Seminar EU Business Wallet – Provider-Auswahl, Beschaffung und Service Governance

Das Seminar behandelt die Auswahl, Prüfung und vertragliche Steuerung eines Business-Wallet-Providers. Rechtsstatus, Sicherheitsniveau, Interoperabilität, Vertrauensdienste, Datenstandort, Lieferkette, Servicegrenzen, Portabilität und Exit werden in einen auditfähigen Beschaffungs- und Governance-Prozess überführt.

Inhaltsverzeichnis

• Lernziele
• Fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Muss- und Ausschlusskriterien für Provider und Betriebsmodelle ableiten.
• Sicherheits-, Compliance- und Lieferkettennachweise strukturiert prüfen.
• Interoperabilität und Portabilität praktisch bewerten.
• SLA, Support, Audit und Änderungsverfahren operationalisieren.
• Providerwechsel und ungeplante Beendigung vertraglich und technisch vorbereiten.

Fachliche Einordnung

Die Wallet ist eine kritische digitale Identitäts- und Kommunikationsinfrastruktur. Anbieterbewertungen dürfen sich daher nicht auf Funktionslisten und Tagessätze beschränken. Notwendig sind belastbare Nachweise, technische Tests, klare Serviceverantwortung, Sicherheits- und Datenschutzauflagen sowie ein realistisch erprobbarer Exit.

Schrittweise Seminarinhalte

1. Rechtsstand und Anwendungsbereich

Schwerpunkt: eIDAS-2.0-Grundlagen, europäisches Gesetzgebungsverfahren, Normadressaten, Freiwilligkeit für Unternehmen, Annahmepflichten öffentlicher Stellen und nationale Verfahrensanforderungen.

1. Verbindliche eIDAS-Regeln, den Entwurf zur European Business Wallet, die Ratsposition und spätere konsolidierte Fassungen in einer Rechtsstandsmatrix voneinander trennen.
2. Wirtschaftsteilnehmer, öffentliche Stellen, Wallet-Anbieter, Vertrauensdiensteanbieter, Registerstellen und relying parties den jeweils vorgesehenen Pflichten und Rechten zuordnen.
3. Für ausgewählte Geschäftsprozesse prüfen, welche Handlung durch die Wallet ersetzt werden kann und welche fach- oder verfahrensrechtlichen Voraussetzungen weiterhin erfüllt sein müssen.
4. Offene Punkte, nationale Abweichungen und erwartete Durchführungsrechtsakte in einem kontrollierten Änderungsregister dokumentieren.

Arbeitsergebnis: Eine belastbare Rechtsstandsmatrix mit Geltungsbereich, Verantwortlichkeiten und Anpassungsbedarf.

2. Provider-Auswahl und technische Due Diligence

Schwerpunkt: Rechtsstatus, Sicherheitsniveau, Interoperabilität, Vertrauensdienste, Datenstandort, Lieferkette, Support, Roadmap und Exit-Fähigkeit.

1. Muss-, Soll- und Ausschlusskriterien für Provider, Wallet-Lösung, Betriebsmodell, Schnittstellen und Vertrauensdienste ableiten.
2. Nachweise zu Organisation, Aufsicht, Sicherheit, Zertifizierungen, Lieferkette, Unterauftragnehmern und Betriebsstandorten prüfen.
3. Interoperabilität, Performance, Datenschutz, Portabilität, Support und Ausfallszenarien in einer strukturierten Proof-of-Capability testen.
4. Bewertung, Risiken, Auflagen, Restpunkte und Entscheidungsbegründung in einer auditfähigen Beschaffungsvorlage dokumentieren.

Arbeitsergebnis: Ein gewichteter Kriterienkatalog und ein nachvollziehbarer Provider-Entscheidungsbericht.

3. Vertrag, Service Governance und Exit

Schwerpunkt: Leistungsbeschreibung, Verantwortungsmatrix, SLA, Sicherheitspflichten, Änderungen, Audit, Portabilität, Kündigung, Datenexport und Übergang.

1. Kern- und Zusatzfunktionen, Servicegrenzen, Verantwortlichkeiten, Abhängigkeiten und Mitwirkungspflichten präzise beschreiben.
2. SLA, Support, Wartung, Sicherheitsmeldungen, Schwachstellenmanagement, Nachweise und Eskalationen vertraglich operationalisieren.
3. Datenportabilität, Exportformate, Kommunikations- und Interaktionslogs, Schlüsselübergang sowie Löschbestätigung für den Exit festlegen.
4. Providerwechsel und ungeplante Beendigung in einem Transition-Runbook mit technischen und rechtlichen Abnahmekriterien simulieren.

Arbeitsergebnis: Ein belastbares Service- und Exit-Modell für Beschaffung und Betrieb.

4. Bedrohungsmodell und Sicherheitsarchitektur

Schwerpunkt: Identitätsbetrug, Wallet-Übernahme, Schlüsselkompromittierung, schädliche relying parties, manipulierte Nachweise, Replay, Lieferkette und Insider.

1. Schutzobjekte, Angreifer, Vertrauensgrenzen und Missbrauchsziele für Wallet, Provider, Register, Vertrauensdienste und Integrationen identifizieren.
2. Angriffspfade für Onboarding, Mandate, Attestierungen, API, Zustellung, Signatur, Siegel und Support systematisch modellieren.
3. Präventive, detektive und reaktive Kontrollen nach Risiko, Wirksamkeit, Verantwortlichkeit und Nachweisbarkeit priorisieren.
4. Ausgewählte Szenarien wie Vertreterübernahme, Replay, gefälschte relying party und kompromittierter Schlüssel in Tabletop-Übungen testen.

Arbeitsergebnis: Ein priorisiertes Bedrohungs- und Kontrollmodell für Architektur und Betrieb.

5. Datenschutz und Datenschutz-Folgenabschätzung

Schwerpunkt: Rollen nach Datenschutzrecht, Rechtsgrundlagen, Zweckbindung, Datenminimierung, Transparenz, Betroffenenrechte, Aufbewahrung und DPIA.

1. Datenverarbeitungen für Onboarding, Nachweisaustausch, Vertretung, Directory, Zustellung, Protokollierung und Support vollständig erfassen.
2. Verantwortliche, Auftragsverarbeiter, gemeinsame Verantwortlichkeit, Rechtsgrundlagen und internationale Datenflüsse bewerten.
3. Risiken für natürliche Vertreter und Beschäftigte einschließlich Korrelation, Überwachung und Fehlzuordnung in einer DPIA strukturieren.
4. Technische und organisatorische Maßnahmen, Löschregeln, Auskunftsfähigkeit und Incident-Prozesse mit Prüfkriterien hinterlegen.

Arbeitsergebnis: Eine umsetzbare Datenschutz-Folgenabschätzung mit Datenfluss- und Maßnahmenkatalog.

6. Konformitäts- und Interoperabilitätstests

Schwerpunkt: Testprofile, Protokolle, Formate, Trust, Schemas, positive und negative Flows, Cross-Border-Fälle, Last und Regression.

1. Anforderungen aus Rechtsstand, Profilen, Architektur, Datenschutz, Sicherheit und Fachprozess in prüfbare Testfälle übersetzen.
2. Testdaten, Testorganisationen, Schlüssel, Nachweise, Mandate, relying parties und erwartete Ergebnisse reproduzierbar bereitstellen.
3. Issuance-, Presentation-, Signatur-, Siegel-, Zustell-, Directory- und API-Flows einschließlich Negativfällen automatisiert ausführen.
4. Abweichungen nach Schweregrad, Ursache, Interoperabilitätswirkung und Wiederholbarkeit bewerten und bis zum Retest verfolgen.

Arbeitsergebnis: Ein vollständiger Test- und Konformitätskatalog mit reproduzierbaren Nachweisen.

7. Regelbetrieb, Change und kontinuierliche Kontrolle

Schwerpunkt: Servicezustände, Tageskontrollen, Änderungen, Zertifikats- und Schemawechsel, Providerupdates, Kapazität, Audits und Verbesserungen.

1. Betriebsobjekte, Serviceabhängigkeiten, Zustände, Schwellenwerte, Verantwortlichkeiten und Wartungszyklen definieren.
2. Regelkontrollen für Verfügbarkeit, Trust, Zertifikate, Nachweise, Directory, APIs, Zustellung, Rollen und Protokolle aufbauen.
3. Änderungen an Schemas, Protokollen, Providern, Registern, Mandaten und Fachverfahren mit Test-, Freigabe- und Rollback-Schritten steuern.
4. Kennzahlen, Auditfeststellungen, Incidents und Nutzerfeedback in einen priorisierten Verbesserungs- und Schulungszyklus überführen.

Arbeitsergebnis: Ein wiederholbarer Betriebs- und Change-Prozess mit Kontrollen, Kennzahlen und Runbooks.

Praxisübungen und Laborszenarien

• Erstellung eines gewichteten Provider-Kriterienkatalogs.
• Bewertung eines Musterangebots mit Sicherheits- und Datenschutzlücken.
• Planung eines Proof-of-Capability für Interoperabilität und Portabilität.
• Entwurf eines Exit- und Transition-Runbooks.

Zielgruppe und Voraussetzungen

Zielgruppe: IT-Einkauf, Vendor Management, Enterprise Architecture, Informationssicherheit, Datenschutz, Recht, Revision und Service Management

Voraussetzungen: Erfahrung mit IT-Beschaffung, Providerverträgen, Sicherheitsanforderungen und technischen Abnahmeverfahren

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch strukturierte Modellierung, Demonstrationen, technische oder organisatorische Schrittfolgen, Praxisübungen und kontrollierte Negativfälle vertieft. Jede Arbeitsphase verwendet definierte Ausgangsdaten, Prüfkriterien und Dokumentationsanforderungen. Dadurch entstehen wiederholbare Ergebnisse für Architektur, Projekt, Governance und Regelbetrieb.