eIDAS 2.0: Was deutsche Signaturprozesse jetzt prüfen müssen

Einführung

eIDAS 2.0 ist für deutsche Signaturprozesse kein reines Zukunftsthema mehr. Die Verordnung (EU) 2024/1183 wurde am 30. April 2024 im Amtsblatt der Europäischen Union veröffentlicht und trat nach ihrem Artikel 2 am 20. Mai 2024 in Kraft. Sie änderte die Verordnung (EU) Nr. 910/2014 unmittelbar; zugleich enthalten einzelne Regelungen eigene Umsetzungs- oder Anwendungsfristen.

Für Compliance-, Legal- und IT-Teams folgt daraus eine andere Aufgabe als ein pauschales „eIDAS-2.0-Projekt“: Jeder relevante Signaturprozess muss gegen den aktuellen Rechtsstand geprüft werden. Dabei ist zu unterscheiden, was bereits gilt, welche Änderung den eigenen Prozess tatsächlich betrifft und wo noch eine konkrete Frist, ein Durchführungsrechtsakt oder eine technische Anpassung zu beobachten ist.

Dieser Leitfaden zeigt, wie Unternehmen ihre deutschen Signaturprozesse strukturiert einordnen und einen belastbaren Umsetzungsplan aufbauen. Er ersetzt keine rechtliche Prüfung des einzelnen Dokuments oder Signaturverfahrens.

Nota Sign unterstützt qualifizierte elektronische Signaturen (QES) und fortgeschrittene elektronische Signaturen (FES; englisch AES) in eIDAS-basierten Signaturworkflows. Teams können betroffene Prozessversionen, Vertrauensdienste, Testfälle und Umsetzungsnachweise in einen kontrollierten Änderungsprozess überführen.

Zuerst den konkreten Signaturprozess abgrenzen

Eine eIDAS-Prüfung wird erst belastbar, wenn klar ist, welcher Prozess untersucht wird. „Elektronische Signatur“ allein ist dafür zu weit gefasst. Ein Unternehmen sollte mindestens Dokumentenart, beteiligte Parteien, Signaturniveau, Vertrauensdiensteanbieter, Zertifikate, Validierung und angebundene Systeme einem konkreten Prozess zuordnen.

Auch die Jurisdiktion und der Zweck des Vorgangs gehören in diese Bestandsaufnahme. Ein interner Freigabeprozess, ein Vertrag mit einem Geschäftspartner und ein Verfahren gegenüber einer öffentlichen Stelle können unterschiedlichen Anforderungen und technischen Vorgaben unterliegen.

Für jeden Prozess empfiehlt sich deshalb ein eigener Eintrag im Compliance-Register. Dieser Eintrag sollte den verantwortlichen Fachbereich, die technische Prozessvariante und den Stand der letzten Prüfung enthalten. So lässt sich später nachvollziehen, welche Änderung tatsächlich bewertet wurde, ohne Anforderungen eines anderen Workflows ungeprüft zu übertragen.

eIDAS 2.0 ist bereits in Kraft – Fristen trotzdem getrennt prüfen

Die Verordnung (EU) 2024/1183 ändert die eIDAS-Verordnung seit dem 20. Mai 2024. Ein Umsetzungsplan sollte die darin vorgenommenen Änderungen daher nicht pauschal als „kommende Anforderungen“ führen.

Das bedeutet jedoch nicht, dass sämtliche organisatorischen und technischen Folgen zum selben Zeitpunkt umgesetzt werden mussten. Der geänderte Rechtsrahmen enthält Regelungen mit eigenen Fristen und verweist an verschiedenen Stellen auf nachgelagerte Durchführungsrechtsakte. Für die Prozesssteuerung sind deshalb mindestens drei Status sinnvoll:

• gilt bereits: Die einschlägige Vorgabe ist für den betrachteten Prozess anwendbar;
• fristgebunden: Die Vorgabe ist beschlossen, für die konkrete Umsetzung gilt jedoch eine besondere Frist oder ein späterer Anwendungszeitpunkt;
• beobachten: Für den Prozess ist noch zu prüfen, ob ein nachgelagerter Rechtsakt oder eine technische Spezifikation eine Anpassung auslöst.

Die Änderung von Anhang I Buchstabe i der eIDAS-Verordnung zeigt, warum diese zeitliche Einordnung wichtig ist. Die Verordnung (EU) 2024/1183 hat die Anforderungen an qualifizierte Zertifikate für elektronische Signaturen so angepasst, dass das Zertifikat die Angabe des Gültigkeitsstatus oder den Ort der Dienste enthalten muss, über die dieser Status abgerufen werden kann. Diese Änderung gehört seit Inkrafttreten der Änderungsverordnung zum geltenden Rahmen und sollte nicht als erst künftig wirksame Regel dargestellt werden.

Nicht jede Änderung betrifft jeden Signaturworkflow

Der größte Fehler bei der Umsetzung ist, die gesamte eIDAS-2.0-Änderungsliste ungefiltert auf jeden Signaturprozess zu übertragen. Stattdessen sollte das Compliance-Team für jede neue oder geänderte Vorschrift zunächst den Adressaten und den Prozessbezug bestimmen.

Einige Vorgaben betreffen unmittelbar Vertrauensdiensteanbieter, Zertifikate oder Aufsichtsprozesse. Andere können für Unternehmen relevant werden, weil sie einen qualifizierten Vertrauensdienst einsetzen, Signaturen validieren, mit öffentlichen Stellen interagieren oder grenzüberschreitende Workflows betreiben.

Für die interne Einordnung helfen vier Fragen:

1. Betrifft die Vorschrift unser Unternehmen direkt oder einen eingebundenen Vertrauensdiensteanbieter?
2. Welche Komponente des Signaturprozesses ist betroffen – etwa Identifizierung, Zertifikat, Signaturerstellung, Validierung oder Nachweis?
3. Ist die Anforderung bereits anwendbar oder besteht ein gesonderter Umsetzungs- beziehungsweise Anwendungszeitpunkt?
4. Welche technische, vertragliche oder organisatorische Änderung folgt daraus tatsächlich?

Erst wenn diese Fragen beantwortet sind, sollte aus einer Rechtsänderung ein Arbeitspaket werden. So bleibt der Umsetzungsplan auf reale Prozessänderungen begrenzt und wird nicht zu einer unspezifischen Sammlung regulatorischer Stichworte.

Einen prüfbaren eIDAS-Umsetzungsplan aufbauen

Für jeden betroffenen Signaturprozess sollte der Umsetzungsplan die regulatorische Quelle mit einer konkreten Maßnahme verbinden. Eine kompakte Struktur reicht in der Regel aus:

Wichtig ist die Trennung von Rechtsquelle und interner Entscheidung. Ein Unternehmen kann beispielsweise aus einer regulatorischen Änderung zusätzliche Tests oder einen früheren internen Termin ableiten. Diese Maßnahmen sind dann interne Kontrollen und sollten nicht so dokumentiert werden, als stünden sie wörtlich im Gesetz.

Dasselbe gilt für technische Abhängigkeiten. Wenn ein Signaturworkflow auf einem externen Vertrauensdiensteanbieter basiert, sollte der Plan festhalten, welche Änderung beim Anbieter liegt und welche Anpassung im eigenen System erforderlich ist. Dadurch bleibt die Verantwortungsgrenze auch bei späteren Audits nachvollziehbar.

Änderungen kontrolliert in den Signaturprozess übernehmen

Vor der Freigabe sollte das Compliance-Team die Rechtsbewertung, den technischen Prozess und den vorgesehenen Nachweis gemeinsam prüfen. Eine Änderung ist erst dann umsetzungsreif, wenn klar ist, welche Prozessversion betroffen ist und wie sich die Anpassung testen lässt.

Für produktive Signaturworkflows empfiehlt sich ein kontrollierter Änderungsprozess: Konfiguration oder Integration anpassen, Testfälle ausführen, Signatur- und Validierungsergebnisse prüfen und die freigegebene Prozessversion dokumentieren. Bei Abhängigkeiten von Zertifikaten oder externen Vertrauensdiensten sollte außerdem nachvollziehbar sein, auf welcher Anbieter- oder Dienstversion der Test beruht.

Nota Sign unterstützt dabei die technische Ausführung von QES- und FES/AES-Workflows. Auf Basis der freigegebenen regulatorischen Einordnung können Compliance, Legal und IT Konfigurationsänderungen testen, die Prozessversion dokumentieren und den Rollout nachvollziehbar freigeben.

Nächster Schritt: Wählen Sie einen betroffenen Signaturprozess aus und testen Sie die freigegebene eIDAS-2.0-Anpassung in Nota Sign vor dem produktiven Rollout.