technology

¿Quién puede operar un DPP? Normas de la UE para proveedores

Qué prepara la UE para los proveedores de servicios DPP: certificación, interoperabilidad, reglas de respaldo y gobernanza de plataformas.

29/3/2026 · 9 min de lectura · InfoDPP

Actualización del 22 de julio de 2026: el Registro en producción, el entorno de pruebas, el acceso a la API y los primeros recursos de aplicación ya están disponibles, pero la guía publicada se dirige expresamente a operadores económicos. No publica un procedimiento de integración para proveedores de servicios, un proceso de certificación ni una lista pública de certificación. El Reglamento (UE) 2026/1778 sigue exigiendo una lista de proveedores verificados y un repositorio semántico, pero «verificado» significa verificación de identidad y acceso al Registro, no certificación conforme al futuro acto delegado ESPR.

Por qué este tema importa ahora

La Comisión Europea ya no habla del Pasaporte Digital de Productos únicamente como herramienta de cumplimiento a nivel de producto. También está preparando normas para las empresas que operarán la infraestructura en torno al DPP.

Esto es significativo porque un proveedor de servicios DPP no es un simple proveedor de software. En la práctica, dicho proveedor puede alojar registros de productos, gestionar derechos de acceso, mantener copias de respaldo, facilitar la interoperabilidad, ofrecer interfaces de programación (API) y garantizar que los datos del pasaporte sigan disponibles cuando los productos circulen por el mercado.

Para las empresas que eligen una plataforma DPP, la pregunta pasa de «¿Puede este proveedor generar un código QR?» a «¿Podrá adaptarse esta arquitectura cuando se concreten las normas de la UE?»

Qué está preparando la Comisión

La Comisión Europea ha abierto una iniciativa específica sobre normas para proveedores de servicios DPP en el marco del Reglamento ESPR. La iniciativa indica claramente que la Comisión pretende adoptar un acto delegado que establezca las normas de funcionamiento de los proveedores como parte esencial de la gobernanza ampliada del DPP.

El proceso ya tiene un calendario visible:

convocatoria de observaciones: del 12 de noviembre al 10 de diciembre de 2024
consulta pública: del 8 de abril al 1 de julio de 2025
proyecto de acto: en preparación
adopción por la Comisión: actualmente señalada para 2027. El nuevo calendario DPP de la Comisión contiene entradas duplicadas que apuntan a Q2 y Q3 de 2027, por lo que no debe considerarse resuelto un trimestre concreto hasta que se corrija la página o se publique el proyecto de acto.

El marco jurídico definitivo aún no se ha publicado, pero la orientación general ya está clara. La Comisión ha planteado al mercado preguntas específicas sobre almacenamiento de datos, gestión de datos y la posible necesidad de un sistema de certificación para proveedores.

Qué puede contener legalmente el futuro acto

El artículo 11 del ESPR otorga a la Comisión una habilitación jurídica concreta. El acto delegado puede establecer:

requisitos de entrada que debe cumplir un proveedor de servicios DPP para convertirse en tal;
un sistema de certificación, cuando proceda, si la Comisión decide establecerlo; esto no significa que la participación deba ser voluntaria; y
requisitos continuos que los proveedores deben cumplir mientras prestan servicios DPP.

El artículo 11 define el alcance de la facultad delegada a la Comisión. El considerando 40 explica el reparto previsto de funciones en la creación, autenticación, tratamiento y almacenamiento de datos DPP y, en su caso, la retirada de identificadores o soportes de datos. No establece una lista independiente de obligaciones vinculantes para los proveedores.

La habilitación publicada todavía no especifica umbrales de capital, certificados ISO obligatorios, una autoridad de licencias, una arquitectura en la nube concreta ni una única vía de certificación. La portabilidad, continuidad, ciberseguridad, separación de funciones e interoperabilidad son aspectos relevantes porque aparecen en las obligaciones ESPR existentes y en el expediente de consulta, pero siguen siendo temas de diseño esperados y no requisitos jurídicos definitivos hasta que un proyecto o acto adoptado lo establezca.

Algunas reglas de los proveedores ya existen en el ESPR y no deben presentarse como hipótesis futuras: los datos DPP pueden ser almacenados por el operador económico o un proveedor; el sistema debe mantener un alto nivel de seguridad y privacidad; los proveedores no pueden vender, reutilizar o tratar datos DPP más allá de lo necesario para el servicio salvo acuerdo específico del operador económico; y el artículo 10, apartado 4, obliga al operador económico a facilitar una copia de seguridad mediante un proveedor DPP. El considerando 38 describe a ese proveedor de respaldo como un tercero independiente. El futuro acto puede hacer operativa esta base, pero no parte de cero.

Qué cambia el Reglamento del Registro ya adoptado

El Reglamento 2026/1778 no es el acto delegado previsto para los proveedores, pero concreta su función de infraestructura.

El Registro debe mantener una lista de proveedores de servicios DPP verificados. No es un sello de calidad, una acreditación ni prueba de certificación conforme a futuras reglas de proveedores.
Cuando un proveedor actúa como actor elegible de la cadena de valor, debe estar verificado antes de poder crear o modificar registros. El control también valida la referencia al proveedor de respaldo cuando sea pertinente.
La Comisión debe operar un repositorio semántico legible por máquina con API documentadas y formatos comunes. Esto crea un componente horizontal de interoperabilidad, pero no impone una arquitectura de plataforma comercial ni publica un contrato de integración completo.
El operador económico sigue siendo responsable de la exactitud de su DPP y de los datos de registro. Un proveedor verificado puede ejecutar funciones técnicas, pero la verificación del Registro no transfiere la responsabilidad establecida por la legislación de productos.

El acto delegado independiente sigue siendo el texto que debe vigilarse para los requisitos operativos de los proveedores, cualquier sistema de certificación y reglas más completas de respaldo y continuidad.

Nota sobre baterías: esta iniciativa ESPR no debe leerse como si ya hubiera reescrito el Reglamento de baterías. En su respuesta al Parlamento de mayo de 2026, la Comisión aclaró que el Reglamento (UE) 2023/1542 se refiere a operadores autorizados que actúan en nombre del operador económico responsable, no a proveedores de servicios DPP definidos por ESPR. En la práctica, el operador económico responsable sigue siendo responsable del pasaporte de baterías. Puede autorizar a un operador a gestionar tareas técnicas u organizativas en su nombre, pero eso no transfiere la responsabilidad ni convierte automáticamente cada plataforma SaaS en futuro «proveedor DPP» a efectos del ESPR.

Qué está definido y qué se está debatiendo

Incluso antes de la publicación del acto delegado definitivo, varios puntos son ya lo bastante claros.

1. Los proveedores DPP tendrán una función de gobernanza diferenciada

La Comisión no trata la infraestructura DPP como un detalle técnico invisible. La considera una función que puede requerir normas específicas, ya que los proveedores se sitúan en la intersección de operadores económicos, reguladores, consumidores, sistemas aduaneros y autoridades de vigilancia del mercado.

2. El debate no es si hacen falta normas de gobernanza

El debate gira en torno a cómo deben ser esas normas. Es una distinción importante. El ESPR ya establece una base para regular su funcionamiento. Las cuestiones abiertas se refieren a certificación, separación de roles, propiedad de datos y requisitos técnicos.

3. La interoperabilidad ya tiene una base jurídica

Los artículos 10 y 11 del ESPR ya abordan las normas abiertas, la interoperabilidad y la prevención de la dependencia de un proveedor. Estas disposiciones ofrecen una base más sólida para elegir una plataforma que las predicciones sobre qué aportaciones influirán en el futuro acto.

4. Respaldo y continuidad serán importantes

El marco ESPR ya incluye el principio de que los datos DPP deben seguir disponibles incluso si el operador original o el actor económico desaparece. El debate sobre proveedores lo hace operativo: quién almacena las copias de respaldo, cuándo se liberan y si el respaldo debe ser un rol independiente.

Qué muestra el informe de consulta de la Comisión

El informe factual de la Comisión abarca 275 respuestas válidas a la consulta pública celebrada del 8 de abril al 1 de julio de 2025. Resume las opiniones de los participantes, no una muestra representativa de la población de la UE ni la posición definitiva de la Comisión. Es una fase distinta de la convocatoria de datos de noviembre y diciembre de 2024.

Certificación: apoyo al principio, distintos modelos

La certificación fue considerada bastante o extremadamente importante por 64 de 81 operadores económicos, 71 de 89 participantes de otras partes de la cadena de valor y 70 de 92 posibles proveedores.

Entre los modelos preferidos figuraban:

un modelo híbrido de autodeclaración y certificación acreditada: 76 de 275 participantes (27,6 %)
organismos de evaluación de la conformidad acreditados por la Comisión: 62 de 275 (22,5 %)
organismos de evaluación de la conformidad acreditados a través de los organismos nacionales de acreditación: 53 de 275 (19,3 %)

Ningún modelo obtuvo una mayoría. Son preferencias, no un sistema de certificación adoptado.

Convertir las cuestiones regulatorias en criterios de compra

Pida a un posible proveedor que demuestre:

una exportación estructurada que otro sistema pueda leer
la restauración de una copia de seguridad y las condiciones contractuales de continuidad
la separación de los datos públicos y de acceso restringido
el coste y el procedimiento para cambiar de proveedor

Estas comprobaciones ayudan a evaluar un servicio hoy; no anticipan todos los requisitos legales futuros.

Qué sigue abierto

Quedan por definir los requisitos específicos de los proveedores, los procedimientos de evaluación y las fechas de aplicación.

1. El modelo definitivo de certificación no se ha publicado

No se sabe aún si el acto delegado requerirá una certificación ex ante completa, una evaluación de conformidad más ligera, una certificación voluntaria o un modelo híbrido.

2. La frontera entre alojamiento primario y respaldo es difusa

La distinción jurídica y operativa entre una plataforma que aloja y publica activamente un DPP y un proveedor que solo conserva una copia destinada a asegurar la continuidad sigue en discusión.

3. Los requisitos técnicos finales no están codificados

La dirección política es claramente pro-interoperabilidad, pero el acto delegado no ha definido aún el conjunto exacto de normas técnicas, las obligaciones de funcionamiento ni los mecanismos de verificación para proveedores.

4. Las barreras financieras y organizativas no están resueltas

Pida a los proveedores que desglosen los costes de alojamiento, copias de seguridad, migración y una posible certificación futura. Las preferencias de la consulta no determinan las tarifas definitivas ni las exenciones.

Qué pueden hacer las empresas de forma segura ahora

Que el acto delegado definitivo aún no se haya publicado no significa que las empresas deban esperar pasivamente. Conviene centrarse en decisiones que sigan siendo útiles aunque cambien algunos detalles.

1. Priorizar datos de producto abiertos y transferibles

No construya su flujo de trabajo en torno a una plataforma que dificulte las exportaciones, oculte identificadores o complique la migración. Poder transferir los datos facilita la continuidad del servicio y el cambio de proveedor.

2. Preguntar a los proveedores sobre propiedad de los datos y condiciones de salida

Un proveedor DPP serio ya debería poder responder a preguntas como:

¿a quién pertenecen los datos de producto?
¿cómo se exportan?
¿qué ocurre si el servicio finaliza?
¿cómo se gestionan el respaldo y la continuidad?

Si esas respuestas son vagas hoy, es poco probable que se vuelvan más fáciles después de que se adopte el acto delegado.

3. Tratar la gobernanza como parte de la selección del proveedor

No evalúe a los proveedores solo por funcionalidades de interfaz. Evalúe su enfoque sobre derechos de acceso, auditabilidad, separación de roles, datos estructurados y mantenibilidad a largo plazo.

4. Evitar arquitecturas difíciles de adaptar después

Compare los formatos de exportación, las condiciones de migración y los procedimientos de cambio antes de firmar. Estas comprobaciones pueden reducir el coste de cambiar de proveedor sin suponer que se impondrá una arquitectura concreta.

Criterios prácticos para elegir un proveedor

Base la decisión en las obligaciones del ESPR ya adoptadas y en pruebas del funcionamiento del servicio. Los detalles de la futura certificación siguen abiertos. Fije en el contrato el acceso a los datos, la exportación, las copias de seguridad, la continuidad y las condiciones de cambio de proveedor.

Leer a continuación

Fuentes oficiales

Empiece con un producto: cree su pasaporte digital en OriginPass.eu.

← Volver al Blog