Compliance, die Sie einem Auditor übergeben können

SpecSpec: ISO 19005-4 (PDF/A-4)ISO 19005-4 (PDF/A-4)SpecSpec: ISO 32000-2ISO 32000-2SpecSpec: ETSI EN 319 142-1ETSI EN 319 142-1SpecSpec: EN 16931-1EN 16931-1

Auf einen Blick

Ein Auditor will nicht hören, dass ein Dokument konform ist. Er möchte zwei Dinge übergeben bekommen: das Dokument und das Ergebnis einer Prüfung, die das bestätigt. Auf dieser Seite geht es darum, mit NextPDF beides zu erzeugen — konforme Ausgabe und ein Validierungsergebnis, das Sie der nachfragenden Person vorlegen können.

Der Open-Source-Core erzeugt archivierungstaugliche PDF/A-Ausgabe und PAdES-Baseline-Signaturen, und er validiert die Konformität — PDF/A, PDF/UA und Signaturen. Die fortgeschrittenen Editionen erweitern die Reichweite um Langzeitvalidierung und E-Invoicing. Durchweg gilt eine Regel: Über die Konformität entscheidet das Urteil eines Prüfers, nicht ein Versprechen, das der Erzeuger geben dürfte.

Warum das wichtig ist

Compliance-Arbeit hat ein verräterisches Muster. Jemand sagt „ja, das ist konform“, und dann wird es still im Raum, weil niemand das vorlegen kann, was es beweist. Das Dokument sieht richtig aus. Die Bibliothek genießt einen guten Ruf. Nichts davon ist ein Beleg.

Die Kosten dieser Lücke sind asymmetrisch. Eine Datei, die nur konform erscheint, besteht heute die Prüfung und scheitert Monate später an einer externen Kontrolle — bei einer Steuerbehörde, in einem Langzeitarchiv oder vor Gericht —, wenn der ursprüngliche Kontext verschwunden ist und der Fehlschlag teuer zu erklären ist. Die Standards haben genau das vorausgesehen. Eine PDF/A-Datei hält ihr Zielprofil in ihren Metadaten fest, aber diese Identifikation gibt die Absicht des Erzeugers an; die Feststellung der Konformität trifft ein Validierungsprozess außerhalb der erzeugenden Software (SpecSpec: ISO 19005-4 (PDF/A-4), §6.7.3ISO 19005-4 (PDF/A-4) §6.7.3). Das Format selbst sagt Ihnen, dass der Erzeuger nicht das letzte Wort hat.

Die Kurzfassung

• Sie können konforme Ausgabe UND ein Ergebnis erzeugen, das ihre Konformität bestätigt. Keine Behauptung — ein Artefakt plus eine Prüfung.
• Der Core deckt die häufigen Fälle ab. Er erzeugt archivierungstaugliche PDF/A-Ausgabe und PAdES-B-B-/B-T-Signaturen und validiert die Konformität für PDF/A, PDF/UA und Signaturen.
• Über die Konformität entscheidet das Urteil eines Validators, abgegrenzt auf einen Standard, eine Klausel und eine Stufe. NextPDF benennt das Profil und die angestrebte Stufe, niemals ein pauschales „konform“ (SpecSpec: ETSI EN 319 142-1, §6.1ETSI EN 319 142-1 §6.1).
• Die fortgeschrittenen Editionen erweitern die Reichweite. Langzeitvalidierung (PAdES B-LT / B-LTA) und E-Invoicing (ZUGFeRD / Factur-X gegen EN 16931) sind Fähigkeiten der kommerziellen Stufe.
• Die Engine weigert sich, ein Urteil vorzutäuschen. Sie erzeugt einen Kandidaten und führt die Prüfung durch; sie stempelt eine Datei niemals aus eigener Befugnis als konform ab.

Wie NextPDF dabei vorgeht

Der Ansatz ist eine saubere Trennung, überall angewandt: Das Artefakt zu erzeugen, das ein Standard definiert, ist eine Fähigkeit; zu entscheiden, dass das Artefakt konform ist, ist ein Urteil. NextPDF gibt Ihnen das Erste und lässt Sie das Zweite von einem Prüfer einholen. Es vermengt die beiden niemals.

Erst diese Trennung macht die Ausgabe übergebbar. Eine Signatur ist der klarste Fall. Ihr Wert wird über einen deklarierten Byte-Bereich berechnet, der die Signatur selbst absichtlich ausschließt (SpecSpec: ISO 32000-2, §12.8ISO 32000-2 §12.8), und genau deshalb ist die Gültigkeit etwas, das eine dritte Partei aus der Datei neu berechnen kann, statt sie auf Treu und Glauben hinzunehmen. Die Aufgabe des Erzeugers ist es, diese Struktur korrekt zu schreiben. Die Aufgabe des Validators ist es, sie zu bestätigen. Zwei Aufgaben, zwei Parteien, und die zweite ist die, der ein Auditor vertraut.

Der Workflow, den Sie übergeben, hat also vier Schritte, und der dritte ist der, der aus „sollte konform sein“ ein „ist es“ macht.

1. Produce a candidateGenerate PDF/A archival output or a PAdES signature with the conformance-relevant structure in place — embedded fonts, declared profile, a signature over a correct byte range.
2. Refuse the impossibleThe engine rejects conformance-breaking combinations (an encrypted PDF/A, a signature level it cannot honor) rather than emitting a file that silently does not conform.
3. Validate independentlyRun a conformance checker — PDF/A, PDF/UA, signature. A passing report is the evidence; the producing library is not.
4. Hand over bothGive the auditor the document and the validation result together. The verdict travels with the artifact.

Von der Pflicht zum Beleg: NextPDF erzeugt einen konformen Kandidaten und verweigert konformitätsbrechende Operationen, ein unabhängiger Validator liefert das Urteil, und dieser Bericht — nicht die erzeugende Bibliothek — ist das, was Sie dem Auditor übergeben.

Der mittlere Schritt ist keine Zierde. Wenn der Archivierungsmodus aktiv ist und eine inkompatible Operation versucht wird — etwa das Einschalten der Verschlüsselung —, wirft die Engine einen typisierten Fehler, statt die Datei zu einem nicht konformen „archivierungstauglichen“ Dokument zu degradieren. Gerade das laute Verweigern hält den Kandidaten ehrlich genug, um die nachfolgende Prüfung zu bestehen.

Und die Prüfung ist abgestuft, niemals ein einzelnes Bit. PAdES ist von Grund auf gestuft: B-B, B-T, B-LT und B-LTA bauen jeweils auf der vorherigen Stufe auf (SpecSpec: ETSI EN 319 142-1, §6.1ETSI EN 319 142-1 §6.1). Eine B-T-Signatur trägt einen vertrauenswürdigen Zeitstempel, den B-B nicht hat. Eine Behauptung, die die Stufe benennt, ist eine ehrliche Behauptung; ein bloßes „signiert“ ist es nicht. NextPDF zwingt Sie, die Stufe zu benennen, sodass das Ergebnis, das Sie übergeben, genau das aussagt, was erreicht wurde.

Human-factors note:Human-factors note

Der nützlichste Satz in jedem Compliance-Gespräch lautet „hier ist die Ausgabe des Validators“. Er verlagert die Diskussion vom Vertrauen zum Beleg. NextPDF ist so gestaltet, dass Ihnen dieser Satz immer zur Verfügung steht: Es erzeugt den Kandidaten, weigert sich, ihn zu brechen, und überlässt das Urteil einem Prüfer, dessen Ergebnis Sie beifügen können. Die Zurückhaltung der Engine — die Weigerung, ihre eigene Ausgabe zu zertifizieren — ist keine Einschränkung. Sie ist der Grund, warum die Ausgabe es wert ist, übergeben zu werden.

Praktisches Beispiel

Eine kurze, vollständige Form. Sie erzeugt einen Kandidaten, validiert ihn und behandelt die Antwort des Validators als den Beleg — niemals den erzeugenden Aufruf.

<?php

declare(strict_types=1);

use NextPDF\Contracts\PdfDocumentInterface;
use NextPDF\Conformance\ConformanceValidator;
use NextPDF\Conformance\ConformanceTarget;
use NextPDF\Conformance\ValidationReport;

/**
 * Produce a candidate, then prove it with an independent check.
 *
 * The producing call returns bytes that SHOULD conform. Only the
 * validator's report turns "should" into something an auditor accepts.
 *
 * @param PdfDocumentInterface $candidate A document composed for archival
 *                                        (fonts embedded, profile declared)
 */
function archivalEvidence(
    PdfDocumentInterface $candidate,
    ConformanceValidator $validator,
): ValidationReport {
    // 1. The producing call states intent; it does not certify.
    $bytes = $candidate->getPdfData();

    // 2. The check is the verdict. Conformance is decided here, by the
    //    validator, against the named target — not by the line above.
    $report = $validator->validate($bytes, ConformanceTarget::PdfA);

    // 3. Hand BOTH over: the bytes plus the report. The report names the
    //    target, the level, and every requirement that was checked.
    return $report;
}

Die Variable heißt mit Absicht $candidate, und der Bericht ist mit Absicht der Rückgabewert. Das Dokument ist das, was Sie erzeugt haben; der Bericht ist das, was es beweist. Ein Auditor hat Sie gebeten, die Konformität nachzuweisen — also geben Sie ihm den Nachweis, nicht das Wort des Erzeugers dafür.

Häufiges Missverständnis

Das Missverständnis, das Archive mit nicht erhaltenen Dateien und Postfächer mit abgelehnten Rechnungen füllt, ist einfach: „die Bibliothek sagt PDF/A, also ist die Datei PDF/A.“ Dieses Urteil darf die Bibliothek nicht fällen. Ein Erzeuger kann eine Datei in der Absicht ausgeben, konform zu sein, und dennoch eine normative Anforderung verfehlen; erst ein Validierungsprozess macht aus der Absicht eine Feststellung. Den erzeugenden Aufruf als Beweis zu behandeln, ist der Kernfehler, und es ist genau der Fehler, den ein Auditor zu erkennen geschult ist.

Eine zweite, subtilere Falle besteht darin, „NextPDF ist standardkonform“ als eine umfassende Gesamtgarantie zu hören. So etwas gibt es nicht, und keine ehrliche Engine bietet es an. Konformität gilt pro Standard, pro Klausel und pro Stufe. Die richtige Aussage benennt, welches Profil, welche Stufe, und zeigt die Prüfung. Eine Aussage ohne diese Angaben ist Marketing, und Insider_ druckt das nicht.

Grenzen und Abgrenzungen

• NextPDF erzeugt einen konformen Kandidaten und validiert ihn; es zertifiziert die Konformität nicht. Der Bericht des Validators ist der Beleg. Die erzeugende Bibliothek stellt niemals ihr eigenes Zertifikat aus.
• Die Validierung ist ein Prüferergebnis, keine absolute Garantie. Ein sauberer Durchlauf bedeutet, dass die Datei die Anforderungen erfüllt hat, die der Validator geprüft hat, gegen die Ausgabe des Standards, die er umsetzt. Es ist der stärkste verfügbare Beleg, kein metaphysischer Beweis.
• Die Reichweite des Core ist archivierungstaugliche PDF/A-Ausgabe und PAdES-B-B-/B-T-Signaturen, plus Konformitätsvalidierung für PDF/A, PDF/UA und Signaturen. Er liefert die Fähigkeiten der fortgeschrittenen Editionen nicht stillschweigend mit.
• Langzeitvalidierung (B-LT / B-LTA) und E-Invoicing (ZUGFeRD / Factur-X gegen EN 16931) sind Fähigkeiten der fortgeschrittenen Editionen. EN 16931-1 definiert das semantische Rechnungsmodell, gegen das der Träger validiert wird (SpecSpec: EN 16931-1, ScopeEN 16931-1 Scope); ihm gerecht zu werden, ist kommerzielle Stufe, nicht Core.
• Die rechtliche Wirkung ist eine von der technischen Konformität getrennte Frage. Ob eine Signatur in einer Rechtsordnung rechtlich ausreichend ist, entscheiden das Gesetz und die empfangende Behörde, nicht ein Validator. NextPDF äußert sich zum technischen Ergebnis; Ihr Compliance-Team äußert sich zu seinem rechtlichen Gewicht.

Conformance reach across editions — edition availability

Edition	Availability
Core	○ Erzeugt archivierungstaugliche PDF/A-Ausgabe und PAdES-B-B-/B-T-Signaturen und validiert die Konformität für PDF/A, PDF/UA und Signaturen. Sowohl die Ausgabe als auch das Validierungsergebnis stehen zur Übergabe bereit.
Pro	○ Ergänzt die Langzeitvalidierung — PAdES B-LT / B-LTA — und bettet die Widerrufsbelege und Dokumentzeitstempel ein, die eine Signatur auch nach Ablauf des Zertifikats verifizierbar halten.
Enterprise	○ Ergänzt E-Invoicing (ZUGFeRD / Factur-X gegen EN 16931) sowie eine strukturelle Konformitätsrichtlinie und einen Bericht — nach wie vor eine Strukturprüfung, wobei die endgültige Feststellung einem Validator und Ihrem Compliance-Team obliegt.

Das tiefergehende Compliance-Werkzeug und die zitierte Konformitätsgrenze für jede Fähigkeit der fortgeschrittenen Editionen finden Sie auf der Seite Compliance und Konformität. Wenn Sie die Prüfung ausführen müssen, führt Sie der Leitfaden Fehlerbehebung der PDF/A- und PDF/UA-Validierung durch das Lesen und Beheben eines fehlschlagenden Berichts.

Verwandte Dokumente

• Archivierung und PDF/A — was PDF/A garantiert und warum der Nachweis der Konformität eine von ihrer Erzeugung getrennte Aufgabe ist.
• Eine Signatur richtig validieren — der vollständige Satz an Prüfungen hinter „die Signatur ist gültig“.
• Die Standardlandschaft — die Karte der Normungsgremien und wie aus einer Klausel getestetes Verhalten wird.
• PAdES-Baseline-Profile — B-B, B-T, B-LT und B-LTA als Abfolge und wie Sie die Stufe wählen, die Ihre Pflicht erfordert.
• Rechnungen und E-Invoicing — die hybride PDF-/Strukturdaten-Rechnung gegen EN 16931, von Anfang bis Ende.

Glossar

• Konformität — die Übereinstimmung einer Datei mit den normativen Anforderungen eines Standards, festgestellt durch einen Validierungsprozess, abgegrenzt auf einen bestimmten Standard, eine Klausel und eine Stufe.
• Kandidat — eine Datei, die in der Absicht erzeugt wurde, konform zu sein, bevor ein unabhängiger Validator bestätigt hat, dass sie es ist.
• Validator / Konformitätsprüfer — unabhängige Software, die eine Datei anhand der Anforderungen eines Standards beurteilt und das Ergebnis erzeugt, auf das sich ein Auditor verlässt.
• PDF/A — die ISO 19005-Familie: ein eingeschränktes PDF-Profil für die Langzeitarchivierung, das darauf ausgelegt ist, das statische Erscheinungsbild eines Dokuments über die Zeit zu reproduzieren.
• PDF/UA — die ISO 14289-Familie: das Barrierefreiheitsprofil, das definiert, wie ein getaggtes PDF assistiver Technologie Struktur vermittelt.
• PAdES — PDF Advanced Electronic Signatures, die ETSI-EN-319-142-Familie von Signaturprofilen (B-B, B-T, B-LT, B-LTA), auf die sich ISO 32000-2 für die PDF-Signierung bezieht.
• EN 16931 — der europäische Standard, der das semantische Datenmodell einer elektronischen Kernrechnung definiert, die Pflicht, gegen die ein hybrider E-Invoice-Träger geprüft wird.