Zusammenfassung

  • Die Frist Ende 2026 misst, ob Wallets verfügbar sind. Vertrauen setzt zusätzlich voraus, dass Zertifizierungsnachweise und Aufsicht bei einem Wechsel weitergegeben werden.
  • Der ENISA-Entwurf enthält bereits Regeln für die Beendigung der Tätigkeit einer Zertifizierungsstelle, den Transfer von Nachweisen und eine befristete Aufsicht durch die nationale Behörde. Entscheidend ist, ob Nutzer die fortbestehende Zertifizierung anschließend erkennen können.

Ein Starttermin sagt wenig über die Lebensdauer der Zusicherung

Die Europäische Kommission erwartet, dass die Mitgliedstaaten digitale Identitäts-Wallets bis Ende 2026 bereitstellen; ENISA nennt mindestens eine zertifizierte Wallet je Land. Diese Vorgabe lenkt den Blick auf die Ausgabe. Sie beantwortet nicht, wer den Zertifizierungsnachweis pflegt, wenn eine Prüfstelle ihre Arbeit beendet oder sich die nationalen Regelungen in ein europäisches System überführen.

Ein Zertifikat sollte nicht an die dauerhafte Existenz eines einzelnen Unternehmens gebunden sein. Für den Nutzer zählen ein erkennbarer Geltungsbereich, ein aktueller Status und eine verantwortliche Aufsicht. Die Institution kann wechseln, solange die Aussage der Zertifizierung und die dazugehörigen Belege nachvollziehbar bleiben.

Der Entwurf beschreibt den Austritt einer Stelle

Der ENISA-Kandidatenentwurf EUDIW v0.4.614 enthält einen eigenen Abschnitt zur Beendigung von Wallet-Zertifizierungen durch eine notifizierte Stelle. Sie muss die nationale Cybersicherheitszertifizierungsbehörde informieren, einen Zeitplan vorlegen und einen Plan vorbereiten, der die Übertragung ihrer Aufgaben an eine andere akkreditierte Stelle vorsieht. Plan und Übergang sind mit Behörde und Zertifikatsinhabern abzustimmen. Die Behörde prüft und koordiniert die Übertragung der Unterlagen zu weiterhin gültigen Zertifikaten.

Findet sich nicht sofort eine Nachfolgestelle, übernimmt die nationale Behörde die Überwachung der betroffenen Zertifikate während einer Übergangszeit.

Das ist eine konkrete Kontinuitätsregel, aber noch kein Beleg dafür, dass ein konkreter Wechsel reibungslos funktioniert. Der veröffentlichte Text ist weiterhin als Kandidatenentwurf gekennzeichnet. Er beantwortet außerdem nicht allein, ob der Nachfolger den bisherigen Prüfungsumfang übernimmt, wer die Überwachung in der Zwischenzeit praktisch ausführt und wie der Status für Wallet-Nutzer sichtbar bleibt.

Die EU-Regeln ergänzen den institutionellen Prozess um eine Nutzeransicht: Wallet-Anbieter müssen Informationen zugänglich machen, mit denen Nutzer den Zertifizierungsstatus der Wallet-Lösung prüfen können. Die von der Kommission bereitgestellten URLs werden dafür in die Wallet eingebunden. Ein belastbarer Übergang sollte deshalb den alten Zertifikatsdatensatz mit Nachfolger, übergebenen Nachweisen, Aufsichtsverantwortung und dem sichtbaren Status verknüpfen. Die geprüften öffentlichen Quellen zeigen keinen einheitlichen Übergangsbeleg, der all dies zusammenführt.

Das ist eine operative Prüffrage, keine Behauptung, eine aktuelle Wallet sei regelwidrig.

Die prüfende Gegenstelle hat einen späteren Termin

Auch Banken und Behörden, die Wallet-Daten anfordern, müssen als nutzende Stellen registriert sein. Die Durchführungsverordnung (EU) 2026/1730 verlangt von den Mitgliedstaaten mindestens eine Zertifizierungsstelle für Registrierungszertifikate dieser Stellen. Nach der Registrierung soll das Zertifikat automatisch und ohne unangemessene Verzögerung ausgestellt werden. Es nennt den vorgesehenen Verwendungszweck und eine harmonisierte Zugriffsregel; die Wallet informiert den Nutzer, wenn eine Anfrage darüber hinausgeht.

Eine konkrete Pflicht, mit der Wallet-Einheiten diese Registrierungszertifikate authentifizieren und prüfen, gilt nach der Verordnung (EU) 2026/1731 erst ab dem 11. August 2028. Das verschiebt nicht sämtliche Sicherheitsanforderungen. Es ist ein eigener Termin neben dem zertifizierten Angebot bis Ende 2026. Wer die Umsetzung plant, sollte beide Abhängigkeiten samt Verantwortlichen und Nachweisen getrennt führen.

Funktion erhalten, Institution ersetzbar halten

Lu Hengs Note 70 formuliert eine wichtige Unterscheidung: Dass eine Funktion fortbestehen muss, beweist nicht, dass die heutige Institution und alle von ihr beanspruchten Befugnisse fortbestehen müssen. Auf Wallet-Zertifizierung übertragen heißt das: Die Assurance muss übertragbar sein; die konkrete Prüfstelle darf ersetzbar bleiben.

Vor dem realen Ausscheiden einer Prüfstelle sollten Behörden und Anbieter den Wechsel anhand eines gültigen Zertifikats durchspielen. Dazu gehören die Übergabe der Berichte und Belege, eine klar benannte Aufsicht während des Übergangs, die Bestätigung des Geltungsbereichs durch die Nachfolgeorganisation und ein korrekter Statuslink in der Wallet. Der Wechsel von nationalen Systemen zu einem europäischen Zertifizierungssystem braucht einen eigenen Test. ENISA unterstützt beide Arbeitsstränge, doch Fortschritt im einen belegt nicht automatisch den anderen.

Der Termin Ende 2026 bleibt wichtig. Ergänzend sollten Leitungsteams beantworten können: Können eine Person, ein Wallet-Anbieter und ein vertrauender Dienst erkennen, dass die Zusicherung nach einem Zuständigkeitswechsel weiter gilt? So bleibt der Dienst belastbar, ohne eine einzelne Institution festzuschreiben.

Quellen