Was eIDAS 2.0 für Ihre Organisation bedeutet

Organisationen nutzen Identitätsdaten und Nachweise, um Menschen Zugang zu gewähren, Anträge zu beurteilen und mit anderen Beteiligten zusammenzuarbeiten. Sie verwalten auch Informationen, auf die sich andere verlassen können müssen. eIDAS 2.0 verändert den europäischen Rahmen, in dem diese Informationen digital ausgestellt und genutzt werden können.

Was das für Ihre Organisation bedeutet, hängt von Ihren Dienstleistungen und Ihrer Rolle beim Austausch ab. Eine gute Vorbereitung bringt gesetzliche Pflichten, Möglichkeiten für die Dienstleistung und die nötigen Vereinbarungen zusammen. So wird deutlich, welche Entscheidungen jetzt Aufmerksamkeit erfordern und welche Umsetzung darauf folgen kann.

Was verändert sich mit eIDAS 2.0?

eIDAS 2.0 erweitert die europäischen Regeln für elektronische Identifizierung und Vertrauensdienste. Ein wichtiger Bestandteil ist die europäische Brieftasche für die digitale Identität. Damit können Menschen ihre Identität nachweisen, digitale Nachweise empfangen und Daten mit Organisationen teilen. Auch elektronische Signaturen gehören zum Rahmen. Die Europäische Kommission beschreibt die Funktionen der Wallet.

Gemeinsame Regeln und technische Vereinbarungen sollen diese Nutzung zwischen Organisationen und über Landesgrenzen hinweg ermöglichen. Ein Empfänger kann beispielsweise Herkunft und Gültigkeit eines digitalen Nachweises prüfen. Nutzer können Daten aus ihrer Wallet dort teilen, wo sie gebraucht werden. Ob das bei einer bestimmten Dienstleistung funktioniert, hängt unter anderem von verfügbaren Nachweisen, unterstützten Wallets und Vereinbarungen mit den Beteiligten ab.

Dieser Artikel befasst sich mit den Entscheidungen rund um Wallets und digitale Nachweise innerhalb dieses umfassenderen europäischen Rahmens.

Wo betrifft das Ihre Organisation?

Betrachten Sie zuerst die Informationen, die Ihre Organisation verwendet. Wo müssen Kunden, Einwohner, Mitarbeitende oder Geschäftspartner ihre Identität, Eigenschaften oder Befugnisse nachweisen? Als empfangende Partei bestimmen Sie, welche Daten benötigt werden, welche Quellen Sie akzeptieren und wie der Nachweis in eine Entscheidung einfließt. Eine Altersprüfung erfordert beispielsweise andere Informationen als die Feststellung einer Vertretungsbefugnis.

Betrachten Sie anschließend die Daten, die Sie selbst verwalten. Könnten andere Beteiligte darauf aufbauen, wenn Sie daraus einen digitalen Nachweis ausstellen? Denken Sie etwa an eine Mitgliedschaft, eine Genehmigung oder eine Berechtigung. Als Aussteller müssen Sie für Bedeutung und Herkunft des Nachweises einstehen können und regeln, wie er gültig bleibt, korrigiert oder widerrufen wird.

Eine Organisation kann beide Rollen übernehmen. Klären Sie deshalb für jede Dienstleistung oder jeden Datenaustausch, was Sie empfangen, was Sie ausstellen und wer davon abhängig ist. Das zeigt, wo eIDAS Ihre Organisation betrifft und mit welchen internen und externen Beteiligten Sie die Vorbereitung besprechen müssen.

Welche Pflichten und Entscheidungen ergeben sich daraus?

Bestimmen Sie, welche Regeln für die ermittelten Dienstleistungen gelten. Öffentliche Online-Dienste müssen konforme europäische Wallets akzeptieren, wenn ein Mitgliedstaat elektronische Identifizierung und Authentifizierung für den Zugang verlangt.

Für private Dienstleistungen gelten andere Voraussetzungen: Artikel 5f Absatz 2 knüpft die Akzeptanzpflicht an eine gesetzlich oder vertraglich vorgeschriebene starke Nutzerauthentifizierung für die Online-Identifizierung. Kleinst- und kleine Unternehmen sind ausgenommen; die übrigen unter diese Bestimmung fallenden Parteien müssen Wallets auf freiwilligen Wunsch des Nutzers spätestens am 24. Dezember 2027 akzeptieren. Für benannte sehr große Online-Plattformen gibt es eine gesonderte Regel. Die eIDAS-Erläuterungen und der Zeitplan beschreiben den Anwendungsbereich und die Rechtsgrundlage.

Eine Organisation, die Daten aus einer europäischen Wallet anfordern möchte, muss sich im Mitgliedstaat ihrer Niederlassung registrieren, den vorgesehenen Zweck und die Datenanfragen angeben und sich gegenüber dem Nutzer identifizieren. Anfragen müssen innerhalb des registrierten Datenumfangs bleiben. Siehe die Pflichten empfangender Parteien.

Bei der Ausstellung erfordern die rechtliche Kategorie des Nachweises und die zugehörigen Bedingungen eine eigene Prüfung. Ein Nachweis wird nicht automatisch qualifiziert, weil er sich in einer Wallet befindet. Eine Pflicht zur Akzeptanz von Wallets ist zudem keine allgemeine Pflicht, selbst Nachweise auszustellen. Artikel 45b der eIDAS-Verordnung beschreibt die Rechtswirkungen der verschiedenen Kategorien.

Bewerten Sie neben diesen Pflichten den Nutzen für Ihre Dienstleistungen. Welcher Datenaustausch könnte einfacher werden, welche Zusammenarbeit wird möglich und was verlangt das von den Beteiligten? So können Sie rechtliche Vorbereitung und gewünschte Verbesserungen jeweils angemessen in Ihrer Planung berücksichtigen.

Welche Vereinbarungen machen den Austausch nutzbar?

Um auf Grundlage eines digitalen Nachweises handeln zu können, müssen die Beteiligten wissen, was er bedeutet und worauf sie sich verlassen dürfen. Welche Quelle belegt die Daten? Wer darf den Nachweis ausstellen? Was prüft der Empfänger und wie aktuell müssen die Informationen sein? Die technische Verifizierung prüft die Herkunft und ob die Daten unverändert sind. Dadurch werden die Quellinformationen nicht automatisch richtig oder für eine Entscheidung ausreichend. Der Empfänger bleibt für die Beurteilung innerhalb seiner eigenen Dienstleistung verantwortlich.

Verbinden Sie diese Vereinbarungen mit den Regeln des Vertrauensrahmens, in dem der Nachweis verwendet wird. Ein Rulebook kann Bedeutung, Daten, Rollen und Bedingungen für Ausstellung, Nutzung und Verwaltung festhalten. Prüfen Sie, welche Vereinbarungen bereits bestehen und was für Ihre Organisation ergänzt werden muss. Weitere Hintergründe finden Sie in den Erläuterungen zu Vertrauensrahmen.

Auch die Position des Nutzers gehört dazu. Fordern Sie nur notwendige und zulässige Daten an, erklären Sie deren Verwendung und sorgen Sie dafür, dass Fehler korrigiert werden können. Eine Bestätigung in der Wallet ersetzt keine gültige Rechtsgrundlage nach der DSGVO. Die Wallet-Nutzung bleibt freiwillig; auch Menschen ohne Wallet müssen daher ihr Anliegen weiterverfolgen können. Siehe Artikel 5 und 6 der DSGVO sowie Artikel 5a Absatz 15 der eIDAS-Verordnung.

Was verlangt die Vorbereitung von Ihrer Organisation?

Bringen Sie die für die Dienstleistung, Recht, Datenschutz, Sicherheit, Technik und Betrieb zuständigen Teams zusammen. Die Entscheidungen hängen miteinander zusammen: Die benötigten Daten bestimmen mit, was Sie anfordern, welche Quelle Sie nutzen und wie Ihre Systeme angebunden werden müssen. Halten Sie fest, wer darüber entscheidet und wer für die tägliche Nutzung verantwortlich ist.

Erfassen Sie anschließend, was bereits vorhanden ist: Identifizierungsmittel, Quellregister, Datendefinitionen, Vereinbarungen und Anbindungen. Klären Sie mit Lieferanten und anderen Beteiligten, was nutzbar ist und welche Abhängigkeiten noch offen sind. Das Ergebnis ist ein Überblick über die Dienstleistungen mit Handlungsbedarf, die nötigen Entscheidungen und die Reihenfolge ihrer Vorbereitung.

Dieser Überblick hilft auch festzustellen, welche Arbeit jetzt sinnvoll ist. Teilweise müssen zunächst Verantwortlichkeiten oder Akzeptanzvereinbarungen geklärt werden. An anderer Stelle kann ein bestehender Entwurf erprobt oder eine getestete Anwendung in den Alltag eingebunden werden.

Wählen Sie die Unterstützung, die zu Ihrer Frage passt

Ver.iD unterstützt bei den inhaltlichen Entscheidungen und der Umsetzung rund um digitale Nachweise. Welche Unterstützung passt, hängt von Ihrer Frage und den bereits geleisteten Arbeiten ab:

• Eine passende Ausstellungsroute bestimmen. Wir untersuchen, wo Ihre Nachweise nutzbar sein müssen und was dafür erforderlich ist.
• Vereinbarungen und Definitionen ausarbeiten. Wir halten Bedeutung, Daten und Bedingungen für Ausstellung, Nutzung und Verwaltung fest.
• Eine technische oder praktische Frage prüfen. Ein abgegrenzter Proof of Concept mit Demodaten zeigt die Funktionsweise und die Grenzen des Austauschs.
• Eine vereinbarte Anwendung in Betrieb nehmen. Wir unterstützen bei Anbindungen, Abnahmetests, Einführung und Übergabe an den Betrieb.

Diese Dienstleistungen sind eigenständige Einstiegsmöglichkeiten. Ein vorhandenes Rulebook, frühere Untersuchungen oder eine getestete Integration können der Ausgangspunkt sein. Ihre Organisation behält die inhaltlichen Entscheidungen und Prioritäten in der Hand; gemeinsam vereinbaren wir, welche Arbeiten Ver.iD übernimmt.

Eine gezielte Vorbereitung macht deutlich, was eIDAS von Ihrer Organisation verlangt und worauf Sie sich konzentrieren möchten. Besprechen Sie mit Ver.iD Ihren aktuellen Stand und die Entscheidungen, die Sie ausarbeiten möchten.