder ISO 27001 tragen, wandern die überlappenden Controls mit, sodass sich die zusätzliche Arbeit für eIDAS 2.0 auf die wirklich identitätsspezifischen Stücke konzentriert: Anwendbarkeit, Wallet-Akzeptanz, Attestierungsvalidierung als geprüftes Control und (falls Sie ein TSP sind) die Vertrauensdienst-Pflichten. Das ist der Unterschied zwischen einem eIDAS-Programm, das Monate dauert, und einem, das wiederverwendet, was Sie schon haben. Seien Sie ehrlich, was die Form der verbleibenden Arbeit angeht. Scoping und Mapping sind kurz: ein paar Sitzungen Lesen und Diskutieren mit den Menschen, denen der Login-Flow gehört. Die Wallet-Akzeptanz ist ein Engineering-Projekt mit einer Abhängigkeit von einem Toolkit-Anbieter, und das ist der Teil, den Sie am Ende nicht komprimieren können. Die Fristmechanik behandeln wir vollständig in unserem Zeitplan-Leitfaden zum 24. Dezember 2027.

Worauf Sie beim Kauf von eIDAS-Compliance-Software achten sollten

Sobald feststeht, dass Sie in der Governance-Kategorie einkaufen, trennt diese Checkliste ernsthafte Plattformen von einem generischen GRC-Tool mit angeschraubtem eIDAS-Etikett.

Rollenbasiertes Scoping nach Artikel 5f

Das Tool sollte die Anwendbarkeit je Einheit und je Dienst bestimmen, die Ausnahme für Kleinstunternehmen und kleine Unternehmen anwenden und die Pflichten der vertrauenden Partei von den Vertrauensdienst-Pflichten trennen. Behandelt es eIDAS als eine undifferenzierte Checkliste, lässt es Sie Pflichten tragen, die nicht gelten, und Pflichten übersehen, die gelten. Von allem auf dieser Liste ist das Scoping am meisten wert. Der Rest sind Annehmlichkeiten; ein falscher Scope ist der Fehler, der vor einer Aufsichtsbehörde sichtbar wird.

Eine ehrliche Scope-Grenze

Der Anbieter sollte Ihnen klar sagen, dass die Plattform Ihre Pflichten steuert und nachweist und dabei Ihre Signatur-Engine sowie Ihr Wallet-Toolkit ergänzt; beide behalten ihre eigene Aufgabe. Ein Anbieter, der behauptet, aus einem GRC-Produkt heraus zu signieren, Zertifikate auszustellen oder Credentials kryptographisch zu verifizieren, übernimmt sich, und diese Übertreibung kostet Sie Glaubwürdigkeit bei einer Aufsichtsbehörde.

Ein echter Crosswalk, der Schein-Abdeckung verweigert

Fragen Sie, wie das Tool die Überschneidung mit DORA, NIS2 und ISO 27001 handhabt. Ein echter Crosswalk verwendet gemeinsame Governance-Nachweise wieder und verweigert klar den automatischen Abschluss eIDAS-spezifischer Pflichten wie Wallet-Akzeptanz und Registrierung. Wenn alles „automatisch erfüllt" ist, gehen Sie weiter - das ist aufgeblasene Compliance-Optik.

Die Vorfallsuhr und der Konformitätsrhythmus

Die 24-Stunden-Meldepflicht für Vertrauensdienste sollte als live laufende Uhr geführt werden, und der Rhythmus der Konformitätsbewertung sollte mitsamt Feststellungen und Nachweisen verfolgt werden. Zeitgebundene Pflichten, die wie gewöhnliche Aufgaben behandelt werden, sind diejenigen, die verpasst werden.

EU-Datenresidenz

Sie verwalten identitätsbezogene Governance-Daten unter einer EU-Verordnung. Diese sollten in der EU bleiben, und der Anbieter sollte das klar sagen können.

Unterm Strich

eIDAS-Compliance-Software ist drei Märkte unter einem Namen. Wissen Sie, für welchen Sie einkaufen. Wenn Sie signieren oder besiegeln müssen, brauchen Sie eine Vertrauensdienst-Engine; wenn Sie die Wallet in Ihrem Login-Flow akzeptieren und verifizieren müssen, brauchen Sie ein Wallet-Toolkit. Das Stück, das den meisten Organisationen mit Blick auf den 24. Dezember 2027 fehlt, ist jedoch die Governance-Schicht: der Beleg, dass Ihr Scope korrekt bestimmt ist, dass Ihre Controls Verantwortliche und Nachweise haben, dass Ihre Vorfalls- und Meldepflichten mit laufender Uhr geführt werden und dass Sie wirklich bereit sind. Eine dafür gebaute Governance-Plattform schließt diese Lücke, und ein echter Cross-Framework-Crosswalk schließt sie, ohne dass Sie die bereits geleistete DORA- und NIS2-Arbeit erneut nachweisen müssen. Achten Sie nur darauf, dass der Anbieter die Grenze ehrlich zieht: Die Plattform ergänzt Ihre kryptographischen Tools, und jedes Werkzeug behält seine eigene Aufgabe.

Primärquellen

Der oben genannte Anwendungsbereich, die Rollen und die Frist gehen auf die folgenden Primärquellen zurück.

• Verordnung (EU) 2024/1183 - ändert die Verordnung (EU) Nr. 910/2014 und schafft den europäischen Rahmen für die digitale Identität sowie die EU Digital Identity Wallet. In Kraft getreten am 20. Mai 2024. EUR-Lex.
• Artikel 5f (Akzeptanzpflicht vertrauender Parteien). Private vertrauende Parteien, die zur starken Nutzerauthentifizierung für die Online-Identifizierung verpflichtet sind, müssen die EU Digital Identity Wallet bis zum 24. Dezember 2027 akzeptieren; Kleinstunternehmen und kleine Unternehmen sind ausgenommen.
• Verordnung (EU) Nr. 910/2014 (die ursprüngliche eIDAS-Verordnung) - der Vertrauensdienst-Rahmen, den eIDAS 2.0 ändert, einschließlich der Meldepflicht bei Sicherheitsverletzungen von Vertrauensdiensten und der Konformitätsbewertung qualifizierter Anbieter. EUR-Lex.
• Durchführungsverordnungen zur Wallet - die ersten wurden am 4. Dezember 2024 im Amtsblatt veröffentlicht und sind am 24. Dezember 2024 in Kraft getreten. Europäische Kommission.
• DORA - Verordnung (EU) 2022/2554 - die IKT- und Incident-Governance-Überschneidung, die über den Crosswalk wiederverwendet wird; sie gilt seit dem 17. Januar 2025 für Finanzunternehmen. EUR-Lex.

Scope-Hinweis. Venveras eIDAS-2.0-Modul ist eine Governance- und Control-Schicht. Es deckt die Pflichten vertrauender Parteien und von Vertrauensdiensten mit 24 Controls über sieben Readiness-Bereiche ab, scopet Vertrauensdienst-Pflichten bedingt und führt die 24-Stunden-Vorfallspflicht mit laufender Uhr. Es signiert keine Dokumente, stellt keine Zertifikate aus, baut keine EU Digital Identity Wallet und führt keine kryptographische Verifikation von Wallet-Credentials durch; es steuert und belegt, dass Sie diese Pflichten erfüllen. Diese Grenze wird im Produkt als Scope-Banner angezeigt.