Five things changed. Keys moved from RSA to ECDSA. Contactless reading arrived over ISO/IEC 14443, protected by the PACE protocol. A six-digit CAN code was introduced for contactless access. The chip contacts moved to the back of the card. And there is no API that tells you which version is in front of you.
Every few months, we get the same question: can we authenticate users with the Portuguese Citizen Card directly in our own application? Yes. The official middleware is open source and supports the Cartão de Cidadão, Chave Móvel Digital and professional attribute certification.
Nachweise zur Softwarequalität sind nicht dasselbe wie ein Testprogramm, und dieser Unterschied ist genau das, was die erste ernsthafte Aufsichtsprüfung offenlegt. Die meisten regulierten Finanzinstitute haben QA-Ingenieure, Testsuiten, CI/CD-Pipelines und Dashboards, die grün leuchten. Deutlich weniger haben Nachweise.
Die Wahl eines Nearshore Portugal Partners war lange ein Gespräch über Stundensätze, Zeitzonen und Englischkenntnisse. 2026 taucht in Ausschreibungen regulierter Sektoren zunehmend ein fünftes Kriterium auf: ob der Entwicklungspartner unter demselben regulatorischen Rahmen arbeitet wie der Kunde.
Eine EUDI Wallet Relying Party zu werden ist der Teil von eIDAS 2.0, der bei den Entwicklungsteams landet, und gleichzeitig der Teil mit der geringsten Aufmerksamkeit. Bis zum 24. Dezember 2026 muss jeder Mitgliedstaat eine konforme europäische Brieftasche für digitale Identität für Bürger und Einwohner bereitstellen. Die Frist ist nach der Verordnung (EU) 2024/1183 verbindlich, die Durchführungsrechtsakte sind veröffentlicht, und grenzüberschreitende Interoperabilitätstests zwischen Mitgliedstaaten haben bereits stattgefunden.
Der Stichtag für das Inkrafttreten der EU-KI-Verordnung war der 2. August 2026. Die Berichterstattung in dieser Woche konzentrierte sich vor allem auf die Verzögerungen: die Verschiebung der Pflichten für Hochrisiko-KI-Systeme in den Bereichen Personalentscheidungen, Kreditwürdigkeitsprüfung und Zugang zu öffentlichen Dienstleistungen auf Dezember 2027.
Die CRA-Schwachstellenmeldung wird am 11. September 2026 verpflichtend. Ab diesem Datum muss jeder Softwarehersteller, der in die EU verkauft, eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden nach Kenntnisnahme melden. Nicht 24 Arbeitsstunden. Vierundzwanzig Stunden.
Wenn ein QA-Team bei einer Bank KI-Testwerkzeuge evaluiert, beginnt die Konversation tendenziell mit denselben Fragen, die jedes Ingenieurteam stellen würde: Wie viele Testfälle generiert es, wie genau ist die Generierung, wie gut wird die Wartung von Tests gehandhabt, welche Frameworks werden unterstützt. Das sind berechtigte Fragen. Sie sind auch der falsche Ausgangspunkt, da sie das Problem der KI-gestützten Qualitätssicherung in einem regulierten Finanzinstitut so behandeln, als sei es dasselbe Problem wie die KI-gestützte Qualitätssicherung in einem SaaS-Startup. Das ist es nicht.
Jeder EU-Mitgliedstaat muss bis zum 24. Dezember 2026 eine konforme Wallet für die europäische digitale Identität bereitstellen; regulierte Unternehmen sind verpflichtet, diese zwölf Monate später zu akzeptieren. Dieser Leitfaden erläutert, welche Entscheidungen, Entwicklungs- und Registrierungsschritte Organisationen vor diesen Terminen bewältigen müssen – verfasst aus der Sicht eines Teams, das seit 2011 nationale eID-Middleware betreut.
DORA verlangt von Finanzinstituten, gegenüber den Aufsichtsbehörden ihre operationelle Resilienz nachzuweisen – es reicht nicht aus, lediglich Tests durchzuführen. Dieser Artikel erläutert, welche Nachweise die Qualitätssicherungsteams (QA-Teams) von Banken konkret erbringen müssen, welche DORA-Artikel dies regeln und wo die meisten Testprogramme bei einer aufsichtlichen Überprüfung Mängel aufweisen.