Durchführungsverordnung (EU) 2025/2530 der Kommission vom 16. Dezember 2025 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf Anforderungen an qualifizierte Vertrauensdiensteanbieter, die qualifizierte Vertrauensdienste erbringen

1 In ihre Meldungen gemäß Artikel 24 Absatz 2 Buchstabe a der Verordnung (EU) Nr. 910/2014 nehmen qualifizierte Vertrauensdiensteanbieter zumindest wesentliche Änderungen aller folgenden Elemente auf: a) Dienstbeschreibungen, Regelungen, Praxiserklärungen oder damit verbundenen Nutzungsbedingungen; b) technische Architektur der qualifizierten Vertrauensdienste oder vertrauenswürdige Systeme oder Produkte gemäß Artikel 24 Absatz 2 Buchstaben e und f der Verordnung (EU) Nr. 910/2014; c) Bereitstellung technischer Komponenten, die für die Erbringung der qualifizierten Vertrauensdienste erforderlich sind, oder die zu diesen technischen Komponenten gehörigen technischen Dienste; d) Verwendung kryptografischer Techniken oder kryptografischen Materials bei der Erbringung der qualifizierten Vertrauensdienste; e) Registrierungs- und Identifizierungsverfahren; f) Organisationsstruktur oder Leitung des Vertrauensdiensteanbieters; g) Beendigungsplan; h) in Artikel 24 Absatz 2 Buchstabe c der Verordnung (EU) Nr. 910/2014 genannte Finanzmittel und Haftpflichtversicherungen; i) Elemente, die sich auf den Inhalt der betreffenden nationalen Vertrauensliste auswirken; j) an der Erbringung der qualifizierten Vertrauensdienste beteiligte Dritte, einschließlich Unterauftragnehmer oder Dienstleister, oder Änderungen an den Vertragsbedingungen mit diesen Dritten.

2 Die in Absatz 1 genannten Meldungen müssten Folgendes enthalten: a) Beschreibung der Änderung, b) geplanter Zeitpunkt der Änderung (Datum und Uhrzeit), c) Gründe der Änderung und gegebenenfalls Nachweise für die Gründe, d) gegebenenfalls aktualisierte Dokumente.

Die in Artikel 2, Artikel 3 und Artikel 4 der Durchführungsverordnung (EU) 2025/2160 festgelegten Anforderungen gelten sinngemäß für qualifizierte Vertrauensdiensteanbieter bezüglich der Anforderung, dass sie über einen Risikomanagementrahmen gemäß Artikel 24 Absatz 2 Buchstabe fa der Verordnung (EU) Nr. 910/2014 verfügen müssen.

1 Qualifizierte Vertrauensdiensteanbieter erstellen für jeden von ihnen erbrachten qualifizierten Vertrauensdienst einen Beendigungsplan mit den erforderlichen Bestimmungen für die wirksame und ordnungsgemäße Durchführung der Beendigung des Dienstes oder von Teilen davon, um die Kontinuität des Dienstes zu gewährleisten und Beweismittel in Gerichtsverfahren zu liefern, einschließlich der Art und Weise, wie Informationen gemäß Artikel 24 Absatz 2 Buchstabe h der Verordnung (EU) Nr. 910/2014 zugänglich gehalten werden.

2 Qualifizierte Vertrauensdiensteanbieter richten Kontrollen und Verfahren ein, um sicherzustellen, dass dokumentierte Regelungen, Praktiken, Verfahren, Vereinbarungen mit Dritten und sonstige Unterlagen, die erforderlich sind, um die Wirksamkeit des Beendigungsplans zu gewährleisten, zur internen Verwendung zur Verfügung stehen.

3 Qualifizierte Vertrauensdiensteanbieter richten Kontrollen und Verfahren ein, um sicherzustellen, dass ihr Beendigungsplan und alle zugehörigen Unterlagen stets auf dem neuesten Stand sind.

4 Qualifizierte Vertrauensdiensteanbieter überprüfen den Beendigungsplan und alle zugehörigen Unterlagen mindestens alle zwei Jahre und als Teil der Umsetzung etwaiger Änderungen beim qualifizierten Vertrauensdiensteanbieter oder bei den von ihm erbrachten qualifizierten Vertrauensdiensten und aktualisieren den Beendigungsplan entsprechend.

5 Qualifizierte Vertrauensdiensteanbieter bewältigen die mit der Beendigung ihrer qualifizierten Vertrauensdienste verbundenen Risiken im Rahmen des in Artikel 2 genannten Risikomanagementrahmens.

6 Qualifizierte Vertrauensdiensteanbieter sorgen für ausreichende Finanzmittel oder eine angemessene Versicherungsdeckung für die erforderlichen Kosten der wirksamen Durchführung des Beendigungsplans, auch für den Fall einer unvorhersehbaren Beendigung.

7 Qualifizierte Vertrauensdiensteanbieter stellen sicher, dass der Beendigungsplan geeignete Verfahren und Vorkehrungen zumindest für Folgendes enthält: a) die Beendigung der qualifizierten Vertrauensdienste, gegebenenfalls auch in Bezug auf die Außerbetriebnahme von technischen Komponenten oder Diensten, die zur Erbringung des betreffenden qualifizierten Vertrauensdienstes verwendet werden; b) eine zügige Aktualisierung der zugehörigen Diensteinträge in der betreffenden nationalen Vertrauensliste; c) den Widerruf bestehender und unwiderrufener qualifizierter Zertifikate, die von ihnen vor Abschluss der Beendigung des qualifizierten Vertrauensdienstes für die Ausstellung qualifizierter Zertifikate ausgestellt wurden, es sei denn, alle einschlägigen Pflichten der beendeten qualifizierten Vertrauensdienste werden in einer Weise auf einen anderen qualifizierten Vertrauensdiensteanbieter übertragen, die sicherstellt, dass die qualifizierten Zertifikate und alle damit verbundenen Dienste ununterbrochen weiterhin die Anforderungen der Verordnung (EU) Nr. 910/2014 erfüllen; d) Gewährleistung, dass nach Beendigung der Erbringung qualifizierter Vertrauensdienste keine weiteren Outputs des qualifizierten Vertrauensdienstes unter Verwendung der Signatur- oder Siegelerstellungsdaten des qualifizierten Vertrauensdiensteanbieters erstellt oder ermöglicht werden können; e) Gewährleistung der Zugänglichkeit und Nutzbarkeit aller einschlägigen Aufzeichnungen, die sich im Besitz des qualifizierten Vertrauensdiensteanbieters befinden; f) Behandlung von Szenarien einer vorhersehbaren, unvorhersehbaren, teilweisen und vollständigen Beendigung; g) Gewährleistung, dass die Interessen der Nutzer der beendeten qualifizierten Vertrauensdienste bei der Beendigung gewahrt werden, einschließlich der fortlaufenden Pflege der Informationen, die die Nutzer benötigen, um die rechtliche Gültigkeit der Outputs der qualifizierten Vertrauensdienste zu überprüfen; h) gegebenenfalls Angabe der Vereinbarungen, die getroffen wurden, um die Erbringung alternativer qualifizierter Vertrauensdienste durch andere qualifizierte Vertrauensdiensteanbieter zu ermöglichen, damit Störungen für die Nutzer so gering wie möglich sind; i) Mitteilungen an Beteiligte, die dem qualifizierten Vertrauensdiensteanbieter bekannt sind und direkt oder indirekt von der Beendigung betroffen sein werden.

8 Die in Absatz 7 Buchstabe e genannten Verfahren und Vereinbarungen müssen die Zugänglichkeit und Nutzbarkeit der Aufzeichnungen gewährleisten, die erforderlich sind für a) den Nachweis der Konformität der qualifizierten Vertrauensdienste mit der Verordnung (EU) Nr. 910/2014 und der Verordnung (EU) 2016/679; b) die Gewährleistung der Kontinuität der qualifizierten Vertrauensdienste bezüglich der Signatur- oder Siegelvalidierungsdaten des qualifizierten Vertrauensdiensteanbieters und bezüglich der kontinuierlichen Pflege der Informationen, die erforderlich sind, um die Richtigkeit der von den Vertrauensdiensten zuvor erstellten Outputs zu überprüfen.

9 Qualifizierte Vertrauensdiensteanbieter stellen sicher, dass der Beendigungsplan und die damit verbundenen Aufzeichnungen zumindest die folgende Dokumentation enthalten: a) Verfahren für die Beendigung qualifizierter Vertrauensdienste; b) Verfahren für und Aufzeichnungen über eine regelmäßige Überprüfung des in Absatz 4 genannten Beendigungsplans; c) Prüfberichte in Bezug auf den Beendigungsplan; d) Beendigungsvereinbarungen mit Dritten, die an der Erbringung der zu beendenden qualifizierten Vertrauensdienste beteiligt sind; e) Nutzungsbedingungen, Praktiken und Regelungen in Bezug auf die qualifizierten Vertrauensdienste.

1 Zusätzlich zu den in Artikel 1, Artikel 2 und Artikel 3 festgelegten Anforderungen werden die in Artikel 24 Absatz 5 der Verordnung (EU) Nr. 910/2014 genannten Referenzstandards und Spezifikationen im Anhang der vorliegenden Verordnung festgelegt.

2 Bei Abweichungen zwischen den in den Durchführungsverordnungen festgelegten und im Anhang der vorliegenden Verordnung aufgeführten Referenzstandards und Spezifikationen und den Anforderungen der Artikel 1, 2 und 3 der vorliegenden Verordnung haben die Anforderungen der Artikel 1, 2 und 3 der vorliegenden Verordnung Vorrang.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.