Durchführungsverordnung (EU) 2025/2160 der Kommission vom 27. Oktober 2025 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf Referenzstandards, Spezifikationen und Verfahren für das Management der Risiken bei der Erbringung nichtqualifizierter Vertrauensdienste

Die in Artikel 19a Absatz 2 der Verordnung (EU) Nr. 910/2014 genannten Referenzstandards sind im Anhang der vorliegenden Verordnung festgelegt.

1 In den in Artikel 19a Absatz 1 der Verordnung (EU) Nr. 910/2014 genannten Risikomanagementkonzepten müssen die Vertrauensdienste, für die sie gelten, eindeutig angegeben werden; sie müssen für die betreffenden Vertrauensdienste spezifisch und vom Leitungsorgan des nichtqualifizierten Vertrauensdiensteanbieters genehmigt worden sein.

2 Die Risikomanagementkonzepte enthalten zumindest die folgenden Elemente: a) die allgemeine Risikotoleranzschwelle entsprechend der Kritikalität und der erforderlichen Vertrauenswürdigkeitsstufe der Vertrauensdienste unter Berücksichtigung der neuesten technologischen Entwicklungen; b) die relevanten Risikokriterien, darunter zumindest Wahrscheinlichkeit, Auswirkungen und Höhe des Risikos, unter Berücksichtigung der Erkenntnisse über Cyberbedrohungen und Schwachstellen; c) einen Ansatz für die Ermittlung und Dokumentation der Risiken bei der Erbringung der Vertrauensdienste unter Berücksichtigung des gesamten Anwendungsbereichs des vom nichtqualifizierten Vertrauensdiensteanbieter verwendeten Informationssystems, einschließlich der Risiken im Zusammenhang mit den Komponenten des Systems sowie mit allen an der Umsetzung des Systems oder an der Erbringung der Vertrauensdienste aktiv oder passiv Beteiligten; d) einen Prozess für die Bewertung der ermittelten Risiken auf der Grundlage der in Buchstabe b genannten Risikokriterien; e) einen Prozess für die Ermittlung, Priorisierung und ständige Überwachung der Umsetzung geeigneter Risikobehandlungsmaßnahmen; f) einen Prozess zur ständigen Überwachung der Umsetzung der Risikomanagementkonzepte.

3 Nichtqualifizierte Vertrauensdiensteanbieter legen geeignete Verfahren fest und bewahren Dokumente auf, um sicherzustellen, dass die in den geltenden Rechtsvorschriften festgelegten Anforderungen erfüllt werden.

4 Nichtqualifizierte Vertrauensdiensteanbieter richten geeignete dokumentierte Verfahren ein, um Änderungen der Rechts- und Verwaltungsvorschriften der Union und der Mitgliedstaaten, die sich auf die Erbringung von Vertrauensdiensten auswirken können, zu verfolgen.

Nichtqualifizierte Vertrauensdiensteanbieter ermitteln, dokumentieren und bewerten alle in Artikel 19a Absatz 1 der Verordnung (EU) Nr. 910/2014 genannten Risiken im Einklang mit den in Artikel 2 genannten Risikomanagementkonzepten und gewährleisten dabei insbesondere a) die Ermittlung von Risiken in Bezug auf Dritte, b) die Ermittlung potenzieller einzelner Fehlerpunkte (SPoF) bei der Erbringung der Vertrauensdienste, c) die Bewertung der ermittelten Risiken auf der Grundlage der in Artikel 2 Absatz 2 Buchstabe b genannten Risikokriterien.

1 Im Einklang mit den in Artikel 2 genannten Konzepten sorgen nichtqualifizierte Vertrauensdiensteanbieter für die Planung, Dokumentation und Umsetzung von Risikobehandlungsmaßnahmen und nehmen insbesondere folgende Aufgaben wahr: a) Bestimmung und Priorisierung geeigneter Risikobehandlungsmaßnahmen, b) Auswahl, Genehmigung und Dokumentation der gewählten Risikobehandlungsmaßnahmen, einschließlich ihrer Sicherheitsanforderungen und betrieblichen Verfahren, in einem Risikobehandlungsplan und Festlegung, wer diese Risikobehandlungsmaßnahmen wann umzusetzen hat, c) fortlaufende Überwachung der Umsetzung der Risikobehandlungsmaßnahmen.

2 In dem in Absatz 1 Buchstabe b genannten Risikobehandlungsplan werden die Gründe für das Eingehen von Restrisiken in verständlicher Weise aufgeführt.

3 Im Zuge der in Absatz 1 genannten Risikobehandlungsmaßnahmen müssen nichtqualifizierte Vertrauensdiensteanbieter zudem a) gegebenenfalls die Identität der Nutzer des Vertrauensdienstes direkt oder über einen Dritten überprüfen und Informationen über die verwendeten Methoden zur Identitätsüberprüfung veröffentlichen; b) für die Zwecke der Erbringung von Beweismitteln in Gerichtsverfahren und der Gewährleistung der Dienstkontinuität so lange wie nach Unionsrecht oder nationalem Recht erforderlich, und zwar auch nach Einstellung der Tätigkeiten des nichtqualifizierten Vertrauensdiensteanbieters, die folgenden Informationen aufzeichnen und sicher aufbewahren: alle relevanten Informationen, die im Prozess der Registrierung und Einbindung der Nutzer der Vertrauensdienste erfasst werden, gegebenenfalls einschließlich der Identitätsüberprüfung der Nutzer, gegebenenfalls Authentifizierungsdaten, die dem Nutzer des Vertrauensdienstes zugewiesen werden, und alle Änderungen des Status von Public-Key-Zertifikaten oder anderem kryptografischem Material, das bei der Erbringung des Vertrauensdienstes verwendet wird; c) gegebenenfalls sicherstellen, dass Authentifizierungsdaten, die dem Nutzer des Vertrauensdienstes zugewiesen werden, eindeutig sind.

4 Bei der Ermittlung, Auswahl, Genehmigung und Priorisierung geeigneter Risikobehandlungsmaßnahmen berücksichtigen nichtqualifizierte Vertrauensdiensteanbieter folgende Elemente: a) die Ergebnisse der in Artikel 3 genannten Risikobewertung, b) die Wirksamkeit der Risikobehandlungsmaßnahmen, c) Konformitätsbewertungen, d) erhebliche Sicherheitsvorfälle, e) die Umsetzungskosten im Verhältnis zum erwarteten Nutzen, f) die anwendbare angemessene Klassifizierung der Anlagen und Werte, g) die Analyse etwaiger betrieblicher Auswirkungen der gemäß Artikel 3 ermittelten Risiken.

5 Die Leitungsorgane nichtqualifizierter Vertrauensdiensteanbieter genehmigen die Restrisiken, die nach der Umsetzung der im Risikobehandlungsplan festgelegten Risikobehandlungsmaßnahmen noch verbleiben.

6 Nichtqualifizierte Vertrauensdiensteanbieter bewerten, dokumentieren und gegebenenfalls aktualisieren die Ergebnisse der Risikobewertung und den Risikobehandlungsplan in geplanten Zeitabständen, zumindest aber jährlich, sowie bei wesentlichen Änderungen der Infrastruktur, der Betriebsabläufe oder der Risiken oder bei erheblichen Sicherheitsvorfällen.

7 Nichtqualifizierte Vertrauensdiensteanbieter gewährleisten die Verfügbarkeit, Integrität und Vertraulichkeit der in Absatz 3 Buchstabe b genannten Informationen.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.