На 29 април 2026 г. Европейската комисия публикува проекта на регламент за прилагане относно регистъра на цифровите паспорти на продуктите (Ares(2026)4424976). Той конкретизира член 13, параграф 5 от ESPR (Регламент 2024/1781) и определя как ще функционира технически и организационно регистърът, управляван от Комисията.
Текстът е обозначен като проект и все още не е приет. Основните механизми обаче вече са ясно различими - и те имат непосредствени последствия за всеки производител, който от 2027 г. нататък трябва да издава DPP.
Какво представлява регистърът - и какво не е
Едно уточнение още в началото: Регистърът на ЕС не съхранява самите данни от DPP. Това е централизирана услуга за регистриране, която за всяка регистрация съхранява уникален идентификационен номер, кода на стоката, самоличността на икономическия субект, хеш на версията на DPP и препратка към резервното копие при доставчика на DPP услуги.
В съображение 3 това се нарича „децентрализиран модел“: данните за продуктите продължават да се съхраняват при производителя или на неговата DPP-платформа. Регистърът е каноничният списък с адреси, а не хранилище на данни.
Функционално регистърът се състои от:
- уеб интерфейс и API за регистрации
- платформа за верификация на икономическите субекти
- списък на одобрените доставчици на DPP услуги
- семантично хранилище (многоезично, структурирано по DCAT-AP) като референция за атрибути на данните, моделни структури и роли
- система за регистриране с диференцирани срокове за съхранение
Проверка преди регистрация
Никоя DPP не се вписва в регистъра, преди подаващият заявление икономически субект да бъде вписан като „верифициран икономически оператор“ (чл. 4). Проверката се извършва директно в регистъра и използва средствата по eIDAS от Регламент 910/2014:
- Юридическо лице в ЕС: квалифициран електронен печат или електронен сертификат за атрибути
- Физическо лице като едноличен търговец в ЕС: квалифициран електронен подпис, eID ниво „високо“ или удостоверение за атрибути
- Субекти извън ЕС: квалифициран подпис или печат, или удостоверение за атрибути
Верификацията е валидна за срок от максимум три години. Който не поднови валидността, се маркира като „неверифициран“ и губи правото да регистрира нови DPP или да променя съществуващи (чл. 4, ал. 4).
Тази верификация е правното изискване. Тя се извършва между производителя и Комисията - и не може да бъде делегирана. Нито един доставчик на услуги, включително и Transpareo, не може да я извърши вместо Вас.
Ниво на детайлност: модел, партида или артикул
Член 8 изисква DPP да се регистрират на нивото на детайлност, предвидено в съответния секторен нормативен акт - модел, партида или артикул. Когато се създава DPP за артикул и съществуват идентификатори на партида или модел, те трябва да бъдат включени. При DPP за партида важи същото за идентификаторите на модел.
За производителите това означава: вътрешните основни данни се нуждаят от ясна йерархия между модел, партида и отделен продукт. Без тази връзка автоматичната валидация на регистрацията се проваля.
Версии, хеш и съхранение
Всяка версия на DPP се свързва с първоначалния регистрационен идентификатор. При всяка промяна регистърът изисква хеш на текущата версия на DPP - криптографски проверим, който не може да бъде генериран ръчно.
Доказателството за регистрация (чл. 9) е електронен документ, който Комисията подпечатва с квалифициран печат и снабдява с времева марка. Съдържанието включва най-малко: регистрационен идентификатор, код на стоката, самоличност на участника, дата и хеш на последната версия. Валиден 90 дни, може да се генерира отново по всяко време.
Стандартно съхранение: 10 години от датата на регистрация, освен ако правото на Съюза или секторното право не предвиждат друг срок (чл. 10, ал. 3 от Регламента за прилагане на регистъра на DPP). Дори несъстоятелност или ликвидация на производителя не освобождават от задължението за достъпност (ESPR, чл. 11, буква е)).
Система за регистриране
Регистърът води тристепенно регистриране (чл. 14):
- Достъпи и удостоверявания: 6 месеца
- Промени в данните: за срока на регистрацията
- Административни действия и обмен на данни: 5 години
Националните органи получават достъп при инциденти, одити или проверки на извадки.
Лични данни - какво съхранява Комисията
Член 18 изброява кои данни се съхраняват изключително в регистъра: име и фамилия на всеки потребител, данни за вход, токени за удостоверяване, пощенски адрес, имейл. За физическите лица - допълнително номер на паспорт или лична карта, eID, данъчен номер. Тези данни не са от значение за доставчика на DPP услуги. Комисията е администратор на тези данни за акаунта, а икономическият субект остава администратор на своите DPP данни.
Как Transpareo отговаря на изискванията
Повечето изисквания засягат архитектурни решения, които Transpareo вече е взел в тази форма. По-конкретно:
Децентрализиран модел. Transpareo е мулти-тенантна платформа с изолирана база данни за всеки клиент. Данните за DPP се съхраняват в базата данни на икономическия субект, а не в централизиран пул - точно такава архитектура, каквато изисква съображение 3.
Ролята на обработващия лични данни е ясно разграничена. Членове 19, параграф 5 и 20, параграф 3 предвиждат, че икономическият субект остава администратор на своите данни за пропуски, дори ако трета страна ги обработва. Transpareo вече работи като обработващ лични данни въз основа на договор за обработка на лични данни (AVV) - ролите са ясно разграничени.
Стабилни резервни URL адреси за всеки DPP. Всеки DPP на Transpareo е достъпен чрез постоянен URL адрес, който не се променя дори при промени във версиите. Точно това изисква чл. 8, ал. 6, буква г) като „връзка към резервното копие, хоствано от DPP-SP“.
Гранулярност. Моделът на данните на Transpareo прави разграничение между модел на продукта, партида и единичен продукт и позволява връзки по цялата йерархия - което е предпоставка за спазване на чл. 8, параграфи 3 и 4.
Многоезично семантично съпоставяне. Хранилището на Комисията е многоезично съгласно DCAT-AP. Transpareo поддържа всяка точка от данните на 40 езика, включително всички 24 официални езика на ЕС, като преводът е част от тарифата.
Хеш на версиите. Детерминистичната канонизация и SHA-256 хеш за всяка версия на DPP вече са внедрени. Единственото неясно нещо е точният формат за фиксиране на хеша в регистъра на ЕС; веднага щом Комисията го публикува, ние ще го внедрим допълнително.
Включване в списъка на доставчиците на DPP услуги. Transpareo ще кандидатства за включване в официалния списък на доставчиците на DPP услуги (чл. 2, т. 32 от ESPR), веднага щом бъде публикувана процедурата за включване.
Вписването остава ваша отговорност. Регистърът приема регистрация само от икономическия субект, който пуска продукта на пазара, така че ние не ви освобождаваме от тази отговорност. Това, което правим, е да подготвим данните, изисквани за вписването - идентификатор на продукта, идентификатор на икономическия субект, постоянен адрес и хеш на версията - така че попълването да отнеме само няколко минути, веднага щом интерфейсът е готов.
График
Влизането в сила се урежда от член 23: 20 дни след публикуването в Официален вестник. Кой ден ще бъде това зависи от това кога Комисията ще приеме окончателния вариант. Основният мандат по член 13, параграф 5 от ESPR е от 19 юли 2026 г. - дотогава регистърът трябва да бъде готов.
Очаква се регистърът да започне да функционира пълноценно едва на 18 февруари 2027 г.: На тази дата влиза в сила член 77 от Регламента на ЕС за батериите 2023/1542, и DPP става задължително за промишлени батерии, батерии за електромобили и батерии за леки моторни превозни средства с капацитет над 2 kWh. Подробностите и отворените въпроси относно акта за прилагане сме описали в графика на ESPR за 2027 г. Дотогава остават около девет месеца. Който планира договори с доставчици, миграция на базови данни и вътрешни одобрения, знае: времето е кратко, а не изобилно.
Какво остава неясно
Самият регламент описва организационната рамка. Това, което липсва, е техническата спецификация на API - точният формат на интерфейса, схемите, правилата за валидиране. Тя се очаква да последва като отделна насока на Комисията съгласно чл. 15, ал. 1, вероятно още през 2026 г.
Дотогава обаче посоката е ясна: децентрализирана архитектура, верифицирани участници, квалифицирани подписи, еднозначни регистрационни идентификатори, верига от версии, семантична оперативна съвместимост. Всички тези концепции вече няма да изчезнат.
Официалната инициатива за консултации на Комисията е достъпна на Have Your Say.
Въпроси относно тази публикация
Този проект все още ли е актуалният текст?
Не. Комисията прие регламента на 16 юли 2026 г. като Регламент за изпълнение (ЕС) 2026/1778, а регистърът функционира от 20 юли 2026 г., с тестова среда и техническа документация за икономическите субекти. Описаните тук механизми - децентрализиран модел, верифицирани участници, регистрационни идентификатори, хеш-кодове на версиите, десетгодишен срок на съхранение - са включени и в приетия текст. Техническият интерфейс все още не е окончателно определен. Промените, настъпили до момента на приемането, са описани в нашия анализ на регламента за регистъра.
В регистъра се съхраняват ли данните за нашите продукти?
Не. Това е регистър - регистрационен идентификационен номер, код на стоката, идентичност на икономическия субект, хеш на текущата версия и препратка към резервното копие при доставчика на услугата. Данните за продукта остават при вас или на вашата платформа - точно това има предвид децентрализираният модел, посочен в съображенията. На практика това означава, че вписването в регистъра не замества вашето задължение да поддържате паспорта достъпен.
Какво представлява верификацията по eIDAS и на кого е необходима?
Самият икономически субект. Преди да може да бъде регистриран паспорт, субектът трябва да бъде вписан като верифициран, съгласно изискванията на eIDAS, съдържащи се в Регламент (ЕС) № 910/2014 - квалифициран електронен печат или електронен сертификат за атрибути за юридически лица, квалифициран подпис или eID от ниво „високо“ за еднолични търговци. Проверката е валидна най-много три години; ако я оставите да изтече, ще бъдете маркирани като „непроверени“ и ще загубите правото да регистрирате нови паспорти или да променяте съществуващи. Тя се сключва между вас и Комисията, никой доставчик на услуги не може да я поддържа вместо вас - затова започнете с това навреме.
Може ли Transpareo да се заеме с регистрацията от наше име?
Не, и към момента никой доставчик не може да го направи. Регистърът приема заявката само от икономическия субект, който пуска продукта на пазара (ESPR, чл. 13, ал. 4 и 5; за батериите - чл. 77, ал. 10 от Регламента за батериите); Help-Desk на EU-DPP потвърди това тълкуване, а Комисията, според собственото си изявление, проучва дали процедурата може да бъде отворена за доставчиците на услуги. Това, което правим, е да опростим регистрацията - всеки паспорт вече съдържа идентификационния номер на продукта, постоянния адрес, на който се намира, и „отпечатъка“, който доказва, че не е бил променян. Веднага щом интерфейсът бъде готов, въведете данните веднъж и ще получите завереното удостоверение за регистрация.
На какво ниво извършваме регистрацията - модел, партида или артикул?
На нивото, предвидено в секторния нормативен акт. Ако се регистрира паспорт на артикул и съществуват идентификатори на партида или модел, те трябва да бъдат включени; за паспортите на партиди важи същото и за идентификаторите на модел (член 8 от проекта). Резултатът не е проблем с регистъра, а проблем с основните данни - вашата собствена йерархия между модел, партида и отделен продукт трябва да бъде изрядна преди въвеждането, в противен случай автоматичната валидация ще се провали.
Колко дълго трябва да остане валиден регистрираният паспорт?
Стандартният срок е десет години от датата на регистрация, освен ако правото на Съюза или секторното право не предвиждат друг срок (чл. 10, ал. 3). Несъстоятелността или ликвидацията на производителя не освобождават от задължението за достъпност (ESPR, чл. 11, буква е) - затова въпросът какво ще се случи с вашите паспорти след прекратяване на договора трябва да бъде част от всеки разговор с доставчика. При Transpareo всяка публикувана версия се съхранява в продължение на десет години в отделен архив със защита срещу запис и остава достъпна на постоянен адрес.
Трябва ли сами да генерираме хеша на версията?
Регистърът изисква при всяка промяна хеш на текущата версия, който да може да бъде криптографски проверен и да не е въведен ръчно. Този, който притежава паролата, го генерира - на практика това е платформата. Transpareo канонизира детерминистично и изчислява SHA-256 хеш за всяка версия; единственото, което остава неясно, е точният формат, в който регистърът го очаква. Ако сами изграждате паметта за пароли, това е частта, която трябва да направите правилно от самото начало - хеш, който никой не може да възпроизведе, е по-лош от липсата на такъв.
Доказателството за регистрация е валидно 90 дни. Какво обхваща този десетгодишен период?
В рамките на този срок регистърът генерира ново удостоверение при поискване, така че 90-те дни представляват срока на валидност на документа, а не на регистрацията. Съхранението за период от над десет години обаче предполага, че първоначалният икономически субект все още съществува и може да поиска ново удостоверение - затова в отговора ни към Комисията предложихме публична точка за проверка и байтове от удостоверението, които могат да се съхраняват временно (нашите четири предложения). Докато този край не бъде въведен, съхранявайте полученото заверено удостоверение, вместо да разчитате на неговото повторно генериране.
