Einen Peppol-Dienst beschaffen: Anforderungen für die Ausschreibung

Wenn Ihre Organisation einen Peppol-Dienst beschafft, über eine Ausschreibung oder eine Angebotsanfrage bei mehreren Anbietern, bestimmt die Qualität der Ausschreibung weitgehend die Qualität des Dienstes, den Sie anschließend über Jahre nutzen. Ein Peppol Service Provider stellt die Verbindung zwischen Ihrem Finanzsystem und dem Peppol-Netzwerk her: das Senden und Empfangen von E-Rechnungen, die Registrierung Ihrer Organisation im Netzwerk und oft auch Validierung und Archivierung. Da dies ein kritisches Glied in Ihrem Rechnungsfluss ist, lohnt es sich, Ihre Erwartungen vorab präzise zu formulieren.

Diese Seite bietet einen Anforderungskatalog in acht Kategorien. Je Kategorie lesen Sie, warum die Anforderung wichtig ist und welche konkreten Fragen Sie in die Ausschreibung aufnehmen können. Am Ende finden Sie alles als kopierbare Checkliste zusammengefasst. Der Katalog ist unabhängig davon nutzbar, in welchem Land Ihre Organisation ansässig ist; nationale Vergaberegeln und -verfahren liegen außerhalb des Rahmens dieser Seite. Je nach Land unterscheidet sich jedoch, über welchen Weg Behörden E-Rechnungen empfangen: in den Niederlanden, Belgien und Luxemburg unter anderem über Peppol, in Deutschland mit XRechnung über die Portale des Bundes, in Frankreich über Chorus Pro. Siehe E-Rechnung für Behörden.

Möchten Sie zuerst wissen, was ein Service Provider genau tut? Dann lesen Sie Was ist ein Peppol Service Provider.

1. Zertifizierung

Warum dies eine Anforderung ist. Nur Partner, die über eine Peppol Authority eine Vereinbarung mit OpenPeppol geschlossen haben, dürfen als Service Provider Nachrichten über das Netzwerk austauschen. Dieser Beitritt ist mit technischen Tests und Vereinbarungen zu Sicherheit und Serviceleistungen verbunden. Ein Anbieter, der nicht selbst zertifiziert ist, kann den Dienst zwar über einen zertifizierten Partner erbringen, doch dann sollten Sie wissen, wer dieser Partner ist und wer wofür verantwortlich ist. Mehr zur Rolle der Peppol Authority lesen Sie in Was ist eine Peppol Authority.

Fragen für die Ausschreibung:

• Ist der Anbieter selbst ein von OpenPeppol anerkannter Service Provider? Falls nein: Über welchen zertifizierten Unterauftragnehmer wird der Dienst erbracht, und wie ist die Verteilung der Verantwortung vertraglich festgelegt?
• Bei welcher Peppol Authority ist der Anbieter angeschlossen?
• Für welche Rolle ist der Anbieter anerkannt: die Access-Point-Rolle (Senden und Empfangen), die SMP-Rolle (Registrierung) oder beide?
• Wie weist der Anbieter nach, dass die Anerkennung während der gesamten Vertragslaufzeit gültig bleibt?
• Wie werden Sie informiert, wenn die Anerkennung ausgesetzt oder beendet wird?

2. Unterstützte Dokumenttypen

Warum dies eine Anforderung ist. Peppol ist mehr als nur die Rechnung. Das Netzwerk unterstützt mehrere Dokumenttypen, und jeder Typ hat eine eigene Spezifikation. Für die E-Rechnungsstellung ist Peppol BIS Billing 3.0 die gängige Spezifikation: eine CIUS zur europäischen Norm EN 16931. Daneben gibt es länderspezifische Ausprägungen. Möchte Ihre Organisation künftig auch Bestellungen oder Kataloge elektronisch austauschen, ist es sinnvoll, dies direkt in die Ausschreibung aufzunehmen.

Fragen für die Ausschreibung:

• Unterstützt der Dienst das Senden und Empfangen von E-Rechnungen und Gutschriften nach Peppol BIS Billing 3.0?
• Welche nationalen CIUS-Varianten oder Erweiterungen werden unterstützt?
• Werden auch andere Peppol-Dokumenttypen unterstützt, etwa Bestellungen, Auftragsbestätigungen, Lieferavise, Kataloge oder Invoice Response?
• Wie geht der Anbieter mit neuen Versionen von Spezifikationen um, und werden Updates ohne Mehrkosten umgesetzt?
• Kann der Dienst empfangene Dokumente auch in dem Format bereitstellen, das Ihr eigenes Finanzsystem erwartet (Konvertierung)?

3. SMP-Verwaltung und Exit-Regelung

Warum dies eine Anforderung ist. Um Nachrichten empfangen zu können, muss Ihre Organisation mit einer Peppol-ID in einem Service Metadata Publisher (SMP) registriert sein. Diese Registrierung teilt Absendern mit, über welchen Service Provider und für welche Dokumenttypen Sie erreichbar sind. Der Partner, der die SMP-Registrierung verwaltet, hält damit faktisch den Schlüssel zu Ihrer Erreichbarkeit in der Hand. Eine gute Exit-Regelung ist die wichtigste Absicherung gegen Anbieterabhängigkeit (Vendor-Lock-in).

Fragen für die Ausschreibung:

• Wer verwaltet die SMP-Registrierung Ihrer Peppol-IDs, und welche Peppol-IDs und Schemata werden registriert?
• Bleibt die Peppol-ID nachweislich Eigentum Ihrer Organisation?
• Wie läuft die Übertragung der SMP-Registrierung auf einen anderen Service Provider bei Vertragsende ab: welche Schritte, welche Dauer und welche Mitwirkung?
• Wie wird verhindert, dass während des Wechsels Nachrichten verloren gehen oder doppelt zugestellt werden?
• In welchem Format und innerhalb welcher Frist erhalten Sie bei Vertragsende alle Ihre Dokumente und Metadaten zurück?
• Sind mit dem Exit Kosten verbunden, und sind diese im Voraus festgelegt?
• Unter welcher Identifikationsnummer werden Sie registriert? Niederländische Behörden werden unter ihrer OIN (Organisationsidentifikationsnummer) registriert.
• In den Niederlanden muss der bisherige Service Provider die Registrierung innerhalb von drei Werktagen übertragen oder beenden: Legt der Anbieter dies vertraglich fest?

4. Validierung

Warum dies eine Anforderung ist. Eine E-Rechnung, die technisch ankommt, ist inhaltlich noch nicht zwingend korrekt. Die Validierung anhand der geltenden Regeln verhindert, dass fehlerhafte Rechnungen in Ihren Verarbeitungsprozess gelangen oder dass Ihre eigenen Rechnungen beim Empfänger abgelehnt werden. Ebenso wichtig ist, was geschieht, wenn ein Dokument die Validierung nicht besteht.

Fragen für die Ausschreibung:

• Werden ausgehende und eingehende Dokumente validiert, und anhand welcher Regelwerke?
• Was geschieht mit einem abgelehnten Dokument: zurückgehalten, mit einer Warnung weitergeleitet oder an den Absender zurückgemeldet?
• Wie und über welchen Kanal werden Sie über abgelehnte Dokumente informiert, und ist die Fehlermeldung verständlich?
• Unterstützt der Dienst Invoice Response oder vergleichbare Statusmeldungen?
• Wie schnell werden geänderte Validierungsregeln umgesetzt?

5. SLA (Service Level Agreement)

Warum dies eine Anforderung ist. Rechnungen sind unmittelbar mit Zahlungsfristen und der Beziehung zu Ihren Lieferanten verknüpft. Eine Störung bei Ihrem Service Provider kann bedeuten, dass Rechnungen nicht ankommen oder nicht versendet werden. Ein SLA macht Vereinbarungen zu Verfügbarkeit und Support überprüfbar.

Fragen für die Ausschreibung:

• Welche Verfügbarkeit garantiert der Anbieter, und wie wird sie gemessen und berichtet?
• Wie lauten die Reaktions- und Lösungszeiten je Prioritätsstufe einer Störung?
• Zu welchen Zeiten und über welche Kanäle ist Support verfügbar, und in welchen Sprachen?
• Wie sieht der Eskalationspfad aus, und wer ist Ihr fester Ansprechpartner?
• Wie und wie lange im Voraus werden geplante Wartungsarbeiten angekündigt?
• Welche Folgen hat die Nichteinhaltung des SLA?
• Gibt es einen Business-Continuity-Plan, der regelmäßig getestet wird?

6. Archivierung

Warum dies eine Anforderung ist. Behörden unterliegen oft sowohl steuerlichen als auch archivrechtlichen Aufbewahrungspflichten. Es ist wichtig, vorab festzulegen, ob der Service Provider empfangene und gesendete Dokumente aufbewahrt, wie lange und wer für die Abrufbarkeit während der geltenden Aufbewahrungsfrist verantwortlich ist.

Fragen für die Ausschreibung:

• Bewahrt der Anbieter gesendete und empfangene Dokumente auf, einschließlich der Original-XML? Falls ja, wie lange?
• Kann die Aufbewahrungsfrist auf die für Ihre Organisation geltende Aufbewahrungspflicht abgestimmt werden?
• Wie sind Integrität und Unveränderbarkeit archivierter Dokumente gewährleistet?
• Wie können Sie archivierte Dokumente durchsuchen, abrufen und exportieren, auch nach Vertragsende?
• Wie und wann werden Dokumente nach Ablauf der Aufbewahrungsfrist gelöscht?
• Wer ist für die Archivierung verantwortlich: der Anbieter, Ihre Organisation oder beide gemeinsam?

7. API und Anbindungen

Warum dies eine Anforderung ist. Der Nutzen der E-Rechnungsstellung liegt in der automatischen Verarbeitung. Das erfordert eine zuverlässige Anbindung zwischen dem Peppol-Dienst und Ihrem Finanzsystem oder ERP-System. Qualität und Dokumentation der API bestimmen, wie viel Aufwand die Implementierung kostet.

Fragen für die Ausschreibung:

• Welche Anbindungsmöglichkeiten bietet der Dienst (REST-API, Standardanbindungen, Dateiaustausch)?
• Ist die API-Dokumentation öffentlich oder vorab einsehbar?
• Gibt es eine Sandbox, in der Sie die Anbindung ohne Produktionsdaten testen können?
• Unterstützt der Dienst Webhooks für Statusänderungen?
• Wie werden Sie über Änderungen an der API informiert, und wie lange werden ältere Versionen unterstützt?
• Welche Unterstützung bietet der Anbieter während der Implementierung?

8. Informationssicherheit und Datenstandort

Warum dies eine Anforderung ist. Rechnungen enthalten Unternehmens- und teilweise personenbezogene Daten. Behörden arbeiten oft mit einer eigenen Sicherheitsrichtlinie und Anforderungen an die Rechtsordnung, unter der Daten gespeichert werden. Diese Anforderungen gelten auch für Ihren Service Provider und etwaige Unterauftragnehmer.

Fragen für die Ausschreibung:

• Wie werden Daten bei der Übertragung und bei der Speicherung verschlüsselt?
• Wie ist das Zugriffsmanagement eingerichtet?
• In welcher Region und unter welcher Rechtsordnung werden Daten gespeichert und verarbeitet?
• Welche Unterauftragnehmer sind beteiligt, und wie werden Sie über Änderungen informiert?
• Über welche nachweisbaren Zertifizierungen oder Audits verfügt der Anbieter?
• Ist der Anbieter bereit, einen Auftragsverarbeitungsvertrag abzuschließen?
• Wie und innerhalb welcher Frist werden Sicherheitsvorfälle gemeldet?
• Darf Ihre Organisation Audits durchführen oder Auditberichte einsehen?
• Verfügt der Anbieter über ISO 27001 oder einen gleichwertigen Nachweis? In den Niederlanden verlangt die Peppol Authority dies von Service Providern.

Was dies für Sie bedeutet

Mit einem Peppol-Dienst kauft Ihre Organisation keine einzelne Software, sondern ein Glied in Ihrem finanziellen Kernprozess und in Ihrer Erreichbarkeit für Lieferanten. Versäumnisse bei diesen Anforderungen lassen sich im Nachhinein nur schwer beheben.

Kopierbare Checkliste für Ihre Ausschreibung. Übernehmen Sie diese Punkte wörtlich in Ihre Ausschreibung:

• Zertifizierung: Der Anbieter ist ein von OpenPeppol anerkannter Service Provider (oder arbeitet über einen zertifizierten Unterauftragnehmer), mit Angabe der Peppol Authority, der anerkannten Rolle(n) und nachweisbarer Gültigkeit während der Vertragslaufzeit
• Dokumenttypen: Senden und Empfangen nach Peppol BIS Billing 3.0, relevante nationale CIUS-Varianten und gegebenenfalls Bestellungen, Kataloge und Statusmeldungen
• SMP-Verwaltung und Exit: Die Peppol-ID bleibt Eigentum der Organisation; Übertragung mit festgelegten Schritten, Dauer, Kosten und Rückgabe der Dokumente; Registrierung unter der richtigen Identifikationsnummer (für niederländische Behörden die OIN); in den Niederlanden Übertragung innerhalb von drei Werktagen
• Validierung: Ausgehende und eingehende Dokumente werden anhand von EN 16931, Peppol BIS und der jeweils geltenden CIUS validiert; abgelehnte Dokumente werden nachweisbar bearbeitet
• SLA: garantierte und berichtete Verfügbarkeit, Reaktions- und Lösungszeiten, Supportkanäle, Eskalationspfad
• Archivierung: Aufbewahrung einschließlich der Original-XML, Aufbewahrungsfrist abgestimmt auf die geltende Aufbewahrungspflicht, Integritätsgarantien und Export
• API und Anbindungen: dokumentierte API, Sandbox, Webhooks oder Statusmeldungen, Versionierungsrichtlinie und Unterstützung bei der Implementierung
• Informationssicherheit und Datenstandort: Verschlüsselung, Zugriffsmanagement, Speicherung innerhalb der geforderten Rechtsordnung, Unterauftragsverarbeiter, Zertifizierungen, Auftragsverarbeitungsvertrag und Meldung von Sicherheitsvorfällen, ISO 27001 oder gleichwertiger Nachweis

Finden Sie passende Anbieter im Vergleichsportal und legen Sie ihnen diese Checkliste vor.

Fazit

Bei einer guten Ausschreibung für einen Peppol-Dienst geht es um mehr als die Frage, ob ein Anbieter Rechnungen senden kann. Zertifizierung, Eigentum an Ihrer Registrierung, eine praktikable Exit-Regelung, Validierung, Service-Level-Vereinbarungen, Archivierung, Anbindungsmöglichkeiten und Informationssicherheit bestimmen gemeinsam, ob der Dienst über Jahre zuverlässig bleibt und ob Sie später problemlos wechseln können.

Den breiteren Kontext der E-Rechnungsstellung im öffentlichen Sektor finden Sie in E-Rechnung für Behörden. Im Vergleichsportal von Peppol.now finden Sie Anbieter, die zu Ihrer Situation passen; die Checkliste legen Sie ihnen anschließend vor.