Seminar EU Business Wallet – Intensivseminar Organisationsidentität, Mandate und Governance

Das fünftägige Intensivseminar bündelt Organisationsidentität, Register- und Stammdaten, Identifikatoren, Vertretungsrechte, Nachweise, selektive Offenlegung, Datenschutz, Providersteuerung und Governance. Im Verlauf entsteht ein organisationsweites Identitäts- und Berechtigungsmodell mit Lifecycle, Business Case, Kontrollen und klarer Verantwortungsverteilung.

Inhaltsverzeichnis

• Lernziele
• Fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Ein belastbares Modell für Organisationsidentität und eindeutige Kennungen erstellen.
• Register, Stammdaten und Wallet-Owner-Identitätsdaten konsistent verbinden.
• Mandate, Rollen, Attribute und Rezertifizierung durchgängig steuern.
• Nachweis- und Organisations-Lifecycle mit Datenschutzanforderungen verknüpfen.
• Governance, Richtlinien, Kontrollen und Managementreporting operationalisieren.

Fachliche Einordnung

Die Business Wallet benötigt mehr als eine technische Unternehmenskennung. Rechtsidentität, wirtschaftliche Identität, Niederlassungen, Vertreter, Vollmachten, Benutzerrollen, Nachweise und Datenqualität müssen konsistent zusammenwirken. Dieser Intensivpfad verbindet Fach-, Governance-, IAM- und Datenschutzperspektiven.

Schrittweise Seminarinhalte

1. Rechtsstand und Anwendungsbereich

Schwerpunkt: eIDAS-2.0-Grundlagen, europäisches Gesetzgebungsverfahren, Normadressaten, Freiwilligkeit für Unternehmen, Annahmepflichten öffentlicher Stellen und nationale Verfahrensanforderungen.

1. Verbindliche eIDAS-Regeln, den Entwurf zur European Business Wallet, die Ratsposition und spätere konsolidierte Fassungen in einer Rechtsstandsmatrix voneinander trennen.
2. Wirtschaftsteilnehmer, öffentliche Stellen, Wallet-Anbieter, Vertrauensdiensteanbieter, Registerstellen und relying parties den jeweils vorgesehenen Pflichten und Rechten zuordnen.
3. Für ausgewählte Geschäftsprozesse prüfen, welche Handlung durch die Wallet ersetzt werden kann und welche fach- oder verfahrensrechtlichen Voraussetzungen weiterhin erfüllt sein müssen.
4. Offene Punkte, nationale Abweichungen und erwartete Durchführungsrechtsakte in einem kontrollierten Änderungsregister dokumentieren.

Arbeitsergebnis: Eine belastbare Rechtsstandsmatrix mit Geltungsbereich, Verantwortlichkeiten und Anpassungsbedarf.

2. Akteure, Rollen und Verantwortungsgrenzen

Schwerpunkt: Wallet Owner, Benutzer, gesetzliche Vertreter, Bevollmächtigte, Administratoren, Provider, Aussteller, Prüfer, Register und Aufsicht.

1. Alle internen und externen Akteure einschließlich Vertretungs- und Betriebsrollen in einer RACI-Matrix erfassen.
2. Geschäftliche Befugnisse von technischen Zugriffsrechten trennen und für jede Rolle erlaubte Aktionen, Grenzen und Freigaben festlegen.
3. Konflikte wie Selbstfreigabe, Überdelegation, abgelaufene Vollmacht und geteilte Administratorkonten als Negativfälle definieren.
4. Vertretungs-, Betriebs- und Aufsichtsrollen anhand eines Musterprozesses auf Konsistenz, Prüfbarkeit und Widerrufbarkeit testen.

Arbeitsergebnis: Ein prüfbares Rollen- und Verantwortungsmodell für Einführung und Regelbetrieb.

3. Wallet-Owner-Identitätsdaten

Schwerpunkt: Offizieller Organisationsname, eindeutiger Identifikator, Registerbezug, kryptografische Bindung und Validierungsmechanismen.

1. Erforderliche Mindestattribute und zusätzliche Organisationsattribute aus Geschäfts-, Register- und Compliance-Sicht inventarisieren.
2. Den Bezug zwischen offizieller Registerinformation, Wallet-Owner-Identitätsdaten und der konkreten Wallet-Instanz modellieren.
3. Ausstellung, Aktualisierung, Validierung, Sperrung und erneute Bindung der Identitätsdaten für mehrere Organisationsereignisse durchspielen.
4. Prüfregeln für Namensänderung, Verschmelzung, Sitzverlegung, Statusänderung und Beendigung der Organisation definieren.

Arbeitsergebnis: Ein Datenmodell für belastbare und aktuell gehaltene Wallet-Owner-Identitätsdaten.

4. EUID, LEI, VAT-ID, EORI und weitere Identifikatoren

Schwerpunkt: Eindeutige Unternehmenskennungen, fachliche Geltungsbereiche, Mapping, Dublettenvermeidung, Referenzierung und Statusprüfung.

1. Vorhandene Identifikatoren nach Herausgeber, Rechtsraum, Zweck, Format, Gültigkeit und Aktualisierungsquelle klassifizieren.
2. EUID beziehungsweise alternative eindeutige Kennungen mit LEI, VAT-ID, EORI, Steuernummern und internen Geschäftspartner-IDs verknüpfen.
3. Matching-Regeln für Namensvarianten, Zweigniederlassungen, Konzerngesellschaften und wirtschaftlich tätige natürliche Personen festlegen.
4. Dubletten-, Verwechslungs- und veraltete Identifikatorfälle mit definierten Treffer- und Eskalationsregeln testen.

Arbeitsergebnis: Eine normalisierte Identifikatoren- und Matching-Matrix für Wallet und Stammdatensysteme.

5. Register, authentische Quellen und Nachweisführung

Schwerpunkt: Unternehmensregister, BRIS-nahe Datenflüsse, Fachregister, öffentliche Stellen, Datenherkunft, Aktualität und Nachweisqualität.

1. Relevante Register und authentische Quellen für Rechtsform, Vertretung, Anschrift, Steuer-, Zoll- und Genehmigungsattribute erfassen.
2. Für jedes Attribut festlegen, welche Stelle fachlich führend ist, wie Aktualität nachgewiesen wird und wie Statusänderungen erkannt werden.
3. Abruf-, Push- und ereignisbasierte Aktualisierungsmodelle einschließlich Ausfall- und Verzögerungsszenarien vergleichen.
4. Eine Herkunftskette vom Registereintrag über die Attestierung bis zur Prüfung durch die relying party dokumentieren und validieren.

Arbeitsergebnis: Ein Quellenkatalog mit Attributverantwortung, Aktualitätsregeln und Nachweiskette.

6. Stammdatenqualität und Identitätsabgleich

Schwerpunkt: Golden Record, Namensnormalisierung, Adressen, Rechtsformen, Hierarchien, Dubletten, Datenverantwortung und Korrekturprozesse.

1. Bestehende Organisationsstammdaten aus ERP, CRM, Lieferantenportal, IAM und Registern anhand eines einheitlichen Datenprofils vergleichen.
2. Normalisierungs-, Matching- und Survivorship-Regeln für Namen, Adressen, Rechtsformen, Niederlassungen und Identifikatoren festlegen.
3. Dubletten, widersprüchliche Registerinformationen und veraltete Vertretungsdaten in einem kontrollierten Bereinigungsprozess behandeln.
4. Qualitätskennzahlen, fachliche Verantwortliche, Korrekturfristen und Eskalationswege für den dauerhaften Betrieb definieren.

Arbeitsergebnis: Ein umsetzbarer Golden-Record- und Datenqualitätsprozess für Organisationsidentitäten.

7. Lifecycle der Organisationsidentität

Schwerpunkt: Gründung, Onboarding, Änderung, Umfirmierung, Sitzverlegung, Verschmelzung, Spaltung, Vertreterwechsel, Ruhen und Beendigung.

1. Relevante Organisationsereignisse und deren Auswirkungen auf Identifikatoren, Registerdaten, Mandate, Nachweise und Wallet-Zugänge erfassen.
2. Für jedes Ereignis führende Quelle, Auslöser, Genehmigung, technische Aktionen und Fristen definieren.
3. Änderungen über Stammdaten, Wallet-Owner-Identitätsdaten, Attestierungen, Directory, IAM und Fachsysteme orchestrieren.
4. Unvollständige Registerupdates, rückwirkende Änderungen und widersprüchliche Statusinformationen mit Eskalations- und Korrekturpfaden behandeln.

Arbeitsergebnis: Ein organisationsweites Lifecycle-Modell mit Ereignissen, Fristen und Systemaktionen.

8. Mandate, Vollmachten und Vertretungsrechte

Schwerpunkt: Gesetzliche Vertretung, rechtsgeschäftliche Vollmacht, technische Mandate, administrative Delegation, Geltungsbereich, Laufzeit und Widerruf.

1. Vertretungsarten nach Rechtsquelle, Reichweite, Untervollmacht, Gültigkeitszeitraum und erforderlichem Nachweis klassifizieren.
2. Geschäftliche Vollmacht von Wallet-Administrationsrecht und technischer Benutzerberechtigung trennen und miteinander verknüpfen.
3. Erteilung, Annahme, Nutzung, Änderung, Rezertifizierung und Widerruf eines Mandats mit eindeutigem Audit-Trail durchspielen.
4. Überdelegation, Rollenkonflikt, abgelaufene Vertretung, Organisationswechsel und Notfallzugriff als blockierende Negativfälle testen.

Arbeitsergebnis: Ein interoperables Mandats- und Delegationsmodell mit Lifecycle und Kontrollregeln.

9. Rollen-, Attribut- und Policy-basierte Autorisierung

Schwerpunkt: RBAC, ABAC, Geschäftsrollen, technische Rollen, Scopes, Policies, Funktionstrennung, Rezertifizierung und Echtzeitprüfung.

1. Geschäftsfunktionen, Wallet-Aktionen und schützenswerte Objekte in ein Berechtigungsinventar überführen.
2. Rollen und Attribute für Organisation, Benutzer, Mandat, Transaktion, Datenkategorie und Vertrauensniveau definieren.
3. Policies für Zugriff, Freigabe, Attributpräsentation, Signatur, Siegel, Zustellung und Administration implementieren.
4. Konflikte, veraltete Rollen, überbreite Scopes und unzulässige Kombinationen automatisch erkennen und in Rezertifizierungen behandeln.

Arbeitsergebnis: Ein Least-Privilege-Autorisierungsmodell mit prüfbaren Policies und Rezertifizierung.

10. Elektronische Attributnachweise

Schwerpunkt: EAA, qualifizierte EAA, Nachweise öffentlicher Stellen, Attestation Schemes, Ausstellervertrauen und Statusprüfung.

1. Attributtypen nach Rechtswirkung, Aussteller, Vertrauensniveau, Gültigkeit, Aktualisierungsbedarf und Widerrufsmöglichkeit klassifizieren.
2. Für Genehmigungen, Zertifikate, Registerauszüge und Compliance-Nachweise passende Attestation Schemes und Datenfelder entwerfen.
3. Ausstellungs-, Speicher-, Präsentations- und Validierungsabläufe mit positiven, abgelaufenen und widerrufenen Nachweisen durchspielen.
4. Prüfregeln für Signatur, Ausstellerkette, Schema, Status, Bindung an die Organisation und zeitliche Gültigkeit dokumentieren.

Arbeitsergebnis: Ein fachlich und technisch beschriebenes Nachweisportfolio mit Validierungsregeln.

11. Credential- und Nachweis-Lifecycle

Schwerpunkt: Antrag, Prüfung, Ausstellung, Speicherung, Aktualisierung, Erneuerung, Widerruf, Löschung, Archivierung und Beweiserhalt.

1. Lifecycle-Zustände für organisationsbezogene Nachweise und die zulässigen Übergänge mit Verantwortlichkeiten modellieren.
2. Auslöser wie Fristablauf, Registeränderung, Lizenzentzug, Anbieterwechsel, Organisationsänderung und Sicherheitsvorfall zuordnen.
3. Erneuerungs-, Widerrufs- und Ersatzprozesse einschließlich Benachrichtigung abhängiger Systeme und relying parties umsetzen.
4. Aufbewahrung, Transaktionsnachweis, Löschung und Export beim Providerwechsel in ein revisionsfähiges Lifecycle-Runbook überführen.

Arbeitsergebnis: Eine vollständige Lifecycle-Zustandsmaschine mit Betriebs- und Nachweisregeln.

12. Selektive Offenlegung und Datenminimierung

Schwerpunkt: Zweckbindung, Attributauswahl, abgeleitete Aussagen, Einwilligungs- und Freigabelogik, Protokollierung und Missbrauchsschutz.

1. Für konkrete B2B- und B2G-Anfragen den minimal erforderlichen Attributsatz sowie unzulässige Mehranforderungen bestimmen.
2. Präsentationsrichtlinien für Einzelattribute, Attributgruppen und abgeleitete Aussagen mit fachlichen Freigaberegeln entwerfen.
3. Anfragen auf Zweck, requesting party, Datenkategorie, Rechtsgrundlage und Wiederverwendung prüfen und auffällige Muster blockieren.
4. Positiv- und Negativtests für Überabfrage, Korrelation, Replay, veraltete Nachweise und nicht autorisierte Weitergabe durchführen.

Arbeitsergebnis: Ein Datenschutz- und Präsentationsprofil mit minimalen Attributsätzen und Prüfregeln.

13. Datenschutz und Datenschutz-Folgenabschätzung

Schwerpunkt: Rollen nach Datenschutzrecht, Rechtsgrundlagen, Zweckbindung, Datenminimierung, Transparenz, Betroffenenrechte, Aufbewahrung und DPIA.

1. Datenverarbeitungen für Onboarding, Nachweisaustausch, Vertretung, Directory, Zustellung, Protokollierung und Support vollständig erfassen.
2. Verantwortliche, Auftragsverarbeiter, gemeinsame Verantwortlichkeit, Rechtsgrundlagen und internationale Datenflüsse bewerten.
3. Risiken für natürliche Vertreter und Beschäftigte einschließlich Korrelation, Überwachung und Fehlzuordnung in einer DPIA strukturieren.
4. Technische und organisatorische Maßnahmen, Löschregeln, Auskunftsfähigkeit und Incident-Prozesse mit Prüfkriterien hinterlegen.

Arbeitsergebnis: Eine umsetzbare Datenschutz-Folgenabschätzung mit Datenfluss- und Maßnahmenkatalog.

14. Provider-Auswahl und technische Due Diligence

Schwerpunkt: Rechtsstatus, Sicherheitsniveau, Interoperabilität, Vertrauensdienste, Datenstandort, Lieferkette, Support, Roadmap und Exit-Fähigkeit.

1. Muss-, Soll- und Ausschlusskriterien für Provider, Wallet-Lösung, Betriebsmodell, Schnittstellen und Vertrauensdienste ableiten.
2. Nachweise zu Organisation, Aufsicht, Sicherheit, Zertifizierungen, Lieferkette, Unterauftragnehmern und Betriebsstandorten prüfen.
3. Interoperabilität, Performance, Datenschutz, Portabilität, Support und Ausfallszenarien in einer strukturierten Proof-of-Capability testen.
4. Bewertung, Risiken, Auflagen, Restpunkte und Entscheidungsbegründung in einer auditfähigen Beschaffungsvorlage dokumentieren.

Arbeitsergebnis: Ein gewichteter Kriterienkatalog und ein nachvollziehbarer Provider-Entscheidungsbericht.

15. Vertrag, Service Governance und Exit

Schwerpunkt: Leistungsbeschreibung, Verantwortungsmatrix, SLA, Sicherheitspflichten, Änderungen, Audit, Portabilität, Kündigung, Datenexport und Übergang.

1. Kern- und Zusatzfunktionen, Servicegrenzen, Verantwortlichkeiten, Abhängigkeiten und Mitwirkungspflichten präzise beschreiben.
2. SLA, Support, Wartung, Sicherheitsmeldungen, Schwachstellenmanagement, Nachweise und Eskalationen vertraglich operationalisieren.
3. Datenportabilität, Exportformate, Kommunikations- und Interaktionslogs, Schlüsselübergang sowie Löschbestätigung für den Exit festlegen.
4. Providerwechsel und ungeplante Beendigung in einem Transition-Runbook mit technischen und rechtlichen Abnahmekriterien simulieren.

Arbeitsergebnis: Ein belastbares Service- und Exit-Modell für Beschaffung und Betrieb.

16. Governance, Richtlinien und Kontrollsystem

Schwerpunkt: Entscheidungsrechte, Policies, Funktionstrennung, Kontrollziele, Rezertifizierung, Audit, Ausnahmen und Managementreporting.

1. Verantwortung für Organisationsidentität, Wallet, Mandate, Nachweise, Vertrauensdienste, Integrationen und Betrieb verbindlich zuweisen.
2. Richtlinien für Onboarding, Datenfreigabe, Signatur, Siegel, Zustellung, Provider, Logging, Datenschutz und Incident festlegen.
3. Kontrollziele, Kontrollhandlungen, Nachweise, Frequenzen, Eigentümer und Eskalationsschwellen in einem Kontrollkatalog dokumentieren.
4. Ausnahmen, Rezertifizierungen, Auditfeststellungen und Managemententscheidungen mit Fristen und Wirksamkeitskontrolle bearbeiten.

Arbeitsergebnis: Ein integriertes Governance- und Kontrollsystem für Organisationsidentität und Wallet-Betrieb.

17. Use-Case-Priorisierung und Business Case

Schwerpunkt: Prozesskosten, Durchlaufzeit, Fehlerquote, Nachweisaufwand, Compliance-Risiko, Integrationskosten, Adoption und Nutzenmessung.

1. Ist-Aufwand, Medienbrüche, Wiederholungsprüfungen, Verzögerungen und Fehlerkosten für priorisierte Prozesse messen.
2. Nutzenhebel wie einmalige Datenerfassung, automatisierte Prüfung, sichere Zustellung und digitale Vertretung quantifizieren.
3. Investitionen für Provider, Integration, Vertrauensdienste, Datenbereinigung, Betrieb, Schulung und Change realistisch schätzen.
4. Szenarien, Sensitivitäten, Risiken, Kennzahlen und Entscheidungsschwellen in einen belastbaren Business Case überführen.

Arbeitsergebnis: Ein nachvollziehbarer Business Case mit priorisierten Use Cases und messbaren Nutzenzielen.

18. Adoption, Rollenwandel und Befähigung

Schwerpunkt: Betroffene Funktionen, neue Verantwortlichkeiten, Prozessänderungen, Schulung, Kommunikation, Support und Akzeptanzmessung.

1. Betroffene Rollen in Einkauf, Vertrieb, Recht, Steuern, Compliance, IAM, IT, Service Desk und Behördenkontakt analysieren.
2. Neue Aufgaben für Wallet-Administration, Mandatsmanagement, Nachweisprüfung, Incident und Datenverantwortung in Rollenprofile überführen.
3. Schulungs-, Kommunikations- und Supportmaßnahmen nach Zielgruppe, Prozessphase und Risikoklasse planen.
4. Adoption, Fehlerquote, Supportvolumen, Bearbeitungszeit und Kontrollwirksamkeit mit definierten Kennzahlen messen und nachsteuern.

Arbeitsergebnis: Ein rollenbasierter Change- und Befähigungsplan für die Einführung.

Praxisübungen und Laborszenarien

• Aufbau eines Organisationsidentitätsmodells für Konzern und Tochtergesellschaften.
• Erstellung eines Golden Records mit Register- und Identifikatoren-Mapping.
• Durchspielen von Vollmachtserteilung, Unterdelegation, Rezertifizierung und Widerruf.
• Modellierung von Gründung, Umfirmierung, Verschmelzung und Beendigung.
• Erstellung einer DPIA für Vertreter- und Transaktionsdaten.
• Aufbau eines Governance- und Kontrollkatalogs mit Verantwortlichkeiten.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM- und Organisationsarchitektur, Compliance, Recht, Datenschutz, Stammdatenmanagement, interne Revision und technische Governance

Voraussetzungen: Gute Kenntnisse in IAM, Organisations- oder Geschäftspartnerstammdaten, Rollenmodellen, Compliance und Governance

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch strukturierte Modellierung, Demonstrationen, technische oder organisatorische Schrittfolgen, Praxisübungen und kontrollierte Negativfälle vertieft. Jede Arbeitsphase verwendet definierte Ausgangsdaten, Prüfkriterien und Dokumentationsanforderungen. Dadurch entstehen wiederholbare Ergebnisse für Architektur, Projekt, Governance und Regelbetrieb.