German 
English 
Qualifizierte elektronische Archivierung ist nicht mehr nur ein Konzept, obwohl es in mehreren europäischen Mitgliedstaaten bereits mehr als nur ein Konzept war.
Mit der Veröffentlichung der Durchführungsverordnung (EU) 2025/2532 der Kommission, die seit dem 6. Januar 2026 in Kraft ist, verfügt Europa nun über einen vollständigen rechtlichen und technischen Rahmen für die Archivierung elektronischer Daten und Dokumente mit rechtlichen Vermutungen hinsichtlich ihrer Integrität und Herkunft.
Dennoch fällt es vielen Organisationen nach wie vor schwer zu erkennen, in welcher Beziehung die verschiedenen Ebenen zueinander stehen. Lassen Sie mich Ihnen den Stack näher erläutern.
Ebene 1: Die Verordnung legt fest, “was” zu tun ist”
Mit eIDAS 2 (Verordnung (EU) 2024/1183 zur Änderung der Verordnung (EU) Nr. 910/2014) wird Folgendes eingeführt: Elektronische Archivierung als eigenständiger Vertrauensdienst.
In Artikel 45j wird das Ziel definiert: Qualifizierte elektronische Archivierungsdienste müssen die Dauerhaftigkeit und Lesbarkeit elektronischer Daten und Dokumente über deren technische Lebensdauer hinaus und mindestens während der gesamten gesetzlichen oder vertraglichen Aufbewahrungsfrist gewährleisten, wobei deren Integrität und Herkunftsnachweis gewahrt bleiben müssen.
Das ist das Niveau einer Verordnung: rechtlich verbindliche Ergebnisse, bewusst technologieneutral. Sie legt fest, was erreicht werden muss, nicht wie.
Eine wichtige Folge der Einbindung der elektronischen Archivierung in eine Verordnung ist, dass die grundlegenden Anforderungen auf EU-Ebene harmonisiert sind. Nationale Vorschriften können zwar weiterhin Aufbewahrungspflichten oder branchenspezifische Verpflichtungen festlegen, dürfen jedoch nicht im Widerspruch zu der unmittelbar geltenden Verordnung stehen.
Die Verordnung bleibt die maßgebliche Rechtsgrundlage: Lokale Rechtsvorschriften, Normen und technische Lösungen müssen sich daran ausrichten.
Ebene 2: Das Durchführungsgesetz legt die Standards fest
In den Verordnungen werden die technischen Einzelheiten auf Durchführungsrechtsakte übertragen. Die Durchführungsverordnung (EU) 2025/2532 der Kommission tut genau dies im Hinblick auf die qualifizierte elektronische Archivierung: Sie legt die Referenzstandards und Spezifikationen fest, die ein Anbieter qualifizierter elektronischer Archivierungsdienste (QEATSP) erfüllen muss.
Dies wird im Rahmen von eIDAS 2 deutlicher als zuvor: Der Durchführungsrechtsakt verweist direkt auf Anforderungen und Kontrollmaßnahmen aus Normen, die erfüllt werden müssen.
Der Anhang des Durchführungsgesetzes dient als Brücke. Er ordnet die rechtlichen Anforderungen von Artikel 45j den konkreten Bestimmungen anerkannter Normen zu, vor allem der CEN/TS 18170:2025 für die archivspezifischen Anforderungen und der ETSI EN 319 401 für die allgemeinen Anforderungen an Vertrauensdienstleister.
Darüber hinaus wird auf die Norm ISO 14721:2025, das OAIS-Referenzmodell, im Hinblick auf Konzepte zur Langzeitarchivierung Bezug genommen.
Ebene 3: CEN/TS 18170:2025 legt fest, “wie” dies zu geschehen hat”
Die von CEN/TC 468 unter aktiver Mitwirkung der Europäischen Kommission und von Experten aus ganz Europa erarbeitete Norm CEN/TS 18170:2025 legt die funktionalen, betrieblichen und verfahrenstechnischen Anforderungen an Vertrauensdienste für die elektronische Archivierung (EATS) fest.
Es deckt den gesamten Lebenszyklus ab: den Empfang, die Erfassung, die Speicherung, den Abruf und die Löschung elektronischer Daten und Dokumente, unabhängig davon, ob diese ursprünglich in digitaler Form vorlagen oder aus Papierdokumenten eingescannt wurden.
Es handelt sich um die erste europäische Norm, die speziell für den Vertrauensdienst zur elektronischen Archivierung gemäß eIDAS 2 verfasst wurde, und sie gilt sowohl für qualifizierte als auch für nicht qualifizierte Dienste.
Die Kontrollmatrix: Wo Revision auf Architektur trifft
An dieser Stelle wird es für die Praktiker konkret. Das Durchführungsgesetz besagt nicht einfach nur: “Halten Sie die Norm CEN/TS 18170 ein”.
Im Anhang werden bestimmte Klauseln bestimmten Verpflichtungen zugeordnet: Das Risikomanagement folgt einer Klausel, kryptografische Kontrollmaßnahmen einer anderen, die Kündigungsplanung einer weiteren, wobei die Klauseln der Norm ETSI EN 319 401 für die allgemeinen Verpflichtungen der Diensteanbieter (TSP) zusätzlich darüber gelegt werden.
Das Ergebnis ist im Grunde eine Kontrollmatrix. Konformitätsbewertungsstellen (CABs), die gemäß der Durchführungsverordnung (EU) 2025/2162 akkreditiert sind, werden QEATSPs anhand dieser Matrix prüfen. Für die Anbieter bedeutet dies, dass jede architektonische und verfahrenstechnische Entscheidung auf eine Kontrollmaßnahme zurückgeführt werden muss.
Für die Kunden bedeutet dies Vergleichbarkeit: Zwei qualifizierte Archivierungsdienste in verschiedenen Mitgliedstaaten werden anhand derselben Kontrollkriterien bewertet, und genau dies ermöglicht die grenzüberschreitende rechtliche Anerkennung.
In welchem Zusammenhang steht die Norm CEN/TS 18170 mit OAIS, ETSI TS 119 511 und ISO 14641?
Diese Standards ergänzen sich eher, als dass sie miteinander konkurrieren, doch sie beantworten unterschiedliche Fragen:
OAIS (ISO 14721) ist das konzeptionelle Referenzmodell für Langfristige digitale Archivierung. Sie liefert uns das gemeinsame Vokabular aus SIP, AIP und DIP sowie das Funktionsmodell eines Archivs. Sie beschreibt, was ein Langzeitarchivierungssystem ist, nicht jedoch, wie man ein solches System überprüft. Die CEN/TS 18170 orientiert sich bewusst an OAIS und setzt dessen Konzepte gleichzeitig in überprüfbare Anforderungen um.
ETSI TS 119 511 befasst sich mit der Aufbewahrung von digitale Signaturen: die Aufrechterhaltung der Gültigkeit qualifizierter Signaturen und Siegel über die Lebensdauer der zugrunde liegenden Kryptografie hinaus. Nach eIDAS 2 handelt es sich dabei weiterhin um eine eigenständige Dienstleistung – die Aufbewahrung gemäß Artikel 34 –, die sich von der Archivierung gemäß Artikel 45j unterscheidet.
Dies wird sogar im Durchführungsgesetz anerkannt: Ein QEATSP kann auf einen qualifizierten Archivierungsdienst zurückgreifen, um die Vertrauenswürdigkeit der signierten Dokumente im Archiv zu gewährleisten.
Die Norm ISO 14641 legt Anforderungen an die Konzeption und den Betrieb elektronischer Archivierungssysteme fest und diente als Grundlage für mehrere nationale Archivierungssysteme, unter anderem in Frankreich und Belgien. Sie ist nach wie vor eine solide Betriebsnorm, wurde jedoch nicht für das eIDAS-2-Vertrauensdienstmodell verfasst.
CEN/TS 18170 fasst diese Aspekte zusammen: das OAIS-Konzept, die Steuerung von Vertrauensdiensten im Sinne der Norm ETSI EN 319 401 sowie die strengen Anforderungen an Archivierungssysteme in der Tradition der Norm ISO 14641 – alles zusammengefasst als Anforderungen, anhand derer eine Zertifizierungsstelle (CAB) eine Prüfung gemäß Artikel 45j durchführen kann.
Was ist wirklich neu in der Norm CEN/TS 18170:2025?
Im Vergleich zu früheren Standards fallen einige Aspekte besonders ins Auge:
- Automatisierte Integritätsberichterstattung. Autorisierte vertrauende Parteien müssen in der Lage sein, auf automatisierte Weise einen Bericht zu erhalten, der bestätigt, dass die aus dem Archiv abgerufenen Daten ihre Integrität seit Beginn der Aufbewahrungsfrist bewahrt haben. Dies stellt einen bedeutenden Fortschritt für Prüfungs-, Rechtsstreit- und Compliance-Szenarien dar.
- Format- und Medienunabhängigkeit. Eindeutige Anforderungen an den Umgang mit technologischer Veralterung: Formatmigration, Erhaltung von Metadaten und Überprüfung der langfristigen Integrität, damit die Lesbarkeit über die Gültigkeitsdauer einer bestimmten Technologie hinaus gewährleistet ist.
- Die Löschung als Funktion erster Klasse. Eine kontrollierte und nachweisbare Löschung nach Ablauf der Aufbewahrungsfrist ist eine Anforderung und kein nachträglicher Einfall. In einer Welt der DSGVO ist dies von entscheidender Bedeutung.
- Entwickelt für die grenzüberschreitende Anerkennung. Da der Standard im Hinblick auf Artikel 45j verfasst wurde und im Durchführungsgesetz erwähnt wird, fördert die Konformität harmonisierte europäische Rechtsvermutungen hinsichtlich Integrität und Herkunft anstelle eines Flickenteppichs nationaler Regelungen.
Wo Docbyte heute steht
Docbyte ist ein qualifizierter Vertrauensdienstleister, der in der Europäischen Vertrauensliste aufgeführt ist und auf EU-Ebene über zwei qualifizierte Archivierungsdienste verfügt:
- Qualifizierte Aufbewahrung qualifizierter elektronischer Signaturen
- Qualifizierte Aufbewahrung qualifizierter elektronischer Siegel
Zusätzlich zu diesen beiden qualifizierten Archivierungsdiensten wird Docbyte in der belgischen Trust List auf nationaler Ebene für die qualifizierte elektronische Archivierung in Belgien anerkannt, und zwar im Rahmen eines Systems, das auf den Normen ETSI EN 319 401, ISO 14641 und ETSI TS 119 511 basiert. Diese Kombination bewährt sich: Governance der Vertrauensdienste, strenge Anforderungen an das Archivierungssystem und die Aufbewahrung von Signaturen in einem einheitlichen Rahmenwerk.
Das bedeutet: Unsere derzeitige Qualifikation basiert auf dem belgischen nationalen Rahmenwerk und ist noch keine eIDAS-2-Qualifikation gemäß der Durchführungsverordnung (EU) 2025/2532. Das europäische Rahmenwerk ist für alle neu; kein Anbieter konnte vor Januar 2026 über eine eIDAS-2-QEATS-Qualifikation verfügen.
Unser Ziel ist ebenso klar: Wir beabsichtigen, unseren Dienst an die Norm CEN/TS 18170:2025 anzupassen und so bald wie möglich die Qualifizierung gemäß dem eIDAS-2-Rahmenwerk zu erlangen. Die gute Nachricht ist, dass der Weg dorthin nicht mehr weit ist. Ein auf ETSI EN 319 401, ISO 14641 und ETSI TS 119 511 basierendes System deckt bereits den größten Teil der Kontrollmatrix ab; nun geht es darum, die Zuordnungen vorzunehmen, die Lücken zu schließen und die Konformität gegenüber der Zertifizierungsstelle nachzuweisen.
Warum dies für regulierte Branchen von Bedeutung ist
Wenn Sie in den Bereichen Life Sciences, Finanzdienstleistungen oder im öffentlichen Sektor tätig sind, stellt sich nicht mehr die Frage, ob Sie auf eine qualifizierte elektronische Archivierung achten sollten, sondern wann Ihre Archivstrategie darauf ausgerichtet werden sollte. Ein qualifiziertes Archiv mit europäischen Rechtsvermutungen hinsichtlich Integrität und Herkunft verändert die Wirtschaftlichkeit von Einstellung einer Anwendung, Stilllegung von Altanlagen und langfristige Aufbewahrung von Unterlagen.
Wie bereitet sich Ihre Organisation auf den Übergang von nationalen Archivierungssystemen zum harmonisierten eIDAS-2-Rahmenwerk vor?
