Durchführungsverordnung (EU) 2025/2160 der Kommission vom 27. Oktober 2025 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf Referenzstandards, Spezifikationen und Verfahren für das Management der Risiken bei der Erbringung nichtqualifizierter Vertrauensdienste

Die Durchführungsverordnung (EU) 2025/2160 ist eine unmittelbar geltende unionsrechtliche Verordnung und konkretisiert Artikel 19a Absatz 2 der Verordnung (EU) Nr. 910/2014 für nichtqualifizierte Vertrauensdienste. Systematisch handelt es sich um einen Durchführungsrechtsakt der Kommission, der Referenzstandards sowie Spezifikationen und Verfahren für das Risikomanagement festlegt und damit eine Konformitätsvermutung für die Einhaltung der einschlägigen Anforderungen der eIDAS-Verordnung ermöglicht. Inhaltlich regelt sie insbesondere den Aufbau und die Genehmigung von Risikomanagementkonzepten, die Ermittlung, Dokumentation und Bewertung von Risiken, die Planung und Überwachung von Risikobehandlungsmaßnahmen sowie Dokumentations-, Aufbewahrungs- und Veröffentlichungspflichten. Ergänzend verweist sie auf anwendbare Datenschutzvorgaben und bindet ausgewählte Abschnitte der ETSI EN 319 401 als Referenzstandard ein. • Der Anwendungsbereich erfasst nichtqualifizierte Vertrauensdiensteanbieter sowie deren Leitungsorgane und mittelbar die Aufsichtsstellen im Rahmen der Konformitätsvermutung. Erfasst sind sämtliche Risiken bei der Erbringung nichtqualifizierter Vertrauensdienste, also rechtliche, geschäftliche, betriebliche sowie direkte und indirekte Risiken, einschließlich Risiken im Zusammenhang mit Dritten, Systemkomponenten und einzelnen Fehlerpunkten. Besondere Pflichten betreffen die Genehmigung der Risikomanagementkonzepte und Restrisiken durch das Leitungsorgan, die Dokumentation der Rechtsbeobachtung, die Veröffentlichung verwendeter Identitätsüberprüfungsmethoden sowie die sichere Aufbewahrung bestimmter Nachweis- und Authentifizierungsdaten. Eine ausdrückliche Ausnahme von der Verordnung ist nicht vorgesehen; allerdings bleibt der Nachweis der Erfüllung der eIDAS-Anforderungen auch über andere Verfahren als die in dieser Verordnung geregelte Konformitätsvermutung möglich. • In der Praxis bedeutet dies, dass nichtqualifizierte Vertrauensdiensteanbieter ein formales, vom Leitungsorgan freigegebenes Risikomanagement für jeden betroffenen Vertrauensdienst einrichten und mindestens jährlich sowie anlassbezogen fortschreiben müssen. Risiken aus Drittbeziehungen, einzelnen Fehlerpunkten, Infrastrukturänderungen und erheblichen Sicherheitsvorfällen sind systematisch zu erfassen und in konkrete Behandlungspläne zu überführen. Zudem sind Identitätsprüfverfahren transparent zu machen und bestimmte Registrierungs-, Authentifizierungs- und Statusdaten über die erforderliche Dauer vertraulich, integer und verfügbar aufzubewahren. Für die Aufsicht entsteht dadurch ein strukturierter Prüfmaßstab, während Anbieter bei Einhaltung der Vorgaben von einer erleichterten Nachweisführung profitieren können.

Stand: 01.07.2026

Nichtqualifizierte Vertrauensdiensteanbieter: • Pflicht: Für die betroffenen Vertrauensdienste spezifische Risikomanagementkonzepte festlegen und deren Anwendungsbereich eindeutig bestimmen. • Pflicht: Alle relevanten rechtlichen, geschäftlichen, betrieblichen sowie direkten und indirekten Risiken, einschließlich Risiken in Bezug auf Dritte und einzelne Fehlerpunkte, ermitteln, dokumentieren und bewerten. • Pflicht: Risikobehandlungsmaßnahmen planen, dokumentieren, umsetzen, fortlaufend überwachen sowie Ergebnisse und Pläne mindestens jährlich und bei wesentlichen Änderungen oder erheblichen Sicherheitsvorfällen aktualisieren. • Empfehlung: Die im Anhang genannten Abschnitte der ETSI EN 319 401 strukturiert in das interne Kontroll- und Nachweissystem integrieren, um die Konformitätsvermutung belastbar zu stützen. Leitungsorgane nichtqualifizierter Vertrauensdiensteanbieter: • Pflicht: Die Risikomanagementkonzepte genehmigen. • Pflicht: Verbleibende Restrisiken nach Umsetzung der Risikobehandlungsmaßnahmen ausdrücklich genehmigen. • Pflicht: Die Begründung für das Eingehen von Restrisiken in verständlicher Form absichern. • Empfehlung: Die Genehmigungsentscheidungen mit klaren Risikotoleranzschwellen und dokumentierten Entscheidungskriterien verbinden. Nutzerbezogene Einbindungs- und Identitätsprüfstellen oder eingesetzte Dritte: • Pflicht: Soweit Identitätsprüfungen durchgeführt werden, geeignete Methoden anwenden, damit die Anbieter ihre Veröffentlichungspflicht zu den verwendeten Verfahren erfüllen können. • Pflicht: Im Rahmen der Leistungserbringung erfasste Registrierungs- und Identitätsdaten nachvollziehbar bereitstellen, damit deren sichere Aufzeichnung und Aufbewahrung gewährleistet ist. • Pflicht: Bei Zuweisung von Authentifizierungsdaten sicherstellen, dass diese gegebenenfalls eindeutig sind. • Empfehlung: Prozesse mit dem Vertrauensdiensteanbieter so abstimmen, dass Nachweisführung, Datenintegrität und Dienstkontinuität ohne Medienbrüche unterstützt werden. Aufsichtsstellen: • Pflicht: Bei Erfüllung der Anforderungen dieser Durchführungsverordnung grundsätzlich davon ausgehen, dass die einschlägigen Anforderungen der Verordnung (EU) Nr. 910/2014 erfüllt sind. • Pflicht: Die veröffentlichten Methoden zur Identitätsüberprüfung und die dokumentierten Risikobehandlungspläne in die Aufsicht einbeziehen. • Pflicht: Alternative Nachweise zur Erfüllung der eIDAS-Anforderungen berücksichtigen, wenn Anbieter andere Verfahren als die Konformitätsvermutung nutzen. • Empfehlung: Prüfmaßstäbe an den in der Verordnung konkretisierten Dokumentations-, Aktualisierungs- und Genehmigungspflichten ausrichten.