Externe oder Selbst-Zertifizierung? Frankreich stößt Debatte an

Frankreich hat die Debatte neu entfacht – und der Rest Europas schaut zu

Die Vorschriften zur Fiskalisierung in Europa unterscheiden sich je nach Land – und vor allem je nach Durchsetzungsmodell. Während einige Steuerbehörden eine Third-party-Zertifizierung von POS-Software oder Sicherheitskomponenten verlangen, erlauben andere eine Selbstzertifizierung durch Anbieter gegenüber formalen Erklärungen. Frankreich hat einem Thema neue Dynamik verliehen, das POS-Anbieter, Softwareprovider und Behörden in Europa seit Jahren beschäftigt: Soll Fiskal-Compliance auf einer Selbstbestätigung des Anbieters basieren – oder auf einer unabhängigen Third-party-Zertifizierung?

Mit den Änderungen durch das französische Finanzgesetz ist das Selbst-Attest („attestation individuelle de l'éditeur“) seit dem 16. Februar 2025 kein gültiger Nachweis mehr, um die POS-Konformität zu belegen. Die französischen Steuerbehörden haben eine Toleranzphase bis zum 31. August 2025 eingeräumt, damit Betreiber vor dem 1. September 2025 Verträge mit Zertifizierungsstellen abschließen können. Eine vollständige Zertifizierung wird anschließend erwartet – bis spätestens 1. September 2026. Der POS-Zertifizierungsprozess muss durch eine akkreditierte Stelle wie LNE oder InfoCert (NF525) durchgeführt werden, um sicherzustellen, dass die ISCA-Anforderungen (Unveränderbarkeit, Sicherheit, Aufbewahrung, Archivierung) von allen POS-Systemen in Frankreich erfüllt werden.

Besonders spannend ist, dass die Diskussion politisch weiterlebt: Ein Änderungsantrag im französischen Senat zielt darauf ab, die Option der individuellen Eigen-Attestierung des Softwareherstellers neben der Zertifizierung wieder einzuführen. Diese „Stop-and-go“-Dynamik zeigt, warum das Thema für Softwareanbieter relevant ist: Ihr regulatorischer Weg in Frankreich kann zu einem beweglichen Ziel werden – mit Auswirkungen auf Produktstrategie, Zeitpläne, Kosten, Go-live und sogar die Kundenbindung.

Werfen wir einen Blick darauf, wie europäische Länder das Thema angehen – und was das für Anbieter wirklich bedeutet.

Ein Überblick über Fiskalisierungs- und Zertifizierungsmodelle in Europa

🇫🇷 Frankreich: vom Ende der Selbstattestierung zur Pflichtzertifizierung … oder doch nicht?

Historisch konnten POS-Softwarepublisher in Frankreich die Einhaltung der Anti-Fraud-Anforderungen per Selbstattestierung bestätigen. Diese Option wurde inzwischen unter Berücksichtigung einer Übergangsphase entfernt – und die Third-party-Zertifizierung wird ab 31. August 2026 zum Standard. Auch wenn politische Diskussionen weiterlaufen, signalisiert die aktuelle Richtung eine klare Präferenz für externe Validierung statt Herstellererklärungen. Aber die Debatte ist noch offen: Die Möglichkeit der Selbstattestierung könnte wieder auf dem Tisch liegen.

• Was Third-party-Zertifizierung für Anbieter in Frankreich bedeutet: Natürlich mehr initialer Aufwand und Kosten, aber dafür klarere Konformitätssignale für Kunden und weniger langfristige rechtliche und fiskalische Unsicherheit. Wenn Sie Unterstützung bei der POS-Software-Zertifizierung für Frankreich brauchen – ob über LNE oder InfoCert (NF525) – kontaktieren Sie uns gerne. Wir unterstützen Sie.

🇩🇪 Deutschland: zertifizierte Sicherheitsmodule, nicht zertifizierte POS-Systeme

Das deutsche KassensichV-Rahmenwerk zertifiziert POS-Systeme nicht als Ganzes. Stattdessen schreibt es den Einsatz einer zertifizierten Technischen Sicherheitseinrichtung (TSE) vor, die Transaktionen kryptografisch absichert. Konformität wird über die korrekte Integration dieser zertifizierten Komponenten sowie über die Einhaltung der Melde- und Exportpflichten erreicht. In jedem Fall müssen POS-Anbieter entweder selbst die Zertifizierung sicherstellen oder einen KassensichV-zertifizierten Partner wie fiskaly integrieren.

• Was das für POS-Anbieter und Händler in Deutschland bedeutet: Die Zertifizierungs-Last (hohe Kosten, lange Prozesse, technische Details …) liegt auf der Security-Ebene. Integrationsqualität und operatives Vorgehen sind wichtiger als eine formale POS-Gesamtzertifizierung.

🇪🇸 Spanien: Selbstzertifizierung auf nationaler Ebene – mit hoher Verantwortung

Das nationale Verifactu-system in Spanien basiert auf einem Selbstzertifizierungs-Modell: Softwareanbieter geben eine Verantwortlichkeitserklärung (declaración responsable) ab, die die Einhaltung technischer und rechtlicher Anforderungen bestätigt. Durchsetzung erfolgt über Prüfungen und erhebliche Strafen. Die Fristen für Steuerpflichtige wurden kürzlich auf 2027 verlängert, aber für POS-Softwareanbieter ist es bereits verpflichtend, ab Juli 2025 konforme Software bereitzustellen – für neue Kunden oder bei der Veröffentlichung neuer Systemversionen.

Gleichzeitig folgen regionale Regelwerke wie TicketBAI (Baskenland) demselben Modell: Softwareanbieter müssen sich per Selbstattestierung bei der jeweiligen Steuerbehörde registrieren.

• Was das für POS-Anbieter in Spanien bedeutet: Mehr Flexibilität und schnellerer Rollout auf nationaler Ebene, aber hohe rechtliche Verantwortung und das Risiko sehr hoher Bußgelder (aufgeteilt zwischen POS-Anbieter und Kunden). Die Herausforderung: Anbieter müssen mit sich laufend ändernden Anforderungen der Steuerbehörden Schritt halten (fünf verschiedene öffentliche Stellen in Spanien). Deshalb ist die Integration einer konformen API, die mehrere Regelwerke landesweit unterstützt – wie SIGN ES – sehr empfehlenswert.

🇮🇹 Italien: von zertifizierter Hardware zu zertifizierter Software

Italien setzt Fiskalisierung seit langem über zugelassene fiskalische Hardwaregeräte (RTs) durch. Das ändert sich: Ab 2026 werden zertifizierte softwarebasierte Fiskalisierungslösungen als Alternative zugelassen. Tatsächlich gehört fiskaly zu den wenigen Early-Access-Anbietern, die an der offiziellen Pilotphase teilnehmen – ein wichtiger Meilenstein im Zertifizierungsprozess für Cloud-Lösungen. Doch auch wenn Italien den Weg zu einem moderneren und flexibleren Modell öffnet (von Hardware zur Cloud), bleiben Zertifizierung und Genehmigung durch die Steuerbehörde essenziell. Selbstattestierung ist nicht Teil des Modells.

• Was das für POS-Anbieter in Italien bedeutet: Hohe regulatorische Sicherheit und starke Sicherheitsstandards, aber wenig Spielraum für Experimente ohne formale Genehmigung. Zudem ist die Zertifizierung cloudbasierter Fiskalisierungssoftware derzeit nur wenigen Marktteilnehmern zugänglich. Der Prozess ist lang, teuer und erfordert hohe technische Expertise. Deshalb ist die Integration einer bereits zertifizierten Lösung – wie SIGN IT es bald sein wird – sehr empfehlenswert.

🇵🇹 Portugal: von der Steuerbehörde zertifizierte Abrechnungssoftware

Portugal ist eines der klarsten Beispiele für eine verpflichtende Zertifizierung von Billing- und Invoicing-Software durch die Steuerbehörde. Nur zertifizierte Lösungen dürfen genutzt werden, und die Konformität ist eng an Rechnungskennzeichen, QR-Codes und Meldepflichten gekoppelt.

• Was das für POS-Anbieter in Portugal bedeutet: Zertifizierung ist nicht optional und wird zur kommerziellen Eintrittsvoraussetzung. Das bedeutet einen längeren Markteintritt, sorgt aber auch für höhere Systemsicherheit. Wenn Sie am portugiesischen Markt interessiert sind und ATCUD, QR-Codes, digitale Signaturen oder UBL 2.1/CIUS-PT noch nicht kennen, sollten Sie diesen Artikel lesen, um Antworten zu finden.

🇸🇪 Schweden: selbst erklärte POS-Systeme, zertifizierte Kontrolleinheiten

Schweden folgt einem Hybridmodell: Kassen müssen eine Herstellererklärung zur Einhaltung der Anforderungen enthalten, aber jede Installation muss an eine zertifizierte Kontrolleinheit angeschlossen werden, die Transaktionsdaten absichert. Nach der Zertifizierung müssen Kassen und Kontrolleinheiten online bei der schwedischen Steuerbehörde (Skatteverket) über deren Portal registriert werden.

• Was das für POS-Anbieter in Schweden bedeutet: Schweden verlangt keine reinen Hardware-Setups; Kontrolleinheiten können auch zertifizierte Cloud-Lösungen per API sein – sofern alle funktionalen und Sicherheitsanforderungen erfüllt werden. Das schafft mehr Flexibilität in der POS-Schicht, aber mit nicht verhandelbaren Security-Infrastruktur-Anforderungen. Eine Win-win-Situation.

🇵🇱 Polen: staatlich zugelassene Fiskalisierungslösungen

Polen setzt auf staatlich zugelassene Fiskal-Geräte. Kassen müssen vor Markteintritt zertifiziert werden. Sowohl Hardware als auch Software werden von den fiskalischen Behörden geprüft – dem polnischen Zentralamt für Messwesen (Central Office of Measures). Konformität wird durch die Nutzung zugelassener Modelle sowie durch strenge Aktivierungs- und Meldeprozesse erreicht.

• Was das für POS-Anbieter in Polen bedeutet: Kein Spielraum für Selbstzertifizierung; die Durchsetzung erfolgt über zugelassene fiskalische Mechanismen, entweder hardware- oder cloudbasiert.

🇧🇪 Belgien: zertifizierte Systeme „by design“

Das belgische GKS-Fiskalisierungssystem (für die HoReCa-Branche) kombiniert zertifizierte Kassensysteme, verbunden mit einem Fiscal Data Module (FDM) und einer Virtual Smart Card (VSC). Konformität hängt hier stark von Hardware ab – innerhalb eines klar definierten, behördlich genehmigten Ökosystems.

• Was das für POS-Anbieter in Belgien bedeutet: Konformität ist binär: Entweder Sie sind zertifiziert und marktreif – oder nicht. Hohe Sicherheitsstandards sichern Systemqualität und korrekte Datenerfassung.

Selbst-Zertifizierung vs. Third-party-Zertifizierung: die echten Auswirkungen für POS-Anbieter

Sich für ein Modell zu entscheiden (oder einem unterworfen zu sein) ist kein regulatorisches Detail: Es beeinflusst, wie Fiskalisierungslösungen gebaut, verkauft und betrieben werden.

﹟1. Speed to market vs. regulatorische Stabilität

• Selbstzertifizierung ermöglicht schnellere Launches, häufigere Releases und meist geringere Anfangskosten.
• Third-party-Zertifizierung erhöht die Vorlaufzeit (Audits, Testzyklen, Re-Tests bei Änderungen), kann aber ein planbares Gate schaffen, das Unsicherheit für Kunden reduziert.
• Wenn es nicht regulatorisch festgelegt ist, liegt die Entscheidung bei Ihnen: schnell handeln oder konsequent auf Stabilität planen.

﹟2. Tiefe der Prüfungen vor Go-live

• Bei Selbstzertifizierung hängt die Robustheit der Prüfungen stark von internen Prozessen und der Implementierung ab. Externe Softwarezertifizierung bringt unabhängige Verifikation vor dem produktiven Einsatz und reduziert Blind Spots. Im Fiskalisierungskontext hilft das, Fehler zu senken, Bußgelder zu vermeiden und das Risiko von Beschwerden oder Kundenverlust zu minimieren.
• Risiko: Probleme, die erst nach dem Rollout entdeckt werden, sind immer teurer.

﹟3. Rechtliche Exponierung und Bußgelder

• Selbstzertifizierungn konzentriert die Haftung auf den Softwareanbieter: wenn etwas nicht stimmt, haben Sie die Erklärung unterschrieben. Zertifizierung eliminiert Haftung nicht, liefert aber ein starkes Nachweisdokument und kann in manchen Fällen Verantwortung besser verteilen.
• Realität: Prüfungen passieren fast immer nach dem Go-live – wenn also eine externe Stelle oder Behörde vorher prüft, reduzieren Sie Risiken.

﹟4. Risiko plötzlicher regulatorischer Änderungen

• Frankreich zeigt, wie schnell Regeln sich ändern können. Ein Markt, der auf Selbstzertifizierung basiert, kann plötzlich Zertifizierung verlangen – und Anbieter in Notfallprojekte zwingen, mit Risiken für Kundenbeziehungen.
• Zertifizierungsprozesse mit externen Stellen starten selten sofort. Das bedeutet: Ihre Go-to-market-Timeline hängt nicht nur von Ihnen ab. Planung ist entscheidend, um Serviceunterbrechungen zu vermeiden.
• Kernaussage: Regulatorische Umkehrungen treffen am stärksten, wenn Konformität „leichtgewichtig“ umgesetzt ist.

﹟5. Customer trust and procurement dynamics

• Für viele Händler, besonders Enterprise-Kunden, ist Zertifizierung leichter zu vertrauen als eine Selbstdeklaration. Zertifizierte POS-Lösungen haben oft weniger Hürden im Einkauf und kürzere Sales-Zyklen.
• Kommerzieller Effekt: Zertifizierung kann ein Wettbewerbsvorteil werden. Das haben wir z. B. in Deutschland gesehen: Wer früh zertifiziert war, gewann die größten Marktanteile.

﹟6. Cybersecurity and data integrity

• Fiskalisierungssysteme verarbeiten sehr sensible Transaktionsdaten. Third-party-Zertifizierung setzt häufig Mindeststandards für Sicherheit und Integrität durch, während Selbstzertifizierung stark von der Reife des Anbieters abhängt.
• Reputationsrisiko: Ein Leak fiskalischer Daten ist nie nur ein Steuerthema. Berücksichtigen Sie das bei Entscheidungen.

﹟7. Produktarchitektur und Skalierbarkeit

• Selbstzertifizierung begünstigt schnelle Evolution. Zertifizierung favorisiert meist stabile, modulare Architekturen, bei denen regulierte Komponenten von schnell änderbaren Features isoliert sind.
• Best Practice: Trennen Sie den regulierten Kern von der kommerziellen POS-Schicht. Das lässt sich durch die Integration spezialisierter Fiskalisierungs-APIs wie unseren SIGN Services erreichen, um Konformität zu unterstützen.

Fazit: Durchsetzungsmodelle prägen Märkte – nicht nur Software

Europa ist sich beim Ziel der Fiskalisierung einig – aber nicht bei der Methode. Manche Länder vertrauen Anbietern, andere Zertifizierungen – und viele verschärfen ihre Kontrollen im Zeitverlauf.

Für POS-Anbieter ist die eigentliche Herausforderung nicht die Wahl einer Seite, sondern Lösungen zu entwickeln, die regulatorische Veränderungen überstehen. Frankreichs jüngster Schritt erinnert daran, dass Strategien zur fiskalischen Konformität resilient sein müssen – nicht nur formal richtig.

Bei fiskaly sind wir überzeugt: Fiskalisierung sollte sicher, skalierbar und zukunftsfähig sein – unabhängig davon, ob ein Land Zertifizierung, Self-Attestation oder einen Mittelweg verlangt.