hogyan biztosítom az acélpaszportban szereplő adatok biztonságát

A hozzáférés, az eredet és a manipuláció elleni védelem a mag

A termékpasszus biztonsága három dolog körül forog: csak az arra jogosult felek láthatnak vagy módosíthatnak bizonyos adatokat, az adatok nyomon követhetőek arra nézve, hogy ki szolgáltatta be azokat, és senki sem módosíthatja a passzust utólag észrevétlenül. Az ESPR (2024/1781 EU rendelet) ezt a rendszer követelménye, amely a passzust működteti, nem pedig az azt összeállító fél szabad választása. Ez azt jelenti, hogy a passzusokat üzemeltetõ platformnak ezt már technikai szinten meg kell oldania – az acélkereskedőnek vagy fémfeldolgozónak, aki a passzust elkészítteti, nem kell ezt maga felépítenie, de jó oka van arra, hogy tudja, mi van garantálva és mi nincs.

Akikre ez vonatkozik, és mi nem tartozik ide

Ez a biztonsági követelmény a digitális termékpasszusra vonatkozik: a QR-kódon keresztül elérhető adatokat tartalmazó fájlra, valamint arra a rendszerre, amely a fájlt tárolja és megjeleníti. Arról szólnak, hogy ki tekintheti meg az adatokat, ki módosíthatja azokat, és hogy a módosítás eredete rögzített-e. Nem arról szólnak, hogy a passzus tartalma helyes-e – ez az adatok helyességének kérdése, nem biztonsági kérdés. Nem vonatkoznak az acélon lévő fizikai QR-kódra sem: annak alkalmazásáról és olvashatóságáról hogyan kerül a QR-kód az acélraszól, és az a databiztonsággal kapcsolatos kérdés más vonatkozása. Ezek a követelmények nem mondanak semmit egy adott informatikai rendszerről vagy szállítói termékről: a rendelet funkcionalitást ír elő, nem pedig technológiát.

Fontos továbbá annak megkülönböztetése, hogy ki mely adatokat tekintheti meg. A passzus nem minden adata szól mindenkinek – néhány információ a végfelhasználónak, néhány a piaci szakértőnek, néhány csak a felügyeleti hatóságnak. Ez a rétegzett hozzáférés az ugyanez biztonsági kérdésnek a része, de a pontos felosztás termékcsoport szerint kerül majd részletezésre, így részleteiben még nem rögzített.

Még nincs végdátum, de már rögzített a keret

Még nem van végleges dátum arra nézve, hogy ezek a biztonsági követelmények az acélra vonatkozóan hatályba lépnek. Az Európai Bizottság munkaterve egy első felhatalmazott aktust irányoz elő 2026-ban, amely után a kötelezettségek hatályba lépnek; miután az aktus megjelent, a dátum itt lesz feltüntetve. Ami most már rögzített, az az ESPR-ből fakadó keret: a 10. és 11. cikk a passzus és a technikai tervezés követelményeit írja le, és ez a szöveg már nem változik meg – csak a termékspecifikus kibontakoztatás és a hatálybalépés dátuma van még hátra. Addig nincs jogi kötelezettség arra, hogy acélhoz termékpasszust vigyen, de az a biztonsági követelmények, amelyek majd hatályba lépnek, már most olvashatóak a rendeletben.

Mit jelent ez a gyakorlatban

Egy passzus felépítésénél a biztonsági kérdés állandó sorrendben merül fel. Elsõ lépésben: ki szolgáltassa be az adatokat, és van-e rögzített az eredete? A passzust a gyártó vagy az importőr adataiból állítják össze, és később nyomon követhetőnek kell lennie, hogy ki mely adatot vitte be. Másodszor: ki módosíthatja a passzust a publikálás után? A rendelet előírja, hogy a passzus nem módosítható észrevétlenül – egy módosításnak láthatónak vagy ellenőrizhetőnek kell lennie, nem pedig csendben felülírva. Harmadszor: ki látja mely adatokat? Az olyan acélkereskedő, aki a passzust továbbadja egy ügyfélnek, nem kell, hogy maga gondoskodjon a hozzáférési jogokról a rendszeren belül – ez annak a feladata, aki a passzust üzemelteti – de jó oka van arra, hogy tudja: nem minden adat kell, hogy nyilvánosan elérhető legyen.

Aki egy termékalapDocument-ot szeretne egy meglévő ERP- vagy készletkezelő rendszerhez csatolni, jól teszi, ha ezt a biztonsági kérdést korán felteszi: az egy belső rendszerből egy nyilvános alapDocument-ba automatikusan áramló adatokat az úton védeni kell az engedély nélküli módosítás ellen. További információ erről a következő lapon található: az alapDocument egy saját rendszerhez való csatolásáról. Az alapDocument-ról szóló közzétételét követően szintén azt a kérdést, hogy az alapDocument mennyi ideig marad elérhető és változatlan, ezen biztonsági követelmények határozzák meg; ezt a témát a következő lapon tárgyaljuk külön: mennyi ideig marad egy termékalapDocument elérhető.

Az a vállalkozó számára, akinek nincs saját IT-osztálya, a gyakorlatban ez egy ellenőrző kérdésre redukálódik az alapDocument-ot tároló fél felé: fel tudja-e mutatni, hogy ki mely adatokat szállított le, van-e védelem az észrevétlen módosítás ellen, és az érzékeny adatokhoz való hozzáférés el van-e különítve az alapDocument nyilvános részétől? Ezek nem jogi, hanem gyakorlati kérdések, és feltehetők anélkül, hogy az ESPR-t magát ismerni kellene.

Ahol erről szó van: az ESPR 10. és 11. cikke

Az ESPR 10. cikke (az (EU) 2024/1781 rendelet) ismerteti a digitális termékalapDocument-nak teljesítenie kell követelményeit, beleértve az adatokhoz különféle típusú felhasználók hozzáféréseit. Az ESPR 11. cikke kifejezetten a technikai kialakítást és az alapDocument működését szabályozza, és ebben rögzítik a nyomon követhetőségre, a manipulációval szembeni védelemre és az alaprendszer működésére vonatkozó követelményeket. Mindkét cikk együttesen alkotja azt a keretet, amelyből a biztonsági követelmények adódnak; a további technikai részletezésre a még közzéteendő delegált jogi aktusok során kerül sor.

Aki most már el akar kezdeni egy termékalapDocument-tal dolgozni, a legjobban teszi, ha elkezdi a saját adatfolyamatait rendezni — rögzíti, hogy ki mely adatokat szállítja le és hogyan kezelik azokat — hogy később, amikor a kötelezettség és a technikai részletek véglegesen rögzítésre kerülnek, keveset kelljen változtatni.

Ez miből támasztódik alá

A rendelet maga az EUR-Lex oldalon található. Minden állítás mellett hivatkozunk; nem kell nekünk hinni.

Mit kell konkréten tennie

Mit várunk el Öntől

Az ESPR olyan követelményeket határoz meg a termékalapDocument vonatkozásában, amelyek nem csak arról szólnak, hogy milyen adatok vannak benne, hanem arról is, hogy ezek az adatok hogyan kezelhetők és védelmet kapnak. Az ESPR 10. és 11. cikke (az (EU) 2024/1781 rendelet) együttesen ezt alapozza meg: a 10. cikk ismerteti az alapDocument-nak teljesítenie kell követelményeit, a 11. cikk kifejezetten a technikai kialakítást és a működést szabályozza. Egy olyan acélkereskedő vagy fémmegmunkáló, aki ezt most először szervezi meg, számára ez egy sor gyakorlati szempontra oszlik.

Az adatokhoz való hozzáférés szabályozása szerepkör szerint

Nem mindenki, aki az alapDocument-ot megtekinti, kell, hogy ugyanazokat az adatokat lássa. Az egyik építőipari vállalatnál lévő beszerzésnek más információra van szüksége, mint egy felügyeleti hatóságnak vagy egy recyclernek az élettartam végén. Az ESPR 10. cikke differenciált hozzáférésből indul ki: egyes adatok nyilvánosak, mások csak bizonyos felek, mint például piaci szereplők vagy hatóságok számára láthatók. Egy 10 és 100 közötti munkavállaló számára ezt azt jelenti, hogy az alapDocument életre lépése előtt döntést kell hozni arról, hogy ki mely adatrétegeket láthatja — és azt, hogy ez a döntés technikailag valóban végrehajtásra kerül, nem csak papíron.

Az adatok forrása és helyessége biztosítása

Egy termékalapDocument csak akkor értékes, ha az adatok helyesek és nyomon követhetőek a forrásig. Ez az egész rendszer megbízhatóságát érinti: ha egy vásárló nem tudja ellenőrizni, hogy egy adat honnan származik, az alapDocument elveszti funkcióját. Gyakorlatilag ezt jelenti, hogy rögzítenie kell, hogy ki mely adatokat szállított le — a gyártó, az importőr vagy egy közbenső fél — és mikor történt ez. Azoknak a vállalatoknak, amelyek nem maguk adnak be adatokat, hanem ezeket továbbítják, fontos tudni, hogy az adatok a helyes formátumban kerültek-e átadásra, mivel egy helytelen átadás a lánc végén megbízhatatlan alapDocument-ban fordulódik meg.

Védelem a módosítás ellen a közzététel után

Az ESPR 11. cikke leírja, hogy a digitális termékpasszus technikai megvalósítása olyan legyen, hogy az adatok feljegyzésüket követően ne módosulhassanak észrevétlenül. Azon fémfeldolgozó számára, aki a passzust nem saját maga üzemelteti, hanem üzemeltettetni hagyja — például egy ehhez hasonló platform által —, ez azt jelenti, hogy az üzemeltetõ partner kiválasztása egyben az is, hogy az adott partner hogyan rögzíti, naplózza és védi a módosításokat. Ez nem elméleti kérdés: ha egy ügyfél vagy felügyeleti szervezet a passzusból származó adatot vitatja, bizonyíthatónak kell lennie, hogy az adatot mikor rögzítették és ki által.

Integráció meglévõ vállalati rendszerekkel

Számos vállalat nem elszigetelt rendszerként szeretne kezelni terméket passzust, hanem össze szeretné kapcsolni az már meglévõ adminisztrációval. Ez lehetséges, de a passzus biztonsága ekkor nem független az alapul szolgáló rendszer biztonságától. Aki azt tervezi, a passzust a saját ERP- vagy készletrendszerével összekapcsolni, jól teszi, ha megvizsgálja, hogy ki fér hozzá az adott összekapcsoláshoz, és hogy az egyik rendszer adatlszivárgása okoz-e következményeket a másikra.

Hol mennek félre a gyakorlatban

A gyakorlatban egy több helyzet kerül ismételten elõ.

Azoknál a vállalatoknál, amelyek a QR-kódot magán a terméken helyeztetik el, néha figyelmen kívül hagyják, hogy a kód önmagában nem nyújt védelmet — a kérdés az, hogy mi történik az adott kód mögött. Aki azt kérdezi meg, hogyan kerül a QR-kód az acélra, annak arra is gondolnia kell, hogy ki kezeli az alapul szolgáló adatokat, és hogy az információhordozó és a tartalom közötti elkülönítés egyértelműen dokumentálva van-e.

Másik helyzet akkor keletkezik, amikor a lánc több szereplõje szolgáltat adatokat ugyanehhez a passzushoz, anélkül hogy elõzõleg abban állapodtak meg, hogy ki mely részt módosíthatja. Ez összevisszaságot okoz a passzus érvényes verziójáról, és néha arra vezethet, hogy egy másik szereplõ véletlenül felülír helyes adatokat.

Kisebb alkatrészek esetében is elõfordul a probléma: ha egy QR-kód egy apró acéldarabon technikailag korlátozott, néha választanak egyszerűsített linket vagy közvetítõ oldalt — anélkül hogy minden esetben figyelembe vennék, hogy az adott közvetítõ lépés ugyanazokat a biztonsági megállapodásokat követi-e, mint a fõ passzus.

Negyedik helyzet: azok a vállalatok, amelyek saját maguk tartanak fenn offline másolatot a passzusadatokról olyan helyekre történõ használatra, ahol nincs kapcsolat, elfelejtik azt a másolatot szinkronizálni, vagy ugyanúgy biztosítani, mint az online verziót. Ez praktikus pont, mert nem minden munkahely rendelkezik stabil kapcsolattal, és az a kérdés, hogy a passzus offline módon is mûködjön-e éppen a gyakorlati megvalósítás során merül fel.

Végül: azok a vállalatok, amelyek bezárnak vagy leányvállalatot értékesítenek, néha elfeledkeznek arról, hogy a passzus adatai megmaradnak, és hogy az adatokhoz való hozzáférést és azok kezelését át kell ruházni — ez összefügg azzal a kérdéssel, mi történik a passzussal, ha a vállalat bezár.

Mit lehet rögzíteni

Számos megállapodás és dokumentum segít abban, hogy a passzusadatok biztonsága bizonyítható legyen:

A rôl és felelõsség áttekintése az adatok szolgáltatása és kezelése során, beleértve a lánc minden szereplõjének kapcsolattartóját.
Az egyes adatok forrásának nyilvántartása: melyik gyártótól, importõrtõl vagy közvetítõ félõl származik, és milyen idõpontban került szolgáltatásra.
Megállapodások az üzemeltetõ partnerrel a módosítások naplózásáról, hogy bizonyítható legyen, mikor rögzítésre került az adott adat, és azt követõen módosult-e.
A beállított hozzáférési szintek leírása: mely adatok nyilvánosak, és melyek csak meghatározott felek számára láthatóak.
Adott esetben a saját ERP- vagy készletrendszerrel való összekapcsolás áttekintése, beleértve azt, hogy ki fér hozzá az adott összekapcsoláshoz.
Cselekvési terv arra az esetre, ha a vállalat bezár vagy egy szervezeti egység kerül átadásra, hogy a meglévõ passzusok kezelése és hozzáférése ne legyen bizonytalan helyzetben.

Ez a dokumentáció nemcsak a felügyelet irányában hasznos, hanem gyakorlati szempontból is: megakadályozza, hogy az internális tudás arról, hogy ki mit kezel, elvesszen a személyzeti változások vagy a vállalat felvásárlása során.

Ez nem jogi tanács. Ez az oldal általános tájékoztatást nyújt a rendeletről, amelyre ez a platform vonatkozik. Nem ismerjük az Ön helyzetét. Ha kétségei vannak saját helyzetét illetően, konzultáljon egy jogásszal vagy az illetékes felügyeleti szervvel.

Mesterséges intelligencia segítségével készült az alábbi források alapján, emberi felügyelettel ellenőrizve 2026. szeptember 5-én. Van benne valami hiba? Jelezze — a korrekciók elsőbbséget élveznek.