Für deutsche Unternehmen mit Geschäft auf den Philippinen bleiben noch acht Wochen – und zwischen den beiden Stichtagen, um die es geht, liegt eine einzige Nacht. Nach der Revenue Memorandum Circular (RMC) No. 98-2026 des Bureau of Internal Revenue (BIR) vom 22. September 2026 müssen die erfassten Steuerpflichtigen ihre Rechnungen spätestens ab dem 31. Dezember 2026 elektronisch ausstellen. Verlangt ist die tatsächliche Ausstellung, nicht bloß technische Bereitschaft – und dafür muss vorher ein Permit to Issue (PTI) erteilt sein. Nachfolgen dürfen nur die Zertifizierung des Systems und die Übermittlung der Umsatzdaten an das BIR. Ab dem 1. Januar 2027 müssen in Deutschland alle Unternehmen, deren Gesamtumsatz im Vorjahr 800.000 Euro überstiegen hat, im inländischen B2B-Verkehr E-Rechnungen nach § 14 UStG ausstellen. Zwei Umstellungen, zwei Rechtsordnungen – und meist dieselbe IT-Abteilung.

Wer erfasst ist

Das Rundschreiben nennt fünf Gruppen, von denen jede für sich die Pflicht auslöst: Unternehmen mit E-Commerce- oder Internetumsätzen, Steuerpflichtige in der Zuständigkeit des Large Taxpayers Service, Großsteuerpflichtige ab einer Milliarde Peso Bruttoumsatz, Nutzer eines computergestützten Buchhaltungssystems, computergestützter Bücher mit elektronischer Fakturierung oder sonstiger Rechnungssoftware sowie weitere vom Commissioner bestimmte Steuerpflichtige. Ausgenommen sind nur Kleinststeuerpflichtige.

Die Größenklasse allein entscheidet also nicht. Ein kleines oder mittleres Unternehmen ohne E-Commerce ist erfasst, sobald es seine Rechnungen aus einem System erzeugt – wer in Manila oder Cebu aus einem Konzern-ERP abrechnet, fällt damit unter die Pflicht. Frei bleibt es nach dem Wortlaut nur, wenn es nicht elektronisch verkauft, seine Rechnungen manuell auf vom BIR genehmigten Vordrucken ausstellt und nicht vom Large Taxpayers Service betreut wird. Dabei ist der E-Commerce-Begriff weit: Das Rundschreiben versteht darunter jede kommerzielle Transaktion über elektronische, optische oder vergleichbare Medien. Wer Aufträge regelmäßig über Online-Portale oder elektronische Bestellsysteme annimmt, sollte sich auf die Ausnahme nicht verlassen. Die Pflicht gilt für Hauptsitz und alle Zweigniederlassungen.

Gleiches Prinzip, anderes Verfahren

Einig sind sich beide Rechtsordnungen darin, dass ein per E-Mail versandtes PDF keine E-Rechnung ist. Damit enden die Gemeinsamkeiten. Die deutsche E-Rechnung nach der europäischen Norm EN 16931 – etwa XRechnung oder ZUGFeRD – wird ohne behördliche Zulassung zwischen Unternehmen ausgetauscht. Auf den Philippinen ist vor der ersten E-Rechnung das PTI einzuholen; das BIR prüft binnen 20 Arbeitstagen. Eine bestehende CAS-Registrierung ersetzt es nicht, und jedes eigenständige Rechnungssystem braucht ein eigenes PTI. Binnen sechs Monaten muss das System zudem eine EIS-Zertifizierung bestehen, sonst droht der Widerruf. Übertragungsformat zum BIR ist JSON. Die laufende Umsatzmeldung beginnt erst mit gesonderten Durchführungsregeln.

Die Akkreditierung der Dienstleister

Der eigentliche Engpass liegt bei den Anbietern. Seit dem 12. Oktober 2026 dürfen Lösungen für Rechnungsstellung, Systemintegration, Datenspeicherung, Validierung und Middleware nach RMC No. 110-2026 nur noch mit BIR-Akkreditierung für Steuerpflichtige in Betrieb gehen. Die Akkreditierung gilt für eine bestimmte Lösung, fünf Jahre lang und mit jährlicher Überprüfung. Der Anbieter muss auf den Philippinen gegründet oder zugelassen sein, dort verantwortliche Beauftragte haben und die Datenresidenz-Vorgaben der Executive Order No. 119 (2026) einhalten.

Das erste Antragsfenster lief vom 16. bis 30. Oktober 2026 und ist geschlossen. Eine Verlängerung, ein zweites Fenster oder eine Liste akkreditierter Anbieter gibt es bislang nicht. Wer auf einen externen Anbieter setzt, plant damit gegen eine Frist, deren Voraussetzungen erst in den kommenden Wochen entstehen.

Für deutsche Gruppen liegt die Kernfrage bei der Ausnahme. Frei bleiben nach den bisher veröffentlichten Auswertungen nur Systeme, die ein Steuerpflichtiger selbst entwickelt oder lizenziert und auf eigener Infrastruktur für sich und seine Zweigniederlassungen betreibt. KPMG hält eine Akkreditierungspflicht für Systeme, die verbundene Unternehmen gemeinsam nutzen, für möglich. Ein ERP, das die deutsche Muttergesellschaft zentral betreibt, oder eine Cloud-Lösung auf fremder Infrastruktur fiele dann womöglich nicht mehr unter die Ausnahme.

Hinzu kommt ein weiteres Pflichtfeld: Nach RR No. 6-2026 ist die Creditable Withholding Tax auf Rechnungen gesondert auszuweisen, bei E-Invoicing-pflichtigen Systemen nach RMC No. 112-2026 ebenfalls bis zum 31. Dezember 2026.

Vier Empfehlungen

1. Je Gesellschaft prüfen, nicht je Konzern. Welche Einheit verkauft, welche fakturiert, mit welchem System?
2. Das PTI im November beantragen. Bei 20 Arbeitstagen Prüffrist und den Feiertagen im Dezember ist das der letzte realistische Monat. Geplante ERP-Migrationen lösen ein neues PTI aus.
3. Beide Umstellungen in einem Projekt steuern – und vorab klären, ob die Konzernlösung als In-house-System gilt oder akkreditiert sein muss.
4. Dienstleister nüchtern prüfen. Den Akkreditierungsstatus der konkreten Lösung belegen lassen, Datenherausgabe und Mitwirkung beim PTI-Verfahren vertraglich sichern und einen Plan B vorhalten.

Die Richtung ist in beiden Rechtsordnungen dieselbe: Die Rechnung wird vom Dokument zum Datensatz, den die Finanzverwaltung mitliest. In der EU folgt die Meldung grenzüberschreitender B2B-Umsätze mit der Richtlinie (EU) 2025/516 ab dem 1. Juli 2030. Wer beide Stichtage jetzt gemeinsam plant, baut nicht zweimal.

—

Ihr Ansprechpartner in den Philippinen: Lutz Kaiser

Villanueva Gabionza & Dy Law Offices

20th/F Corporate Center
139 Valero St., Salcedo Village
Makati City 1227, Philippines

CELL: +63 995 985 4957
TEL: +63 2 8813 3351

www.vgdlaw.ph
kaiser@adwa-law.com

Am 20. Oktober 2026 ist eine weitere Phase der Änderungen durch den Corporate and Accounting Laws (Amendment) Act 2025 in Kraft getreten. Die Reform erweitert die Anforderungen an die Jahresmeldung (Annual Return) und vereinfacht gesellschaftsrechtliche Formalitäten sowie die Verfahren zur Löschung und Wiedereintragung von Rechtsträgern.

Die wichtigsten Neuerungen im Überblick:

• Erweiterte Anforderungen an die Jahresmeldung: Unternehmen müssen die Richtigkeit der zuletzt bei der Accounting and Corporate Regulatory Authority (ACRA) hinterlegten Angaben zu Directors (Mitgliedern des Leitungsorgans), Chief Executive Officers (CEOs), Gesellschaftssekretären, Abschlussprüfern und bestimmten Gesellschaftern bestätigen. Zudem muss angegeben werden, ob eine Person die CEO-Funktion ausübt. Companies limited by guarantee müssen außerdem die zuletzt über Bizfile gemeldete Gesamtzahl ihrer Mitglieder bestätigen.

• Vereinfachung gesellschaftsrechtlicher Formalitäten: Die Pflicht zur Einreichung eines Statement in Lieu of Prospectus entfällt in den gesetzlich vorgesehenen Fällen. Public Limited Companies mit Aktienkapital (vergleichbar mit einer AG) müssen keine gesetzlich vorgeschriebenen Versammlungen (Statutory Meetings) mehr abhalten und keine entsprechenden Berichte (Statutory Reports) mehr erstellen.

• Löschung und Wiedereintragung: Die Neuregelungen betreffen Gesellschaften, Limited Liability Partnerships (LLPs), Variable Capital Companies (VCCs) und deren Teilfonds (Sub-Funds). Die Löschungsverfahren werden verkürzt: Bei freiwilliger Löschung kann die Bekanntmachung im Government Gazette bereits am Tag der Versendung der Mitteilung erfolgen, bei Löschung auf Initiative des Registrars frühestens 15 Tage nach Versand des Schreibens. Die Auflösung bzw. Wiedereintragung wird mit der Streichung bzw. Wiedereintragung des Namens im Register wirksam. Gericht oder Registrar müssen die Wiedereintragung verweigern, wenn der Rechtsträger voraussichtlich einem rechtswidrigen oder die öffentliche Ruhe, Wohlfahrt oder Ordnung Singapurs beeinträchtigenden Zweck dienen würde oder die Wiedereintragung der nationalen Sicherheit oder den nationalen Interessen zuwiderliefe.

• Eingetragener Gesellschaftssitz und Einsichtnahme: Die bisherigen Mindestöffnungszeiten für die Öffentlichkeit entfallen, die gesetzlichen Einsichtsrechte bleiben jedoch bestehen. Nach angemessener Vorankündigung müssen die betreffenden Unterlagen an jedem relevanten Geschäftstag für mindestens zwei Stunden zur Einsicht bereitgestellt werden. Änderungen der Adresse des eingetragenen Gesellschaftssitzes sind weiterhin innerhalb von 14 Tagen nach der Änderung anzumelden.

Bedeutung für ausländische Unternehmen und Investoren

Die Änderungen betreffen auch singapurische Tochtergesellschaften und Beteiligungsstrukturen ausländischer Investoren. Unternehmen sollten insbesondere vor der nächsten Jahresmeldung sicherstellen, dass die bei ACRA hinterlegten Angaben aktuell und vollständig sind. Zugleich bieten die neuen Regelungen mehr Flexibilität bei der Organisation des eingetragenen Gesellschaftssitzes und vereinfachen bestimmte gesellschaftsrechtliche Verwaltungsverfahren.

Weitere Informationen finden Sie in der offiziellen Mitteilung der ACRA.

—

Ihr Ansprechpartner in Singapur: Dr. Andreas Respondek

Respondek & Fan Pte Ltd

1 North Bridge Road
#16-03 High Street Centre
Singapore 179094

CELL:      +65 9751 0757
TEL:        +65 6324 0060

www.respondekfan.com
respondek@respondekfan.com

Am 01. Oktober 2026 ist in Japan als Teil eines gestaffelten Gesetzespakets ein neues Gesetz zur Bekämpfung von Cyber-Kriminalität in Kraft getreten. Es umfasst verschiedene Regelungen zur Vermeidung, Abwehr und Aufarbeitung von Cyberangriffen in Japan durch inländische und ausländische Akteure.

Zentral werden durch das Gesetz neben umfangreichen weiteren Neuregelungen und Änderungen unter anderem folgende Punkte geregelt:

1. Meldepflichten für Betreiber zentraler Infrastruktur

Das Gesetz sieht Mitteilungspflichten für Betreiber spezieller kritischer sozialer Infrastruktur gegenüber den zuständigen Aufsichtsbehörden vor, wenn sie bestimmte wichtige Systeme („critical systems“) wie etwa bestimmte neue Computersysteme einführen. Voraussetzung ist, dass das Risiko besteht, dass die Funktionen der für die Infrastrukturdienste genutzten Einrichtungen und Programme des Betreibers eingeschränkt werden oder ausfallen, falls die Cybersicherheit des bitten jeweiligen kritischen Systems etwa durch einen Hackerangriff beeinträchtigt wird.

Betreiber kritischer Infrastruktur sind dabei Unternehmen aus 15 in Japans „Economic Security Promotion Act“ näher definierten Sektoren, die die jeweiligen gesetzlichen Kriterien erfüllen und als relevante Betreiber erfasst sind. Hierzu zählen unter anderem Betreiber aus den Gebieten Elektrizität, Telekommunikation sowie Banken und Finanzen.

Die Mitteilungspflichten umfassen den Produktnahmen, den Hersteller und weitere Informationen über das jeweils neu eingeführte System.

2. Unverzügliche Anzeige von Attacken

Kommt es in einem im Gesetz näher definierten kritischen Computer eines solchen Betreibers zu einem cybersicherheitsrelevanten Zwischenfall, muss der Betreiber sowohl dem zuständigen Minister als auch dem Premierminister hierzu Mitteilung erstatten. Auch Umstände, die zu einem solchen Zwischenfall führen könnten, müssen mitgeteilt werden.

Die Mitteilung hat „unverzüglich“ zu erfolgen. Der Minister kann den Betreiber, der eine solche Meldung unterlässt oder nur unvollständig mitteilt, auffordern, eine korrekte Meldung abzugeben. Bei Verstößen gegen diese Pflichten können je nach Art des Verstoßes Bußgelder von bis zu 2 Millionen Yen verhängt werden.

3. Eingriffsbefugnisse der Polizei und der Aufsichtsbehörden

Neu ist auch die Befugnis der Polizei im Falle des Eintritts gesetzlich definierter Gefahrenlagen im Bereich der Cyberabwehr beim Auffinden von Daten, die erhebliche Risiken für das Leben, die körperliche Unversehrtheit oder das Eigentum von Personen bergen, über das Netzwerk selbst Maßnahmen zu der Beseitigung dieser Daten vorzunehmen. So kann die Polizei etwa die betroffene Schadsoftware löschen und die Aufzeichnungen des Computers einsehen. Hierfür ist außer in Fällen von Gefahr im Verzug die Erlaubnis der hierfür eingerichteten Kommission erforderlich.

In Ausnahmefällen können die Aufsichtsbehörden mit Erlaubnis der Kommission in die Kommunikationsdaten – und Systeme von Betreibern auch ohne deren Einverständnis Einsicht nehmen, wenn die Annahme gerechtfertigt ist, dass über diese Systeme Daten übertragen werden, die im Zusammenhang mit Cyberangriffen stehen. Dies ist im Einzelfall selbst bei Cyberangriffen ohne direkten Bezug zu Japan denkbar, wenn angenommen werden darf, dass einschlägige Daten zum Cyberangriff in den jeweiligen Systemen aufzufinden sind.

Telekommunikationsunternehmen können in Einzelfällen verpflichtet werden, mit der Regierung zu kooperieren, insbesondere Informationen über ihre Einrichtungen und sonstige Daten zu teilen.

Das Gesetz ist dabei auch für ausländische Unternehmen relevant:

Betreibt ein ausländisches Unternehmen oder dessen Tochtergesellschaft als relevanter Betreiber kritische Infrastruktur, so können die oben ausgeführten Mitteilungspflichten unmittelbar auch für diese gelten.

Der jeweils zuständige Minister kann in gesetzlich geregelten Einzelfällen auch von ausländischen Unternehmen, die Technologie an Betreiber japanischer kritischer Infrastruktur vertreiben, verlangen, dass diese im Falle der Entdeckung einer Schwachstelle in einem Produkt Informationen hierzu mit dem Minister teilen. Zudem darf der Minister die erlangten Informationen über die Schwachstelle und deren Behebung notwendigenfalls mit der Öffentlichkeit teilen. Außerdem kann er je nach Einzelfall befugt sein, das Unternehmen aufzufordern, die Schwachstelle zu beheben.

Prognostisch kann das Gesetz ausländische Unternehmen auch mittelbar betreffen. So kann davon ausgegangen werden, dass etwa Unternehmen, die  Cloud-Dienstleistungen oder Security Operations Center betreiben von den Betreibern kritischer Infrastruktur in Zukunft wegen der Pflicht zu „unverzüglicher“ Berichterstattung zum Abschluss neuer, kurzfristiger Mitteilungsverpflichtungen für den Fall von Cyberangriffen etc. ersuchen werden.

Unternehmen sollten daher frühzeitig prüfen, ob sie oder eines ihrer Tochterunternehmen von den Änderungen betroffen sind. Gegebenenfalls kann es sinnvoll sein, interne Prozesse an die neue Rechtslage anzupassen.

Bis November 2027 sollen im Zusammenhang mit Cybersecuritiy schrittweise noch weitere Gesetze des Gesetzespakets in Kraft treten.

—

Ihr Ansprechpartner in Japan: Michael Andreas Müller

Mueller Foreign Law Office

Shin-Kasumigaseki Building
3-3-2 Kasumigaseki, Chiyoda-ku
Tokyo 100-0013, Japan

TEL:      +81 3 6805 5161

www.mueller-law.jp
info@mueller-law.jp