Was sind eIDAS 2.0 und die EUDI-Wallet?
eIDAS 2.0 bezeichnet den geänderten europäischen Rechtsrahmen für digitale Identitäten; die EUDI-Wallet ist das darin geregelte elektronische Identifizierungsmittel.
Rechtliche Einordnung: „eIDAS 2.0“ ist eine gebräuchliche, aber nicht gesetzlich definierte Bezeichnung für den durch die Verordnung (EU) 2024/1183 geänderten eIDAS-Rahmen. Die EUDI-Wallet ist nach Artikel 3 Nummer 42 der Verordnung (EU) Nr. 910/2014 ein elektronisches Identifizierungsmittel. Sie ermöglicht insbesondere, Personenidentifizierungsdaten und elektronische Attributsbescheinigungen sicher zu speichern, zu verwalten, zu validieren und zu präsentieren sowie qualifizierte elektronische Signaturen oder Siegel zu erstellen.
Der Normwortlaut
Normtext: Artikel 5a Absatz 1 der konsolidierten Verordnung (EU) Nr. 910/2014 lautet:
Damit alle natürlichen und juristischen Personen in der Union einen sicheren, vertrauenswürdigen und nahtlosen grenzüberschreitenden Zugang zu öffentlichen und privaten Diensten erhalten – unter Wahrung der vollständigen Kontrolle über ihre Daten –, stellt jeder Mitgliedstaat innerhalb von 24 Monaten nach dem Tag des Inkrafttretens der in Absatz 23 und Artikel 5c Absatz 6 genannten Durchführungsrechtsakte mindestens eine europäische Brieftasche für die digitale Identität bereit.
Die zulässigen Bereitstellungswege regelt Artikel 5a Absatz 2: durch den Mitgliedstaat selbst, im Auftrag des Mitgliedstaats oder unabhängig, aber vom Mitgliedstaat anerkannt.
Für wen ist der Wallet-Rahmen relevant?
Rechtliche Einordnung: Der sachliche Rahmen folgt aus Artikel 2 Absatz 1 sowie den Artikeln 5a bis 5f. Artikel 5a Absatz 1 nennt natürliche und juristische Personen in der Union. Je nach Tatbestand werden außerdem Mitgliedstaaten, Wallet-Anbieter sowie öffentliche und private vertrauende Beteiligte adressiert. Die Verordnung begründet nicht für alle Beteiligten dieselben Pflichten.
Ist die Nutzung der EUDI-Wallet Pflicht?
Normative Grenze: Nein. Nach Artikel 5a Absatz 15 ist die Nutzung freiwillig. Wer die Wallet nicht nutzt, darf dadurch nicht benachteiligt werden; der Zugang zu öffentlichen und privaten Diensten, zum Arbeitsmarkt und die unternehmerische Freiheit müssen auch auf anderem Weg möglich bleiben.
Wann müssen öffentliche und private Dienste Wallets akzeptieren?
Rechtliche Einordnung: Verlangt ein Mitgliedstaat für den Zugang zu einem öffentlichen Online-Dienst eine elektronische Identifizierung und Authentifizierung, muss der öffentliche Dienst nach Artikel 5f Absatz 1 auch eine regelkonforme EUDI-Wallet akzeptieren.
Für private Beteiligte gilt Artikel 5f Absatz 2 nur, wenn sie einen erfassten privaten Dienst anbieten, eine starke Nutzerauthentifizierung für die Online-Identifizierung gesetzlich oder vertraglich vorgeschrieben ist und der Nutzer die Wallet freiwillig einsetzen möchte. Kleinst- und kleine Unternehmen im Sinne der Empfehlung 2003/361/EG sind ausgenommen. Sehr große Online-Plattformen unterliegen dem eigenständigen Tatbestand des Artikels 5f Absatz 3; dessen Voraussetzungen sind getrennt zu prüfen.
Welche Fristen gelten?
Normative Fristen: Jeder Mitgliedstaat muss mindestens eine Wallet innerhalb von 24 Monaten nach Inkrafttreten der in Artikel 5a Absatz 23 und Artikel 5c Absatz 6 bezeichneten Durchführungsrechtsakte bereitstellen. Für die private Akzeptanzpflicht nach Artikel 5f Absatz 2 gilt spätestens eine Frist von 36 Monaten ab Inkrafttreten derselben Rechtsakte. Artikel 5f Absatz 1 und Absatz 3 nennen keine entsprechende 36-Monatsfrist. Eine einheitliche Unternehmensfrist besteht deshalb nicht.
Welche technischen und sicherheitsbezogenen Anforderungen gelten?
Technische Einordnung: Maßgeblich sind insbesondere Artikel 5a Absätze 4, 5, 11 und 12 sowie die einschlägigen Durchführungsrechtsakte. Wallets müssen umfangreiche Funktionen für Daten, Authentifizierung und Signaturen oder Siegel unterstützen, die Sicherheitsstufe „hoch“ erfüllen und Sicherheit bereits im Konzept berücksichtigen.
Nach Artikel 3 Absatz 1 der Durchführungsverordnung (EU) 2024/2979 darf eine Wallet-Einheit ihre Funktionen grundsätzlich erst nach erfolgreicher Authentifizierung des Nutzers ausführen. Ausgenommen ist die Authentifizierung für den Zugriff auf die einzelne Wallet selbst.
Häufige Fehlannahmen
- „eIDAS 2.0“ sei ein gesetzlicher Begriff. Tatsächlich ist dies eine gebräuchliche Kurzbezeichnung für den geänderten eIDAS-Rahmen.
- Jede digitale Brieftasche sei eine EUDI-Wallet. Entscheidend sind die Definition in Artikel 3 Nummer 42 und die Anforderungen der Artikel 5a bis 5f.
- Alle Personen müssten eine Wallet nutzen. Artikel 5a Absatz 15 stellt die Nutzung ausdrücklich frei und schützt alternative Zugangswege.
- Alle Unternehmen müssten Wallets akzeptieren. Artikel 5f Absatz 2 setzt einen erfassten privaten Dienst, eine gesetzlich oder vertraglich vorgeschriebene starke Nutzerauthentifizierung und ein freiwilliges Nutzerverlangen voraus; Kleinst- und kleine Unternehmen sind ausgenommen.
- Für alle Akzeptanzpflichten gelte eine Frist von 36 Monaten. Diese Frist gehört zu Artikel 5f Absatz 2, nicht zu Absatz 1 oder Absatz 3.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind risikoorientierte Empfehlungen und keine eigenständigen gesetzlichen Geschäftsleitungspflichten.
- Öffentliche Dienste, private Dienste mit starker Nutzerauthentifizierung und gegebenenfalls sehr große Online-Plattformen getrennt erfassen.
- Für jeden Dienst den einschlägigen Tatbestand des Artikels 5f einschließlich Auslösern, Ausnahmen und Frist prüfen und dokumentieren.
- Wallet-Akzeptanz, Interoperabilität, Datenschutz und Sicherheit anhand der jeweils einschlägigen Durchführungsrechtsakte planen.
- Technische Tests, Verantwortlichkeiten und Nachweise vor der für den konkreten Dienst maßgeblichen Umsetzung terminieren.
Für die Geschäftsleitung
eIDAS 2.0 betrifft nicht pauschal jedes Unternehmen. Entscheidend sind Rolle und Dienst: Öffentliche Dienste, bestimmte private Dienste mit starker Nutzerauthentifizierung und sehr große Online-Plattformen folgen unterschiedlichen Tatbeständen. Die Leitung sollte deshalb je Dienst eine dokumentierte Entscheidung zu Anwendbarkeit, Ausnahme, Frist und technischer Umsetzung verlangen. Als Nachweis eignen sich ein Dienstinventar, die rechtliche Tatbestandsprüfung sowie dokumentierte Interoperabilitäts-, Datenschutz- und Sicherheitstests.
