Die Durchführungsrechtsakte zur EUDI-Wallet: was seit wann gilt

Problem in der Praxis

Viele Planungsstände zur EUDI-Wallet stammen aus der Zeit vor den Durchführungsrechtsakten und tragen deren Vorbehalte weiter: Termine gelten dort als "abhängig von den Durchführungsrechtsakten", Registrierungsverfahren als "noch offen". Beides stimmt nicht mehr. Wer 2026 noch mit Zeitkorridoren plant, verfehlt harte Stichtage; wer die Registrierung als vertrauender Beteiligter aufschiebt, steht ohne Vorlauf da, wenn das Registrierungsverfahren ab dem 24. Dezember 2026 gilt.

Der umgekehrte Fehler ist genauso verbreitet: Weil die technische Community intensiv mit dem ARF arbeitet, werden ARF-Anforderungen als Rechtspflichten zitiert und GitHub-Dokumente wie Amtsblattfundstellen behandelt. Das ARF erklärt sich aber selbst für informativ; wer daraus Pflichten ableitet, baut auf ein Dokument, das sich jederzeit ändern kann und rechtlich nichts anordnet. Dazu kommt ein drittes Problem: Der Rechtsbestand ist nicht statisch. Mit der Durchführungsverordnung (EU) 2026/1731 liegt bereits die erste Änderungsverordnung vor, die vier Rechtsakte der Erstcharge ändert und einzelne Anforderungen erst ab dem 11. August 2028 gelten lässt. Wer den Stand von Dezember 2024 eingefroren hat, arbeitet auch damit bald mit veralteten Spezifikationen.

CISO-Einordnung

Der erlassene Bestand lässt sich auf Gegenstandsebene in drei Chargen ordnen (Stand 5. August 2026; welche Anforderungen im Einzelnen gelten, steht ausschließlich in den Rechtsakten selbst):

Erstcharge, veröffentlicht im Amtsblatt am 4. Dezember 2024, in Kraft errechnet seit dem 24. Dezember 2024, gestützt auf Art. 5a Abs. 23 beziehungsweise Art. 5c Abs. 6 der Verordnung:

• Durchführungsverordnung (EU) 2024/2977: Personenidentifizierungsdaten und elektronische Attributsbescheinigungen.
• Durchführungsverordnung (EU) 2024/2979: Integrität und Kernfunktionen der Wallets.
• Durchführungsverordnung (EU) 2024/2980: Notifizierungen an die Kommission zum Wallet-Ökosystem.
• Durchführungsverordnung (EU) 2024/2981: Zertifizierung der Wallets (Rechtsgrundlage Art. 5c Abs. 6).
• Durchführungsverordnung (EU) 2024/2982: Protokolle und Schnittstellen.

Zweite Charge, veröffentlicht am 7. Mai 2025:

• Durchführungsverordnung (EU) 2025/846: grenzüberschreitender Identitätsabgleich natürlicher Personen (Rechtsgrundlage Art. 11a Abs. 3); gilt wörtlich ab dem 24. Dezember 2026.
• Durchführungsverordnung (EU) 2025/847: Reaktion auf Sicherheitsverletzungen der Wallets (Art. 5e Abs. 5).
• Durchführungsverordnung (EU) 2025/848: Registrierung von auf Wallets vertrauenden Beteiligten (Art. 5b Abs. 11); gilt wörtlich ab dem 24. Dezember 2026.
• Durchführungsverordnung (EU) 2025/849: Informationsübermittlung für die Liste zertifizierter Wallets (Art. 5d Abs. 7).

Dritte Charge, 2026:

• Durchführungsverordnung (EU) 2026/798 (Amtsblatt 8. April 2026): Ferneinbindung von Nutzern in die Wallets auf dem Sicherheitsniveau substanziell mit zusätzlichen Verfahren für das Niveau hoch (Art. 5a Abs. 24).
• Durchführungsverordnung (EU) 2026/1731 (Amtsblatt 22. Juli 2026): ändert die Durchführungsverordnungen (EU) 2024/2977, 2024/2979, 2024/2980 und 2024/2982 in Bezug auf Standards und Spezifikationen. Sie tritt errechnet erst am 11. August 2026 in Kraft und ist zum Stand dieses Artikels verkündet, aber noch nicht geltend; einzelne geänderte Anforderungen gelten wörtlich erst ab dem 11. August 2028.

Für die Fristenlogik zählt die Erstcharge: Art. 5a Abs. 1 knüpft die Bereitstellungspflicht der Mitgliedstaaten und Art. 5f Abs. 2 die Akzeptanzpflicht bestimmter privater Dienste an das Inkrafttreten der in Art. 5a Abs. 23 und Art. 5c Abs. 6 genannten Durchführungsrechtsakte. Ob nachträgliche Rechtsakte auf derselben Grundlage (wie die Durchführungsverordnung (EU) 2026/1731) diese Anker verschieben, sagt der Verordnungstext nicht ausdrücklich; die von der Kommission wörtlich festgelegten Geltungsbeginne zum 24. Dezember 2026 in den Durchführungsverordnungen (EU) 2025/846 und 2025/848 stützen die Lesart, dass die Erstcharge zählt. Das ist Auslegung, kein Wortlaut.

Der Status des ARF gehört in dieselbe Einordnung: Das Architecture and Reference Framework wird von der Kommission auf GitHub gepflegt (Version 3.0.0 vom 23. Juli 2026) und erklärt sich selbst für informativ; verbindlich sind allein die Verordnung und die erlassenen Durchführungs- und delegierten Rechtsakte. Ein ARF-Stand ist damit ein nützlicher Implementierungskompass, aber keine Rechtsquelle und keine Zertifizierungsgrundlage.

Abgrenzung zu den Nachbarartikeln: eidas-001 gibt den Überblick über eIDAS 2.0 und die Aufsichtslandschaft; eidas-002 behandelt die QTSP-Anforderungen (die Durchführungsrechtsakte zu Vertrauensdiensten sind ein eigener, hier nicht behandelter Bestand); eidas-003 erklärt die Relying-Party-Rolle und ihre Pflichten; eidas-004 hängt beides in das ISMS ein. Hier steht, welcher Wallet-Rechtsakt was regelt und welche Fristen daraus folgen.

Umsetzungsperspektive

Die Fristen nach Adressaten, jeweils mit der Kennzeichnung, was wörtlich im Rechtstext steht und was errechnet ist:

• Mitgliedstaaten: Bereitstellung mindestens einer Wallet innerhalb von 24 Monaten nach Inkrafttreten der maßgeblichen Durchführungsrechtsakte (Art. 5a Abs. 1, wörtlich). Aus dem Inkrafttreten der Erstcharge (errechnet 24. Dezember 2024) errechnet sich der 24. Dezember 2026. Dieses Datum steht nirgends wörtlich als Bereitstellungsfrist im Text; es wird aber dadurch gestützt, dass die Kommission den 24. Dezember 2026 in den Durchführungsverordnungen (EU) 2025/846 (Art. 6) und 2025/848 (Art. 11) wörtlich als Geltungsbeginn festgelegt hat.
• Private vertrauende Beteiligte: Wer Dienste erbringt (mit Ausnahme von Kleinst- und kleinen Unternehmen im Sinne der Empfehlung 2003/361/EG) und nach Unionsrecht, nationalem Recht oder Vertrag zu einer Online-Identifizierung mit starker Nutzerauthentifizierung verpflichtet ist (der Verordnungstext nennt beispielhaft unter anderem Verkehr, Energie, Bankenwesen, Finanzdienstleistungen, Gesundheit und Telekommunikation), akzeptiert spätestens 36 Monate nach Inkrafttreten der maßgeblichen Durchführungsrechtsakte auch EUDI-Wallets, und zwar nur auf freiwilliges Verlangen des Nutzers (Art. 5f Abs. 2, wörtlich). Errechnet: spätestens 24. Dezember 2027. Der Wortlaut setzt drei Grenzen: "spätestens" begründet keine frühere Stichtagspflicht, die Pflicht greift nur auf Nutzerverlangen, und sie hängt an der bestehenden Pflicht zu starker Nutzerauthentifizierung.
• Öffentliche Stellen: Verlangt ein Mitgliedstaat für den Zugang zu einem öffentlichen Online-Dienst elektronische Identifizierung und Authentifizierung, akzeptiert er auch EUDI-Wallets (Art. 5f Abs. 1). Der Wortlaut enthält keine eigene Frist; die Pflicht setzt bereitgestellte Wallets voraus.
• Sehr große Online-Plattformen: akzeptieren und erleichtern die Wallet-Nutzung zur Nutzerauthentifizierung, nur auf freiwilliges Verlangen des Nutzers und nur mit den Mindestdaten (Art. 5f Abs. 3 mit Verweis auf Art. 33 der Verordnung (EU) 2022/2065). Auch hier keine eigene Frist im Wortlaut.
• Registrierung: Wer als vertrauender Beteiligter auf Wallets zurückgreifen will, registriert sich in dem Mitgliedstaat, in dem er niedergelassen ist (Art. 5b Abs. 1, wörtlich). Verfahren und Angaben regelt die Durchführungsverordnung (EU) 2025/848, die ab dem 24. Dezember 2026 gilt.

Standänderungen erkennt ein CISO nicht am ARF, sondern am Amtsblatt: Änderungsrechtsakte wie die Durchführungsverordnung (EU) 2026/1731 erscheinen auf den EUR-Lex-Dokumentseiten der geänderten Rechtsakte unter den "Geändert durch"-Beziehungen. Die gestaffelte Geltung ist dabei einzeln zu lesen: Die Verordnung tritt errechnet am 11. August 2026 in Kraft, einzelne Anforderungen (etwa zum Porträtbild als verpflichtendem Bestandteil der Personenidentifizierungsdaten und zur Authentifizierung von Registrierungszertifikaten) gelten wörtlich erst ab dem 11. August 2028. Ein fester Prüfturnus auf neue oder geänderte Durchführungsrechtsakte gehört deshalb in den Regulatorik-Prozess; die deutsche Ebene (Benennung der Zertifizierungs- und der Registrierungsstelle, Stand der staatlichen Wallet) war zum Stand dieses Artikels nicht amtlich belegt und ist gesondert zu verfolgen.

Typische Fehler

1. Wallet-Termine werden weiter als offen behandelt, obwohl die maßgeblichen Durchführungsrechtsakte seit Dezember 2024 in Kraft und die Stichtage bestimmbar sind.
2. ARF-Anforderungen werden als Rechtspflichten zitiert, obwohl das ARF informativ ist; verbindlich sind Verordnung und Durchführungsrechtsakte.
3. Aus Art. 5f Abs. 2 wird eine kategorische Pflicht gemacht ("muss die Wallet ab X anbieten"), obwohl der Wortlaut "spätestens" sagt, nur auf freiwilliges Verlangen des Nutzers greift und an der bestehenden Pflicht zu starker Nutzerauthentifizierung hängt.
4. Für öffentliche Stellen oder sehr große Online-Plattformen werden Fristen behauptet, die der Wortlaut von Art. 5f Abs. 1 und 3 nicht enthält.
5. Die Durchführungsverordnung (EU) 2026/1731 wird als geltend behandelt, obwohl sie erst am 11. August 2026 in Kraft tritt und einzelne Anforderungen erst ab dem 11. August 2028 gelten.
6. Die Registrierung als vertrauender Beteiligter wird aufgeschoben, obwohl Pflicht (Art. 5b Abs. 1) und Verfahren (Durchführungsverordnung (EU) 2025/848, ab 24. Dezember 2026) feststehen.

Risiken und Trade-offs

Der zentrale Trade-off liegt im Startzeitpunkt der Integration. Wer früh baut, gewinnt Vorlauf auf die errechneten Stichtage, baut aber gegen einen Spezifikationsstand, der sich noch ändert; die Durchführungsverordnung (EU) 2026/1731 zeigt, dass die Kommission Standards und Spezifikationen nachzieht und Übergänge bis 2028 staffelt. Wer spät startet, arbeitet mit stabileren Spezifikationen, riskiert aber, die Akzeptanzpflicht aus Art. 5f Abs. 2 nicht rechtzeitig zu erfüllen, wenn sie den eigenen Dienst trifft.

Ein Restrisiko bleibt in der Fristauslegung: Die Zählung der 24- und 36-Monats-Fristen ab der Erstcharge ist durch die wörtlichen Geltungsbeginne der Kommission gestützt, steht aber nicht als Kalenderdatum im Verordnungstext. Und die deutsche Ebene ist offen: Solange die Benennung der deutschen Zertifizierungs- und Registrierungsstelle nicht amtlich belegt ist, lassen sich Verfahrenswege national nicht abschließend planen. Beides spricht nicht gegen die Stichtagsplanung, wohl aber für eine dokumentierte Herleitung und einen festen Wiedervorlage-Termin.

Entscheidungspunkte

• Trifft die Akzeptanzpflicht des Art. 5f Abs. 2 unseren Dienst: Sind wir kein Kleinst- oder kleines Unternehmen, und sind wir rechtlich oder vertraglich zu Online-Identifizierung mit starker Nutzerauthentifizierung verpflichtet?
• Auf welchen der errechneten Stichtage (24. Dezember 2026 Bereitstellung, spätestens 24. Dezember 2027 Akzeptanz) planen wir welche Meilensteine?
• Wann registrieren wir uns als vertrauender Beteiligter, und wer verantwortet das Verfahren nach der Durchführungsverordnung (EU) 2025/848?
• Wie stellen wir sicher, dass Integrationen gegen Rechtsakte und nicht gegen ARF-Stände abgenommen werden?
• Wer überwacht Änderungsrechtsakte (Beispiel Durchführungsverordnung (EU) 2026/1731) und die noch offene deutsche Zuständigkeitsbenennung?

Praktische Empfehlungen

1. Ersetzen Sie in Roadmaps und Vorstandsunterlagen die alten Vorbehalte ("abhängig von den Durchführungsrechtsakten") durch die errechneten Stichtage samt Herleitung: Erstcharge in Kraft errechnet seit 24. Dezember 2024, Bereitstellung errechnet zum 24. Dezember 2026, Akzeptanz errechnet spätestens zum 24. Dezember 2027.
2. Prüfen Sie die eigene Betroffenheit nach Art. 5f Abs. 2 anhand der drei Wortlautgrenzen (Unternehmensgröße, bestehende Pflicht zu starker Nutzerauthentifizierung, Nutzerverlangen) und dokumentieren Sie das Ergebnis.
3. Planen Sie die Registrierung als vertrauender Beteiligter mit Vorlauf vor dem 24. Dezember 2026 ein und benennen Sie einen Owner.
4. Behandeln Sie das ARF als Implementierungshilfe: nützlich für Architekturentscheidungen, aber jede Abnahme- und Compliance-Aussage gehört an die Rechtsakte.
5. Richten Sie eine wiederkehrende Prüfung auf neue und geänderte Durchführungsrechtsakte ein (EUR-Lex-Dokumentseiten mit den "Geändert durch"-Beziehungen) und verfolgen Sie die gestaffelten Geltungsdaten, zum Stand dieses Artikels bis zum 11. August 2028.
6. Halten Sie die offene deutsche Ebene (Zertifizierungs- und Registrierungsstelle, staatliche Wallet) als eigenen Beobachtungspunkt und übernehmen Sie keine unbelegten Zuständigkeitsaussagen.

Relevante Normreferenzen

• Verordnung (EU) Nr. 910/2014 i.d.F. der Verordnung (EU) 2024/1183: Basisrechtsakt; maßgeblich für die Fristen sind Art. 5a Abs. 1 und Abs. 23, Art. 5b, Art. 5c Abs. 6 und Art. 5f (konsolidierte Fassung vom 18.10.2024, EUR-Lex, frei zugänglich).
• Durchführungsverordnungen (EU) 2024/2977, 2024/2979, 2024/2980, 2024/2981, 2024/2982 (Erstcharge, Amtsblatt 04.12.2024): Personenidentifizierungsdaten und Attributsbescheinigungen, Integrität und Kernfunktionen, Notifizierungen, Zertifizierung, Protokolle und Schnittstellen.
• Durchführungsverordnungen (EU) 2025/846, 2025/847, 2025/848, 2025/849 (Amtsblatt 07.05.2025): Identitätsabgleich, Reaktion auf Sicherheitsverletzungen, Registrierung vertrauender Beteiligter, Liste zertifizierter Wallets.
• Durchführungsverordnungen (EU) 2026/798 (Amtsblatt 08.04.2026) und 2026/1731 (Amtsblatt 22.07.2026): Ferneinbindung von Nutzern; Änderung der Erstcharge in Bezug auf Standards und Spezifikationen.
• Architecture and Reference Framework (ARF) v3.0.0 vom 23.07.2026: informatives Implementierungsdokument der Kommission, keine Rechtsquelle; nur als Referenz.