technology

¿Quién puede operar un DPP? Normas de la UE para proveedores

Qué prepara la UE para los proveedores de servicios DPP: certificación, interoperabilidad, reglas de respaldo y gobernanza de plataformas.

29/3/2026 · 9 min de lectura · InfoDPP

Actualización editorial, 22 de julio de 2026: el Registro en producción, el entorno de pruebas, el acceso a la API y los primeros recursos de aplicación ya están disponibles, pero la guía publicada se dirige expresamente a operadores económicos. No publica un procedimiento de integración para proveedores de servicios, un proceso de certificación ni una lista pública de certificación. El Reglamento (UE) 2026/1778 sigue exigiendo una lista de proveedores verificados y un repositorio semántico, pero «verificado» significa verificación de identidad y acceso al Registro, no certificación conforme al futuro acto delegado ESPR.

Por qué este tema importa ahora

La Comisión Europea ya no habla del Pasaporte Digital de Productos únicamente como herramienta de cumplimiento a nivel de producto. También está preparando normas para las empresas que operarán la infraestructura en torno al DPP.

Esto es significativo porque un proveedor de servicios DPP no es un simple proveedor de software. En la práctica, dicho proveedor puede alojar registros de productos, gestionar derechos de acceso, mantener copias de respaldo, facilitar la interoperabilidad, exponer APIs y garantizar que los datos del pasaporte sigan disponibles cuando los productos circulen por el mercado.

Para las empresas que eligen una plataforma DPP, la pregunta pasa de «¿Puede este proveedor generar un código QR?» a «¿Es probable que esta arquitectura siga siendo funcional cuando las normas de gobernanza de la UE se concreten más?»

Qué está preparando la Comisión

La Comisión Europea ha abierto una iniciativa específica sobre normas para proveedores de servicios DPP en el marco del Reglamento ESPR. La iniciativa indica claramente que la Comisión pretende adoptar un acto delegado que establezca las normas de funcionamiento de los proveedores como parte esencial de la gobernanza ampliada del DPP.

El proceso ya tiene un calendario visible:

convocatoria de observaciones: 12 de noviembre, 10 de diciembre de 2024
consulta pública: 8 de abril, 1 de julio de 2025
proyecto de acto: en preparación
adopción por la Comisión: actualmente señalada para 2027. El nuevo calendario DPP de la Comisión contiene entradas duplicadas que apuntan a Q2 y Q3 de 2027, por lo que no debe considerarse resuelto un trimestre concreto hasta que se corrija la página o se publique el proyecto de acto.

El marco jurídico definitivo aún no se ha publicado, pero la orientación general ya está clara. La Comisión ha planteado al mercado preguntas específicas sobre almacenamiento de datos, gestión de datos y la posible necesidad de un sistema de certificación para proveedores.

Qué puede contener legalmente el futuro acto

El artículo 11, apartado 2, del ESPR otorga a la Comisión un mandato más acotado y fiable que el debate de consulta. El acto delegado puede establecer:

requisitos de entrada que debe cumplir un proveedor de servicios DPP para convertirse en tal;
un sistema de certificación opcional, cuando la Comisión lo considere apropiado, para verificar esos requisitos de entrada; y
requisitos continuos que los proveedores deben cumplir mientras prestan servicios DPP.

Estos tres elementos constituyen el marco jurídico garantizado. El considerando 40 aporta una pista interpretativa adicional: prevé funciones y responsabilidades más claras para actores como las agencias emisoras y los proveedores en la creación, autenticación, tratamiento y almacenamiento de datos DPP y, posiblemente, en la retirada de elementos importantes como identificadores y soportes de datos. Un considerando explica la orientación pretendida; no es una lista independiente y cerrada de obligaciones.

La habilitación publicada todavía no especifica umbrales de capital, certificados ISO obligatorios, una autoridad de licencias, una arquitectura cloud concreta ni una única vía de certificación. La portabilidad, continuidad, ciberseguridad, separación de funciones e interoperabilidad son temas creíbles porque aparecen en las obligaciones ESPR existentes y en el expediente de consulta, pero siguen siendo temas de diseño esperados y no requisitos jurídicos definitivos hasta que un proyecto o acto adoptado lo establezca.

Algunas reglas de los proveedores ya existen en el ESPR y no deben presentarse como hipótesis futuras: los datos DPP pueden ser almacenados por el operador económico o un proveedor; el sistema debe mantener un alto nivel de seguridad y privacidad; los proveedores no pueden vender, reutilizar o tratar datos DPP más allá de lo necesario para el servicio salvo acuerdo específico del operador económico; y el artículo 10, apartado 4, obliga al operador económico a facilitar una copia de seguridad mediante un proveedor DPP. El considerando 38 describe a ese proveedor de respaldo como un tercero independiente. El futuro acto puede hacer operativa esta base, pero no parte de cero.

Qué cambia el Reglamento del Registro ya adoptado

El Reglamento 2026/1778 no es el acto delegado prometido para proveedores, pero concreta su función de infraestructura.

El Registro debe mantener una lista de proveedores de servicios DPP verificados. No es un sello de calidad, una acreditación ni prueba de certificación conforme a futuras reglas de proveedores.
Cuando un proveedor actúa como actor elegible de la cadena de valor, debe estar verificado antes de poder crear o modificar registros. El control también valida la referencia al proveedor de respaldo cuando sea pertinente.
La Comisión debe operar un repositorio semántico legible por máquina con API documentadas y formatos comunes. Esto crea un componente horizontal de interoperabilidad, pero no impone una arquitectura de plataforma comercial ni publica un contrato de integración completo.
El operador económico sigue siendo responsable de la exactitud de su DPP y de los datos de registro. Un proveedor verificado puede ejecutar funciones técnicas, pero la verificación del Registro no transfiere la responsabilidad del derecho de producto.

El acto delegado independiente sigue siendo el texto que debe vigilarse para los requisitos operativos de los proveedores, cualquier sistema de certificación y reglas más completas de respaldo y continuidad.

Nota sobre baterías: esta iniciativa ESPR no debe leerse como si ya hubiera reescrito el Reglamento de baterías. En su respuesta al Parlamento de mayo de 2026, la Comisión aclaró que el Reglamento (UE) 2023/1542 se refiere a operadores autorizados que actúan en nombre del operador económico responsable, no a proveedores de servicios DPP definidos por ESPR. En la práctica, el operador económico responsable sigue siendo responsable del pasaporte de baterías. Puede autorizar a un operador a gestionar tareas técnicas u organizativas en su nombre, pero eso no transfiere la responsabilidad ni convierte automáticamente cada plataforma SaaS en futuro «proveedor DPP» a efectos del ESPR.

Qué está claro: y qué procede únicamente de las consultas

Incluso antes de la publicación del acto delegado definitivo, varios puntos son ya lo bastante claros.

1. Los proveedores DPP tendrán una función de gobernanza diferenciada

La Comisión no trata la infraestructura DPP como un detalle técnico invisible. La considera una función que puede requerir normas específicas, ya que los proveedores se sitúan en la intersección de operadores económicos, reguladores, consumidores, sistemas aduaneros y autoridades de vigilancia del mercado.

2. El debate no es si hacen falta normas de gobernanza

El debate gira en torno a cómo deben ser esas normas. Es una distinción importante. La capa básica de gobernanza ya está sobre la mesa. Las cuestiones abiertas se refieren a certificación, separación de roles, propiedad de datos y requisitos técnicos.

3. La interoperabilidad ocupa un lugar central en las contribuciones

A lo largo de las contribuciones de la consulta, un tema se repite constantemente: los proveedores DPP no deben encerrar a las empresas en sistemas propietarios. Las normas abiertas, los identificadores transferibles y la posibilidad de cambiar de proveedor figuran entre las demandas más recurrentes.

4. Respaldo y continuidad serán importantes

El marco ESPR ya incluye el principio de que los datos DPP deben seguir disponibles incluso si el operador original o el actor económico desaparece. El debate sobre proveedores lo hace operativo: quién almacena las copias de respaldo, cuándo se liberan y si el respaldo debe ser un rol independiente.

Qué muestra el registro de contribuciones

La convocatoria de observaciones atrajo 178 respuestas, de proveedores de plataformas, fabricantes, actores de normalización, asociaciones sectoriales, iniciativas de espacios de datos y organismos de evaluación de la conformidad. El registro de consultas no da la respuesta jurídica final, pero sí muestra dónde reside el consenso más fuerte.

La interoperabilidad y la protección contra el bloqueo son el denominador común más fuerte

Esta es la conclusión más clara de todo el conjunto de comentarios. Los encuestados de sectores muy diversos argumentan que los proveedores DPP deben basarse en estándares abiertos e internacionalmente reconocidos y evitar arquitecturas que dificulten innecesariamente el cambio de proveedor.

Por qué importa esto en la práctica:

las empresas deben poder exportar sus datos de producto en forma utilizable
los identificadores y enlaces no deben romperse al cambiar de proveedor
los proveedores no deben depender de protocolos cerrados que creen barreras de salida
un DPP debe poder transferirse entre plataformas y sistemas

El mensaje práctico es simple: un proveedor que depende del bloqueo va en contra de la dirección que ya se percibe en el registro de la consulta.

La gobernanza descentralizada cuenta con amplio respaldo

Otro punto recurrente: los datos DPP no deben concentrarse automáticamente en un repositorio central propietario controlado por un operador externo. Un amplio grupo de encuestados abogó por un modelo más descentralizado en el que el operador económico mantiene el control de sus datos y el proveedor de servicios da soporte al alojamiento, intercambio y continuidad en lugar de apropiarse de todo el sistema.

Esto no significa que todas las empresas vayan a alojar sus propios sistemas. Significa que el modelo de gobernanza debe dar cabida a:

una clara propiedad de los datos por parte del operador económico
alojamiento en plataformas sin transferencia implícita de control
registros transferibles y estructuras exportables
funciones de copia de seguridad limitadas y claramente definidas

La certificación está sobre la mesa, pero sin resolver

La consulta muestra que algunos actores quieren un modelo de certificación ex ante formal, mientras que otros prefieren supervisión más flexible. Se mencionan referencias a la madurez en seguridad de la información (tipo ISO 27001) como expectativa práctica mínima.

algunos actores defienden una certificación formal e independiente antes de que un proveedor pueda operar
otros apoyan una certificación voluntaria o criterios básicos de seguridad en lugar de un sistema de acceso demasiado rígido
varias respuestas señalan la gestión de la seguridad de la información, en un nivel similar a ISO 27001, como referencia práctica de base

Lo importante es esto: la gobernanza y fiabilidad demostrables son temas políticos destacados, pero el acto delegado aún no ha elegido el mecanismo jurídico ni ha decidido si la certificación será obligatoria.

Las copias de respaldo no son una cuestión trivial de almacenamiento

El debate sobre las copias de seguridad es más específico de lo que parece. Las partes interesadas no se limitan a preguntar si los proveedores deben conservar una segunda copia de los datos. Están preguntando:

si el respaldo debe ser operado por el mismo proveedor o por un tercero independiente
si debe contener un espejo en tiempo real o solo el último estado válido
quién puede acceder y bajo qué condiciones
cómo funciona la continuidad si el operador económico o el proveedor deja de existir

Esto importa porque un proveedor concebido únicamente para mostrar información en una interfaz podría tener dificultades más adelante si las normas de la UE exigen mecanismos más estructurados de continuidad y entrega de datos.

Qué sigue abierto

Aquí es donde conviene ser prudentes. Varias cuestiones importantes siguen sin resolverse y el artículo no debería fingir lo contrario.

1. El modelo definitivo de certificación no se ha publicado

No se sabe aún si el acto delegado requerirá una certificación ex ante completa, una evaluación de conformidad más ligera, una certificación voluntaria o un modelo híbrido.

2. La frontera entre alojamiento primario y respaldo es difusa

La distinción jurídica y operativa entre una plataforma que aloja y publica activamente un DPP y un proveedor que solo conserva una copia destinada a asegurar la continuidad sigue en discusión.

3. Los requisitos técnicos finales no están codificados

La dirección política es claramente pro-interoperabilidad, pero el acto delegado no ha definido aún la pila de estándares exacta, las obligaciones sistémicas ni los mecanismos de verificación para proveedores.

4. Las barreras financieras y organizativas no están resueltas

Algunos encuestados advirtieron que requisitos excesivamente estrictos podrían excluir a empresas de software europeas más pequeñas. Esa preocupación es visible en los comentarios, pero la solución definitiva de la Comisión aún no se conoce.

Qué pueden hacer las empresas de forma segura ahora

Que el acto delegado definitivo aún no se haya publicado no significa que las empresas deban esperar pasivamente. Significa que deberían centrarse en decisiones que probablemente no se desperdicien aunque cambien algunos detalles.

1. Priorizar datos de producto abiertos y transferibles

No construya su flujo de trabajo en torno a una plataforma que dificulte las exportaciones, oculte identificadores o complique la migración. La portabilidad es una de las suposiciones más seguras.

2. Preguntar a los proveedores sobre propiedad y lógica de salida

Un proveedor DPP serio ya debería poder responder a preguntas como:

¿a quién pertenecen los datos de producto?
¿cómo se exportan?
¿qué ocurre si el servicio finaliza?
¿cómo se gestionan el respaldo y la continuidad?

Si esas respuestas son vagas hoy, es poco probable que se vuelvan más fáciles después de que se adopte el acto delegado.

3. Tratar la gobernanza como parte de la selección del proveedor

No evalúe a los proveedores solo por funcionalidades de interfaz. Evalúe su enfoque sobre derechos de acceso, auditabilidad, separación de roles, datos estructurados y mantenibilidad a largo plazo.

4. Evitar arquitecturas difíciles de adaptar después

La preparación más segura no consiste en adivinar el texto definitivo. Consiste en no construir sobre supuestos que ya están siendo cuestionados en las consultas, especialmente el bloqueo propietario y la portabilidad débil.

Por qué esto es relevante para los compradores de OriginPass

Para fabricantes, importadores y propietarios de marcas, la conclusión clave no es que deban convertirse en expertos en redacción de actos delegados. La conclusión clave es que la elección del proveedor se convierte en una decisión de arquitectura relevante para el cumplimiento.

La señal más fuerte del proceso actual indica que el modelo DPP ganador probablemente no será:

cerrado
opaco
difícil de exportar
poco riguroso con respaldos y lógica de acceso

La dirección más probable es un modelo construido sobre:

registros estructurados
identificadores portátiles
fronteras de propiedad claras
interoperabilidad
gobernanza que pueda explicarse y auditarse

Leer a continuación

Fuentes oficiales

Elegir una plataforma DPP ya no es solo una decisión tecnológica. Conviene trabajar con un proveedor que siga de cerca la interoperabilidad, la gobernanza y las obligaciones aplicables mientras se concretan las normas de la UE. Así aborda OriginPass los registros de producto estructurados y los procesos DPP transferibles.

← Volver al Blog