technology

Kto może świadczyć usługi DPP? Wymogi UE dla dostawców

Jakie zasady przygotowuje UE dla dostawców usług DPP: certyfikacja, interoperacyjność, kopie zapasowe i zarządzanie platformą.

29.03.2026 · 9 min czytania · InfoDPP

Status rejestru, 22 lipca 2026 r.: Rejestr produkcyjny, środowisko testowe, dostęp do API i pierwsze materiały wdrożeniowe są dostępne, ale opublikowany przewodnik jest wyraźnie przeznaczony dla podmiotów gospodarczych. Nie opisuje procesu integracji dostawcy usług, procedury jego certyfikacji ani publicznej listy certyfikacyjnej. Rozporządzenie (UE) 2026/1778 nadal wymaga listy zweryfikowanych dostawców i repozytorium semantycznego, lecz „zweryfikowany” oznacza weryfikację tożsamości i dostępu do Rejestru, a nie certyfikację na podstawie przyszłego aktu delegowanego ESPR.

Dlaczego ten temat jest teraz ważny

Komisja Europejska nie mówi już o Cyfrowym Paszporcie Produktu wyłącznie jako o narzędziu zgodności na poziomie produktu. Przygotowuje się również do uregulowania roli podmiotów, które będą obsługiwać infrastrukturę wokół DPP.

To istotna zmiana, ponieważ dostawca usług DPP to nie zwykły dostawca oprogramowania. W praktyce taki podmiot może przechowywać dane produktowe, zarządzać prawami dostępu, utrzymywać kopie zapasowe, wspierać wymianę danych między systemami, udostępniać interfejsy API i zapewniać dostępność danych paszportowych przez wymagany okres dostępności paszportu.

Dla firm wybierających platformę DPP zmienia to podejście z pytania „Czy ten dostawca wygeneruje kod QR?” na „Czy system będzie można dostosować do szczegółowych wymagań UE?”

Co Komisja faktycznie przygotowuje

Komisja Europejska rozpoczęła prace nad inicjatywą dotyczącą zasad dla dostawców usług DPP w ramach rozporządzenia ESPR. Inicjatywa wyraźnie wskazuje, że Komisja zamierza przyjąć akt delegowany określający zasady działania dostawców usług DPP jako istotną część szerszego systemu zarządzania paszportami cyfrowymi.

Dotychczasowy harmonogram obejmuje:

zaproszenie do zgłaszania uwag: od 12 listopada do 10 grudnia 2024
konsultacje publiczne: od 8 kwietnia do 1 lipca 2025
projekt aktu: w przygotowaniu
przyjęcie przez Komisję: obecnie sygnalizowane na 2027 r. Nowy harmonogram DPP Komisji zawiera zdublowane wpisy wskazujące Q2 i Q3 2027, dlatego nie należy traktować dokładnego kwartału jako ustalonego do czasu poprawienia strony lub publikacji projektu aktu.

Ostateczny kształt prawny nie został jeszcze opublikowany, ale kierunek jest już konkretny. Komisja zadała rynkowi szczegółowe pytania o przechowywanie danych, zarządzanie danymi oraz ewentualną potrzebę systemu certyfikacji dostawców usług DPP.

Co przyszły akt może zgodnie z prawem zawierać

Art. 11 ESPR określa granice upoważnienia Komisji, które trzeba odróżnić od propozycji zgłaszanych w konsultacjach. Akt delegowany może określić:

wymogi kwalifikacyjne, które podmiot musi spełnić, aby zostać dostawcą usług DPP;
system certyfikacji, w stosownych przypadkach, jeżeli Komisja zdecyduje się go ustanowić; nie oznacza to, że udział musiałby być dobrowolny; oraz
wymogi dotyczące świadczenia usług, które dostawcy muszą spełniać podczas świadczenia usług DPP.

Art. 11 określa zakres upoważnienia Komisji do przyjęcia aktu delegowanego. Motyw 40 wyjaśnia zamierzony podział ról przy tworzeniu, uwierzytelnianiu, przetwarzaniu i przechowywaniu danych DPP, a potencjalnie także wycofywaniu identyfikatorów lub nośników danych. Nie ustanawia osobnej listy wiążących obowiązków dostawcy.

Upoważnienie zawarte w ESPR nie określa jeszcze progów kapitałowych, obowiązkowych certyfikatów ISO, organu licencyjnego, konkretnej architektury chmury ani jednej ścieżki certyfikacji. Przenoszalność, ciągłość, cyberbezpieczeństwo, rozdział ról i interoperacyjność są istotnymi zagadnieniami, ponieważ pojawiają się w istniejących obowiązkach ESPR i materiałach konsultacyjnych, ale szczegółowe obowiązki trzeba odczytać z przyjętego aktu. Sam projekt nie ustanawia jeszcze wiążących wymagań.

Niektóre zasady dla dostawców już obowiązują w ESPR i nie powinny być przedstawiane jako przyszłe przypuszczenia: dane DPP mogą być przechowywane przez podmiot gospodarczy lub dostawcę; system musi utrzymywać wysoki poziom bezpieczeństwa i prywatności; dostawcy nie mogą sprzedawać, ponownie wykorzystywać ani przetwarzać danych DPP ponad zakres niezbędny do usługi, chyba że podmiot gospodarczy wyraźnie się na to zgodzi; a art. 10 ust. 4 wymaga od podmiotu gospodarczego udostępnienia kopii zapasowej przez dostawcę usług DPP. Motyw 38 opisuje dostawcę kopii zapasowej jako niezależną stronę trzecią. Przyszły akt może uszczegółowić sposób realizacji tej podstawy, ale nie tworzy jej od zera.

Co zmienia przyjęte rozporządzenie dotyczące Rejestru

Rozporządzenie 2026/1778 nie jest zapowiadanym aktem delegowanym dla dostawców usług, ale konkretyzuje ich rolę infrastrukturalną.

Rejestr musi prowadzić listę zweryfikowanych dostawców usług DPP. Nie jest to znak jakości, akredytacja ani dowód certyfikacji dostawcy na podstawie przyszłych zasad usługowych.
Jeżeli dostawca usług działa jako uprawniony podmiot łańcucha wartości, musi zostać zweryfikowany, zanim będzie mógł tworzyć lub zmieniać rejestracje. Kontrola rejestracji sprawdza również odniesienie do dostawcy kopii zapasowej, gdy takie odniesienie jest wymagane.
Komisja musi prowadzić nadające się do odczytu maszynowego repozytorium semantyczne z udokumentowanymi API i wspólnymi formatami. Ułatwia to współdziałanie systemów, ale nie narzuca jednej architektury platform komercyjnych ani nie określa wszystkich szczegółów integracji.
Podmiot gospodarczy nadal odpowiada za prawidłowość DPP i danych rejestracyjnych. Zweryfikowany dostawca może wykonywać funkcje techniczne, ale weryfikacja w Rejestrze nie przenosi odpowiedzialności wynikającej z prawa produktowego.

Szczegółowych wymagań dotyczących dostawców, ewentualnej certyfikacji, kopii zapasowych i ciągłości usług należy szukać w przygotowywanym akcie delegowanym.

Uwaga dla baterii: ta inicjatywa ESPR nie zmienia sama w sobie rozporządzenia o bateriach. W odpowiedzi z maja 2026 r. Komisja wyjaśniła, że rozporządzenie (UE) 2023/1542 mówi o upoważnionych operatorach działających w imieniu odpowiedzialnego podmiotu gospodarczego, a nie o usługodawcach DPP zdefiniowanych w ESPR. W praktyce odpowiedzialny podmiot gospodarczy nadal odpowiada za paszport baterii. Może upoważnić operatora do obsługi technicznej lub organizacyjnej w swoim imieniu, ale to nie przenosi odpowiedzialności ani nie czyni automatycznie każdej platformy oferowanej jako usługa „usługodawcą DPP” w sensie przyszłego ESPR.

Co jest już jasne: a co wynika wyłącznie z konsultacji

Nawet przed publikacją ostatecznego aktu delegowanego kilka kwestii jest już wystarczająco jasnych.

1. Dostawcy usług DPP będą traktowani jako odrębna rola w systemie zarządzania

Komisja nie traktuje infrastruktury DPP jako niewidocznego zaplecza technicznego. Widzi ją jako funkcję wymagającą osobnych regulacji, ponieważ dostawcy usług DPP znajdują się na styku podmiotów gospodarczych, organów regulacyjnych, konsumentów, systemów celnych i organów nadzoru rynku.

2. Debata nie dotyczy tego, czy potrzebne są zasady zarządzania

Debata dotyczy tego, jak te zasady powinny wyglądać. To ważne rozróżnienie. Prace nad zasadami zarządzania już trwają. Otwarte pytania dotyczą certyfikacji, podziału ról, własności danych i wymagań technicznych.

3. Interoperacyjność ma już podstawę prawną

Art. 10 i 11 ESPR już odnoszą się do otwartych standardów, interoperacyjności i unikania uzależnienia od jednego dostawcy. Przy wyborze platformy warto oprzeć się na tych przepisach, zamiast przewidywać, który postulat konsultacyjny znajdzie się w przyszłym akcie.

4. Kopie zapasowe i ciągłość będą ważne

Ramy ESPR już zawierają zasadę, że dane DPP muszą pozostać dostępne nawet gdy pierwotny dostawca usług lub podmiot gospodarczy zakończy działalność. Debata o dostawcach dotyczy praktycznej realizacji tej zasady: kto przechowuje kopie zapasowe, kiedy są udostępniane i czy rola dostawcy kopii zapasowej powinna być wydzielona.

Co pokazuje raport Komisji z konsultacji

Raport Komisji obejmuje 275 prawidłowych odpowiedzi w konsultacjach publicznych trwających od 8 kwietnia do 1 lipca 2025 r. Podsumowuje opinie uczestników, a nie reprezentatywną próbę ludności UE ani ostateczne stanowisko Komisji. To odrębny etap od zbierania opinii w listopadzie i grudniu 2024 r.

Certyfikacja: poparcie dla zasady, różne modele

Certyfikację za raczej lub niezwykle ważną uznało 64 z 81 podmiotów gospodarczych, 71 z 89 innych uczestników łańcucha wartości i 70 z 92 potencjalnych dostawców usług.

Wśród preferowanych modeli znalazły się:

połączenie deklaracji własnej z certyfikacją przez akredytowaną stronę: 76 z 275 respondentów (27,6%)
jednostki oceniające zgodność akredytowane przez Komisję: 62 z 275 (22,5%)
jednostki oceniające zgodność akredytowane przez krajowe jednostki akredytujące: 53 z 275 (19,3%)

Żaden model nie uzyskał większości. To preferencje, nie przyjęty system certyfikacji.

Jak ocenić ofertę dostawcy

Poproś potencjalnego dostawcę o pokazanie:

eksportu danych w uporządkowanym formacie czytelnym dla innego systemu
odtworzenia kopii zapasowej oraz umownych zasad ciągłości usługi
rozdzielenia danych publicznych i z ograniczonym dostępem
kosztów i procedury zmiany dostawcy

Takie sprawdzenie pomaga ocenić usługę już dziś; nie jest prognozą wszystkich przyszłych wymogów prawnych.

Co pozostaje otwarte

Szczegółowe wymogi wobec dostawców, zasady ich oceny i terminy stosowania pozostają do ustalenia.

1. Ostateczny model certyfikacji nie został opublikowany

Nie wiadomo jeszcze, czy akt delegowany będzie wymagał pełnej certyfikacji ex ante, lżejszej oceny zgodności, certyfikacji dobrowolnej, czy modelu hybrydowego.

2. Podział zadań między platformą a dostawcą kopii zapasowej wymaga doprecyzowania

Prawne i operacyjne rozróżnienie między platformą aktywnie obsługującą DPP a podmiotem wyłącznie zapewniającym ciągłość danych jest wciąż dyskutowane.

3. Ostateczne szczegółowe wymagania techniczne nie zostały jeszcze przyjęte

Kierunek polityczny jednoznacznie sprzyja interoperacyjności, ale akt delegowany nie określił jeszcze konkretnego zestawu norm, obowiązków systemowych ani mechanizmów weryfikacji dostawców usług.

4. Nie ustalono ostatecznych kosztów i wymagań organizacyjnych

Poproś dostawcę o oddzielne wycenienie hostingu, kopii zapasowych, migracji i ewentualnej przyszłej certyfikacji. Preferencje uczestników konsultacji nie określają ostatecznych opłat ani zwolnień.

Co firmy mogą bezpiecznie zrobić już teraz

Fakt, że ostateczny akt delegowany nie został opublikowany, nie oznacza, że firmy muszą biernie czekać. Oznacza to, że powinny koncentrować się na decyzjach, które pozostaną wartościowe niezależnie od zmiany szczegółów.

1. Stawiaj na otwarte i przenoszalne dane produktowe

Nie opieraj procesu na platformie, która utrudnia eksport danych, ukrywa identyfikatory lub komplikuje migrację. Nawet bez ostatecznego aktu przenoszalność jest jednym z najbezpieczniejszych założeń.

2. Pytaj dostawców o własność danych i warunki migracji

Poważny dostawca usług DPP powinien już teraz potrafić odpowiedzieć na pytania takie jak:

kto jest właścicielem danych produktowych
jak można je wyeksportować
co się dzieje po zakończeniu usługi
jak obsługiwane są kopie zapasowe i ciągłość

Jeśli te odpowiedzi są dziś niejasne, trudno oczekiwać, że staną się prostsze po przyjęciu aktu delegowanego.

3. Traktuj zarządzanie jako część wyboru dostawcy

Nie oceniaj dostawców wyłącznie na podstawie funkcji interfejsu. Sprawdzaj ich podejście do praw dostępu, możliwości prześledzenia zmian, podziału ról, ustrukturyzowanych danych i długoterminowego utrzymania systemu.

4. Unikaj architektur, które trudno potem zmienić

Przed podpisaniem umowy porównaj formaty eksportu, zasady migracji i procedury zmian. To pomaga ograniczyć koszty zmiany dostawcy bez zakładania, że przyszły akt narzuci jedną architekturę.

Praktyczne kryteria wyboru dostawcy

Oprzyj decyzję na już przyjętych obowiązkach ESPR i dowodach działania usługi. Szczegóły przyszłej certyfikacji pozostają otwarte. Ustal w umowie dostęp do danych, eksport, kopie zapasowe, ciągłość i warunki zmiany dostawcy.

Czytaj dalej

Źródła oficjalne

Zacznij od jednego produktu: stwórz jego cyfrowy paszport na OriginPass.eu.

← Wróć do Bloga