Durchführungsverordnung (EU) 2025/2162 der Kommission vom 27. Oktober 2025 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf die Akkreditierung von Konformitätsbewertungsstellen, die qualifizierte Vertrauensdiensteanbieter und die von ihnen erbrachten qualifizierten Vertrauensdienste bewerten, den Konformitätsbewertungsbericht und das Konformitätsbewertungssystem

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck 1. „Systeminhaber“ eine Einrichtung oder Gruppe von Einrichtungen, die für die Entwicklung und Pflege eines Konformitätsbewertungssystems verantwortlich ist; 2. „Zertifizierungsentscheidung“ eine Zertifizierungsentscheidung im Anschluss an eine Konformitätsbewertung durch eine Konformitätsbewertungsstelle, mit der diese Stelle die Konformität eines bestimmten qualifizierten Vertrauensdiensteanbieters und des von ihm erbrachten qualifizierten Vertrauensdienstes mit den Anforderungen der Verordnung (EU) Nr. 910/2014 und mit Artikel 21 der Richtlinie (EU) 2022/2555 bestätigt oder verwirft; 3. „Konformitätszertifikat“ ein Dokument, mit dem eine Konformitätsbewertungsstelle eine Zertifizierungsentscheidung bescheinigt, die bestätigt, dass ein bestimmter qualifizierter Vertrauensdiensteanbieter und der von ihm erbrachte qualifizierte Vertrauensdienst die Anforderungen der Verordnung (EU) Nr. 910/2014 und des Artikels 21 der Richtlinie (EU) 2022/2555 erfüllt; 4. „Konformitätsbewertungssystem“ eine Reihe von Vorschriften und Verfahren, die von Konformitätsbewertungsstellen für die Zwecke der Bewertung der Konformität qualifizierter Vertrauensdiensteanbieter und der von ihnen erbrachten qualifizierten Vertrauensdienste mit den Anforderungen der Verordnung (EU) Nr. 910/2014 und des Artikels 21 der Richtlinie (EU) 2022/2555 anzuwenden sind; 5. „Konformitätsbewertungsbericht“ ein Dokument, das — gegebenenfalls ergänzend zu den in einer Zertifizierungsentscheidung und dem zugehörigen Konformitätszertifikat enthaltenen Angaben — detaillierte Informationen über die Methode, nach der im Einklang mit einem Konformitätsbewertungssystem eine Konformitätsbewertung, ob ein bestimmter qualifizierter Vertrauensdiensteanbieter und der von ihm erbrachte qualifizierte Vertrauensdienst die Anforderungen der Verordnung (EU) Nr. 910/2014 und des Artikels 21 der Richtlinie (EU) 2022/2555 erfüllen, durchgeführt wird, sowie über die Ergebnisse der Konformitätsbewertung enthält; 6. „Akkreditierung“ eine Akkreditierung im Sinne von Artikel 2 Nummer 10 der Verordnung (EG) Nr. 765/2008; 7. „Akkreditierung mit flexiblem Geltungsbereich“ eine Akkreditierung, bei der die spezifischen Konformitätsbewertungstätigkeiten, für die eine Akkreditierung beantragt oder erteilt wird, so ausgestaltet werden, dass Konformitätsbewertungsstellen Änderungen an der Methodik und anderen Parametern vornehmen können, die in die von der nationalen Akkreditierungsstelle bestätigte Zuständigkeit der Konformitätsbewertungsstelle fallen; 8. „nationale Akkreditierungsstelle“ eine nationale Akkreditierungsstelle im Sinne von Artikel 2 Nummer 11 der Verordnung (EG) Nr. 765/2008.

1 Für die Zwecke der Zertifizierungsentscheidungen nach einem bestimmten Konformitätsbewertungssystem werden die Konformitätsbewertungsstellen nach der Norm EN ISO/IEC 17065:2012, ergänzt durch die Norm ETSI EN 319403-1 v2.3.1, akkreditiert.

2 Die Akkreditierung der in Absatz 1 genannten Konformitätsbewertungsstellen erfolgt durch eine nationale Akkreditierungsstelle gemäß der Norm EN ISO/IEC 17011:2017.

1 Nationale Akkreditierungsstellen sorgen dafür, dass die Akkreditierungsurkunden, die sie Konformitätsbewertungsstellen ausstellen, zumindest folgende Angaben enthalten: a) eindeutiger Identitätscode der Akkreditierungsurkunde; b) Ausstellungsdatum der Akkreditierungsurkunde; c) Name und Land der nationalen Akkreditierungsstelle, die die Akkreditierungsurkunde ausstellt, gemäß der amtlichen nationalen Eintragung; d) Name und gegebenenfalls Registriernummer der akkreditierten Konformitätsbewertungsstelle gemäß der amtlichen nationalen Eintragung; e) Akkreditierungsbereich in Bezug auf einen oder mehrere der folgenden qualifizierten Vertrauensdienste: Ausstellung qualifizierter Zertifikate für elektronische Signaturen, Ausstellung qualifizierter Zertifikate für elektronische Siegel, Ausstellung qualifizierter Zertifikate für die Website-Authentifizierung, qualifizierter Validierungsdienst für qualifizierte elektronische Signaturen, qualifizierter Validierungsdienst für qualifizierte elektronische Siegel, qualifizierter Bewahrungsdienst für qualifizierte elektronische Signaturen, qualifizierter Bewahrungsdienst für qualifizierte elektronische Siegel, Erstellung qualifizierter elektronischer Zeitstempel, Erbringung qualifizierter Dienste für die Zustellung elektronischer Einschreiben, qualifizierter Dienst zur Verwaltung qualifizierter elektronischer Fernsignaturerstellungseinheiten, qualifizierter Dienst zur Verwaltung qualifizierter elektronischer Fernsiegelerstellungseinheiten, Erbringung qualifizierter elektronischer Archivierungsdienste, Ausstellung qualifizierter elektronischer Attributsbescheinigungen, Aufzeichnung elektronischer Daten in einem elektronischen Journal; f) Kennung des Konformitätsbewertungssystems, für das die Konformitätsbewertungsstelle akkreditiert wurde, gegebenenfalls einschließlich der spezifischen Version; g) gegebenenfalls Angabe der Anwendung der Akkreditierung mit flexiblem Geltungsbereich; h) gegebenenfalls Kennung des Dokuments, in dem Konzeption und Umsetzung der Akkreditierung mit flexiblem Geltungsbereich dargelegt werden.

2 Die nationalen Akkreditierungsstellen stellen sicher, dass der Beginn und gegebenenfalls das Ende der Akkreditierung der Konformitätsbewertungsstelle für die Durchführung der Konformitätsbewertung der in Absatz 1 Buchstabe e genannten qualifizierten Vertrauensdienste, gegebenenfalls einschließlich spezifischer Daten für jeden qualifizierten Vertrauensdienst, in die Angaben zur Akkreditierung gemäß Artikel 20 Absatz 1b der Verordnung (EU) Nr. 910/2014 aufgenommen werden.

3 Die nationalen Akkreditierungsstellen stellen sicher, dass relevante Änderungen in Bezug auf die gemäß Absatz 1 übermittelten Informationen in der Akkreditierungsurkunde deutlich vermerkt werden.

4 In der Akkreditierungsurkunde wird der Akkreditierungsbereich der Konformitätsbewertungsstelle gemäß Artikel 2 Absatz 1 eindeutig beschrieben.

1 Der Systeminhaber führt Verfahren zur Verfolgung von Änderungen der in Artikel 2 Absatz 1 oder Artikel 6 Absatz 3 genannten Normen oder eines ihm gehörenden Konformitätsbewertungssystems, auf dessen Grundlage eine Konformitätsbewertungsstelle gemäß Artikel 2 akkreditiert wurde, ein.

2 Der Systeminhaber unterrichtet die nationale Akkreditierungsstelle zeitnah über die infolge der in Absatz 1 genannten Verfahren festgestellten Änderungen.

3 Hat die nationale Akkreditierungsstelle bei den akkreditierten Konformitätsbewertungsstellen keine Akkreditierung mit flexiblem Geltungsbereich vorgenommen, so stellt die nationale Akkreditierungsstelle fest, ob die Änderungen infolge der in Absatz 1 genannten Verfahren wahrscheinlich die Fähigkeit akkreditierter Konformitätsbewertungsstellen zur Durchführung von Konformitätsbewertungen im Rahmen von Systemen, für die sie akkreditiert sind, wesentlich beeinträchtigen werden.

4 Stellt die nationale Akkreditierungsstelle gemäß Absatz 3 fest, dass Änderungen die Fähigkeit der Konformitätsbewertungsstellen zur Durchführung von Konformitätsbewertungen beeinträchtigen, so fordert sie die Konformitätsbewertungsstelle auf, innerhalb einer angemessenen vorgeschriebenen Frist geeignete Maßnahmen zu ergreifen.

5 Ist die Konformitätsbewertungsstelle nicht in der Lage oder nicht willens, die in Absatz 4 genannten Maßnahmen innerhalb der vorgeschriebenen Frist zu ergreifen, so widerruft die nationale Akkreditierungsstelle die Akkreditierung unverzüglich oder setzt diese aus.

6 Stellt die nationale Akkreditierungsstelle gemäß Absatz 3 fest, dass Änderungen die Fähigkeit der Konformitätsbewertungsstellen zur Durchführung von Konformitätsbewertungen nicht beeinträchtigen, so kann sie gegebenenfalls die Geltungsdauer der Akkreditierung der bewerteten Konformitätsbewertungsstelle verlängern und ihren Akkreditierungsbereich ausweiten.

7 Gegebenenfalls aktualisiert die nationale Akkreditierungsstelle die Akkreditierungsurkunde zeitnah, um dem Ergebnis der Überprüfung der Akkreditierung gemäß diesem Artikel Rechnung zu tragen.

8 Geht bei einer Konformitätsbewertungsstelle eine Aufforderung gemäß Absatz 4 ein, so unterrichtet sie alle qualifizierten Vertrauensdiensteanbieter, die sie zuvor im Rahmen des betreffenden Konformitätsbewertungssystems bewertet hatte, zeitnah über alle Auswirkungen, die die Überprüfung der Akkreditierung der Konformitätsbewertungsstelle auf diese qualifizierten Vertrauensdiensteanbieter haben könnte, auch in Bezug auf künftige Zertifizierungsentscheidungen der Konformitätsbewertungsstelle im Rahmen dieses Systems.

1 Die Konformitätsbewertungsstellen stellen die von ihnen ausgestellten Konformitätszertifikate in einem öffentlichen Verzeichnis zur Verfügung, das von dieser Stelle zu diesem Zweck geführt wird.

2 Bei einer Vergabe von Unteraufträgen im Zusammenhang mit der Durchführung von Konformitätsbewertungstätigkeiten durch die Konformitätsbewertungsstelle ist die Art der durchzuführenden Tätigkeit gebührend zu berücksichtigen. Die Konformitätsbewertungsstelle stellt sicher, dass der Unterauftragnehmer die in Anhang I festgelegten Normen bzw. Standards bei der an Unterauftragnehmer vergebenen spezifischen Tätigkeit einhält.

3 Die Konformitätsbewertungsstellen stellen bei einer Zertifizierungsentscheidung sicher, dass der qualifizierte Vertrauensdiensteanbieter, den die Entscheidung betrifft, den Aufsichtsstellen die vollständigen Konformitätsbewertungsberichte über diese Entscheidung vorlegen kann.

1 In jedem Konformitätsbewertungssystem wird ein Systeminhaber angegeben.

2 Ein Konformitätsbewertungssystem muss dem System des Typs 6 gemäß der Norm EN ISO/IEC 17067:2013 und den Anforderungen dieses Artikels entsprechen.

3 Die Systeminhaber stellen sicher, dass ihre Konformitätsbewertungssysteme soweit zutreffend zumindest die Normen gemäß Anhang II umfassen, indem sie das Jahr und die Versionsnummer dieser Normen angeben.

4 Die Systeminhaber stellen sicher, dass in Fällen, in denen eine Akkreditierung mit flexiblem Geltungsbereich erfolgt ist, dies im Konformitätsbewertungssystem angegeben wird.

5 Die Systeminhaber stellen sicher, dass ihre Konformitätsbewertungssysteme zumindest für Folgendes Prozesse und Verfahren festlegen: a) Entgegennahme und Bearbeitung von an den Systeminhaber gerichteten Beschwerden über die Umsetzung des Konformitätsbewertungssystems; b) Meldungen der Konformitätsbewertungsstelle an die gemäß Artikel 46b Absatz 1 der Verordnung (EU) Nr. 910/2014 benannte Aufsichtsstelle in Bezug auf die Ausstellung von Konformitätszertifikaten und etwaige Änderungen daran; c) gegebenenfalls Vergabe von Unteraufträgen für die Durchführung von Konformitätsbewertungstätigkeiten durch die Konformitätsbewertungsstelle; d) Durchführung jährlicher Überwachungstätigkeiten auf der Grundlage der geltenden Anforderungen von Abschnitt 7.9 der Norm ISO/IEC 17065:2012; e) Verwaltung aller Änderungen, die sich auf den Betrieb qualifizierter Vertrauensdiensteanbieter oder der von ihnen erbrachten qualifizierten Vertrauensdienste auswirken, und deren Meldung an die Konformitätsbewertungsstelle und die zuständige Aufsichtsstelle durch den qualifizierten Vertrauensdiensteanbieter; f) Überprüfung der Nachweise, dass die Konformitätsbewertungsstelle über ausreichendes Fachwissen und ausreichende Sachkenntnis in Bezug auf die Anwendung bestimmter Normen im Zusammenhang mit dem von dem qualifizierten Vertrauensdiensteanbieter erbrachten qualifizierten Vertrauensdienst gemäß Absatz 3 verfügt; über professionelle Erfahrung in der Konformitätsbewertung aus mindestens drei Bewertungen von Vertrauensdiensteanbietern oder drei Bewertungen von Informationssicherheitsmanagementsystemen verfügt und sicherstellen kann, dass ein Team aus mindestens zwei qualifizierten Personen zur Verfügung steht, die über die für die Durchführung einer solchen Konformitätsbewertung erforderliche Sachkenntnis verfügen.

6 Die Systeminhaber stellen sicher, dass ihre Konformitätsbewertungssysteme die qualifizierten Vertrauensdiensteanbieter dazu verpflichten, Prozesse, Verfahren und Arbeitsanweisungen festzulegen, damit die Konformitätsbewertungsstelle mindestens einen Monat, bevor die qualifizierten Vertrauensdiensteanbieter wesentliche Änderungen bei der Erbringung der im Rahmen dieses Systems zertifizierten qualifizierten Vertrauensdienste vornehmen, und mindestens drei Monate, bevor sie die Erbringung der Dienste ganz oder teilweise einstellen wollen, hiervon benachrichtigt werden.

7 Die Systeminhaber stellen sicher, dass ihre Konformitätsbewertungssysteme keine positiven Zertifizierungsentscheidungen oder keine Ausstellung von Konformitätszertifikaten zulassen, wenn bei der Konformitätsbewertung eine Nichtkonformität der bewerteten qualifizierten Vertrauensdiensteanbieter und der von ihnen erbrachten qualifizierten Vertrauensdienste mit den Anforderungen der Verordnung (EU) Nr. 910/2014 und des Artikels 21 der Richtlinie (EU) 2022/2555 festgestellt wird.

8 Die Systeminhaber stellen sicher, dass ihre Konformitätsbewertungssysteme das Verfahren für die Bescheinigung eines Konformitätszertifikats festlegen. Sie schreiben insbesondere vor, dass die qualifizierten Vertrauensdiensteanbieter die zuständige Aufsichtsstelle unverzüglich über jede Änderung eines Konformitätszertifikats unterrichten müssen. Sie schreiben ferner vor, dass qualifizierte Vertrauensdiensteanbieter die betreffenden qualifizierten Vertrauensdienste nicht erbringen oder dafür werben dürfen, bis die zuständige Aufsichtsstelle den Qualifikationsstatus erneut bestätigt hat. Dieses Verfahren muss den Anforderungen in Abschnitt 7.11 der Norm ISO/IEC 17065:2012 entsprechen.

9 Die Systeminhaber stellen sicher, dass ihre Konformitätsbewertungssysteme festlegen, dass der Konformitätsbewertungsprozess über eine ausreichende Anzahl von Personentagen durchzuführen ist, und dass für die Konformitätsbewertung je nach deren Umfang und Komplexität ausreichende Ressourcen und Zeit zur Verfügung gestellt werden.

10 Die Systeminhaber stellen eine Zusammenfassung des Konformitätsbewertungssystems öffentlich zum Herunterladen bereit. Die Zusammenfassung enthält eine Beschreibung der Vorschriften und Verfahren, die zur Bewertung der Konformität qualifizierter Vertrauensdiensteanbieter und der von ihnen erbrachten qualifizierten Vertrauensdienste mit den Anforderungen der Verordnung (EU) Nr. 910/2014 und des Artikels 21 der Richtlinie (EU) 2022/2555 befolgt werden.

11 Die Systeminhaber stellen sicher, dass ihre Konformitätsbewertungssysteme verlangen, dass für jeden bewerteten qualifizierten Vertrauensdienst jährlich mindestens eine Überwachungskonformitätsbewertung durchgeführt wird.

1 Der in Artikel 20 Absatz 1 der Verordnung (EU) Nr. 910/2014 genannte Konformitätsbewertungsbericht muss den Spezifikationen in Anhang III entsprechen.

2 Der Konformitätsbewertungsbericht gilt als Teil der Zertifizierungsunterlagen gemäß Abschnitt 7.7 der Norm ETSI EN 319403-1.

1 Alle Interessenten können für jede Art von qualifiziertem Vertrauensdienst, für deren Bewertung die Konformitätsbewertungsstelle akkreditiert ist oder war, unentgeltlich aktuelle und frühere Informationen über den Umfang, den Beginn und gegebenenfalls das Ende der Akkreditierung von Konformitätsbewertungsstellen anfordern. Diese Informationen werden von den nationalen Akkreditierungsstellen zur Verfügung gestellt.

2 Aktuelle und frühere Informationen gemäß Absatz 1 sollten für einen Zeitraum von mindestens sechs Jahren nach der Akkreditierung der Konformitätsbewertungsstelle zur Verfügung stehen.

Für Konformitätsbewertungsstellen, die vor dem 17. November 2025 gemäß der Norm ETSI EN 319403 Version 2.2.2 oder einer früheren Version der Norm für die Zwecke der Bewertung der Konformität qualifizierter Vertrauensdiensteanbieter und der von ihnen erbrachten qualifizierten Vertrauensdienste gemäß der Verordnung (EU) Nr. 910/2014 akkreditiert wurden, gilt, dass deren Akkreditierung bis zum 17. Mai 2027 noch den Anforderungen des Artikels 2 Absatz 1 entspricht.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.