Peppol Access Point Deployment: Build vs. Buy Analyse und Compliance-Pflichten 2027

Peppol Access Point Deployment: Build vs. Buy Analyse und Compliance-Pflichten 2027

Unternehmen, die Peppol-Konnektivität nutzen möchten, stehen vor der Entscheidung zwischen selbst gehosteten Open-Source-Lösungen, gehosteten Access Points oder eingebetteten Modellen. Diese Wahl hat direkte Auswirkungen auf Compliance-Kosten und Betriebsverantwortung, besonders im Licht der 2027 fälligen ISO/IEC 27001-Zertifizierungspflicht und der Message Level Status (MLS)-Anforderungen.

Kontext

Peppol, das europäische Netzwerk für elektronischen Geschäftsverkehr, erlebt eine zunehmende Verbreitung, insbesondere durch die EU-Verordnung 2023/1544 zur elektronischen Rechnungsstellung. Unternehmen, die als Peppol Service Provider (PSP) agieren möchten, müssen bis zum 1. Juli 2027 eine ISO/IEC 27001-Zertifizierung vorweisen können. Zudem sind bis zum 31. März 2027 Message Level Status (MLS)-Funktionen vollständig umzusetzen. Diese Compliance-Pflichten gelten unabhängig vom gewählten Deployment-Modell.

Deployment-Modelle im Vergleich

Selbst gehostete Open-Source-Lösungen

Unternehmen, die selbst gehostete Lösungen bevorzugen, können auf Software wie Oxalis-NG (Version 1.5.0), phase4 oder Domibus zurückgreifen. Der Vorteil liegt in den geringen Softwarekosten, jedoch tragen diese Unternehmen die volle Verantwortung für Compliance, Zertifizierung und Betrieb. Der Ausfall aller G2 PKI-Zertifikate durch OpenPeppol am 20. April 2026 unterstreicht die Risiken, wenn Zertifikatsmanagement nicht ausreichend resourciert wird.

Gehostete Access Points

Beim gehosteten Modell übernimmt ein Drittanbieter den Betrieb des Access Points. Der Kunde benötigt jedoch weiterhin eine eigene OpenPeppol-Mitgliedschaft und einen Service Provider Agreement (SPA), falls er den PSP-Status anstrebt. Dieses Modell reduziert die operative Last, erfordert aber weiterhin interne Compliance-Verantwortung.

Eingebettete Modelle

Eingebette Modelle integrieren Access Point-Funktionalitäten in Plattformen oder ERP-Systeme via API oder SDK. Diese Lösung abstrahiert netzwerkbezogene Operationen vom Endnutzer, erfordert aber eine sorgfältige Auswahl des Anbieters und regelmäßige Überprüfung der Integrationen.

Compliance-Pflichten und Kosten

Unabhängig vom Deployment-Modell sind alle PSPs verpflichtet, eine OpenPeppol-Mitgliedschaft und einen SPA zu besitzen. Die Kosten für Unternehmen mit 11–50 Mitarbeitern belaufen sich auf EUR 8.300 im ersten Jahr, inklusive Beitrittsgebühr (EUR 2.100), Jahresmitgliedschaft (EUR 3.700) und Zertifizierungsgebühr (EUR 2.500). Zusätzlich fallen Kosten für Infrastruktur, Personal und Audits an.

Auswirkungen auf Unternehmen

Die Wahl des Deployment-Modells hat direkte Auswirkungen auf die Compliance-Verantwortung und die Betriebskosten. Selbst gehostete Lösungen bieten maximale Kontrolle, erfordern jedoch umfangreiche Ressourcen für Zertifizierung und Betrieb. Gehostete Lösungen reduzieren die operative Last, erfordern aber weiterhin interner Compliance-Verantwortung. Eingebettete Modelle bieten Benutzerfreundlichkeit, erfordern aber sorgfältige Auswahl der Anbieter.

Ausblick und was zu beachten ist

Unternehmen sollten die kontinuierliche Natur der PSP-Pflichten berücksichtigen, einschließlich regelmäßiger ISO 27001-Audits, MLS-Durchsetzung und PKI-Rotation. Die 2027 fälligen Deadlines für MLS (Februar–März) und ISO (Juli) bieten einen natürlichen Anlass, die eigene Strategie zu überprüfen. Zudem sollten Unternehmen nationale Besonderheiten wie die Anforderungen in den VAE beachten, die zusätzliche Akkreditierungspflichten vorsehen.