Anforderungen an (qualifizierte) Vertrauensdiensteanbieter

Problem in der Praxis

Viele Organisationen unterschätzen den Unterschied zwischen "Anforderungen erfüllen" und "die Erfüllung jederzeit belegen können". Davon lebt ein Vertrauensdienst: Aufsicht, Prüfer und vertrauende Stellen verlassen sich auf Nachweise, nicht auf Zusagen. Typisch ist, dass der Erstantrag nach Verleihung als abgeschlossen gilt, der PKI-Betrieb nicht in einen wiederholbaren Nachweisprozess überführt ist und der Beendigungs-/Fortführungsplan für ausgestellte Zertifikate und Sperrinformationen nur auf dem Papier existiert. Spätestens bei Re-Bewertung oder Anlassaufsicht zeigt sich, ob der Status nur erworben oder auch betrieben wurde.

CISO-Einordnung

Rechtsgrundlage ist die Verordnung (EU) Nr. 910/2014 (eIDAS) in der durch die Verordnung (EU) 2024/1183 geänderten Fassung. Sie unterscheidet qualifizierte und nicht-qualifizierte Dienste; nur der qualifizierte Status verschafft die starke Rechtswirkung: Die qualifizierte elektronische Signatur ist der handschriftlichen Unterschrift gleichgestellt, qualifizierte Zeitstempel und Siegel genießen Beweisvermutungen. Das begründet das strenge Pflichtenregime.

Der Anbieter zeigt der Aufsichtsstelle die Absicht zur Aufnahme qualifizierter Dienste an und legt einen Konformitätsbewertungsbericht einer akkreditierten CAB vor; nach Prüfung wird der Status verliehen und der Dienst in die Vertrauensliste (Trusted List) aufgenommen. Der CISO trennt zwei Rollen: als Anbieter Pflichtenerfüllung und Nachweis, als vertrauende Stelle die Validierung von Signaturen, Siegeln und Website-Zertifikaten gegen Vertrauensliste und Zertifikatsketten.

Umsetzungsperspektive

Die operativen Anforderungen konkretisiert auf EU-Ebene die ETSI-Normenfamilie, insbesondere EN 319 401 (allgemeine Policy-Anforderungen) und darauf aufbauende Normen für Zertifikatsausstellung und -profile. Diese Texte sind lizenziert und werden hier nur als Strukturverweis genannt, nicht wiedergegeben. Die Pflichtenbereiche lassen sich konzeptionell gruppieren:

• Sicherheits- und Risikomanagement als Fundament.
• Personal-, Zutritts- und Zugriffskontrolle der kritischen Funktionen.
• Schlüssel- und PKI-Betrieb inklusive Zertifikatslebenszyklus.
• Protokollierung und Nachweisführung.
• Geschäftsfortführung und belastbarer Beendigungsplan.
• Gepflegte Dokumentation als Prüfgrundlage.

Bewährt ist die Kopplung an ein betriebenes ISMS (ISO/IEC 27001 oder IT-Grundschutz): EN 319 401 ist ISMS-affin, sodass Nachweise im Regelbetrieb entstehen. Zur laufenden Aufsicht gehören regelmäßige unabhängige Konformitätsbewertungen durch eine CAB sowie Meldepflichten bei Sicherheitsvorfällen an die Aufsichtsstelle; genaue Intervalle und Fristen sind an der Primärquelle zu verifizieren.

Typische Fehler

1. Der qualifizierte Status wird als Projektergebnis statt als Dauerpflicht verstanden.
2. Nachweise entstehen kurz vor der Re-Bewertung statt fortlaufend im Betrieb.
3. Der Beendigungs- und Fortführungsplan bleibt formal und wird nie geprobt.
4. Meldewege für Sicherheitsvorfälle sind nicht eingeübt, Fristen werden riskiert.
5. eIDAS und NIS2 werden vermischt, parallele Pflichten übersehen.
6. Relying Parties prüfen Signaturen technisch, aber nicht gegen die Vertrauensliste.

Risiken und Trade-offs

Der Trade-off liegt zwischen Betriebskosten und Statusabsicherung: Ein knapper Nachweisprozess senkt den Aufwand, erhöht aber das Risiko, den Status bei Bewertung oder Anlassaufsicht nicht zu halten; dessen Verlust trifft das Geschäftsmodell unmittelbar.

Zu beachten ist die Regime-Abgrenzung: eIDAS und NIS2 sind getrennt, überschneiden sich aber inhaltlich; Vertrauensdiensteanbieter fallen unter NIS2 in den Sektor digitale Infrastruktur, qualifizierte Anbieter regelmäßig als wesentliche Einrichtungen (Einordnung im Einzelfall prüfen). Zur Zuständigkeit: In Deutschland ist die Bundesnetzagentur Aufsichtsstelle als eigenständiges gesetzliches Mandat; das BSI hat eine eigene Rolle bei der Sicherheitszertifizierung der EUDI-Wallet und bei Website-Authentifizierungszertifikaten (die genaue Aufgabenteilung BNetzA/BSI/DAkkS bei Website-Zertifikaten ist an der Primärquelle zu prüfen).

Entscheidungspunkte

• Qualifiziert oder nicht-qualifiziert: Rechtfertigt die Rechtswirkung den höheren Pflichtenaufwand?
• eIDAS-/ETSI-Anforderungen ins bestehende ISMS integrieren oder separat führen?
• Wie eIDAS- und NIS2-Pflichten zusammenführen, ohne Lücken oder Doppelarbeit?
• Welche CAB passt nach Akkreditierungsumfang zum Dienstportfolio?
• Ist der Beendigungs-/Fortführungsplan finanziell hinterlegt und getestet?

Praktische Empfehlungen

1. Qualifizierten Status als Dauerbetrieb mit fester Nachweistaktung führen.
2. eIDAS-/ETSI-Anforderungen an ein betriebenes ISMS koppeln, damit Nachweise im Regelbetrieb entstehen.
3. Meldewege für Sicherheitsvorfälle verankern und einüben, bevor der Ernstfall sie testet.
4. Beendigungs-/Fortführungsplan aktuell halten und periodisch praktisch prüfen.
5. Artikelnummern, Intervalle und Fristen stets an der Primärquelle verifizieren.
6. Als vertrauende Stelle systematisch gegen Vertrauensliste und Zertifikatsketten validieren.

Relevante Normreferenzen

• Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183: EU-Recht, frei zugänglich und zitierfähig; hob die Signaturrichtlinie 1999/93/EG auf.
• Vertrauensdienstegesetz (VDG) und Vertrauensdiensteverordnung (VDV): nationale deutsche Umsetzung; das VDG löste das Signaturgesetz ab. Datums-/Paragraphenstand an der Primärquelle prüfen.
• ETSI EN 319 401, 319 411 und 319 412: reference-only, lizenziert; nur Strukturverweis, kein Volltext.
• ISO/IEC 27001: reference-only; gängige ISMS-Grundlage für die Umsetzung.