So richten Sie Ihren eigenen Peppol-Zugangspunkt ein: Selbstbetrieb oder Auslagerung des Betriebs

Manche Organisationen müssen die Rolle des Peppol-Dienstleisters in eigenem Namen wahrnehmen: beispielsweise ein Softwareanbieter, der in einen regulierten Markt eintritt, ein Dienstleister, der eine nationale Akkreditierung beantragt, oder ein Konzern, der die volle Kontrolle über seine E-Rechnungs-Infrastruktur haben möchte. In der Regel ziehen sie zwei Möglichkeiten in Betracht. Die eine besteht darin, den Access Point selbst aufzubauen und zu betreiben, beispielsweise auf Basis von Open-Source-Software wie Oxalis oder phase4. Die andere besteht darin, den Betrieb über einen „Hosted Access Point“ auszulagern, wobei Ihre Organisation die Rolle und die Zertifikate innehat, während ein anderer Anbieter die Infrastruktur betreibt.

Wenn Sie Peppol für zahlreiche Kunden innerhalb Ihres eigenen Produkts benötigen, benötigen Sie die Rolle des Dienstanbieters möglicherweise gar nicht. Bei „Embedded Peppol“ übernimmt Qvalia diese Rolle und betreibt den Access Point, und Sie registrieren und verbinden Ihre Kunden über eine einzige API – bei Bedarf jeweils mit einer eigenen „ Peppol ID “.

Dieser Leitfaden vergleicht die Vorgehensweisen ab Oktober 2026: Was in beiden Fällen in Ihrer Verantwortung bleibt, was die Open-Source-Software für Access Points abdeckt und was Ihnen überlassen bleibt, welche Netzwerkanforderungen ab 2027 gelten und wo die nationale Akkreditierung zusätzliche Bedingungen auferlegt.

Diese Rolle zu übernehmen bedeutet, einen Dienstleistungsvertrag zu unterzeichnen, die Sicherheits- und Meldepflichten von OpenPeppol zu erfüllen und gegenüber der zuständigen Peppol-Behörde für den von Ihnen abgewickelten Datenverkehr Rechenschaft abzulegen. Wenn Sie Ihren Kunden ermöglichen möchten, über Ihr Produkt elektronische Rechnungen zu versenden und zu empfangen, können Sie dies tun, ohne selbst Dienstleister zu werden. Bei „Embedded Peppol“ oder einer White-Label-Plattform übernimmt Qvalia diese Rolle und die damit verbundenen Zertifizierungspflichten.

Diese Rolle lohnt sich, wenn eine Aufsichtsbehörde, ein Vertrag oder Ihr Geschäftsmodell dies vorschreibt. Beispiele hierfür sind nationale Regelungen wie die der Vereinigten Arabischen Emirate, wonach der akkreditierte Anbieter als Vertragspartner eingetragen sein muss, sowie Organisationen, die den Peppol-Zugang als eigene Dienstleistung anbieten. In der Partnerübersicht werden die drei Bereitstellungsmodelle miteinander verglichen.

Entscheidend ist oft der Markt. Wenn Qvalia über die von Ihren Kunden benötigte Akkreditierung verfügt, deckt „Embedded Peppol“ dies ab. Wenn nationale Vorschriften verlangen, dass Sie selbst die akkreditierte Partei sind, oder wenn Sie den Peppol-Zugang unter Ihrem eigenen Namen verkaufen, benötigen Sie diese Rolle.

Unabhängig davon, ob Sie den Access Point selbst betreiben oder einen gehosteten Access Point nutzen, obliegen diese Verpflichtungen Ihrer juristischen Person:

Die Gebühren von OpenPeppol sind in beiden Fällen gleich. Für ein Unternehmen mit 11 bis 50 Mitarbeitern in der Kategorie „Access Point“ und „SMP“ gibt OpenPeppol eine Beitrittsgebühr von 2.100 Euro und eine Jahresgebühr von 3.700 Euro an, zuzüglich einer Zertifizierungsgebühr von 2.500 Euro, die bei der ersten Zertifizierung in Rechnung gestellt und anschließend zur Jahresgebühr hinzugerechnet wird (OpenPeppol-Gebühren).

Mehrere Open-Source-Projekte implementieren das Peppol-AS4-Profil, das Protokoll, das Access Points zum Austausch von Dokumenten verwenden. Sie unterscheiden sich darin, welche Funktionen sie über den reinen Transport hinaus bieten und wie sie sich in Ihre Systeme einbinden lassen.

Oxalis wird im Peppol-Netzwerk weit verbreitet eingesetzt. Es wurde ursprünglich von SendRegning entwickelt und bis März 2020 von der norwegischen Behörde Difi gepflegt. Die klassische Oxalis-AS4-Reihe wurde bei Version 7.2.0 eingefroren, und das Projekt verweist die Nutzer auf Oxalis-NG, das im September 2026 die Version 1.5.0 erreichte. Die Hinweise auf der Seite „release “ zeigen, was die Aktualisierung eines Access Points beinhaltet: MLS-Unterstützung, die Entfernung der G2-Peppol-PKI, nachdem OpenPeppol diese Zertifikate am 20. April 2026 widerrufen hat, sowie neue Standarddomänen, da OpenPeppol das SML von der Europäischen Kommission übernimmt.

Quellen: die projektinternen Repositorien und der KoSIT-Vergleich von AS4-Lösungen für Peppol (August 2023). Informieren Sie sich vor Ihrer Entscheidung über den aktuellen Stand der einzelnen Projekte unter release .

Ein Access Point im Produktivbetrieb benötigt mehr als nur den AS4-Transport. Je nach der von Ihnen gewählten Software sind einige dieser Komponenten bereits enthalten, während Sie den Rest selbst aufbauen und betreiben müssen:

Für ein Team, das bereits Java-Dienste und PKI im Produktivbetrieb einsetzt, ist all dies nichts Ungewöhnliches. Es handelt sich eher um eine dauerhafte betriebliche Verpflichtung als um ein einmaliges Projekt.

Quellen: Der MLS-Einführungsplan von OpenPeppol (Juli 2026), der von der Peppol Authority Italy veröffentlichte Zeitplan für ISO/IEC 27001 und die Spezifikation zur Berichterstattung über Endnutzerstatistiken. Informieren Sie sich über die aktuellen Pläne von OpenPeppol, bevor Sie sich auf einen Zeitplan festlegen.

OpenPeppol legt die Grundvoraussetzungen fest. Viele Märkte fügen ihre eigenen Zulassungen hinzu, und diese gelten unabhängig davon, welche Software den Access Point betreibt.

Die elektronische Rechnungsstellung in den VAE erfolgt über akkreditierte Dienstleister, die vom Finanzministerium gemäß dem Ministerialbeschluss Nr. 64 von 2025, geändert durch den Ministerialbeschluss Nr. 56 von 2026, zugelassen wurden. Antragsteller benötigen unter anderem ein Unternehmen in den VAE mit einem eingezahlten Kapital von mindestens 50.000 AED, eine Zertifizierung nach ISO 22301, eine Zertifizierung nach ISO/IEC 27001 für das von ihnen bereitgestellte Produkt, eine Berufshaftpflicht-, Kriminalitäts- und Cyberbetrugsversicherung sowie den Abschluss des Onboarding-Prozesses und der Produktionstests bei der Bundessteuerbehörde. Die Nutzung eines Drittanbieterprodukts ist zulässig, wobei der Antragsteller die volle Verantwortung für die Dienstleistung trägt. Lesen Sie den Leitfaden zur elektronischen Rechnungsstellung in den VAE.

Die Reform in Frankreich trat am 1. September 2026 in Kraft: Jedes mehrwertsteuerpflichtige Unternehmen muss in der Lage sein, elektronische Rechnungen zu empfangen, und Klein- und Kleinstunternehmen müssen ab dem 1. September 2027 elektronische Rechnungen ausstellen. Der Austausch der Rechnungen erfolgt über „plateformes agréées“ (zugelassene Plattformen), die von der Steuerbehörde DGFiP registriert werden, sobald sie die gesetzlichen Anforderungen erfüllen und technische sowie Interoperabilitätstests bestanden haben. Die DGFiP veröffentlicht die Liste der registrierten Plattformen (Wirtschaftsministerium, Januar 2026). Sie fungiert zudem als Peppol-Behörde für Frankreich und legt eigene Anforderungen für die dort tätigen Dienstleister fest. Eine Plattform, die als „plateforme agréée“ registriert ist oder einen entsprechenden Antrag gestellt hat, kann ihren Access Point auf der Infrastruktur von Qvalia unter ihrer eigenen Rolle als Dienstleister betreiben. Weitere Informationen finden Sie auf unserer Seite zur elektronischen Rechnungsstellung in Frankreich.

Die inländische elektronische Rechnungsstellung erfolgt ab dem 1. Januar 2027 über zertifizierte Zustelldienstleister, die auf der Liste der Finanzverwaltung aufgeführt sind. Eine Plattform, die keine eigene Zertifizierung anstrebt, kann als Vermittler für Zustelldienste unter einem zertifizierten Anbieter registriert werden, der dann die Verantwortung für die Einhaltung der Vorschriften durch den Vermittler übernimmt.

Die norwegische Peppol-Behörde verlangt von den Anbietern, dass sie die Endnutzer anhand des Zentralen Koordinierungsregisters für juristische Personen überprüfen, sich vergewissern, dass die Person, die für einen Endnutzer unterzeichnet, dazu befugt ist, und statistische Daten melden. Empfänger aus dem öffentlichen Sektor müssen bei ELMA registriert sein, dem von Digdir betriebenen zentralen SMP. Mehr dazu in unserem ELMA-Artikel.

Oman führt eine eigene Akkreditierung für Fawtara-Dienstleister durch, die auf unserer Seite zur elektronischen Rechnungsstellung in Oman beschrieben wird.

Das Australian Taxation Office (ATO) ist die Peppol-Behörde in Australien und akkreditiert Zugangspunkte und SMPs. Antragsteller unterzeichnen die Peppol-Dienstleistervereinbarung und durchlaufen ein Due-Diligence-Verfahren, das eine Überprüfung des Strafregisters sowie eine Berufshaftpflichtversicherung mit einer Deckungssumme von mindestens 1 Million AUD pro Schadensfall umfasst. Sie füllen den A-NZ-Fragebogen zur Sicherheit bei der elektronischen Rechnungsstellung aus – entweder im Rahmen einer Selbstbewertung oder durch ein unabhängiges Audit gemäß ISO/IEC 27001 oder dem australischen bzw. neuseeländischen Informationssicherheitshandbuch (ISM) – und bestehen das Peppol-Testbed, einschließlich der PINT-A-NZ-Interoperabilitätstests. Die Akkreditierung wird jährlich überprüft (ATO-Akkreditierungsverfahren). Erfahren Sie mehr über PINT A-NZ.

Die neuseeländische Peppol-Behörde ist dem Ministerium für Wirtschaft, Innovation und Beschäftigung (MBIE) unterstellt. Australien und Neuseeland haben ihre Akkreditierungsverfahren aufeinander abgestimmt: Ein in Australien akkreditierter Anbieter kann bei der neuseeländischen Peppol-Behörde eine gegenseitige Akkreditierung beantragen. Beide Länder nutzen PINT A-NZ.

In Singapur dürfen nur von der IMDA akkreditierte Access-Point-Anbieter im InvoiceNow-Netzwerk tätig sein, und sie sind an die Peppol-Anforderungen der IMDA gebunden. Die Steuerbehörde IRAS führt die „GST InvoiceNow“-Anforderung für GST-registrierte Unternehmen schrittweise ein: zunächst für neue freiwillige Registranten ab dem 1. April 2026, dann für bestehende Unternehmen nach Umsatz ab dem 1. April 2028, bis schließlich alle Unternehmen am 1. April 2031 erfasst sind. Eine Kopie der Rechnungsdaten gelangt über das Netzwerk an die IRAS (IRAS-FAQ, September 2026). Erfahren Sie mehr über PINT SG.

Selberbauen ist dann sinnvoll, wenn:

Ein gehosteter Access Point ist die richtige Wahl, wenn:

„Embedded Peppol “ ist geeignet, wenn: