kuinka varmistan, että tuotepassin tiedot ovat turvassa

Pääsy, jäljitettävyys ja muutossuoja ovat ydinasia

Digitaalisen tuotepassin turvallisuus perustuu kolmeen asiaan: vain valtuutetut osapuolet voivat nähdä tai muuttaa tiettyjä tietoja, tiedot voidaan jäljittää siihen, kuka ne on toimittanut, eikä kukaan voi muuttaa passia jälkikäteen huomaamatta. ESPR (asetus (EU) 2024/1781) vahvistaa tämän järjestelmävaatimukseksi, jossa passi toimii, ei passin kokoamisen vastuullisen osapuolen vapaaksi valinnaksi. Tämä tarkoittaa, että passin isännöivän alustan on jo teknis tasolla järjestettävä tämä — teräskauppias tai metallinkäsittelijä, joka antaa passin valmistaa, ei tarvitse rakentaa tätä itse, mutta on hyvä tietää, mitä tosiasiassa taataan ja mitä ei.

Kenelle tämä koskee ja mikä jää pois

Nämä turvallisuusvaatimukset koskevat digitaalista tuotepassia itsessään: QR-koodin kautta saatavissa olevaa datatiedostoa ja järjestelmää, joka säilyttää ja näyttää sen tiedoston. Ne koskevat kysymystä siitä, kuka saa nähdä tiedot, kuka saa muuttaa niitä ja onko muutoksen alkuperä dokumentoitu. Ne eivät koske kysymystä siitä, ovatko passin sisällöt oikein — se on tietojenkysymys, ei turvallisuuskysymys. Ne eivät myöskään koske fyysistä QR-koodia tuotteella: kuinka se kiinnitetään ja pysyykö se luettavana, kuvataan sivulla kuinka QR-koodi päätyy teräkseen, ja se on eri kysymys kuin koodin takana oleva tietoturva. Ja nämä vaatimukset eivät kerro mitään tietystä IT-järjestelmästä tai toimittajan tuotteesta: asetus määrää toiminnallisuuden, ei tekniikkaa.

Yhtä tärkeää on erottelu siitä, kuka saa nähdä mitkä tiedot. Kaikki passin tiedot eivät ole kaikkien tarkoitettuja — jotkut tiedot on tarkoitettu loppukäyttäjälle, jotkut markkinaasiantuntijalle, jotkut vain valvontaviranomaiselle. Tämä porrastettu pääsy on osa samaa turvallisuuskysymystä, mutta tarkka jako täydennetään tuoteryhmittäin ja ei siis ole vielä yksityiskohtaisesti vahvistettu.

Vielä ei määrättyä voimaantulopäivää, mutta kuitenkin vahvistettu puitteet

Ei ole vielä lopullista päivää, jolloin nämä turvallisuusvaatimukset tulevat voimaan raudalle ja teräkselle. Euroopan komission työsuunnitelma olettaa ensimmäisen delegoidun säädöksen vuonna 2026, velvoitteet tulevat sitten voimaan; heti kun säädös on julkaistu, päivä ilmoitetaan tässä. Mikä on jo vahvistettu, ovat itse ESPR:n puitteet: artikla 10 ja artikla 11 kuvaavat vaatimukset passille ja tekniselle mallille, eikä tämä teksti muutu enää — vain tuotespesifit toteutukset ja voimaantulopäivä puuttuvat vielä. Tähän saakka ei ole laillista velvollisuutta tuottaa teräksen tuotepassia, mutta turvallisuusvaatimukset, jotka sitten tulevat voimaan, on jo luettavissa asetuksesta.

Mitä siitä käytännössä seuraa

Passin järjestämisen yhteydessä turvallisuuskysymys palaa aina samassa järjestyksessä. Ensinnäkin: kuka toimittaa tiedot ja onko tämä alkuperä dokumentoitu? Passi kootaan valmistajan tai maahantuojan tiedoista, ja myöhemmin tulee olla jäljitettävissä, kuka on syöttänyt mitä tietoa. Toiseksi: kuka saa muuttaa passia julkaisemisen jälkeen? Asetus vaatii, että passia ei voi muuttaa huomaamatta — muutoksen tulee olla näkyvä tai tarkistettavissa, ei salaa ylikirjoitettu. Kolmanneksi: kuka näkee mitkä tiedot? Teräskauppias, joka välittää passin eteenpäin asiakkaalle, ei tarvitse huolehtia järjestelmän sisäisistä pääsyoikeuksista — se on passin isännöivän osapuolen vastuu — mutta on kuitenkin hyvä tietää, että kaikki tiedot eivät tarvitse olla julkisesti saatavilla.

Jos tuotteen digitaalista passia haluaa kytkeä olemassa olevaan ERP- tai varaston hallintajärjestelmään, kannattaa esittää tämä turvallisuuskysymys ajoissa: sisäisestä järjestelmästä automaattisesti julkiseen passiin virtaavat tiedot on suojattava luvattomalta muutokselta siirtäessä. Lisätietoja on sivulla passin kytkemisestä omaan järjestelmään. Myös kysymys siitä, kuinka kauan passi on saatavilla ja muuttumattomana sen julkaisemisen jälkeen, liittyy näihin turvallisuusvaatimuksiin; aiheesta käsitellään erikseen sivulla kuinka kauan tuotteen digitaalinen passi pysyy saatavilla.

Yrittäjälle, jolla ei ole omaa IT-osastoa, käytäntö supistuu tarkistuskysymykseksi passin isännöivää osapuolta kohtaan: pystyykö se osoittamaan, kuka on toimittanut mitkä tiedot, onko olemassa suoja huomaamattomia muutoksia vastaan, ja onko arkaluontoisten tietojen pääsy eristetty passin julkisesta osasta? Nämä eivät ole oikeudellisia kysymyksiä vaan käytännöllisiä, ja ne voidaan esittää ilman, että on välttämätöntä tuntea itse säännöstöä.

Missä se on: ESPR:n 10 ja 11 artikla

ESPR:n 10 artikla (asetus (EU) 2024/1781) kuvaa vaatimukset, joille digitaalisen tuotteen passin on vastattava, muun muassa eri käyttäjätyyppien pääsy tietoihin. 11 artikla käsittelee erityisesti passin teknistä suunnittelua ja toimintaa, ja siinä määritellään jäljitettävyys, suoja manipuloituja vastaan ja taustalla olevan järjestelmän toiminta. Molemmat artiklaaryhmät muodostavat yhdessä puitteet, joista turvallisuusvaatimukset seuraavat; tekninen täydentäminen tulee vielä julkaistavissa olevissa delegoiduissa säädöksissä.

Jos haluaa jo nyt aloittaa tuotteen digitaalisella passilla, kannattaa aloittaa omien tietovirtojen saattamisella järjestykseen — määrittämällä, kuka toimittaa mitkä tiedot ja miten niitä hallinnoidaan — niin että sitten, kun velvoite ja tekniset yksityiskohdat lopulta vahvistuvat, muutoksia ei tarvitse tehdä paljon.

Mistä tämä perustuu

Asetus itsessään on EUR-Lexissä. Viitaamme kullakin väitteellä; ette tarvitse uskomaan meitä.

Mitä sinun on konkreettisesti tehtävä

Mitä sinulta odotetaan

ESPR asettaa tuotteen digitaaliselle passille vaatimuksia, jotka koskevat paitsi sitä, mitä tietoja siinä on, myös sitä, miten tiedot hallinnoidaan ja suojataan. ESPR:n 10 ja 11 artikla (asetus (EU) 2024/1781) muodostavat yhdessä perustan tälle: 10 artikla kuvaa vaatimukset, joille passin on vastattava, 11 artikla käsittelee erityisesti teknistä suunnittelua ja toimintaa. Teräskauppiaalle tai metallin jalostajalle, joka järjestää tämän ensimmäisen kerran, se hajoaa useiksi käytännöllisiksi huomioitaviksi seikoiksi.

Tietojen pääsyn säätäminen roolin mukaan

Jokainen, joka kuullustaa passia, ei tarvitse nähdä samoja tietoja. Rakennusyrityksen ostajalla on erilainen informaation tarve kuin valvontaviranomaisella tai kierrättäjällä tuotteiden elinkaaren lopussa. ESPR:n 10 artikla lähtee erilaistuneet pääsyoikeuksista: jotkut tiedot ovat julkisia, toiset näkyvät vain tietyille osapuolille, kuten markkinaosapuolille tai viranomaisille. 10–100 työntekijän yritykselle tämä tarkoittaa sitä, että ennen kuin passi otetaan käyttöön, on tehtävä päätös siitä, kuka näkee mitkä tietokerrokset — ja että päätös on myös teknisesti toteutettu, ei vain paperilla.

Tietojen alkuperän ja oikeellisuuden varmistaminen

Tuotteen digitaalinen passi on arvokas vain, jos siinä olevat tiedot ovat oikein ja jäljitettävissä lähteeseen. Se koskettaa koko järjestelmän luotettavuutta: jos ostaja ei voi selvittää, mistä tieto on peräisin, passi menettää tehtävänsä. Käytännössä tämä tarkoittaa, että on dokumentoitava, kuka on toimittanut mitkä tiedot — valmistaja, tuoja tai välittäjä — ja milloin se on tapahtunut. Yrityksille, jotka eivät itse syötä tietoja vaan välittävät niitä, on tärkeää tietää, miten tiedot on toimitettu oikeassa muodossa, koska virheellinen toimittaminen heijastuu ketjun pitemmälle aiheuttaen epäluotettavan passin.

Suoja muutoksia vastaan julkaisemisen jälkeen

Artikla 11 ESPR:stä määritetään, että digitaalisen tuotepassin tulee toimia teknisesti siten, että tietoja ei voida muuttaa huomaamatta niiden tallentamisen jälkeen. Metallinjalostajalle, joka ei isännöi passia itse vaan antaa sen isännöitäväksi — kuten tämän kaltaisen alustan kautta — tämä tarkoittaa sitä, että isännöintipalveluntarjoajan valinta on myös valinta siitä, kuinka kyseinen palveluntarjoaja kirjaa, lokittaa ja turvaa muutoksia. Tämä ei ole teoreettinen kysymys: jos asiakas tai valvontaviranomainen kiistää passin jonkin tiedon, on oltava osoitettavissa, milloin kyseinen tieto on tallennettu ja kenen toimesta.

Integrointi olemassa oleviin yrityksen järjestelmiin

Monet yritykset eivät halua hallita tuotepassia eristettynä järjestelmänä, vaan haluavat integroida sen jo olemassa olevaan hallintoon. Tämä on mahdollista, mutta passiin kohdistettava tietoturva ei tällöin ole erillään kyseisen taustalla olevan järjestelmän tietoturvasta. Joka harkitsee passiin kytkemistä omaan ERP- tai varastojärjestelmään, tekee viisaasti tutkiessaan, keillä on pääsy kyseiseen liitäntään ja aiheuttaako yhdessä järjestelmässä oleva vuoto seurauksia toiselle.

Missä asiat menettävät hallintaansa käytännössä

Joukko tilanteita toistuu käytännössä yhä uudelleen.

Yrityksissä, joissa QR-koodi asetetaan itse tuotteeseen, jätetään joskus huomioimatta, että koodi sinänsä ei tarjoa turvaa — ratkaisevaa on se, mitä tapahtuu koodin takana. Joka ihmettelee kuinka QR-koodi päätyy teräkseen, hänen on pohdittava myös, kuka hallinnoi takana olevia tietoja ja onko kannustimen ja sisällön välinen erottelu selkeästi dokumentoitu.

Toinen tilanne syntyy, kun ketjun useat osapuolet toimittavat tietoja samalle passille ilman etukäteen sovittuja sopimuksia siitä, kuka saa muuttaa mitäkin osaa. Tämä johtaa sekaannukseen siitä, mikä versio on oikea, ja joskus oikeien tietojen vahingossa muuttamiseen toisen osapuolen toimesta.

Myös pienissä osissa menee joskus pieleen: jos QR-koodi pienessä teräspalassa on teknisesti rajoittunut, valitaan joskus yksinkertaistettu linkki tai väliaikainen sivu — ilman että on aina pohdittu, noudattaako välivaihe samoja tietoturvasopimuksia kuin pääpassi.

Neljäs tilanne: yritykset, jotka pitävät itse offline-kopiota passitiedoista käytettäväksi paikoilla ilman yhteyttä, unohtavat synkronoida tai turvata kyseisiä kopioita samalla tavalla kuin online-versiota. Tämä on käytännön kysymys, koska kaikilla työpaikoilla ei ole vakaata yhteyttä, ja kysymys siitä, pitääkö passilla olla myös offline-toiminnallisuus on merkityksellinen juuri tämänkaltaisen käytännön järjestämisen kannalta.

Lopuksi: yritykset, jotka lopettavat toimintansa tai luovuttavat liiketoimintayksikön, unohtavat joskus, että passitiedot säilyvät ja että niihin kohdistuva pääsy ja hallinta on siirrettävä — asia, joka liittyy kysymykseen mitä passille tapahtuu yrityksen lopettaessa toiminnan.

Mitä voitte kirjata ylös

Joukko sopimuksia ja asiakirjoja auttaa tekemään passitietojen tietoturvan todennettavaksi:

Yhteenveto siitä, millä roolilla kukin osapuoli osallistuu tietojen toimittamiseen ja hallintaan, mukaan lukien kunkin ketjun osapuolen yhteyshenkilö.
Kunkin tiedon alkuperän kirjaus: mistä tehtaasta, tuojasta tai väliosapuolesta se on peräisin ja milloin se on toimitettu.
Sopimukset isännöintipalveluntarjoajan kanssa muutoksen lokituksesta, jotta on osoitettavissa, milloin tieto on tallennettu ja muutettu sen jälkeen tai ei.
Kuvaus käyttöoikeuksien tasoista, jotka on määritetty: mitkä tiedot ovat julkisia ja mitkä näkyvät vain tietyille osapuolille.
Tarvittaessa, yhteenveto liitäntöjen määrityksestä omaan ERP- tai varastojärjestelmään nähden, johon on kirjattu, keillä on pääsy kyseisiin liitäntöihin.
Suunnitelma tilanteesta, jossa yritys lopettaa toimintansa tai osa siirretään toiselle, jotta olemassa olevien passien hallinta ja pääsy eivät joudu epäselvään tilaan.

Tämä dokumentointi ei ole vain hyödyllistä valvontaviranomaisia ajatellen, vaan myös käytännöllistä: se estää sisäisen tiedon katoamisen siitä, kuka hallinnoi mitäkin henkilöstövaihdoksissa tai yritysostoissa.

Tämä ei ole juridista neuvontaa. Tämä sivu sisältää yleisiä tietoja sääntelystä, jota tämä alusta koskee. Emme tunne vosituaatiota. Jos epäröitte omaa tilannettanne, kuulkaa juristi tai toimivaltainen valvontaviranomainen.

Kirjoitettu tekoälyllä edellä mainittujen lähteiden perusteella, jonka ihminen tarkisti 2026-09-05. Onko jotain vialla? Kerro meille — korjaukset saavat etusijaa.