Länderanalyse
ZATCAs Einführung ist ein echtes Zweiphasenmodell: Zunächst mussten alle E-Rechnungen erstellen, dann — deutlich anspruchsvoller — sich in Wellen nach Umsatz direkt in die Regierung integrieren.
Alle umsatzsteuerlich registrierten Steuerpflichtigen müssen E-Rechnungen mit einem konformen elektronischen System erstellen und digital speichern — in dieser Phase ist noch keine Live-Integration mit ZATCA erforderlich.
Die größten Steuerpflichtigen (Jahresumsatz über SAR 3 Milliarden) müssen ihre Abrechnungssysteme direkt mit der Fatoora-Plattform von ZATCA integrieren. Jede weitere Welle bringt kleinere Unternehmen in den Anwendungsbereich, jeweils mit mindestens 6 Monaten Vorlauf benachrichtigt.
Unternehmen mit umsatzsteuerpflichtigem Umsatz über 750.000 SAR in 2022, 2023 oder 2024 mussten die Phase-2-Integration mit der Fatoora-Plattform für die Echtzeit-Freigabe abschließen.
Die Schwelle sank auf 375.000 SAR — was praktisch der verpflichtenden Umsatzsteuer-Registrierungsschwelle entspricht und nahezu jedes umsatzsteuerpflichtige Unternehmen in die Phase-2-Freigabe einbezieht.
Die technische Messlatte von Phase 2 liegt wirklich hoch: kryptografische Stempelung, verpflichtender arabischer Inhalt und ein QR-Code, der neun einzelne Datenmarkierungen enthält.
Die PDF/A-3-Verpackung mit eingebettetem XML spiegelt Frankreichs Factur-X-Ansatz wider — eine menschenlesbare Darstellung zusammen mit den maschinenlesbaren Daten in einer einzigen Datei.
Eine Ablehnung wegen "Hash Mismatch" bedeutet, dass der XML-Inhalt nach der Hash-Berechnung verändert wurde — dies ist einer der häufigsten Integrationsfehler in Phase 2.
Zwei Aussagen kursieren falsch: dass der QR-Code nur für vereinfachte Rechnungen gilt und dass der Verkäufer ihn bei Standardrechnungen erzeugen muss. Seit dem 1. Januar 2023 trifft beides nicht zu.
Die Artikel 53 und 66 waren auf der ZATCA-Website nicht lesbar — ihr Verordnungs-PDF bricht davor ab — daher stützen sie sich auf eine Wiedergabe des amtlichen englischen Textes, wobei die Aufbewahrungsfristen durch ZATCAs Leitfaden zu Anlagegütern bestätigt sind.
Die Vertrauenskette verläuft Lieferant → ZATCA → Empfänger: Ihre ECDSA-Signatur belegt, dass die Rechnung von Ihnen stammt, und ZATCAs eigener Stempel darauf macht sie tatsächlich rechtsgültig.
Base64-codiert, TLV-Format (Tag-Length-Value), enthält:
Jeder kann dies über die offizielle ZATCA-App sofort verifizieren — ein Scan bestätigt, dass die Rechnung im Zentralsystem existiert, ihre Signaturen gültig sind und ihre gedruckten Daten übereinstimmen, üblicherweise in 2–5 Sekunden.
Saudi-Arabien betreibt eines der strengsten Clearing-Modelle in diesem Tracker: Eine B2B-Rechnung ohne die Freigabeantwort von ZATCA hat schlicht keine steuerliche Wirkung.
Dies ist in einem bestimmten Sinn strenger als Polens KSeF oder Italiens SDI — die Freigabe muss vor der Zustellung erfolgen, nicht nur bevor die Rechnung als "endgültig" gilt.
Anders als bei B2B können vereinfachte Rechnungen dem Kunden sofort ausgestellt werden — die 24-Stunden-Frist betrifft die Meldung an ZATCA, nicht die Vorab-Freigabe.
Die rechtzeitige Erneuerung Ihrer CSID und das Verhindern von XML-Änderungen nach der Hash-Berechnung sind die zwei wirkungsvollsten Maßnahmen zur Reduzierung der Ablehnungsquote.
Wenn Sie in Saudi-Arabien umsatzsteuerlich registriert, aber nicht lokal ansässig sind, fallen Sie derzeit nicht in den Anwendungsbereich — bestätigen Sie jedoch, dass sich dies nicht geändert hat, da sich der Anwendungsbereich für E-Invoicing im GCC bereits verschoben hat.
Die Integration ist ein wirklich mehrstufiger technischer Prozess — planen Sie echte Zeit für die Zertifikatserstellung und Sandbox-Tests ein, nicht nur für das Format-Mapping.
Dies ist der erforderliche Schritt, bevor Sie Zertifikate erstellen oder mit dem technischen Onboarding beginnen können.
Beziehen Sie diesen über die Compliance-API von ZATCA — er ist erforderlich, bevor Sie eine Rechnung signieren können, behandeln Sie ihn also als blockierende Abhängigkeit für alles Weitere.
Richten Sie alle Pflichtfelder, korrekte arabische Übersetzungen und die richtige QR-Code-Positionierung ein — bringen Sie dies in Ordnung, bevor Sie zur Signierung und zum Testen übergehen.
Konfigurieren Sie die ECDSA-Signierung und erzeugen Sie gültige Hashes, testen Sie dann explizit die Signaturverifizierung, bevor Sie die Sandbox nutzen.
Überspringen Sie diesen Schritt auch unter Zeitdruck nicht — er ist speziell darauf ausgelegt, Integrationsfehler zu erkennen, bevor sie die Produktion erreichen.
Stellen Sie sicher, dass die Mitarbeiter die neuen Prozesse, häufigen Ablehnungscodes und Fehlerbehebungsverfahren verstehen — dies ist eine echte betriebliche Veränderung, kein reines Systemupdate.
Wechseln Sie erst dann von der Sandbox zur Produktion, wenn die Tests wirklich erfolgreich waren — und achten Sie auf Ihre spezifische Wellen-Benachrichtigung, da ZATCA vor jeder Frist etwa sechs Monate im Voraus informiert.
Das Bußgeld selbst ist nur ein Teil des Risikos — verbotene Softwarefunktionen unterliegen einer eigenen, separaten Prüfung.
Andere Länder derselben Region, sortiert nach ihrem nächsten datierten Meilenstein. Jeder Eintrag führt zu einem vollständigen Briefing.