technology

DPP-palveluntarjoajien vaatimukset: EU:n säännöt alustoille

Mitä EU:n delegoidun säädöksen prosessi tarkoittaa DPP-alustoille: hallinto, siirrettävyys, varmuuskopiointi, pääsynhallinta ja sertifiointi.

29.3.2026 · 12 min lukuaika · InfoDPP

Toimituksellinen päivitys 20.7.2026: tuotantorekisteri, testiympäristö, API-yhteys ja ensimmäinen julkinen käyttöopas ovat käytettävissä, mutta opas koskee vain talouden toimijoita. Julkaistussa aineistossa ei ole palveluntarjoajien liittymisreittiä, sertifiointimenettelyä eikä julkista palveluntarjoajaluetteloa. Asetus (EU) 2026/1778 edellyttää DPP-rekisteriin todennettujen palveluntarjoajien luetteloa, mutta kyse on henkilöllisyyden ja rekisteritoimintojen käyttöoikeuden todentamisesta, ei sertifioinnista, akkreditoinnista tai tuoteoikeudellisen vastuun siirtymisestä.

Miksi palveluntarjoajakerros on tärkeä

Monet yritykset ajattelevat digitaalista tuotepassia edelleen sen näkyvällä tasolla: tuotetiedot, QR-koodit, kuluttajasivut ja vaatimustenmukaisuusilmoitukset.

EU:lle se on kuitenkin vain osa kokonaisuutta. On myös infrastruktuurikerros: järjestelmät ja palveluntarjoajat, jotka tallentavat, hallitsevat, tarjoavat, varmuuskopioivat ja hallinnoivat DPP-rekistereitä ajan mittaan.

Siksi Euroopan komissio valmistelee delegoitua säädöstä nimenomaan DPP-palveluntarjoajille.

Ohjelmistoalustoille tällä on suora merkitys. Se viittaa siihen, että DPP-tarjoajista voi tulla enemmän kuin tavallisia SaaS-toimittajia, reguloitu tai osittain reguloitu osa DPP-ekosysteemiä, jolta odotetaan siirrettävyyttä, hallintoa, jatkuvuutta ja luotettavaa pääsyä tuotetietoihin.

Mitä komissio haluaa säännellä

Komission aloite kysyy, miten palveluntarjoajien tulisi tallentaa ja hallita tietoja ja tarvitaanko sertifiointijärjestelmää.

Tämä on ratkaiseva muotoilu, sillä se osoittaa, ettei kyse ole vain käyttöliittymän käytettävyydestä tai QR-koodien luomisesta. Todelliset kysymykset ovat arkkitehtonisia:

kuka hallitsee tietoja?
miten ne tallennetaan?
kenellä on pääsy?
miten saatavuus varmistetaan ajan myötä?
tarvitsevatko palveluntarjoajat muodollisen pätevyyden tai sertifioinnin?

Lopullista säädöstä ei ole vielä hyväksytty, mutta hallintoa koskevat kysymykset on jo määritelty varsin selvästi.

Oikeudellinen kehys on poliittista keskustelua suppeampi

ESPR:n 11 artiklan 2 kohdassa komissiolle annetaan nimenomainen valta määrittää delegoidussa säädöksessä kolme asiaa:

vaatimukset, jotka toimijoiden on täytettävä tullakseen DPP-palveluntarjoajiksi;
tarvittaessa sertifiointijärjestelmä näiden pääsyvaatimusten täyttymisen todentamiseksi; ja
vaatimukset, jotka palveluntarjoajien on täytettävä DPP-palveluja tarjotessaan.

Vain tätä soveltamisalaa voidaan turvallisesti kuvata varmaksi. Johdanto-osan 40 perustelukappale antaa ei-velvoittavan mutta merkityksellisen vihjeen: siinä ennakoidaan myöntävien toimijoiden ja palveluntarjoajien roolien ja vastuiden selkeyttämistä DPP-tietojen luomisessa, todentamisessa, käsittelyssä ja tallentamisessa sekä mahdollisesti tärkeiden DPP-elementtien, kuten tunnisteiden ja tietovälineiden, poistamisessa käytöstä. Perustelukappale ei itsessään aseta näitä yksityiskohtaisia velvoitteita eikä takaa, että ne kaikki sisällytetään lopulliseen säädökseen.

Tarkkoja kelpoisuusehtoja, palveluvelvoitteita tai mahdollisen sertifioinnin menettelyä ei ole julkaistu. Siirrettävyys, jatkuvuus, kyberturvallisuus, yhteentoimivuus ja roolien erottaminen ovat hyvin perusteltuja toteutusteemoja, mutta kuulemisaineisto kertoo toimintavaihtoehdoista, ei lopullisesta säännöstä.

ESPR sisältää jo osan perustasta: DPP:n voi tallentaa talouden toimija tai palveluntarjoaja; suunnittelun on taattava korkea turvallisuuden ja yksityisyyden taso; palveluntarjoaja ei saa myydä, käyttää uudelleen tai käsitellä DPP-tietoja palvelun kannalta välttämätöntä laajemmin ilman talouden toimijan nimenomaista suostumusta; ja 10 artiklan 4 kohta edellyttää varmuuskopiota DPP-palveluntarjoajan kautta. Johdanto-osan 38 perustelukappale kuvaa tämän varmuuskopiointipalvelun tarjoajan riippumattomaksi kolmanneksi osapuoleksi. Delegoidun säädöksen odotetaan tekevän palveluntarjoajien hallinnasta käytännöllisempää, ei luovan näitä velvoitteita tyhjästä.

Komission uusin DPP-portaali sijoittaa palveluntarjoajia koskevan säädöksen vuoteen 2027, mutta luettelee sen tällä hetkellä kahdesti, kerran toiselle ja kerran kolmannelle vuosineljännekselle. Ennen kuin komissio korjaa ristiriidan tai julkaisee luonnoksen, vuotta voi käyttää suunnittelun lähtökohtana, mutta vuosineljännestä ei.

Mitä rekisteriasetus lisää nyt

Hyväksytty rekisteriasetus ei ratkaise tulevaa palveluntarjoajajärjestelmää, mutta poistaa yhden tärkeän epäselvyyden.

Rekisterissä pidetään luetteloa todennetuista DPP-palveluntarjoajista. Sitä ei pidä kuvata EU:n sertifiointiluetteloksi: todentaminen koskee pääsyä rekisterin toimintoihin, ei sen vahvistamista, että palveluntarjoaja täyttää kaikki tulevat toiminnalliset vaatimukset.
Arvoketjussa toimivan kelpoisen palveluntarjoajan on oltava todennettu voidakseen luoda tai muuttaa rekisteröintejä. Rekisteri tarkistaa myös viittauksen varmuuskopiointipalvelun tarjoajaan silloin, kun se on rekisteröinnin kannalta merkityksellinen.
Asetuksella luodaan koneluettava semanttinen tietovaranto, jossa on dokumentoidut ohjelmointirajapinnat ja yhteiset muodot. Se tukee yhteentoimivuutta, mutta lopulliset palveluntarjoajakohtaiset hallintasäännöt jäävät erilliseen delegoituun säädökseen.
Talouden toimija vastaa edelleen DPP- ja rekisteröintitietojen oikeellisuudesta. Todennettu alusta voi tehdä teknisen työn ottamatta tätä oikeudellista vastuuta.

Erottelu on tärkeä hankinnoissa: kysy, tukeeko palveluntarjoaja todentamista, versiointia, semanttista yhteentoimivuutta ja vientiä, mutta älä hyväksy väitettä ”EU-sertifioitu DPP-palveluntarjoaja”, ennen kuin tuleva oikeudellinen sertifiointijärjestelmä todella tukee sitä.

Mikä on jo näkyvissä nykyisestä prosessista

1. Palveluntarjoajan rooli erotetaan tuotteen omistajan roolista

Valmistajat, maahantuojat ja muut taloudelliset toimijat pysyvät vastuussa tuotteen vaatimustenmukaisuudesta. Palveluntarjoajan rooli koskee infrastruktuuria, joka mahdollistaa DPP-rekistereiden käytännön toimivuuden.

Tällä erottelulla on merkitystä, koska se viittaa siihen, että EU haluaa selkeämpiä rajoja seuraavien välille:

vaatimustenmukaisuusvastuu
tietojen omistajuus
tekninen operointi
rekisterien pitkäaikainen jatkuvuus

Huomio akkupassista: akkuasetus käyttää eri rakennetta kuin tuleva ESPR:n DPP-palveluntarjoajan rooli. Komissio vahvisti toukokuussa 2026, että siinä viitataan valtuutettuihin toimijoihin, jotka toimivat vastuullisen talouden toimijan puolesta, joten tätä nimikettä ei pidä automaattisesti siirtää jokaiseen alustamalliin. Käytännössä vastuullinen talouden toimija vastaa edelleen akkupassista. Valtuutettu toimija voi tukea teknistä tai organisatorista käsittelyä sen puolesta, mutta se ei ota vastuuta eikä ole sama käsite kuin tuleva ESPR:n DPP-palveluntarjoaja.

2. Hallinto nousee ensisijaiseksi vaatimukseksi

Aloite ei kysy, pitäisikö alustojen huolehtia hallinnosta. Se olettaa hallinnan olevan tärkeää ja kysyy, millainen malli tulisi soveltaa.

3. Siirrettävyys nousee keskeiseksi suunnitteluodotukseksi

Kuulemisaineisto viittaa vahvasti siihen, ettei DPP-järjestelmiä tulisi suunnitella pysyvän riippuvuuden ympärille yhdestä toimittajasta. Tämä viittaa siihen, että avoimet rakenteet, vientimahdollisuudet ja toimittajan vaihtamisen logiikka tulisi olla alustojen ytimessä.

4. Varmuuskopiointi ja jatkuvuus eivät ole toissijaisia

DPP-tietojen pitkäaikainen saatavuus on keskustelun ytimessä. Pelkästään aktiiviseen tuotenäyttöön keskittyvät alustat voivat epäonnistua, jos varmuuskopiojatkuvuus formalisoidaan.

Neljä suunnittelualuetta, joihin alustojen tulisi valmistautua

Vaikka delegoitu säädös ei ole vielä lopullinen, hyödyllinen valmistautumismalli on jo nähtävissä.

1. Selkeä tietojen omistajuus ja hallintorajat

Perusteltavin arkkitehtuuri on sellainen, jossa talouden toimija säilyttää tuotetietojen omistajuuden ja palveluntarjoaja tarjoaa teknisen palvelukerroksen.

Vakavan alustan tulisi pystyä selittämään:

kuka omistaa tiedot
kuka voi muokata niitä
miten muutoksia seurataan
miten rekisterit viedään
mitä tapahtuu palvelusuhteen päättyessä

Jos alusta ei pysty selittämään tätä selkeästi, sen hallintamallissa on jo puutteita.

2. Yhteentoimivuus ja lukittumisen esto

Tämä on kuulemisaineiston vahvin yhteisymmärryskohta.

Alustoille yhteentoimivuuden tulisi muovata perusmallia:

tunnisteiden on pysyttävä siirrettävinä
rekisterien on oltava vietävissä käyttökelpoisessa rakenteisessa muodossa
järjestelmien on vältettävä omistusoikeudellisia riippuvuuksia
palveluntarjoajan vaihto ei saa pakottaa rakentamaan tuotetietopohjaa alusta alkaen uudelleen

Siirrettävä suunnittelu on vähäriskisempi valmistautumisratkaisu, mutta palveluntarjoajan vaihtoa koskevat tarkat velvoitteet jäävät delegoituun säädökseen.

3. Varmuuskopiointologiikka ja jatkuvuussuunnittelu

DPP-palveluntarjoajista käytävä keskustelu palaa toistuvasti varmuuskopioihin, jatkuvuuteen ja siihen, mitä tapahtuu, jos alkuperäinen toimija tai palveluntarjoaja katoaa.

Alustojen tulisi jo ajatella kategorioissa:

aktiivinen isännöinti vs. pelkkä varmuuskopiopalvelu
tilannevedos- tai jatkuvuuskopiologiikka
tietojen vapautuksen ehdot
jäljitettävä viimeisen voimassa olevan tuoterekisterin säilytys

Kaikkia lopullisia yksityiskohtia ei vielä tunneta, mutta vaatimus suhtautua jatkuvuuteen vakavasti on jo olemassa.

4. Pääsynhallinta ja rajoitettujen tietojen käsittely

DPP ei ole vain julkinen verkkosivu kuluttajille.

Monissa DPP-rekistereissä on tietokerroksia eri käyttöoikeuksin:

julkiset kuluttajatiedot
rajoitetut B2B-tiedot
viranomaisille tarkoitetut pääsytasot
pääsyjen ja muutosten tarkastettavuus

Tämä on yksi selvimmistä merkeistä siitä, että DPP-alustat ovat lähempänä säänneltyä infrastruktuuria kuin tavallisia sisällönhallintatyökaluja.

Sertifiointi: mitä tiedetään ja mitä ei

Sertifiointi on yksi suurimmista avoimista kysymyksistä palveluntarjoajakeskustelussa.

Mitä jo tiedetään

Komissio on nimenomaisesti kysynyt, tarvitaanko sertifiointijärjestelmä
Osa sidosryhmistä tukee vahvasti riippumatonta ennakkosertifiointia
Toiset suosivat joustavampia malleja
Turvallisuus- ja hallintakypsyys on jo näkyvä odotus

Mitä ei vielä tiedetä

Onko sertifiointi pakollista kaikille palveluntarjoajille
Mikä taho arvioisi palveluntarjoajia
Erotteleeko lopullinen malli eri palveluntarjoajarooleja
Kuinka raskas prosessi voi olla pienemmille ohjelmistoyrityksille

Käytännön johtopäätös: rakenna kuin joutuisit joskus osoittamaan rakenteisen hallinnan, tarkastettavuuden, luotettavuuden ja turvallisuuskypsyyden.

Miksi hajautettu arkkitehtuuri nousee jatkuvasti esiin

Sidosryhmät haluavat välttää mallin, jossa yksi palveluntarjoaja tulee yrityksen tuotetietojen väistämättömäksi, läpinäkymättömäksi omistajaksi.

Tämä ei tarkoita, että jokaisen DPP:n pitäisi olla itse isännöity tai täysin hajautettu teknisessä mielessä.

Alustoille tämä viittaa joustavampaan lähestymistapaan:

asiakas omistaa tuotetiedot
palveluntarjoaja ylläpitää palvelukerrosta
viennit ja siirrettävyys ovat normi
varmuuskopiojatkuvuus ei tarkoita palveluntarjoajan dominanssia

Tämä on linjassa EU:n laajemman tavoitteen kanssa, joka suosii avoimia standardeja ja yhteentoimivaa digitaalista infrastruktuuria.

Mitä alustojen tulisi rakentaa vuonna 2026

Hyödyllisimmät valmistelutoimet ovat niitä, jotka säilyttävät arvonsa riippumatta lopullisista oikeudellisista ratkaisuista.

1. Rakenteelliset viennit

Jos asiakas lähtee tai kohtaa uusia vaatimuksia, rekisterin on oltava käytännössä siirrettävä.

2. Jäljitettävä tarkastushistoria

Kuka muutti mitä, milloin ja millä valtuutuksella, tämän merkitys kasvaa.

3. Roolipohjainen pääsylogiikka

Eriytetty pääsy on jo kohtuullinen perusodotus.

4. Selkeä jatkuvuuspolitiikka

Määrittele, mitä tapahtuu rekistereille asiakastilin sulkeutuessa tai jatkuvuusvelvoitteiden käynnistyessä.

5. Avoimet arkkitehtuurivalinnat

Avoimiin tunnisteisiin, rakenteisiin rekistereihin ja migraatiologiikkaan perustuvat järjestelmät ovat paremmin asemoituja.

Mitä DPP-alustan käyttöoikeutta ostavien yritysten tulisi kysyä

Tämä artikkeli ei ole tarkoitettu vain ohjelmistokehittäjille. Se on tarkoitettu myös valmistajille, maahantuojille ja brändinomistajille, jotka arvioivat palveluntarjoajia.

Hyödyllisiä kysymyksiä ovat:

Miten käsittelette tietojen omistajuutta?
Voidaanko rekisterit viedä rakenteisessa muodossa?
Mikä on lähestymistapanne varmuuskopiointiin ja jatkuvuuteen?
Miten erotatte julkiset ja rajoitetun pääsyn tiedot?
Miten suunnittelette yhteentoimivuuden?
Mitä tapahtuu, jos haluamme vaihtaa palveluntarjoajaa?

Nämä eivät ole enää marginaalisia hankintakysymyksiä. Ne osuvat suoraan palveluntarjoajan DPP-arkkitehtuurin uskottavuuden ytimeen.

Strateginen johtopäätös

DPP-palveluntarjoajia koskeva lopullinen delegoitu säädös on vielä edessäpäin. Suunnittelun suunta on kuitenkin jo riittävän selvä tukemaan käytännön päätöksentekoa.

Kestävin DPP-alustamalli ei todennäköisesti perustu läpinäkymättömyyteen, omistusoikeudellisiin poistumisesteisiin ja heikkoon jatkuvuuslogiikkaan. Vahvempi malli rakentuu:

selkeän hallinnan
vietävien rakenteisten rekisterien
yhteentoimivuuden
roolipohjaisen pääsyn
varmuuskopiointi- ja jatkuvuusdisipliinin ympärille

Yritysten ei tarvitse odottaa jokaisen teknisen yksityiskohdan vahvistumista ennen kuin ne voivat käyttää näitä kriteerejä.

Lue seuraavaksi

Viralliset lähteet

Jos DPP-alustat siirtyvät kohti tiukempia hallinnan, siirrettävyyden ja jatkuvuuden vaatimuksia, on järkevää tehdä yhteistyötä palveluntarjoajan kanssa, joka on seurannut näitä kysymyksiä tarkasti alusta lähtien. OriginPass käsittelee tuotetietoja rakenteisena ja siirrettävänä infrastruktuurina, ei pelkästään käyttäjälle näkyvinä passisivuina.

Jatka lukemista

Aiheeseen liittyvät oppaat