ZATCA-E-Rechnung Phase 2: Was die Anbindung tatsächlich verlangt

Phase 1 und Phase 2 sind zwei verschiedene Aufgaben

Phase 1 (Generation) verlangte eine strukturierte elektronische Rechnung mit QR-Code und einem festgelegten Satz an Pflichtfeldern. Jedes Fakturierungssystem, das ein konformes Dokument erzeugen konnte, erfüllte sie, und nichts verließ Ihr Haus. Phase 2 (Integration) ist eine Arbeit ganz anderer Art: Ihr System kommuniziert nun bei jeder Rechnung, die Sie ausstellen, mit der Plattform von ZATCA, der saudischen Steuerbehörde — und die Behörde antwortet.

Genau diese eine Änderung bringt Teams ins Straucheln. Eine Umsetzung für Phase 1 ist ein Dokumentformat. Eine Umsetzung für Phase 2 ist eine Schnittstelle, deren Verfügbarkeit geschäftskritisch ist — mit kryptografischen Schlüsseln, Zertifikaten, die ablaufen, und einer externen Abhängigkeit, die zwischen Ihrer Kasse und der gedruckten Rechnung steht.

Clearance und Reporting sind nicht derselbe Ablauf

Standard-Steuerrechnungen — also Belege zwischen Unternehmen — durchlaufen die Clearance. Sie übermitteln die Rechnung an ZATCA, bevor Sie sie dem Käufer aushändigen, und erst wenn ZATCA sie freigegeben und eine signierte Fassung zurückgesandt hat, ist sie eine rechtlich gültige Steuerrechnung. Scheitert die Clearance, haben Sie noch keine Rechnung.

Vereinfachte Steuerrechnungen — typischerweise Kassenbons an Endverbraucher — durchlaufen das Reporting. Sie stellen den Bon sofort aus und händigen ihn aus, anschließend melden Sie ihn innerhalb der veröffentlichten Frist an ZATCA. Der Kunde wartet nie auf das Netz.

Praktisch bedeutet das: Ihre Kasse und Ihre B2B-Fakturierung brauchen ein unterschiedliches Verhalten im Fehlerfall. Eine Ladenkasse muss weiter verkaufen, wenn die Verbindung abreißt, und später abgleichen. Eine B2B-Rechnung darf erst dann als ausgestellt gelten, wenn sie freigegeben ist.

Die kryptografischen Bausteine in ihrer Reihenfolge

Die Anbindung ist im Wesentlichen eine Abfolge von Berechtigungsnachweisen. Jeder Schritt baut auf dem vorherigen auf, und an jedem kann eine Einführung ins Stocken geraten:

• Ein Schlüsselpaar und eine Zertifikatsanforderung (CSR) je Gerät oder je Fakturierungseinheit, die Ihre Angaben zur Umsatzsteuerregistrierung genau in den Feldern enthält, die ZATCA erwartet.
• Ein Compliance-Zertifikat, das Sie erhalten, indem Sie diese CSR zusammen mit einem Einmalpasswort aus dem ZATCA-Portal einreichen — der Schritt, der am häufigsten scheitert, weil das Einmalpasswort nur kurz gültig ist.
• Compliance-Prüfungen: Musterrechnungen, Gutschriften und Belastungsanzeigen jeder Art, die Sie ausstellen wollen — alle müssen angenommen sein, bevor Sie weitermachen dürfen.
• Ein Produktionszertifikat, das die echten Belege tatsächlich signiert — und dessen Ablaufdatum jemand verantworten muss, lange bevor es erreicht ist.

Was die Rechnung selbst enthalten muss

Das Dokument, das Sie übermitteln, ist UBL-2.1-XML und keine PDF-Datei. Darin stecken die Bausteine, die die Rechnung überprüfbar machen: ein kryptografischer Hashwert der vorherigen Rechnung, der Ihre Belege zu einer Kette verbindet, sodass eine gelöschte oder eingeschobene Rechnung erkennbar wird; eine digitale Signatur; und ein QR-Code mit Name des Verkäufers, Umsatzsteuernummer, Zeitstempel, Gesamtbetrag, Umsatzsteuerbetrag und den Signaturdaten in einer festgelegten binären Kodierung.

Eine für Menschen lesbare Fassung bleibt wichtig — Käufer wollen einen Beleg, den sie ablegen können. Die meisten Umsetzungen erzeugen deshalb eine PDF/A-3-Datei mit eingebettetem signiertem XML: eine einzige Datei, die zugleich lesbar und maschinell prüfbar ist.

Die Fehlerfälle, für die sich eine Vorkehrung lohnt

Jedes System, das dies im Produktivbetrieb gefahren hat, ist auf dieselbe kurze Liste gestoßen — und jeder Punkt darauf ist eine Entwurfsentscheidung, kein Fehler, den man später behebt:

• ZATCA ist nicht erreichbar oder langsam. Vereinfachte Rechnungen sollten in eine Warteschlange gehen und später gemeldet werden; Standardrechnungen lassen sich ohnehin nicht einfach ausstellen. Legen Sie vorab fest, was die Kassenkraft sieht.
• Ein Zertifikat läuft ab. Die Erneuerung ist eine geplante Betriebsaufgabe, kein Störfall — ein abgelaufenes Produktionszertifikat stoppt die Rechnungsstellung vollständig.
• Eine Rechnung wird wegen eines Feldes abgelehnt, das Ihr ERP zulässt, ZATCA aber nicht — ungewöhnliche Mengeneinheiten, Rabatte oder Versandpositionen, die so abgebildet sind, dass die XML-Zuordnung sie nicht ausdrücken kann.
• Die Hash-Kette bricht nach einer Wiederherstellung aus einer Datensicherung oder nach einem manuellen Eingriff in die Datenbank — und jede folgende Rechnung erbt das Problem.

Was Sie einen Anbieter fragen sollten

Konformitätsversprechen kosten nichts. Nützlich sind konkrete Fragen: Welche Belegarten haben Sie im Produktivbetrieb — nicht in der Sandbox — durch Clearance und Reporting gebracht? Was geschieht mit einem Verkauf, wenn ZATCA nicht rechtzeitig antwortet? Wer erneuert das Zertifikat, und wodurch wird er gewarnt? Kann ich mein signiertes XML und die Hash-Kette exportieren, wenn ich wechsle? Ein Anbieter, der Phase 2 wirklich betrieben hat, hat darauf handfeste Antworten, denn jede dieser Fragen hat ihn irgendwann einen Tag gekostet.