Vertrauensdiensteanbiete
Für Vertrauensdiensteanbieter gelten die Vorgaben der Verordnung (EU) Nr. 910/2014 (eIDAS-Verordnung) sowie der auf deren Grundlage erlassenen Rechtsakte. Je nach Status als nichtqualifizierter oder qualifizierter Vertrauensdiensteanbieter bestehen unterschiedliche Anforderungen. Ausführliche Informationen zu den einschlägigen Verpflichtungen, zu Verfahren, Nachweisen und Meldungen enthält das Dokument "Informationen zur Aufsicht über Vertrauensdienste".
Nichtqualifizierte Vertrauensdiensteanbieter
Die Erbringung nichtqualifizierter Vertrauensdienste bedarf weder einer Anzeige noch einer Genehmigung. Nichtqualifizierte Vertrauensdiensteanbieter haben jedoch die für ihre Dienste geltenden Anforderungen der eIDAS-Verordnung einzuhalten und unterliegen der Aufsicht durch die Telekom-Control-Kommission. Maßgeblich sind dabei insbesondere auch Art. 19a eIDAS-VO und die Vorgaben der Durchführungsverordnung (EU) 2025/2160. Zu den wesentlichen Pflichten zählen
- die Einhaltung der für den jeweiligen Vertrauensdienst geltenden rechtlichen, organisatorischen und technischen Anforderungen,
- der Einsatz zuverlässiger Systeme und sicherer Verfahren,
- die Umsetzung angemessener Sicherheitsmaßnahmen,
- die Erfüllung von Informations-, Dokumentations- und gegebenenfalls Meldepflichten,
- die Meldung von Sicherheitsverletzungen oder Integritätsverlusten nach den gesetzlichen Vorgaben.
In Österreich können nichtqualifizierte Vertrauensdienste auf Antrag des Vertrauensdiensteanbieters in die Vertrauensliste aufgenommen werden.
Qualifizierte Vertrauensdiensteanbieter
Qualifizierte Vertrauensdiensteanbieter müssen zusätzlich die besonderen Anforderungen für qualifizierte Vertrauensdienste erfüllen, die sich insbesondere aus Art. 24 eIDAS-VO und aus zahlreichen Durchführungsverordnungen ergeben (vgl. Dokument "Informationen zur Aufsicht über Vertrauensdienste", Abschnitt 8). Dazu zählen insbesondere:
- der Nachweis der Erfüllung der einschlägigen gesetzlichen Voraussetzungen,
- die Durchführung der erforderlichen Konformitätsbewertung,
- die Einhaltung der besonderen organisatorischen, technischen und sicherheitsbezogenen Anforderungen an qualifizierte Vertrauensdienste,
- die laufende Erfüllung der mit dem qualifizierten Status verbundenen Pflichten,
- die Übermittlung der für Verfahren, Nachweise und Meldungen erforderlichen Informationen.
Qualifizierte Vertrauensdienste dürfen ihre qualifizierten Vertrauensdienste erst erbringen, wenn ihnen die Telekom-Control-Kommission als Aufsichtsstelle für Vertrauensdienste dafür – nach Durchführung der dafür erforderlichen Überprüfung – den Qualifikationsstatus verliehen hat. Dieser wird in der Vertrauensliste ausgewiesen.
Weitere rechtliche Anforderungen
Neben der eIDAS-Verordnung sind für Vertrauensdiensteanbieter auch weitere unionsrechtliche und nationale Vorgaben zu beachten. Dazu zählen insbesondere das NISG 2026 und die Datenschutz-Grundverordnung (DSGVO), einschließlich daraus resultierender Pflichten zur Meldung von Sicherheitsvorfällen und Verletzungen des Schutzes personenbezogener Daten.