Anmerkung: im QR-Code befindet sich ein COSE Objekt (Signed CBOR). Programme wie VacDec überspringen den COSE Header und die abschließenden Signatur und decodieren direkt den innenliegenden CBOR Teil (was vermutlich ja die meisten Nutzer interessiert). Die Kid (Key ID) steht aber im Header. Hier das Vollständige COSE Objekt:

tag 18
[
A201260448E7714E8D7FF8689B // protected header
{} // unprotected header
// CBOR object
A40164434E414D041A6529BDE0061A61772AFE390103A101A4617681AA626369781D55524E3A555643493A30313A46523A54354457544A5953345A5238233462636F62465262646E026264746A323032312D31302D303162697364434E414D626D616D4F52472D313030303330323135626D706C45552F312F32302F313532386273640262746769383430353339303036627670674A30374258303363646F626A313930302D30312D3031636E616DA462666E664849544C455262676E6541444F4C4663666E74664849544C455263676E746541444F4C466376657265312E332E30
// signature
F8E43D7E980CC61891E209FC8EA8430BD3E88AE1EEDA9E312AE1CE5EFAF22C4516346FEF09AF0057599EA6B04EA7E2B0F0BBB0780230E0FAF0E7AFAA9EAB6A5D
]

Der dekodierte Header sieht dann so aus:
{
1: 7
4: E7714E8D7FF8689B // Kid
}

die Kid von Herrn H.'s Zertifikat ist also die E7714E8D7FF8689B oder in Base64 53FOjX/4aJs=
Diese Id führt uns dann zu einem Signatur Schlüssel aus Italien:

"53FOjX/4aJs=": {
"serialNumber": "6e3a243ea72c2bd04f6bd51d59ec497b212a8a5a",
"subject": "C=FR, O=CNAM, OU=180035024, CN=DSC_FR_023",
"issuer": "C=FR, O=Gouv, CN=CSCA-FRANCE",
"notBefore": "2021-10-14T22:00:00.000Z",
"notAfter": "2023-10-14T22:00:00.000Z",
"signatureAlgorithm": "RSASSA-PKCS1-v1_5",
"fingerprint": "be552cc91a5fe934268b9db169db6349311ad693",
"publicKeyAlgorithm": {
"hash": {
"name": "SHA-256"
},
"name": "ECDSA",
"namedCurve": "P-256"
},
"publicKeyPem": "MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEgu/WJBn1Q+RCOfQx3NLT5oIGUCHsqSRXuu7EZsqfqZN5PvHk6/E++88wvj2fMrfmAptk5tVld2xBH4P4tRs8JQ=="

Interessant hier auch, dass der Zertifikat des Herrn H. am 1.10.2021 ausgestellt wurde, der Schlüssel aber erst am dem 14.10.2021 gültig ist ("notBefore": "2021-10-14T22:00:00.000Z")...nun "gut", nachdem so einiges an diesem Zertifikat nicht zu stimmen scheint, ist das Datum wohl eher nicht so wichtig.
Obwohl das bei einer meiner Impfungen auch vorgekommen ist. Das Zertifikat wurde vor der Gültigkeit des signierenden Schlüssels ausgestellt...