Seminar EUDI Wallet & eIDAS 2.0 – Intensivseminar Governance, Recht und Programmsteuerung

Das fünftägige Intensivseminar bündelt Rechtsrahmen, Governance, Compliance, Vertrauensdienste, Datenschutz, Anwendungsfallsteuerung, Beschaffung, sektorale Anforderungen und Einführung zu einem belastbaren Umsetzungsprogramm. Es führt von der Pflichtenanalyse über Zielbild und Use-Case-Portfolio bis zu Ausschreibung, Kontrollsystem, Pilotierung und Auditbereitschaft.

Fünf Seminartage sind als Maximaldauer erforderlich, um rechtliche und organisatorische Anforderungen nicht nur zu erläutern, sondern in Rollenmodelle, Datenschutz- und Sicherheitsgates, Beschaffungsunterlagen, Governance, Roadmap und Auditnachweise zu überführen. Das Format verdichtet die steuerungs- und compliancebezogenen Einzelseminare.

Inhaltsübersicht

1. Tag 1: Rechtsrahmen und Pflichtenanalyse
2. Tag 1: Vertrauensdienste und elektronische Nachweise
3. Tag 2: Governance und Programmorganisation
4. Tag 2: Use-Case-Portfolio und Zielbild
5. Tag 3: Datenschutz und Nutzerkontrolle
6. Tag 3: Sicherheit und Vertrauensgovernance
7. Tag 4: Beschaffung und Lieferantensteuerung
8. Tag 4: Sektorale Governance
9. Tag 5: Compliance-Kontrollsystem und Audit
10. Tag 5: Roadmap, Pilotierung und Organisationsbefähigung
11. Lernziele und Zielgruppe
12. Praxisanteil und Arbeitsunterlagen

Lernziele

• eIDAS-2.0-Pflichten in ein organisationsspezifisches Compliance-Modell überführen.
• Governance, Rollen und Entscheidungswege für ein Wallet-Programm aufbauen.
• Use Cases und sektorale Einführungswellen risikobasiert priorisieren.
• Datenschutz, Sicherheit, Vertrauensdienste und Beschaffung integrieren.
• Eine prüfbare Roadmap mit Kontrollen, Evidenzen und Auditvorbereitung erstellen.

Zielgruppe

Geschäftsführung, Programm- und Projektleitung, Recht, Compliance, Datenschutz, Informationssicherheit, Revision, Produktmanagement, Beschaffung, öffentliche Verwaltung, Fachbereichsleitung und Enterprise-Architektur.

Voraussetzungen

Kenntnis der eigenen Organisation, Entscheidungswege und Digitalisierungsziele. Technische Spezialkenntnisse sind nicht erforderlich.

Seminarinhalte

1. Tag 1: Rechtsrahmen und Pflichtenanalyse

Einordnung von eIDAS 2.0, Wallet-Funktionen, Vertrauensdiensten, Rollen, Pflichten, Aufsicht, Haftung und grenzüberschreitender Nutzung.

1. Schritt 1: Regelungsgegenstände und betroffene Leistungen der Organisation abgrenzen.
2. Schritt 2: Pflichten und Verbote den Rollen und Prozessschritten zuordnen.
3. Schritt 3: Fristen, Nachweise, Aufsichts- und Meldebeziehungen erfassen.
4. Schritt 4: Rechtsunsicherheiten und Entscheidungen in einem gesteuerten Klärungsregister führen.

2. Tag 1: Vertrauensdienste und elektronische Nachweise

Signaturen, Siegel, Zeitstempel, Zustelldienste, Archivierung, EAA und QEAA in fachlichen Prozessketten.

1. Schritt 1: Geschäftsprozesse nach benötigter Rechtswirkung und Beweisfunktion klassifizieren.
2. Schritt 2: geeignete Vertrauensdienste und Nachweisformen auswählen.
3. Schritt 3: Validierung, Aufbewahrung und Beweiswerterhaltung als Kontrollkette modellieren.
4. Schritt 4: Verantwortung und Vertragsgrenzen zu Vertrauensdiensteanbietern festlegen.

3. Tag 2: Governance und Programmorganisation

Gremien, Rollen, RACI, Architektur- und Compliance-Entscheidungen, Änderungssteuerung, Eskalation und Lieferantenbeziehungen.

1. Schritt 1: Stakeholder, Entscheidungsebenen und fachliche beziehungsweise technische Verantwortungen erfassen.
2. Schritt 2: Gremien, Mandate, Freigabepunkte und Eskalationswege definieren.
3. Schritt 3: Änderungen an Recht, ARF, Spezifikationen und Scope in einen Change-Prozess integrieren.
4. Schritt 4: Governance anhand eines Konflikt- und Verzögerungsszenarios erproben.

4. Tag 2: Use-Case-Portfolio und Zielbild

Auswahl und Priorisierung von Anwendungen nach Nutzen, Verpflichtung, Datenverfügbarkeit, Reife, Risiko und Skalierbarkeit.

1. Schritt 1: Use Cases mit Problem, Zielgruppe, Nachweis, Entscheidung und Erfolgskriterium beschreiben.
2. Schritt 2: Bewertungskriterien und Gewichtung organisationsweit vereinheitlichen.
3. Schritt 3: Pilot-, Lern-, Pflicht- und Skalierungsfälle zu Einführungswellen bündeln.
4. Schritt 4: Zielbild und Nutzenhypothesen mit messbaren Kennzahlen freigeben.

5. Tag 3: Datenschutz und Nutzerkontrolle

Datenflüsse, Rollen, Zweckbindung, Datenminimierung, selektive Offenlegung, Pseudonyme, UX, Protokollierung und DSFA.

1. Schritt 1: Daten- und Metadatenflüsse über Issuer, Wallet und Relying Party erfassen.
2. Schritt 2: minimal erforderliche Claims und zulässige Verwendungszwecke festlegen.
3. Schritt 3: Korrelation, Tracking, Betroffenenrechte und Aufbewahrung risikobasiert behandeln.
4. Schritt 4: DSFA-Risiken und Maßnahmen in Freigabegates und Projektbacklog überführen.

6. Tag 3: Sicherheit und Vertrauensgovernance

Schutzbedarf, Bedrohungen, Trust, Zertifikate, Registrierung, Status, Schlüssel, sichere Entwicklung und Incident Readiness aus Steuerungssicht.

1. Schritt 1: kritische Assets, Vertrauensannahmen und Sicherheitsziele festlegen.
2. Schritt 2: Mindestkontrollen und Nachweise für Produkt, Lieferant und Betrieb definieren.
3. Schritt 3: Registrierungs-, Zertifikats-, Status- und Schlüsselverantwortung organisatorisch zuordnen.
4. Schritt 4: Restrisiken, Ausnahmen und Sicherheitsfreigaben nachvollziehbar steuern.

7. Tag 4: Beschaffung und Lieferantensteuerung

Leistungszuschnitt, Anforderungen, Eignung, Wertung, Demonstration, Vertrag, Abnahme, Änderungen, Exit und Portabilität.

1. Schritt 1: Beschaffungsgegenstand, Eigenleistung und Liefergrenzen eindeutig schneiden.
2. Schritt 2: Pflichten und Zielarchitektur in prüfbare Muss- und Bewertungskriterien übersetzen.
3. Schritt 3: Demonstrations-, Interoperabilitäts-, Sicherheits- und Abnahmeszenarien definieren.
4. Schritt 4: Exit, Portabilität, Änderungen und Leistungssteuerung vertraglich operationalisieren.

8. Tag 4: Sektorale Governance

Besonderheiten öffentlicher Verwaltung, Finanzsektor und Gesundheitswesen einschließlich Register, KYC, SCA, Vertretung, Barrierefreiheit und sensibler Daten.

1. Schritt 1: sektorale Rollen, Pflichten und Datenquellen für priorisierte Use Cases erfassen.
2. Schritt 2: zusätzliche Kontroll-, Nachweis- und Freigabeanforderungen bestimmen.
3. Schritt 3: Alternativwege, Unterstützung, Vertretung und Ausnahmesituationen organisatorisch verankern.
4. Schritt 4: gemeinsame Plattformregeln von sektorspezifischer Governance trennen.

9. Tag 5: Compliance-Kontrollsystem und Audit

Kontrollziele, Maßnahmen, Evidenzen, Wirksamkeitsprüfung, Abweichungen, Management-Reporting und Prüfbereitschaft.

1. Schritt 1: Pflichten und Risiken in präventive, detektive und korrektive Kontrollen übersetzen.
2. Schritt 2: Verantwortung, Frequenz, Evidenz und Wirksamkeitskriterium je Kontrolle festlegen.
3. Schritt 3: Abweichungen, Ausnahmen und Nachbesserung in einem zentralen Register steuern.
4. Schritt 4: Audit-Anforderung mit vollständiger und konsistenter Evidenz simulieren.

10. Tag 5: Roadmap, Pilotierung und Organisationsbefähigung

Arbeitspakete, Meilensteine, Ressourcen, Kompetenzen, Kommunikation, Pilot, Rollout und kontinuierliche Anpassung.

1. Schritt 1: Zielzustand, Pilotumfang und messbare Eintritts- und Austrittskriterien definieren.
2. Schritt 2: Arbeitspakete und Abhängigkeiten über Recht, Fachlichkeit, Technik und Betrieb planen.
3. Schritt 3: Kompetenzen, Beschaffung, Kommunikation und Schulungen in den Zeitplan integrieren.
4. Schritt 4: 90-Tage-Plan und mehrstufige Roadmap mit verantwortlichen Entscheiderinnen und Entscheidern freigeben.

Praxisanteil

• Erstellung eines vollständigen Pflichten-, Rollen- und Kontrollmodells.
• Ausarbeitung eines priorisierten Use-Case-Portfolios und einer Beschaffungsstrategie.
• Simulation einer Governance-Entscheidung und einer Audit-Anforderung.

Arbeitsunterlagen

Die Arbeitsunterlagen enthalten strukturierte Checklisten, Vorlagen und Referenzmodelle für die unmittelbare Weiterarbeit im Projekt. Im Seminar werden insbesondere folgende Artefakte erstellt oder vorbereitet:

• Rechts- und Pflichtenmatrix
• Vertrauensdienste-Entscheidungsmatrix
• Programm-Governance-Modell
• Priorisiertes Use-Case-Portfolio
• Privacy-by-Design- und DSFA-Paket
• Security- und Trust-Governance-Katalog
• Vergabe- und Steuerungspaket
• Sektorale Governance-Profile
• Compliance- und Audit-Kontrollsystem
• Umsetzungsroadmap und Organisationsplan