technology

DPP-palveluntarjoajien vaatimukset: EU:n säännöt alustoille

Mitä EU:n delegoidun säädöksen prosessi tarkoittaa DPP-alustoille: hallinto, siirrettävyys, varmuuskopiointi, pääsynhallinta ja sertifiointi.

29.3.2026 · 12 min lukuaika · InfoDPP

Miksi palveluntarjoajakerros on tärkeä

Monet yritykset ajattelevat digitaalista tuotepassia edelleen sen näkyvällä tasolla: tuotetiedot, QR-koodit, kuluttajasivut ja vaatimustenmukaisuusilmoitukset.

EU:lle se on kuitenkin vain osa kokonaisuutta. On myös infrastruktuurikerros: järjestelmät ja palveluntarjoajat, jotka tallentavat, hallitsevat, tarjoavat, varmuuskopioivat ja hallinnoivat DPP-rekistereitä ajan mittaan.

Siksi Euroopan komissio valmistelee delegoitua säädöstä nimenomaan DPP-palveluntarjoajille.

Ohjelmistoalustoille tällä on suora merkitys. Se viittaa siihen, että DPP-tarjoajista voi tulla enemmän kuin tavallisia SaaS-toimittajia — reguloitu tai osittain reguloitu osa DPP-ekosysteemiä, jolta odotetaan siirrettävyyttä, hallintoa, jatkuvuutta ja luotettavaa pääsyä tuotetietoihin.

Mitä komissio haluaa säännellä

Komission aloite kysyy, miten palveluntarjoajien tulisi tallentaa ja hallita tietoja ja tarvitaanko sertifiointijärjestelmää.

Tämä on ratkaiseva muotoilu, sillä se osoittaa, ettei kyse ole vain käyttöliittymän käytettävyydestä tai QR-koodien luomisesta. Todelliset kysymykset ovat arkkitehtonisia:

kuka hallitsee tietoja?
miten ne tallennetaan?
kenellä on pääsy?
miten saatavuus varmistetaan ajan myötä?
tarvitsevatko palveluntarjoajat muodollisen pätevyyden tai sertifioinnin?

Lopullista säädöstä ei ole vielä hyväksytty, mutta hallintoa koskevat kysymykset on jo määritelty varsin selvästi.

Mikä on jo näkyvissä nykyisestä prosessista

1. Palveluntarjoajan rooli erotetaan tuotteen omistajan roolista

Valmistajat, maahantuojat ja muut taloudelliset toimijat pysyvät vastuussa tuotteen vaatimustenmukaisuudesta. Palveluntarjoajan rooli koskee infrastruktuuria, joka mahdollistaa DPP-rekistereiden käytännön toimivuuden.

Tällä erottelulla on merkitystä, koska se viittaa siihen, että EU haluaa selkeämpiä rajoja seuraavien välille:

vaatimustenmukaisuusvastuu
tietojen omistajuus
tekninen operointi
rekisterien pitkäaikainen jatkuvuus

2. Hallinto nousee ensisijaiseksi vaatimukseksi

Aloite ei kysy, pitäisikö alustojen huolehtia hallinnosta. Se olettaa hallinnan olevan tärkeää ja kysyy, millainen malli tulisi soveltaa.

3. Siirrettävyys nousee keskeiseksi suunnitteluodotukseksi

Kuulemisaineisto viittaa vahvasti siihen, ettei DPP-järjestelmiä tulisi suunnitella pysyvän riippuvuuden ympärille yhdestä toimittajasta. Tämä viittaa siihen, että avoimet rakenteet, vientimahdollisuudet ja toimittajan vaihtamisen logiikka tulisi olla alustojen ytimessä.

4. Varmuuskopiointi ja jatkuvuus eivät ole toissijaisia

DPP-tietojen pitkäaikainen saatavuus on keskustelun ytimessä. Pelkästään aktiiviseen tuotenäyttöön keskittyvät alustat voivat epäonnistua, jos varmuuskopiojatkuvuus formalisoidaan.

Neljä perusvaatimusta, joihin alustojen tulisi jo valmistautua

Vaikka delegoitu säädös ei ole vielä lopullinen, hyödyllinen valmistautumismalli on jo nähtävissä.

1. Selkeä tietojen omistajuus ja hallintorajat

Puolustuskelpoisin arkkitehtuuri on sellainen, jossa taloudellinen toimija pysyy tuotetietojen omistajana ja palveluntarjoaja tarjoaa teknisen palvelukerroksen.

Vakavan alustan tulisi pystyä selittämään:

kuka omistaa tiedot
kuka voi muokata niitä
miten muutoksia seurataan
miten rekisterit viedään
mitä tapahtuu palvelusuhteen päättyessä

Jos alusta ei pysty selittämään tätä selkeästi, se on jo hallinnon näkökulmasta heikko.

2. Yhteentoimivuus ja lukittumisen esto

Tämä on kuulemisaineiston vahvin yhteisymmärryskohta.

Alustoille yhteentoimivuuden tulisi muovata perusmallia:

tunnisteiden on pysyttävä siirrettävinä
rekisterien on oltava vietävissä käyttökelpoisessa rakenteisessa muodossa
järjestelmien on vältettävä omistusoikeudellisia riippuvuuksia
palveluntarjoajan vaihto ei saa pakottaa rakentamaan tuotetietopohjaa alusta alkaen uudelleen

Turvallisin oletus on, että tuleva EU:n hallinto palkitsee alustat, jotka vähentävät lukkiutumista sen sijaan, että syventäisivät sitä.

3. Varmuuskopiointologiikka ja jatkuvuussuunnittelu

DPP-palveluntarjoajista käytävä keskustelu palaa toistuvasti varmuuskopioihin, jatkuvuuteen ja siihen, mitä tapahtuu, jos alkuperäinen toimija tai palveluntarjoaja katoaa.

Alustojen tulisi jo ajatella kategorioissa:

aktiivinen isännöinti vs. pelkkä varmuuskopiopalvelu
tilannevedos- tai jatkuvuuskopiologiikka
tietojen vapautuksen ehdot
jäljitettävä viimeisen voimassa olevan tuoterekisterin säilytys

Kaikkia lopullisia yksityiskohtia ei vielä tunneta, mutta vaatimus suhtautua jatkuvuuteen vakavasti on jo olemassa.

4. Pääsynhallinta ja rajoitettujen tietojen käsittely

DPP ei ole vain julkinen verkkosivu kuluttajille.

Monissa DPP-rekistereissä on tietokerroksia eri käyttöoikeuksin:

julkiset kuluttajatiedot
rajoitetut B2B-tiedot
viranomaisille tarkoitetut pääsytasot
pääsyjen ja muutosten tarkastettavuus

Tämä on yksi selvimmistä merkeistä siitä, että DPP-alustat ovat lähempänä säänneltyä infrastruktuuria kuin tavallisia sisällönhallintatyökaluja.

Sertifiointi: mitä tiedetään ja mitä ei

Sertifiointi on yksi suurimmista avoimista kysymyksistä palveluntarjoajakeskustelussa.

Mitä jo tiedetään

Komissio on nimenomaisesti kysynyt, tarvitaanko sertifiointijärjestelmä
Osa sidosryhmistä tukee vahvasti riippumatonta ennakkosertifiointia
Toiset suosivat joustavampia malleja
Turvallisuus- ja hallintakypsyys on jo näkyvä odotus

Mitä ei vielä tiedetä

Onko sertifiointi pakollista kaikille palveluntarjoajille
Mikä taho arvioisi palveluntarjoajia
Erotteleeko lopullinen malli eri palveluntarjoajarooleja
Kuinka raskas prosessi voi olla pienemmille ohjelmistoyrityksille

Käytännön johtopäätös: rakenna kuin joutuisit joskus osoittamaan rakenteisen hallinnan, tarkastettavuuden, luotettavuuden ja turvallisuuskypsyyden.

Miksi hajautettu arkkitehtuuri nousee jatkuvasti esiin

Sidosryhmät haluavat välttää mallin, jossa yksi palveluntarjoaja tulee yrityksen tuotetietojen väistämättömäksi, läpinäkymättömäksi omistajaksi.

Tämä ei tarkoita, että jokaisen DPP:n pitäisi olla itse isännöity tai täysin hajautettu teknisessä mielessä.

Alustoille tämä viittaa joustavampaan lähestymistapaan:

asiakas omistaa tuotetiedot
palveluntarjoaja ylläpitää palvelukerrosta
viennit ja siirrettävyys ovat normi
varmuuskopiojatkuvuus ei tarkoita palveluntarjoajan dominanssia

Tämä on linjassa EU:n laajemman tavoitteen kanssa, joka suosii avoimia standardeja ja yhteentoimivaa digitaalista infrastruktuuria.

Mitä alustojen tulisi rakentaa vuonna 2026

Hyödyllisimmät valmistelutoimet ovat niitä, jotka säilyttävät arvonsa riippumatta lopullisista oikeudellisista ratkaisuista.

1. Rakenteelliset viennit

Jos asiakas lähtee tai kohtaa uusia vaatimuksia, rekisterin on oltava käytännössä siirrettävä.

2. Jäljitettävä tarkastushistoria

Kuka muutti mitä, milloin ja millä valtuutuksella — tämän merkitys kasvaa.

3. Roolipohjainen pääsylogiikka

Eriytetty pääsy on jo kohtuullinen perusodotus.

4. Selkeä jatkuvuuspolitiikka

Määrittele, mitä tapahtuu rekistereille asiakastilin sulkeutuessa tai jatkuvuusvelvoitteiden käynnistyessä.

5. Avoimet arkkitehtuurivalinnat

Avoimiin tunnisteisiin, rakenteisiin rekistereihin ja migraatiologiikkaan perustuvat järjestelmät ovat paremmin asemoituja.

Mitä DPP-alustan käyttöoikeutta ostavien yritysten tulisi kysyä

Tämä artikkeli ei ole tarkoitettu vain ohjelmistokehittäjille. Se on tarkoitettu myös valmistajille, maahantuojille ja brändinomistajille, jotka arvioivat palveluntarjoajia.

Hyödyllisiä kysymyksiä ovat:

Miten käsittelette tietojen omistajuutta?
Voidaanko rekisterit viedä rakenteisessa muodossa?
Mikä on lähestymistapanne varmuuskopiointiin ja jatkuvuuteen?
Miten erotatte julkiset ja rajoitetun pääsyn tiedot?
Miten suunnittelette yhteentoimivuuden?
Mitä tapahtuu, jos haluamme vaihtaa palveluntarjoajaa?

Nämä eivät ole enää marginaalisia hankintakysymyksiä. Ne osuvat suoraan palveluntarjoajan DPP-arkkitehtuurin uskottavuuden ytimeen.

Strateginen johtopäätös

DPP-palveluntarjoajia koskeva lopullinen delegoitu säädös on vielä edessäpäin. Suunnittelun suunta on kuitenkin jo riittävän selvä tukemaan käytännön päätöksentekoa.

Kestävin DPP-alustamalli ei todennäköisesti perustu läpinäkymättömyyteen, omistusoikeudellisiin poistumisesteisiin ja heikkoon jatkuvuuslogiikkaan. Vahvempi malli rakentuu:

selkeän hallinnan
vietävien rakenteisten rekisterien
yhteentoimivuuden
roolipohjaisen pääsyn
varmuuskopiointi- ja jatkuvuusdisipliinin ympärille

Yritysten ei tarvitse odottaa jokaisen teknisen yksityiskohdan vahvistumista ennen kuin ne voivat käyttää näitä kriteerejä.

Lue seuraavaksi

Viralliset lähteet

Jos DPP-alustat siirtyvät kohti vahvempia hallinnan, siirrettävyyden ja jatkuvuuden vaatimuksia, on järkevää tehdä yhteistyötä operaattorin kanssa, joka on seurannut näitä kysymyksiä alusta lähtien tarkasti. OriginPass käsittelee tuotetietoja rakenteisena, siirrettävänä infrastruktuurina — ei pelkästään frontend-passisivuina.

Jatka lukemista

Aiheeseen liittyvät oppaat