Den 29. april 2026 offentliggjorde Europa-Kommissionen udkastet til gennemførelsesforordningen om registret over digitale produktpas (Ares(2026)4424976). Den præciserer artikel 13, stk. 5, i ESPR (forordning 2024/1781) og fastlægger, hvordan det register, der drives af Kommissionen, skal fungere teknisk og organisatorisk.
Teksten er mærket som et udkast og er endnu ikke vedtaget. De væsentligste mekanismer er dog allerede tydeligt genkendelige - og de har umiddelbare konsekvenser for enhver producent, der fra 2027 skal udstede en DPP.
Hvad registret er - og hvad det ikke er
En præcisering på forhånd: EU-registret lagrer ikke selve DPP-dataene. Det er en central registreringstjeneste, der for hver registrering opbevarer et entydigt ID, varekoden, den økonomiske aktørs identitet, en hash af DPP-versionen og en henvisning til sikkerhedskopien hos DPP-tjenesteudbyderen.
Betragtning 3 kalder dette en »decentral model«: Produktdataene opbevares fortsat hos producenten eller på dennes DPP-platform. Registret er den kanoniske adresseliste, ikke et datasilo.
Funktionelt består registret af:
- en webgrænseflade og en API til registreringer
- en verifikationsplatform for økonomiske aktører
- en liste over godkendte DPP-tjenesteudbydere
- et semantisk repository (flersproget, struktureret efter DCAT-AP) som reference for dataattributter, modelstrukturer og roller
- et logsystem med differentierede opbevaringsfrister
Verifikation før registrering
Ingen DPP oprettes i registret, før den indsendende økonomiske aktør er registreret som verificeret økonomisk aktør (art. 4). Verificeringen foregår direkte hos registret og anvender eIDAS-midlerne fra forordning 910/2014:
- Juridisk person i EU: kvalificeret elektronisk segl eller elektronisk attributattest
- Fysisk person som enkeltmandsvirksomhed i EU: kvalificeret elektronisk signatur, eID-niveau »høj« eller attributcertifikat
- Aktører uden for EU: kvalificeret signatur eller segl eller attributcertifikat
Verifikationen er gyldig i højst tre år. Hvis man ikke fornyer, bliver man markeret som »uverificeret« og mister retten til at registrere nye DPP’er eller ændre eksisterende (art. 4, stk. 4).
Denne verifikation er den juridiske forudsætning. Den foregår mellem producenten og Kommissionen - og den kan ikke delegeres. Ingen tjenesteudbyder, heller ikke Transpareo, kan varetage den for dig.
Granularitet: model, batch eller artikel
Artikel 8 kræver, at DPP’er registreres på det granularitetsniveau, som den pågældende sektorlovgivning foreskriver - model, batch eller artikel. Hvis der oprettes en artikel-DPP, og der findes batch- eller model-ID’er, skal disse medtages. For batch-DPP’er gælder det samme for model-ID’er.
For producenter betyder det: De interne stamdata skal have en klar hierarki mellem model, batch og enkeltprodukt. Uden denne sammenkædning mislykkes den automatiske validering af registreringen.
Versionering, hash og opbevaring
Hver DPP-version knyttes til det oprindelige registrerings-ID. Ved hver ændring kræver registret en hash af den aktuelle DPP-version - kryptografisk verificerbar, ikke manuelt genererbar.
Registreringsbeviset (art. 9) er et elektronisk dokument, som Kommissionen forsegler med et kvalificeret segl og forsyner med et tidsstempel. Indholdet skal som minimum omfatte: registrerings-ID, varekode, aktørens identitet, dato og hash for den seneste version. Gyldig i 90 dage, kan genoprettes efter behov.
Standardopbevaringsperiode: 10 år fra registreringen, medmindre EU-retten eller sektorretten fastsætter en anden frist (art. 10, stk. 3, i gennemførelsesforordningen til DPP-registret). Selv producentens insolvens eller likvidation fritager ikke for forpligtelsen til at sikre tilgængeligheden (ESPR, artikel 11, litra e)).
Logsystem
Registret fører log på tre niveauer (artikel 14):
- Adgang og autentificeringer: 6 måneder
- Dataændringer: Registreringens varighed
- Administrative handlinger og dataudveksling: 5 år
Nationale myndigheder får adgang i forbindelse med hændelser, revisioner eller stikprøver.
Personoplysninger - hvad Kommissionen opbevarer
Artikel 18 opregner, hvilke oplysninger der udelukkende opbevares i registret: fornavn og efternavn for hver bruger, loginoplysninger, autentificeringstokens, postadresse, e-mail. For fysiske personer derudover pas- eller identitetskortnummer, eID, skatte-ID. Disse data vedrører ikke DPP-tjenesteudbyderen. Kommissionen er dataansvarlig for disse kontooplysninger, mens den økonomiske aktør forbliver dataansvarlig for sine egne DPP-data.
Hvordan Transpareo opfylder kravene
De fleste krav vedrører arkitektoniske beslutninger, som Transpareo allerede har truffet i denne form. Nærmere bestemt:
Decentral model. Transpareo er en multi-tenant-platform med en isoleret database pr. kunde. DPP-dataene opbevares i den økonomiske aktørs database, ikke i en central pulje - netop den arkitektur, som betragtning 3 forudsætter.
Rollen som databehandler er klart afgrænset. Artikel 19, stk. 5, og artikel 20, stk. 3, fastslår, at den økonomiske aktør forbliver dataansvarlig for sine passdata, selvom en tredjepart behandler dem. Transpareo fungerer allerede i dag som databehandler med en databehandleraftale - rollerne er klart definerede.
Stabil backup-URL pr. DPP. Hver Transpareo-DPP er tilgængelig via en permanent URL, der forbliver uændret, selv når der sker versionsændringer. Det er netop, hvad artikel 8, stk. 6, litra d), kræver som »link til den backup, der hostes af en DPP-SP«.
Granularitet. Transpareos datamodel skelner mellem produktmodel, batch og enkeltprodukt og muliggør sammenkædninger på tværs af hierarkiet - hvilket er en forudsætning for at opfylde artikel 8, stk. 3 og 4.
Flersproget semantisk kortlægning. Kommissionens repository er flersproget i henhold til DCAT-AP. Transpareo fører hvert datapunkt på 40 sprog, herunder alle 24 officielle EU-sprog, hvor oversættelse er en del af prisen.
Versions-hash. Deterministisk kanonisering og en SHA-256-hash pr. DPP-version er allerede implementeret. Det eneste, der endnu ikke er fastlagt, er det nøjagtige hash-pinning-format for EU-registret; så snart Kommissionen offentliggør det, vil vi også implementere det.
Optagelse på listen over DPP-tjenesteudbydere. Transpareo vil ansøge om optagelse på den officielle liste over DPP-tjenesteudbydere (art. 2, nr. 32 i ESPR), så snart optagelsesproceduren er offentliggjort.
Registreringen forbliver hos jer. Registret accepterer kun registrering fra den økonomiske aktør, der markedsfører produktet, så vi overtager ikke denne opgave for jer. Det, vi gør, er at have de oplysninger klar, som registreringen kræver - produktidentifikator, aktøridentifikator, permanent adresse og versionshash - så det kun tager få minutter at udfylde, så snart grænsefladen er klar.
Tidsplan
Ikrafttrædelsen er reguleret i artikel 23: 20 dage efter offentliggørelse i EU-Tidende. Hvilken dag det bliver, afhænger af, hvornår Kommissionen vedtager den endelige udgave. Hovedmandatet fra artikel 13, stk. 5, i ESPR dateres til den 19. juli 2026 - inden da skal registret være klar.
Registret forventes først at blive mærkbart produktivt den 18. februar 2027: På denne dag træder artikel 77 i EU-batteriforordningen 2023/1542 i kraft, og DPP bliver obligatorisk for industri-, elbil- og LMT-batterier over 2 kWh. Vi har beskrevet detaljerne og de uafklarede spørgsmål vedrørende gennemførelsesretsakterne i ESPR-tidsplanen for 2027. Der er omkring ni måneder tilbage indtil da. Den, der planlægger leverandøraftaler, migrering af stamdata og interne godkendelser, ved: det er stramt, ikke rigeligt.
Hvad der stadig er uafklaret
Selve forordningen beskriver den organisatoriske ramme. Det, der mangler, er den tekniske specifikation af API’en - det nøjagtige grænsefladeformat, skemaerne og valideringsreglerne. Disse forventes at følge som en separat retningslinje fra Kommissionen i henhold til artikel 15, stk. 1, sandsynligvis i løbet af 2026.
Indtil da er retningen dog klar: decentral arkitektur, verificerede aktører, kvalificerede signaturer, entydige registrerings-ID’er, versionskæder, semantisk interoperabilitet. Alt sammen begreber, der er kommet for at blive.
Kommissionens officielle høringsinitiativ kan findes på Have Your Say.
Spørgsmål til dette indlæg
Er dette udkast stadig den aktuelle tekst?
Nej. Kommissionen vedtog forordningen den 16. juli 2026 som gennemførelsesforordning (EU) 2026/1778, og registret har været i drift siden den 20. juli 2026, med et testmiljø og teknisk dokumentation til de økonomiske aktører. De her beskrevne mekanismer - decentral model, verificerede aktører, registrerings-ID’er, versionshashværdier, opbevaring i ti år - fremgår også af den vedtagne tekst. Den tekniske grænseflade er dog endnu ikke endelig fastlagt. Hvad der er ændret frem til vedtagelsen, fremgår af vores analyse af registerforordningen.
Gemmer registret vores produktdata?
Nej. Det er et register - registrerings-ID, varekode, den økonomiske aktørs identitet, en hash af den aktuelle version og en henvisning til sikkerhedskopien hos tjenesteudbyderen. Produktdataene forbliver hos Dem eller på Deres platform; det er netop det, der menes med den decentraliserede model i betragtningerne. I praksis betyder det, at en registerindtastning ikke erstatter Deres egen forpligtelse til at holde passet tilgængeligt.
Hvad er eIDAS-verifikation, og hvem har brug for den?
Den økonomiske aktør selv. Inden et pas kan registreres, skal aktøren være registreret som verificeret ved hjælp af eIDAS-midlerne i forordning (EU) nr. 910/2014 - et kvalificeret elektronisk segl eller en elektronisk attributattest for juridiske personer, en kvalificeret signatur eller et eID på niveauet »høj« for enkeltmandsvirksomheder. Verifikationen er gyldig i højst tre år; hvis den udløber, bliver man markeret som uverificeret og mister retten til at registrere nye pas eller ændre eksisterende. Den gælder mellem dig og Kommissionen; ingen tjenesteudbyder kan opbevare den for dig - så sørg for at gå i gang i god tid.
Kan Transpareo stå for registreringen for os?
Nej, og i øjeblikket kan ingen udbyder det. Registret accepterer kun registreringer fra den økonomiske aktør, der markedsfører produktet (ESPR, artikel 13, stk. 4 og 5, for batterier artikel 77, stk. 10, i batteriforordningen); EU-DPP-helpdesken har bekræftet denne fortolkning, og Kommissionen undersøger ifølge egne oplysninger, om proceduren kan åbnes for tjenesteudbydere. Det, vi gør, er at gøre registreringen kortfattet - hvert pas indeholder allerede produktidentifikationsnummeret, den permanente adresse, hvor det er placeret, og det digitale fingeraftryk, der bekræfter, at det er uændret. Så snart grænsefladen er klar, indtaster De oplysningerne én gang og modtager det forseglede registreringsbevis.
På hvilket niveau registrerer vi - model, parti eller vare?
På det niveau, som sektorreglerne foreskriver. Hvis der registreres et artikelpas, og der findes batch- eller model-ID’er, skal disse medtages; for batchpas gælder det samme for model-ID’er (artikel 8 i udkastet). Dette udgør ikke et problem med registret, men derimod et problem med stamdataene - Deres egen hierarki mellem model, batch og enkeltprodukt skal være korrekt, inden registreringen foretages, ellers mislykkes den automatiske validering.
Hvor længe skal et registreret pas være tilgængeligt?
Ti år fra registreringen er standarden, medmindre EU-retten eller sektorspecifik lovgivning fastsætter en anden frist (art. 10, stk. 3). Producentens insolvens eller likvidation fritager ikke for forpligtelsen til at sikre tilgængeligheden (ESPR, artikel 11, litra e)) - derfor bør spørgsmålet om, hvad der sker med dine pas efter en opsigelse, indgå i enhver forhandling med en udbyder. Hos Transpareo opbevares hver offentliggjort version i ti år i et separat, skrivebeskyttet arkiv og forbliver tilgængelig via en permanent adresse.
Skal vi selv generere versionshash'en?
Registeret kræver ved hver ændring en hash af den aktuelle version, som skal kunne verificeres kryptografisk og ikke være indtastet manuelt. Den, der har adgangskoden, genererer den - i praksis altså platformen. Transpareo kanoniserer deterministisk og beregner en SHA-256-hash for hver version; det eneste, der er uklart, er det nøjagtige format, som registret forventer. Hvis du selv bygger pass-lageret, er det den del, du først skal få på plads - en hash, som ingen kan gengive, er værre end slet ingen.
Registreringsbeviset er gyldigt i 90 dage. Hvad dækker de ti år?
Inden for denne frist udsteder registret på anmodning et nyt bevis; de 90 dage angiver altså dokumentets gyldighedsperiode og ikke registreringens. En opbevaring i over ti år forudsætter imidlertid, at den oprindelige erhvervsaktør stadig eksisterer og kan anmode om en ny attest - derfor har vi i vores tilbagemelding til Kommissionen foreslået et offentligt verifikationsendepunkt og midlertidigt lagringsbare attest-bytes (vores fire indlæg). Indtil denne verifikationsendepunkt er på plads, skal De opbevare den modtagne forseglede attest i stedet for at stole på, at den kan genudstedes.
