Wissen
Wer fragt, wer eIDAS 2.0 einhalten muss, bekommt eine ehrliche Antwort: Der Geltungsbereich richtet sich nach der Rolle, die Ihre Organisation einnimmt, und nach einem konkreten rechtlichen Auslöser. Eine feste Liste von Unternehmenstypen enthält die Verordnung dafür bewusst keine. Die Verordnung (EU) 2024/1183 ändert die ursprüngliche eIDAS-Verordnung und schafft den Rahmen für die EU Digital Identity Wallet. Sie ist am 20. Mai 2024 in Kraft getreten. Ob sie Ihre Organisation erreicht, hängt davon ab, was Sie mit Identitätsdaten tun, und bei einem privaten vertrauenden Beteiligten vom Auslöser der starken Nutzerauthentifizierung in Artikel 5f. Die Zugehörigkeit zu einer namentlich genannten Branche ist dabei zweitrangig.
Dieser Leitfaden beantwortet die Frage nach dem Geltungsbereich mit einem rollenbasierten Entscheidungsbaum. Er behandelt den Auslöser in Artikel 5f, erklärt, warum die dort genannten Sektoren illustrative Beispiele sind und keine abschließende Liste bilden, und deckt die Ausnahme für Kleinst- und Kleinunternehmen, die breitere Matrix der regulierten eIDAS-Rollen sowie die konkreten Pflichten eines erfassten vertrauenden Beteiligten ab.
Korrigiert am 13. Juli 2026: Klargestellt, dass die in Artikel 5f genannten Sektoren illustrative Beispiele sind ('unter anderem in den Bereichen') und keine abschließende Liste bilden; der maßgebliche Auslöser ist eine gesetzliche oder vertragliche Pflicht zur starken Nutzerauthentifizierung.
Der eIDAS 2.0 Entscheidungsbaum zum Geltungsbereich
Arbeiten Sie diese Fragen der Reihe nach durch. Sie führen von der Rolle, die Sie einnehmen, über den rechtlichen Auslöser zu den Ausnahmen und den weiteren Rollen, die Sie dennoch erfassen können. Viele Organisationen beantworten mehr als eine Frage mit Ja.
- Handeln Sie als privater vertrauender Beteiligter? Ein vertrauender Beteiligter (Relying Party) fordert Identitätsdaten oder Attribute von Nutzern an, um einen Dienst online bereitzustellen. Wer keine Identitätsdaten von Nutzern anfordert, wird von der Akzeptanzpflicht des Artikels 5f nicht erreicht; eine andere eIDAS-Rolle weiter unten auf dieser Seite kann dennoch greifen.
- Sind Sie verpflichtet, für die Online-Identifizierung eine starke Nutzerauthentifizierung einzusetzen? Das ist der maßgebliche Auslöser. Artikel 5f gilt, wenn Ihnen eine Pflicht zur starken Nutzerauthentifizierung bei der Online-Identifizierung durch Unionsrecht, nationales Recht oder eine vertragliche Verpflichtung auferlegt wird. Greift diese Pflicht, kann die Pflicht zur Akzeptanz der EU Digital Identity Wallet entstehen. Verlangt weder ein Gesetz noch ein Vertrag die starke Authentifizierung, zwingt Artikel 5f Sie nicht zur Akzeptanz der Wallet.
- Greift die Ausnahme für Kleinst- oder Kleinunternehmen? Artikel 5f Absatz 2 nimmt Kleinst- und Kleinunternehmen von der Akzeptanzpflicht aus. Zählen Sie Ihre Konzern- und Partnerstruktur mit, bevor Sie sich darauf verlassen; die Betrachtung der eigenen Gesellschaft allein reicht für die Prüfung nicht aus.
- Fordern Sie die Wallet-Nutzung freiwillig an? Sie können die Wallet auch dann akzeptieren, wenn weder Gesetz noch Vertrag Sie dazu verpflichten. In diesem Fall übernehmen Sie für diese Nutzung die Pflichten eines vertrauenden Beteiligten, einschließlich Registrierung und Datenminimierung.
- Ändert eine sektorspezifische oder nationale Regelung das Ergebnis? Die in Artikel 5f genannten Sektoren, etwa Banken, Gesundheitswesen oder Verkehr, sind Bereiche, in denen Pflichten zur starken Authentifizierung verbreitet sind; nationale oder sektorale Regeln können den Auslöser daher schaffen oder schärfen. Die Zugehörigkeit zu einem genannten Sektor begründet die Pflicht für sich genommen nicht, und die Tätigkeit außerhalb der genannten Sektoren hebt sie für sich genommen nicht auf.
- Üben Sie eine andere regulierte eIDAS-Rolle aus? Auch wenn die Pflicht für private vertrauende Beteiligte nicht greift, können Sie Pflichten als Mitgliedstaat, Wallet-Anbieter, Vertrauensdiensteanbieter, Anbieter eines Webbrowsers und so weiter tragen. Die Rollenmatrix weiter unten führt diese auf.
Der Auslöser in Artikel 5f: Die starke Authentifizierung entscheidet
Den Kern der Pflicht für den Privatsektor bildet Artikel 5f. Er gilt für einen privaten vertrauenden Beteiligten, wenn dieser durch Unionsrecht, nationales Recht oder eine vertragliche Verpflichtung gehalten ist, für die Online-Identifizierung eine starke Nutzerauthentifizierung einzusetzen. Diese Anforderung ist der Auslöser, und sie zieht einen vertrauenden Beteiligten in den Geltungsbereich.
Artikel 5f leitet seine Sektorliste mit einer Formulierung ein, die 'unter anderem in den Bereichen' entspricht. Diese Formulierung ist illustrativ. Sie verweist auf Bereiche, in denen Pflichten zur starken Nutzerauthentifizierung verbreitet sind; eine geschlossene oder erschöpfende Liste der Erfassten ist damit gerade nicht gemeint. Die Zugehörigkeit zu einem genannten Sektor begründet die Pflicht für sich allein also nicht, und eine Tätigkeit außerhalb dieser Sektoren stellt Sie für sich allein nicht frei. Prüfen Sie zuerst, ob eine Pflicht zur starken Authentifizierung besteht.
Als Beispiele nennt Artikel 5f die Sektoren Banken, Finanzdienstleistungen, Verkehr, Energie, Gesundheitswesen, Telekommunikation, Postdienste, digitale Infrastruktur, Bildung, Trinkwasser und soziale Sicherheit. Verstehen Sie diese Aufzählung als Anlass zu prüfen, ob für Ihre Online-Identifizierung eine Pflicht zur starken Authentifizierung gilt; der eigentliche Maßstab ist diese Pflicht selbst.
An dieser Stelle verdient die Gesetzestechnik Kritik. Den Geltungsbereich daran aufzuhängen, ob ein anderes Gesetz oder ein Vertrag starke Nutzerauthentifizierung verlangt, ist im Prinzip elegant und in der Praxis sperrig, denn die Antwort steht in Ihren Vertragsordnern und gerade nicht in der Verordnung selbst. Die Klärung bedeutet, dass jemand Kunden- und Lieferantenverträge auf Authentifizierungsklauseln durchliest. Das ist eine Aufgabe für Juristen, und sie dauert länger, als es klingt. Beauftragen Sie sie früh.
Die Ausnahme für Kleinst- und Kleinunternehmen
Artikel 5f Absatz 2 nimmt die kleinsten Organisationen von der Akzeptanzpflicht aus. Kleinst- und Kleinunternehmen sind befreit. Die Definitionen folgen der üblichen EU-Größenklassifizierung. Ein Kleinstunternehmen hat weniger als 10 Beschäftigte und einen Umsatz oder eine Bilanzsumme bis 2 Mio. EUR. Ein Kleinunternehmen hat weniger als 50 Beschäftigte und einen Umsatz oder eine Bilanzsumme bis 10 Mio. EUR. Für die Einstufung müssen sowohl der Beschäftigtentest als auch der Finanztest erfüllt sein.
Eine Falle betrifft Konzerne. Verbundene Unternehmen und Partnerunternehmen werden bei den Schwellenwerten mitgezählt. Wer als kleine Tochtergesellschaft zu einem großen Konzern gehört, muss die Beschäftigtenzahl und den Umsatz des Konzerns ansetzen, und die Ausnahme steht dann womöglich nicht zur Verfügung. Prüfen Sie die konsolidierten Zahlen, bevor Sie auf die Befreiung schließen; der Blick auf die eigene Gesellschaft allein genügt nicht. Lassen Sie das Ergebnis anschließend schriftlich festhalten und von jemandem mit Entscheidungsbefugnis freigeben, statt es als Annahme auf einer Folie stehen zu lassen. Ausnahmen, die angenommen statt geprüft wurden, sind diejenigen, die spät auffliegen, und sie fliegen vor genau den Leuten auf, denen man sie am wenigsten erklären möchte.
Die vollständige eIDAS 2.0 Rollenmatrix
Artikel 5f ist nur ein Teil der Verordnung. eIDAS 2.0 verteilt Pflichten über eine Reihe von Rollen im Identitäts-Ökosystem. Die Abbildung unten zeigt die Kernrollen, die die meisten Organisationen kennen. Die anschließende Tabelle weitet das Bild auf die vollständigere Menge regulierter Rollen aus. Identifizieren Sie jede Rolle, die Sie einnehmen, denn viele Organisationen besetzen mehr als eine. Am häufigsten übersehen wird die Rolle des Intermediärs. Laufen Identitätsprüfungen über einen Broker, einen Zahlungsdienstleister oder einen ausgelagerten Onboarding-Anbieter, klären Sie früh, wer für diesen Ablauf der registrierte vertrauende Beteiligte ist. Das ist eine Vertragsfrage, und niemand öffnet sie gern erneut, wenn die Integration einmal gebaut ist.
| Rolle | Was die Pflicht auslöst | Was zu tun ist |
|---|---|---|
| Mitgliedstaaten | Die Verordnung gilt für jeden Mitgliedstaat. | Bürgern und Einwohnern mindestens eine EU Digital Identity Wallet bereitstellen (Artikel 5a), das nationale Ökosystem aufbauen und beaufsichtigen und die Wallet notifizieren. Die ersten Wallets sind bis Ende 2026 fällig. |
| Anbieter der EU Digital Identity Wallet | Ausgabe oder Betrieb einer von einem Mitgliedstaat anerkannten Wallet. | Die Wallet nach den zertifizierten technischen und Sicherheitsspezifikationen entwickeln und betreiben, sie für natürliche Personen kostenlos halten und die erforderlichen Attribute unterstützen (Artikel 5a; siehe die konsolidierte Verordnung). |
| Vertrauende Beteiligte des öffentlichen Sektors | Bereitstellung eines öffentlichen Dienstes, der eine elektronische Identifizierung erfordert. | Die EU Digital Identity Wallet für diesen Dienst akzeptieren und die Regeln für vertrauende Beteiligte zu Attributen und Datenminimierung befolgen. |
| Private vertrauende Beteiligte | Durch EU-Recht, nationales Recht oder Vertrag verpflichtet, für die Online-Identifizierung starke Nutzerauthentifizierung einzusetzen (Artikel 5f). | Die Wallet akzeptieren, sich beim Mitgliedstaat registrieren und nur die erforderlichen Attribute deklarieren und anfordern. Kleinst- und Kleinunternehmen sind ausgenommen (Artikel 5f Absatz 2). |
| Sehr große Online-Plattformen (DSA) | Benennung als sehr große Online-Plattform nach dem Digital Services Act. | Die Wallet zur Authentifizierung akzeptieren, wenn ein Nutzer sie freiwillig verwenden möchte, ohne sie zu erzwingen und ohne den Nutzer zu profilieren. |
| Vertrauensdiensteanbieter | Erbringung von Vertrauensdiensten wie elektronischen Signaturen, Siegeln, Zeitstempeln oder Zertifikaten für die Website-Authentifizierung. | Die Anforderungen für qualifizierte oder nicht qualifizierte Dienste erfüllen, wo erforderlich die Konformitätsbewertung bestehen, Vorfälle melden und unter Aufsicht arbeiten (siehe die konsolidierte Verordnung). |
| Anbieter von Webbrowsern | Bereitstellung weit verbreiteter Webbrowser. | Qualifizierte Zertifikate für die Website-Authentifizierung anerkennen und anzeigen, damit Nutzer eine Website verifizieren können, vorbehaltlich der Schutzvorkehrungen der Verordnung (aktueller Wortlaut in der konsolidierten Verordnung). |
| Konformitätsbewertungsstellen | Akkreditierung zur Bewertung von Wallets oder Vertrauensdiensten. | Wallets, Vertrauensdiensteanbieter und deren Dienste nach den anwendbaren Schemata und Standards zertifizieren und bewerten. |
| Freiwillig auf die Wallet vertrauende Beteiligte | Entscheidung, die Wallet ohne rechtliche Pflicht zu akzeptieren. | Sobald sie sich auf die Wallet stützen, gelten die Registrierung und dieselben Pflichten für vertrauende Beteiligte zu Attributdeklaration und Datenminimierung. |
| Intermediäre, die für vertrauende Beteiligte handeln | Abwicklung der Wallet-Interaktion im Auftrag eines anderen vertrauenden Beteiligten, etwa als Identity-Broker oder Zahlungsdienstleister. | Die Pflichten des vertrauenden Beteiligten erfüllen, für den sie tätig sind, ihre Rolle transparent machen und nur die erforderlichen Attribute anfordern. |
Was ein erfasster vertrauender Beteiligter konkret tun muss
Wer in den Geltungsbereich fällt, hat mehr zu tun, als einen Schalter umzulegen. Ein vertrauender Beteiligter muss sich vor der Nutzung der Wallet bei seinem Mitgliedstaat registrieren, vorab deklarieren, welche Attribute er anfordern wird, und anschließend nur die für den Dienst erforderlichen Attribute anfordern. Datenminimierung ist in das Modell eingebaut. Sie akzeptieren die Wallet als gültiges Mittel der Identifizierung und Authentifizierung, weisen gültige Attribute nicht zurück und führen die Daten nicht über den angegebenen Zweck hinaus zusammen.
Von diesen Pflichten ist die Registrierung die leichte. Unbequem wird die Vorab-Deklaration der Attribute, denn sie zwingt Sie, jedes Feld zu rechtfertigen, das Ihr Onboarding-Prozess derzeit erhebt, und die meisten Onboarding-Prozesse erheben mehr, als sich verteidigen lässt. Rechnen Sie damit, dass Produkt- und Growth-Teams gegen das Kürzen Widerstand leisten. Diese Auseinandersetzung ist der Teil, der ins Rutschen gerät, weit eher als die Wallet-Integration selbst.
Die technische Frist für die Bereitschaft ist der 24. Dezember 2027. Ab diesem Datum müssen erfasste vertrauende Beteiligte die EU Digital Identity Wallet akzeptieren. Die Wallets der Mitgliedstaaten kommen früher, bis Ende 2026, was Organisationen ein echtes Zeitfenster gibt, die Akzeptanz zu erproben, bevor die Pflicht greift. Nutzen Sie es. Die Verfügbarkeit der Wallet zeitlich vor die Akzeptanzpflicht zu legen, gehört zu den vernünftigeren Designentscheidungen des jüngeren EU-Digitalrechts, und sie hilft Ihnen nur, wenn jemand die Integrationsarbeit einplant, solange noch Luft im Kalender ist.
Ihren Geltungsbereich mit Venvera bestimmen
Der Geltungsbereich ist das Erste, was stimmen muss, denn alles Weitere hängt davon ab. Das Venvera eIDAS 2.0 Modul überführt den Auslöser aus Artikel 5f, die Rollenmatrix und den KMU-Test in eine strukturierte Gap-Analyse, sodass Sie an einer Stelle sehen, ob die Verordnung für Sie gelten kann und was Sie für die Akzeptanz der Wallet benötigen würden. Weil sich eIDAS 2.0 mit Pflichten überschneidet, die Sie womöglich bereits erfüllen, lässt Sie die Crosswalk-Engine Nachweise aus DORA, NIS2 und ISO 27001 wiederverwenden, statt bei null zu beginnen.
Für eine schnelle Standortbestimmung führen Sie einen kostenlosen Compliance-Check durch und nutzen den Entscheidungsbaum oben als Ausgangspunkt für Ihre Vorbereitung. eIDAS 2.0 ändert die ursprüngliche eIDAS-Verordnung und lässt sie fortbestehen; die Vertrauensdienste, auf die Sie sich bereits stützen, bleiben in Kraft, während die Wallet-Pflichten hinzukommen.
