technology

Kuka saa ylläpitää DPP:tä? EU:n säännöt palveluntarjoajille

Mitä EU valmistelee DPP-palveluntarjoajille: sertifiointi, yhteentoimivuus, varmuuskopiointisäännöt ja alustan hallinto.

29.3.2026 · 9 min lukuaika · InfoDPP

Rekisterin käyttöönotto 20.7.2026: tuotantorekisteri, testiympäristö, API-yhteys ja ensimmäinen julkinen käyttöopas ovat nyt käytettävissä, mutta opas on tarkoitettu nimenomaisesti talouden toimijoille. Julkaistussa aineistossa ei ole palveluntarjoajien liittymisprosessia, sertifiointimenettelyä eikä julkista palveluntarjoajaluetteloa. Asetus (EU) 2026/1778 edellyttää edelleen varmennettujen palveluntarjoajien luetteloa ja semanttista tietovarantoa, mutta ”varmennettu” tarkoittaa henkilöllisyyden ja rekisterin käyttöoikeuden todentamista, ei tulevan ESPR:n delegoidun säädöksen mukaista sertifiointia.

Miksi tämä aihe on tärkeä nyt

Euroopan komissio ei enää käsittele digitaalista tuotepassia pelkästään tuotetason vaatimustenmukaisuustyökaluna. Se valmistelee myös sääntöjä yrityksille, jotka tarjoavat DPP:n ylläpitoon tarvittavat järjestelmät.

Tämä on merkittävää, koska DPP-palveluntarjoaja ei ole tavallinen ohjelmistotoimittaja. Käytännössä tällainen palveluntarjoaja voi isännöidä tuotetietoja, hallita käyttöoikeuksia, ylläpitää varmuuskopioita, tukea yhteentoimivuutta, tarjota API-rajapintoja ja varmistaa, että passitiedot pysyvät saatavilla tuotteiden liikkuessa markkinoilla.

Yrityksille, jotka valitsevat DPP-alustaa, QR-koodin luominen on vasta ensimmäinen kysymys. Lisäksi on arvioitava, voidaanko palvelua mukauttaa EU:n sääntöjen tarkentuessa

Mitä komissio tosiasiassa valmistelee

Euroopan komissio on käynnistänyt erillisen aloitteen DPP-palveluntarjoajien säännöistä ESPR-asetuksen puitteissa. Aloitteessa todetaan selvästi, että komissio aikoo hyväksyä delegoidun säädöksen DPP-palveluntarjoajien toiminnan säännöistä osana laajempaa DPP-hallintoa.

Valmistelu on edennyt seuraavasti:

palautepyyntö: 12. marraskuuta – 10. joulukuuta 2024
julkinen kuuleminen: 8. huhtikuuta – 1. heinäkuuta 2025
säädösluonnos: valmisteilla
komission hyväksyminen: nykyisen suunnitelman mukaan vuonna 2027. Komission uudessa DPP-aikataulussa on päällekkäiset merkinnät Q2 ja Q3 2027, joten tarkkaa vuosineljännestä ei pidä pitää ratkaistuna ennen sivun korjaamista tai säädösluonnoksen julkaisemista.

Lopullista säädöstä ei ole vielä julkaistu, mutta valmistelun keskeiset kysymykset ovat tiedossa. Komissio on jo esittänyt markkinoille yksityiskohtaisia kysymyksiä tietojen tallennuksesta, tiedonhallinnasta ja mahdollisesta tarpeesta palveluntarjoajien sertifiointijärjestelmälle.

Mitä tuleva säädös voi oikeudellisesti sisältää

Komission toimivalta perustuu ESPR:n 11 artiklaan, ei kuulemisessa esitettyihin ehdotuksiin. Delegoidussa säädöksessä voidaan vahvistaa:

markkinoillepääsyvaatimukset, jotka DPP-palveluntarjoajan on täytettävä voidakseen toimia palveluntarjoajana;
tarvittaessa sertifiointijärjestelmän, jos komissio päättää perustaa sellaisen; tämä ei tarkoita, että osallistuminen olisi välttämättä vapaaehtoista; ja
jatkuvat vaatimukset, jotka palveluntarjoajien on täytettävä DPP-palveluja tarjotessaan.

Artikla 11 määrittää komissiolle siirretyn säädösvallan laajuuden. Johdanto-osan 40 kappale selittää suunniteltua tehtäväjakoa DPP-tietojen luomisessa, todentamisessa, käsittelyssä ja tallentamisessa sekä mahdollisessa tunnisteiden tai tietovälineiden poistamisessa. Se ei itsessään säädä erillistä sitovien palveluntarjoajavelvoitteiden luetteloa.

Julkaistussa toimivaltasäännöksessä ei vielä määritellä pääomakynnyksiä, pakollisia ISO-sertifikaatteja, lupaviranomaista, tiettyä pilviarkkitehtuuria tai yhtä sertifiointireittiä. Siirrettävyys, jatkuvuus, kyberturvallisuus, roolien erottelu ja yhteentoimivuus ovat uskottavia aiheita, koska ne esiintyvät nykyisissä ESPR-velvoitteissa ja kuulemisaineistossa, mutta ne ovat odotettuja suunnitteluteemoja eivätkä lopullisia oikeudellisia vaatimuksia ennen kuin luonnoksessa tai hyväksytyssä säädöksessä niin määrätään.

Jotkin palveluntarjoajasäännöt ovat jo ESPR:ssä, eikä niiden soveltaminen riipu tulevan säädöksen hyväksymisestä: DPP-tietoja voi tallentaa talouden toimija tai palveluntarjoaja; järjestelmän on ylläpidettävä korkeaa turvallisuuden ja yksityisyyden tasoa; palveluntarjoajat eivät saa myydä, käyttää uudelleen tai käsitellä DPP-tietoja palvelun kannalta tarpeellista enempää ilman talouden toimijan nimenomaista suostumusta; ja 10 artiklan 4 kohta velvoittaa talouden toimijan asettamaan varmuuskopion saataville DPP-palveluntarjoajan kautta. Johdanto-osan 38 kappaleessa varmuuskopiointipalvelun tarjoaja kuvataan riippumattomaksi kolmanneksi osapuoleksi. Tuleva säädös voi täsmentää tämän perustan käytännön toteutusta, mutta se ei luo velvoitteita tyhjästä.

Mitä hyväksytty rekisteriasetus muuttaa

Asetus 2026/1778 ei ole luvattu palveluntarjoajia koskeva delegoitu säädös, mutta se täsmentää palveluntarjoajien roolia rekisterissä.

Rekisterin on ylläpidettävä luetteloa varmennetuista DPP-palveluntarjoajista. Se ei ole laatumerkki, akkreditointi tai todiste sertifioinnista tulevien palveluntarjoajasääntöjen nojalla.
Kun palveluntarjoaja toimii hyväksyttynä arvoketjun toimijana, sen on oltava varmennettu ennen rekisteröintien luomista tai muuttamista. Rekisteröintitarkastus validoi myös viittauksen varmuuskopiointipalveluntarjoajaan, jos kyseinen viittaus tarvitaan.
Komission on ylläpidettävä koneluettavaa semanttista tietovarantoa dokumentoituine API-rajapintoineen ja yhteisine muotoineen. Tämä tukee eri järjestelmien yhteentoimivuutta, mutta ei määrää kaupallisten alustojen arkkitehtuuria eikä yksin anna kaikkia integraation toteutusohjeita.
Talouden toimija vastaa edelleen DPP:n ja rekisteröintitietojen oikeellisuudesta. Varmennettu palveluntarjoaja voi hoitaa teknisiä tehtäviä, mutta rekisterivarmennus ei siirrä tuotelainsäädännön mukaista vastuuta.

Erillinen delegoitu säädös on edelleen seurattava teksti palveluntarjoajien toimintavaatimusten, mahdollisen sertifiointijärjestelmän sekä kattavampien varmuuskopiointi- ja jatkuvuussääntöjen osalta.

Huomio akuista: ESPR-aloite ei muuta akkuasetuksen nykyistä vastuunjakoa. Toukokuussa 2026 parlamentille antamassaan vastauksessa komissio täsmensi, että asetus (EU) 2023/1542 viittaa valtuutettuihin toimijoihin, jotka toimivat vastuullisen talouden toimijan puolesta, ei ESPR:ssä määriteltyihin DPP-palveluntarjoajiin. Käytännössä vastuullinen talouden toimija vastaa edelleen akkupassista. Se voi valtuuttaa toimijan hoitamaan teknisiä tai organisatorisia tehtäviä puolestaan, mutta tämä ei siirrä vastuuta eikä tee jokaisesta SaaS-alustasta automaattisesti tulevaa ESPR:n mukaista DPP-palveluntarjoajaa.

Mitkä säännöt ovat jo selvillä

Jo ennen lopullisen delegoidun säädöksen julkaisemista useat asiat ovat jo riittävän selviä.

1. DPP-palveluntarjoajilla on oma roolinsa

Komissio ei käsittele DPP-infrastruktuuria näkymättömänä taustatoimintona. Se näkee sen toimintona, joka voi vaatia omat sääntönsä, koska palveluntarjoajat sijoittuvat talouden toimijoiden, kuluttajien ja eri valvontaviranomaisten välille.

2. Keskustelu ei koske hallintosääntöjen tarvetta

Keskustelu koskee niiden sääntöjen muotoa. Toiminnan sääntelyllä on jo oikeusperusta. Avoimet kysymykset koskevat sertifiointia, roolien erottelua, tietojen omistajuutta ja teknisiä vaatimuksia.

3. Yhteentoimivuudella on jo oikeusperusta

ESPR:n artiklat 10 ja 11 käsittelevät jo avoimia standardeja, yhteentoimivuutta ja toimittajalukon välttämistä. Hankintapäätökset kannattaa perustaa näihin säännöksiin eikä ennustuksiin siitä, mitkä kuulemisen kannanotot vaikuttavat tulevaan säädökseen.

4. Varmuuskopiointi ja jatkuvuus ovat tärkeitä

ESPR-kehys sisältää jo periaatteen, jonka mukaan DPP-tietojen on pysyttävä saatavilla, vaikka alkuperäinen palveluntarjoaja tai talouden toimija lakkaisi toimimasta. Palveluntarjoajia koskevassa valmistelussa ratkaistaan käytännön kysymykset: kuka tallentaa varmuuskopiot, milloin ne luovutetaan ja pitäisikö varmuuskopioinnin olla erillinen tehtävä.

Mitä komission kuulemisraportti osoittaa

Komission yhteenvetoraportti käsittelee 275 hyväksyttyä vastausta julkiseen kuulemiseen, joka järjestettiin 8.4.–1.7.2025. Raportti tiivistää osallistujien näkemykset. Ne eivät edusta EU:n väestöä eivätkä komission lopullista kantaa. Kuuleminen on eri vaihe kuin marras- ja joulukuussa 2024 järjestetty kannanottopyyntö.

Sertifiointia pidettiin tärkeänä, mutta mallista ei ollut enemmistön kantaa

Sertifiointia piti melko tai erittäin tärkeänä 64 talouden toimijaa 81:stä, 71 muuta arvoketjun toimijaa 89:stä ja 70 mahdollista palveluntarjoajaa 92:sta.

Suosittuja vaihtoehtoja olivat:

oman ilmoituksen ja akkreditoidun sertifioinnin yhdistelmä: 76 vastaajaa 275:stä (27,6 %)
komission akkreditoimat vaatimustenmukaisuuden arviointilaitokset: 62 vastaajaa 275:stä (22,5 %)
kansallisten akkreditointielinten akkreditoimat arviointilaitokset: 53 vastaajaa 275:stä (19,3 %)

Mikään malli ei saanut enemmistöä. Tulokset kuvaavat mielipiteitä, eivät hyväksyttyä sertifiointijärjestelmää.

Muuta sääntelykysymykset hankinnan tarkistuskohteiksi

Pyydä mahdollista palveluntarjoajaa osoittamaan:

tietojen vienti rakenteisessa muodossa, jonka toinen järjestelmä pystyy lukemaan
varmuuskopion palautus ja jatkuvuutta koskevat sopimusehdot
julkisten ja käyttörajoitettujen tietojen erottelu
palveluntarjoajan vaihtamisen kustannukset ja menettely

Nämä tarkistukset auttavat arvioimaan palvelua nyt. Ne eivät ennakoi kaikkia tulevia lakisääteisiä vaatimuksia.

Mikä on vielä avointa

Palveluntarjoajien yksityiskohtaiset vaatimukset, arviointimenettelyt ja soveltamispäivät ovat vielä avoinna.

1. Lopullista sertifiointimallia ei ole julkaistu

Ei vielä tiedetä, vaatiiko delegoitu säädös täydellistä ennakkosertifiointia, kevyempää vaatimustenmukaisuusarviointia, vapaaehtoista sertifiointia vai hybridimallia.

2. Passin ylläpidon ja varmuuskopioinnin tehtävänjako tarkentuu

Oikeudellinen ja käytännön ero DPP:n aktiivisesti julkaisevan alustan ja pelkästään varmuuskopiota ylläpitävän palveluntarjoajan välillä on vielä keskustelussa.

3. Yksityiskohtaisista teknisistä vaatimuksista ei ole vielä säädetty

Politiikan suunta on selkeästi yhteentoimivuutta edistävä, mutta delegoitu säädös ei ole vielä määritellyt tarkkaa sovellettavien standardien kokonaisuutta, järjestelmävelvoitteita tai tarkastusmekanismeja palveluntarjoajille.

4. Taloudelliset ja organisatoriset esteet ovat avoimia

Pyydä tarjoajia erittelemään ylläpidon, varmuuskopioinnin, siirron ja mahdollisen tulevan sertifioinnin kustannukset. Kuulemisen mielipiteet eivät ratkaise lopullisia maksuja tai poikkeuksia.

Mitä yritykset voivat tehdä turvallisesti nyt

Se, ettei lopullista delegoitua säädöstä ole vielä julkaistu, ei tarkoita, että yritysten pitäisi odottaa passiivisesti. Se tarkoittaa, että niiden kannattaa keskittyä päätöksiin, jotka tuskin menevät hukkaan vaikka yksityiskohdat muuttuisivat.

1. Suosi avoimia ja siirrettäviä tuotetietoja

Älä rakenna työnkulkuasi alustan ympärille, joka vaikeuttaa vientiä, piilottaa tunnisteita tai monimutkaistaa migraatiota. Tietojen siirrettävyydestä on hyötyä myös vaatimusten muuttuessa.

2. Selvitä tietojen omistajuus ja palveluntarjoajan vaihtamisen ehdot

Vakavasti otettavan DPP-palveluntarjoajan tulisi jo nyt pystyä vastaamaan kysymyksiin kuten:

kuka omistaa tuotetiedot
miten ne voidaan viedä
mitä tapahtuu palvelun päättyessä
miten varmuuskopiointi ja jatkuvuus hoidetaan

Pyydä näihin kysymyksiin selkeät vastaukset ennen sopimuksen tekemistä.

3. Käsittele hallintoa osana toimittajan valintaa

Älä arvioi palveluntarjoajia vain käyttöliittymän ominaisuuksien perusteella. Arvioi heidän lähestymistapaansa käyttöoikeuksiin, tarkastettavuuteen, roolien erotteluun, rakenteisiin tietoihin ja pitkän aikavälin ylläpidettävyyteen.

4. Vältä arkkitehtuureja, joita on vaikea mukauttaa myöhemmin

Vertaa vientimuotoja, siirtoehtoja ja muutosmenettelyjä ennen sopimusta. Näin voit pienentää toimittajan vaihtamisen kustannuksia olettamatta, että tuleva säädös edellyttää tiettyä arkkitehtuuria.

Käytännön kriteerit palveluntarjoajan valintaan

Perusta päätös jo hyväksyttyihin ESPR-velvoitteisiin ja näyttöön palvelun toimivuudesta. Tulevan sertifioinnin yksityiskohdat ovat vielä avoinna. Sovi tietojen käytöstä, viennistä, varmuuskopioista, jatkuvuudesta ja palveluntarjoajan vaihtamisen ehdoista.

Lue seuraavaksi

Viralliset lähteet

Aloita yhdestä tuotteesta: luo sille digitaalinen tuotepassi OriginPass.eu:ssa.

← Takaisin blogiin