eIDAS 2.0 und Vertrauensdienste: Überblick und BNetzA-Aufsicht

Problem in der Praxis

In vielen Organisationen ist eIDAS ein Randthema zwischen IT, Recht und Einkauf, das niemand vollständig verantwortet. Signaturen werden eingesetzt, ohne dass die rechtlich nötige Stufe klar ist; eingehende Signaturen werden akzeptiert, ohne sie gegen die EU-Vertrauensliste zu validieren. Das fällt erst auf, wenn es teuer wird: ein Vertrag ist mangels passender Stufe angreifbar oder ein Dienstleister verliert seinen qualifizierten Status. Wer eIDAS als Fußnote behandelt, hat keine belastbare Steuerung über geschäftskritische Identitäts- und Nachweisprozesse.

CISO-Einordnung

eIDAS ruht auf zwei Säulen: der elektronischen Identifizierung (eID) mit grenzüberschreitender Anerkennung notifizierter Schemata und drei Vertrauensniveaus (Level of Assurance: niedrig, substanziell, hoch) sowie den Vertrauensdiensten, qualifiziert und nicht-qualifiziert. Dazu zählen u. a. Signaturen, Siegel, Zeitstempel, Zustelldienste (ERDS), Website-Zertifikate (QWAC), Validierungs- und Bewahrungsdienste; mit eIDAS 2.0 zudem Attributbescheinigungen (EAA/QEAA), Archivierung und Register. Maßgeblich ist die Rechtswirkung: Die qualifizierte elektronische Signatur (QES) ist der handschriftlichen Unterschrift gleichgestellt, qualifizierte Zeitstempel und Siegel genießen Beweisvermutungen.

In Deutschland ist die BNetzA die Aufsichtsstelle für (qualifizierte) Vertrauensdiensteanbieter; dieses Mandat ist eigenständig nach dem Vertrauensdienstegesetz und nicht aus ihrer Sektorzuständigkeit (Energie, Telekommunikation, Post) abgeleitet. Sie verleiht den qualifizierten Status und veröffentlicht die deutsche Vertrauensliste (Trusted List). Das BSI hat eine spezifische Rolle bei Website-Zertifikaten und ist für die EUDI-Wallet-Zertifizierung vorgesehen; die genaue Zuständigkeitsabgrenzung zwischen BNetzA und BSI (u. a. bei Website-/QWAC-Zertifikaten) ist zu prüfen. Die DAkkS akkreditiert die Konformitätsbewertungsstellen (CAB).

Umsetzungsperspektive

Als Relying Party steht die Validierung im Mittelpunkt: Eingehende Signaturen, Siegel und Zertifikate sollten technisch gegen die EU-Vertrauensliste geprüft und je Geschäftsvorgang die erforderliche Signaturstufe festgelegt werden. Bei der EUDI-Wallet muss sich, wer Attribute abfragt, als vertrauender Beteiligter in dem Mitgliedstaat registrieren, in dem er niedergelassen ist (Art. 5b Abs. 1 der Verordnung), und die Datenminimierung beachten; das Registrierungsverfahren regelt die Durchführungsverordnung (EU) 2025/848, die ab dem 24. Dezember 2026 gilt.

Als Anbieter ist der Weg zum qualifizierten Status strukturiert: Prüfung durch eine akkreditierte CAB, Mitteilung der Absicht samt Konformitätsbewertungsbericht an die Aufsichtsstelle, Verleihung des Status, Eintrag in die Vertrauensliste. Danach folgen regelmäßige Bewertungen, laufende Aufsicht sowie Pflichten zu Sicherheitsmaßnahmen und Vorfallmeldungen. Die operativen Anforderungen konkretisiert die lizenzierte ETSI-Normenfamilie (u. a. EN 319 401/411/412, nur Strukturverweis); ein ISO/IEC 27001-ISMS oder eine IT-Grundschutz-Basis bildet das Fundament.

Typische Fehler

1. eIDAS wird als reines Rechtsthema behandelt und nie operativ verankert.
2. Eingehende Signaturen und Siegel werden akzeptiert, aber nicht gegen die Vertrauensliste validiert.
3. Die benötigte Signaturstufe wird nicht bewusst gewählt; es wird über- oder untersteuert.
4. Zuständigkeiten werden falsch zugeordnet, etwa die Wallet-Zertifizierung der BNetzA zugeschrieben; vorgesehen ist sie beim BSI, amtlich benannt ist die Stelle bislang nicht.
5. EUDI-Wallet-Termine werden weiter als offen behandelt, obwohl die maßgeblichen Durchführungsrechtsakte seit Dezember 2024 in Kraft sind und die Fristen damit bestimmbar sind.

Risiken und Trade-offs

Die qualifizierte Variante bietet höchste Rechtssicherheit, ist aber aufwändiger und teurer. Wer alles qualifiziert absichert, verschwendet Ressourcen; wer zu niedrig ansetzt, riskiert die Beweis- und Rechtswirkung. Hinzu kommt die Abhängigkeit von Dienstleistern: Fällt ein Anbieter aus dem qualifizierten Status, trifft das eigene Prozesse.

Abgrenzungsrisiko zu NIS2: Vertrauensdiensteanbieter zählen dort regelmäßig zum Sektor digitale Infrastruktur, qualifizierte Anbieter typischerweise als wesentliche Einrichtungen. eIDAS- und NIS2-Pflichten überschneiden sich inhaltlich, sind aber rechtlich getrennt; die Einordnung ist im Einzelfall zu prüfen.

Entscheidungspunkte

• Welche Signatur-, Siegel- oder Zeitstempelstufe ist je Prozess angemessen?
• Wer verantwortet eIDAS end-to-end über IT, Recht und Compliance hinweg?
• Validieren wir eingehende Vertrauensdienste systematisch gegen die EU-Vertrauensliste?
• Streben wir selbst einen qualifizierten Status an und tragen wir die dauerhafte Aufsichts- und Auditlast?
• Wie bereiten wir uns als Relying Party auf die EUDI-Wallet vor (Registrierung, Datenminimierung)?

Praktische Empfehlungen

1. Benennen Sie eine klare End-to-End-Verantwortung für eIDAS und Vertrauensdienste.
2. Erstellen Sie ein Inventar genutzter und bereitgestellter Vertrauensdienste samt Stufe und Anbieter.
3. Validieren Sie eingehende Signaturen und Zertifikate automatisiert gegen die Vertrauensliste.
4. Klären Sie Zuständigkeiten: BNetzA als Aufsichtsstelle, BSI für die Website-Zertifizierung und als vorgesehene Stelle für die Wallet-Zertifizierung (nicht amtlich benannt), DAkkS für die CAB-Akkreditierung.
5. Verankern Sie eIDAS-Sicherheitspflichten im ISMS und stimmen Sie sie mit NIS2 ab.
6. Planen Sie EUDI-Wallet-Termine als belastbare Stichtage: Bereitstellungspflicht der Mitgliedstaaten zum errechneten 24. Dezember 2026 (Art. 5a Abs. 1, 24 Monate ab Inkrafttreten der ersten Durchführungsrechtsakte am 24. Dezember 2024), Akzeptanzpflicht bestimmter privater Dienste spätestens zum errechneten 24. Dezember 2027 (Art. 5f Abs. 2).

Relevante Normreferenzen

• Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183: EU-Recht, öffentlich zugänglich und zitierfähig (EUR-Lex).
• Vertrauensdienstegesetz (VDG) und Vertrauensdiensteverordnung (VDV): nationale Umsetzung; Datumsstände und Paragraphen an der Primärquelle abgleichen.
• ETSI EN 319 401 ff. (u. a. EN 319 411, 412): lizenzierte Normenfamilie, nur Strukturverweis, keine Volltexte.
• ISO/IEC 27001: ISMS-Referenz als Betriebsbasis, nur als Referenz.