Proszę wyobrazić sobie kontrolę w 2029 roku. Klient zleca audyt Państwa łańcucha dostaw, a audytor pyta, na podstawie jakiego tekstu sporządzono paszport produktu. Prawidłowa odpowiedź to taka, która od tamtego czasu nie uległa zmianie: ta sama norma, ta sama wersja, ta sama kontrola, co wówczas.
Jeszcze do niedawna taka odpowiedź nie istniała. Kto tworzył paszport, ten opierał się na projektach, a każda nowa wersja mogła zmienić cel. Od lipca 2026 roku treść ta jest ustalona.
W niniejszym artykule wyjaśniono, co to oznacza dla Państwa, które z ośmiu norm są już ustalone oraz jakie wymagania stawia każda z nich. Ponadto przedstawiono, w jaki sposób firma Transpareo spełnia obecnie wymagania każdej z norm.
Co oznacza termin „zharmonizowane”
W dniu 15 lipca 2026 r. UE opublikowała w Dzienniku Urzędowym pierwsze sześć norm dotyczących cyfrowego paszportu produktu wraz z decyzją wykonawczą (UE) 2026/1736. Od tego czasu normy te są zharmonizowane. Termin ten brzmi technicznie, ale oznacza dwie proste rzeczy.
Po pierwsze: treść nie ulegnie już zmianom. Dzisiejsza ocena luk będzie miała zastosowanie również w przyszłym roku.
Po drugie: Każdy, kto spełnia normy, uznaje się za zgodnego z przepisami art. 10 i 11 ESPR - rozporządzenia stanowiącego podstawę paszportu produktu - i nie musi tego samodzielnie udowadniać. Mogą Państwo również spełniać te artykuły w inny sposób, jednak wówczas ciężar dowodu spoczywa na Państwa.
Treść jest ustalona, a każdy, kto ją spełnia, uznaje się za zgodnego z przepisami.
W związku z tym liczy się dla Państwa tylko jedno pytanie: czy platforma, której powierzają Państwo swoje paszporty, spełnia te normy już dzisiaj? Nasza platforma je spełnia. Oto dowód, norma po normie.
Identyfikatory i nośniki danych: EN 18219 i EN 18220
EN 18219 (unikalne identyfikatory). Każdy paszport posiada trwały identyfikator, który nie należy do żadnego serwera, oraz identyfikator produktu w postaci GS1 Digital Link, który może odczytać każdy skaner; zawiera on dane odpowiedzialnego producenta w postaci kodu LEI lub GLN. Identyfikator ten zachowuje ważność nawet w przypadku zniknięcia domeny lub dostawcy.
EN 18220 (nośniki danych). Kod QR umieszczony na produkcie otwiera się w każdej przeglądarce, bez konieczności korzystania z aplikacji ani dodatkowego oprogramowania. Wymagania normy dotyczące nośników danych są już stosowane w praktyce.
Przechowywanie i wymiana danych: EN 18221 i EN 18216
EN 18221 (przechowywanie i archiwizacja). Każda opublikowana wersja jest zamrażana, podpisywana i umieszczana w archiwum, w którym nie można już wprowadzać żadnych zmian i które jest przystosowane do długotrwałego przechowywania. Każda wersja jest powiązana z poprzednią za pomocą „odcisku palca”, dzięki czemu brakująca lub zmieniona wersja zostanie natychmiast zauważona.
EN 18216 (Wymiana danych). Dostarczamy format danych przewidziany w normie za pośrednictwem standardowych protokołów internetowych. Żadnego specjalnego formatu, żadnej własnej struktury.
Model danych i interfejsy: EN 18223 i EN 18222
EN 18223 (model danych). To właśnie nasza największa zaleta. Nasz model danych ma otwartą strukturę i zawiera osobny słownik dla każdego rozporządzenia, dokładnie tak, jak wymaga tego wstęp do normy. Każdy element opisuje sam siebie, zawierając odniesienie do właściwości, słownika i typu danych. Przed uruchomieniem systemu porównaliśmy go klauzula po klauzuli z normą EN 18223; norma ta stanowi dla nas format wyjściowy, a nie podstawę do tworzenia nowego rozwiązania. Jak to wygląda w szczegółach, można sprawdzić na stronie „Podatek od szczegółowości” wynikający z normy EN 18223 i dlaczego go nie płacimy.
EN 18222 (interfejsy). Odczytywanie paszportu na podstawie identyfikatora lub kodu produktu, tworzenie paszportów - pojedynczo lub w partiach liczących tysiące, precyzyjne pobieranie dowolnej wersji: interfejsy przewidziane w normie do obsługi paszportu stanowią część platformy. Państwa systemy odczytują i zapisują paszporty zgodnie z opisem zawartym w normie.
Dwie normy, które wkrótce wejdą w życie: EN 18246 i EN 18239
Nie wspomniano jeszcze o dwóch normach dotyczących zaufania i bezpieczeństwa. Również te normy już spełniamy.
EN 18246 (autentyczność i integralność). Każdy paszport jest podpisany i samodzielnie weryfikuje się w przeglądarce użytkownika, w trybie offline, przy użyciu klucza publicznego. Czytelnik może sprawdzić, czy dane są nienaruszone i od kogo pochodzą, bez konieczności zwracania się do nas, a wydawca nie może zaprzeczyć swojemu podpisowi. Niezmienialne archiwum zabezpiecza historię. Dokładnie tego wymaga norma. Sposób działania podpisów opisano w sekcji „Podpisy i certyfikaty” w DPP.
EN 18239 (prawa dostępu i poufność). Cztery poziomy dostępu - publiczny, na żądanie, uzasadniony interes oraz organy władzy - już dziś dokładnie odzwierciedlają grupy adresatów wymienione w art. 77 ust. 2 rozporządzenia w sprawie baterii. Każdy klient jest oddzielony od pozostałych, a organy władzy otrzymują własny, zweryfikowany kanał komunikacji.
A ponieważ nasza warstwa zaufania jest od samego początku starannie odizolowana, dostosujemy ostatnie szczegóły tych dwóch norm w ciągu kilku dni, gdy tylko zostaną one przywołane, bez konieczności wprowadzania zmian w strukturze systemu.
Gdzie obecnie się znajdujemy
To jest odpowiedź, która ma znaczenie: cel jest ustalony, a nasza platforma go realizuje. Ściśle uczestniczyliśmy w opracowywaniu tego zmiennego celu, dopóki jeszcze ulegał on zmianom, a teraz, gdy jest już ustalony, praktycznie nie musimy niczego zmieniać. Spełniamy już dziś wymagania sześciu zharmonizowanych norm, a dwie kolejne zostały wbudowane w system.
Kto zaczyna teraz, nie buduje już w oparciu o zmienny projekt, lecz w oparciu o stały cel oraz platformę, która spełnia dla niego wymagania norm.
Termin obowiązujący dla Państwa produktu zależy od przepisów obowiązujących w Państwa branży; informacje te znajdują się w naszym branżowym kompendium, a w przypadku baterii - szczegółowo w harmonogramie ESPR na rok 2027. Normy są gotowe. My również.
Pytania dotyczące tego wpisu
Czy te sześć norm ma charakter obowiązkowy?
Nie. Norma zharmonizowana stanowi sposób na osiągnięcie zgodności z przepisami, a nie samodzielny obowiązek. Kto ją spełnia, uznaje się za zgodnego z art. 10 i 11 rozporządzenia ESPR, może jednak wykazać zgodność również w inny sposób. Sam tekst rozporządzenia wejdzie w życie 15 lipca 2026 r. W decyzji wykonawczej (UE) 2026/1736 wymieniono sześć norm, a zatem cel, do którego dążą Państwo, pozostaje niezmienny.
Jakie praktyczne korzyści płyną z tego, że uznaje się nas za podmiot przestrzegający przepisów?
Odwraca to ciężar dowodu. Bez norm muszą Państwo samodzielnie wykazać organowi nadzoru rynku, że identyfikator, nośnik danych, sposób przechowywania oraz interfejsy są zgodne z art. 10 i 11. Dzięki normom wystarczy odniesienie do nich, o ile nikt nie udowodni, że jest inaczej. Ma to największe znaczenie właśnie wtedy, gdy sytuacja jest najmniej sprzyjająca - podczas kontroli przeprowadzanej wiele lat po tym, jak osoba, która opracowała paszport, opuściła przedsiębiorstwo.
Czy musimy kupować i zapoznawać się z normami?
Muszą Państwo wiedzieć, czego wymagają; to, czy je Państwo zakupią, to już inna kwestia. Te sześć norm dotyczy identyfikatorów (EN 18219), nośników danych (EN 18220), przechowywania i archiwizacji (EN 18221), wymiany danych (EN 18216), model danych (EN 18223) oraz interfejsy (EN 18222) - są to wyłącznie elementy realizowane przez platformę, na której przechowywane są Państwa paszporty, a nie pola, które należy wypełniać dla każdego produktu z osobna. Jeśli samodzielnie tworzą Państwo bazę paszportów, proszę się z nimi zapoznać. Jeśli nie tworzą Państwo bazy samodzielnie, proszę poprosić dostawcę o przedstawienie zgodności z normami, punkt po punkcie.
Kiedy zostaną opublikowane te dwie brakujące normy?
Normy EN 18246 dotycząca autentyczności i integralności oraz EN 18239 dotycząca praw dostępu i poufności nie zostały jeszcze przytoczone. Osoby spełniające te normy nie są zatem automatycznie uznawane za zgodne z przepisami. Mogą Państwo już teraz spełnić te wymagania, stosując podpisane paszporty, które samodzielnie weryfikują się względem klucza publicznego, posiadają niezmienną historię oraz poziomy dostępu odpowiadające adresatom wymienionym w art. 77 ust. 2 rozporządzenia w sprawie baterii. Transpareo już dziś wdraża oba te standardy, dlatego ich uwzględnienie w niniejszym dokumencie nie spowoduje konieczności wprowadzania zmian.
Czy paszporty wydane przed opublikowaniem wezwania muszą zostać ponownie wydane?
Nie. Cytat zmienił status tekstu, a nie wymogi określone w art. 10 i 11. Paszport, który wcześniej spełniał te wymogi, nadal je spełnia. Zmienia się jedynie możliwość planowania. Dzisiejsza weryfikacja pod kątem luk pozostaje ważna, zamiast tracić ważność wraz z pojawieniem się kolejnej wersji projektu. Jeśli jednak ujawni się luka, korekta polega na opublikowaniu nowej, podpisanej wersji, a poprzednia pozostaje dostępna.
Czy zgodność z normami oznacza, że jesteśmy gotowi do wpisania do rejestru UE?
Oba te elementy pokrywają się, jednak są to różne obowiązki. Normy regulują sposób identyfikacji, przechowywania, wymiany i odczytu paszportu; rejestr wymaga natomiast wpisania faktu posiadania paszportu - przy użyciu tożsamości zweryfikowanej zgodnie z rozporządzeniem eIDAS - oraz prowadzenia tego wpisu przez dziesięć lat. Wpis musi dokonać sam podmiot gospodarczy; usługodawca nie może obecnie tego za niego wykonać. Prace nad normami sprawiają, że proces wpisu jest krótki, ponieważ identyfikator, adres i odcisk palca istnieją już wcześniej.
W jaki sposób weryfikujemy oświadczenie dostawcy?
Proszę pozwolić, aby pokazano Państwu ilustrację, klauzula po klauzuli, wraz z dokumentacją potwierdzającą: identyfikatorem przypisanym do danego paszportu, podpisaną wersją, którą można zweryfikować bez konieczności zwracania się do dostawcy, archiwum zawierającym wcześniejsze wersje oraz interfejsem umożliwiającym odczytanie paszportu na podstawie jego identyfikatora. Kto „popiera normy”, ale nie potrafi wymienić żadnej klauzuli, posługuje się jedynie frazą marketingową. Nasze przedstawienie norm znajduje się w niniejszym artykule, norma po normie, a każdy paszport Transpareo można niezależnie zweryfikować za pomocą otwartego oprogramowania Transpareo Time Machine.
