Seminar eIDAS 2.0 – Recht, Governance und Compliance

Das Seminar ordnet den europäischen Rechtsrahmen für digitale Identitäten in konkrete Organisations-, Nachweis- und Kontrollpflichten ein. Behandelt werden Rollen im EUDI-Wallet-Ökosystem, Pflichten von Wallet-Anbietern, Ausstellern und vertrauenden Beteiligten, Governance-Strukturen, Haftungsfragen, Aufsicht sowie die Übersetzung regulatorischer Anforderungen in ein belastbares Umsetzungsprogramm.

Zwei Seminartage sind erforderlich, weil Rechtsanalyse, Rollenabgrenzung, Compliance-Mapping, Governance-Entwurf und die Bearbeitung eines vollständigen Umsetzungsfalls miteinander verzahnt werden. Ein einzelner Tag würde weder die Detailtiefe der Pflichten noch die praktische Ableitung von Kontrollen und Nachweisen abdecken.

Inhaltsübersicht

1. Rechtsrahmen und Geltungsbereich
2. Rollen, Pflichten und Verantwortlichkeiten
3. Governance und Entscheidungsstruktur
4. Compliance-by-Design und Kontrollsystem
5. Aufsicht, Haftung und Vertragsbeziehungen
6. Umsetzungs-Roadmap und Auditvorbereitung
7. Lernziele und Zielgruppe
8. Praxisanteil und Arbeitsunterlagen

Lernziele

• Regelungsgegenstände und Pflichten von eIDAS 2.0 strukturiert einordnen.
• Rollen, Verantwortlichkeiten und Haftung im EUDI-Wallet-Ökosystem abgrenzen.
• Regulatorische Anforderungen in kontrollierbare technische und organisatorische Maßnahmen überführen.
• Governance-, Freigabe- und Nachweisprozesse für ein Umsetzungsprogramm definieren.
• Compliance-Risiken priorisieren und einen prüfbaren Maßnahmenplan erstellen.

Zielgruppe

Geschäftsführung, Programm- und Projektleitung, Compliance, Datenschutz, Informationssicherheit, Revision, Rechtsabteilung, öffentliche Verwaltung, Produktverantwortung und Architektur.

Voraussetzungen

Grundkenntnisse digitaler Identitäten und der eigenen Organisations- oder Projektstruktur. Juristische Spezialkenntnisse sind nicht erforderlich.

Seminarinhalte

1. Rechtsrahmen und Geltungsbereich

Einordnung der geänderten eIDAS-Regelung, ihres Anwendungsbereichs und der Verbindung zwischen elektronischer Identifizierung, Wallet-Funktionen und Vertrauensdiensten.

1. Schritt 1: Regelungsbereiche, Begriffe und betroffene Leistungen in einer Rechtslandkarte erfassen.
2. Schritt 2: Anwendungsfälle nach öffentlichem, privatem, grenzüberschreitendem und sektorbezogenem Einsatz unterscheiden.
3. Schritt 3: verbindliche Anforderungen, Ausgestaltungsspielräume und organisatorische Entscheidungen trennen.
4. Schritt 4: offene Rechtsfragen mit Annahmen, Zuständigkeiten und Klärungsbedarf dokumentieren.

2. Rollen, Pflichten und Verantwortlichkeiten

Abgrenzung von Mitgliedstaat, Wallet-Anbieter, PID-Provider, Attributsaussteller, qualifiziertem Vertrauensdiensteanbieter, vertrauendem Beteiligten und Nutzerseite.

1. Schritt 1: alle Rollen eines Referenzszenarios mit Leistungen und Abhängigkeiten erfassen.
2. Schritt 2: Pflichten, Verbote, Informationsanforderungen und Nachweispunkte den Rollen zuordnen.
3. Schritt 3: Schnittstellen zwischen fachlicher Verantwortung, technischer Verantwortung und Aufsicht markieren.
4. Schritt 4: Verantwortungslücken und Mehrfachzuständigkeiten durch eine RACI-Prüfung bereinigen.

3. Governance und Entscheidungsstruktur

Aufbau eines Steuerungsmodells für Recht, Produkt, Architektur, Sicherheit, Datenschutz, Betrieb, Beschaffung und externe Beteiligte.

1. Schritt 1: Entscheidungsebenen, Gremien und Eskalationswege aus dem Projektumfang ableiten.
2. Schritt 2: Freigabepunkte für Anforderungen, Architektur, Datenschutz, Sicherheit und Produktion definieren.
3. Schritt 3: Änderungen an Regelwerk, Standards und technischen Spezifikationen in einen Change-Prozess einbinden.
4. Schritt 4: Governance anhand eines Konfliktfalls zwischen Fachlichkeit, Recht und Technik erproben.

4. Compliance-by-Design und Kontrollsystem

Überführung rechtlicher Anforderungen in prüfbare Kontrollen, Evidenzen, Verantwortlichkeiten und Wiederholungszyklen.

1. Schritt 1: Anforderungen in Muss-Kriterien, Kontrollziele und Akzeptanzkriterien zerlegen.
2. Schritt 2: präventive, detektive und korrektive Kontrollen den Prozessschritten zuordnen.
3. Schritt 3: Evidenzen wie Freigaben, Testprotokolle, Registerdaten und Betriebsnachweise festlegen.
4. Schritt 4: Wirksamkeit und Vollständigkeit mit einer risikobasierten Kontrollprüfung bewerten.

5. Aufsicht, Haftung und Vertragsbeziehungen

Behandlung von Aufsichtsbeziehungen, Verantwortungsabgrenzung, Leistungsbeschreibungen, Haftungsrisiken und Nachweispflichten gegenüber Dritten.

1. Schritt 1: Aufsichts- und Meldebeziehungen für das Zielmodell erfassen.
2. Schritt 2: kritische Leistungsgrenzen und Haftungsschnittstellen zwischen Beteiligten bestimmen.
3. Schritt 3: vertragliche Mindestanforderungen an Sicherheit, Datenschutz, Verfügbarkeit und Änderungen formulieren.
4. Schritt 4: einen Eskalations- und Nachweisweg für Pflichtverletzungen und Leistungsstörungen erstellen.

6. Umsetzungs-Roadmap und Auditvorbereitung

Zusammenführung der Ergebnisse in ein priorisiertes Programm mit Meilensteinen, Abhängigkeiten, Nachweisen und Prüfbereitschaft.

1. Schritt 1: Pflichten nach Umsetzungsreife, Risiko und Abhängigkeit priorisieren.
2. Schritt 2: Arbeitspakete für Recht, Organisation, Technik, Test, Betrieb und Kommunikation bilden.
3. Schritt 3: Meilensteine mit Eintritts- und Austrittskriterien sowie erforderlichen Evidenzen versehen.
4. Schritt 4: Auditfähigkeit anhand einer simulierten Dokumentenanforderung überprüfen.

Praxisanteil

• Erstellung einer Rollen- und Pflichtenmatrix für ein EUDI-Wallet-Szenario.
• Aufbau eines prüfbaren Kontrollkatalogs mit Verantwortlichkeiten und Evidenzen.
• Planung einer regulatorisch priorisierten Roadmap einschließlich Governance und Auditvorbereitung.

Arbeitsunterlagen

Die Arbeitsunterlagen enthalten strukturierte Checklisten, Vorlagen und Referenzmodelle für die unmittelbare Weiterarbeit im Projekt. Im Seminar werden insbesondere folgende Artefakte erstellt oder vorbereitet:

• Rechts- und Anwendungslandkarte
• Rollen- und Pflichtenmatrix
• Governance- und Gremienmodell
• Compliance-Kontrollkatalog
• Vertrags- und Haftungscheckliste
• Compliance-Roadmap