kaip garantuoju, kad produkto paso duomenys yra saugūs

Prieiga, kilmė ir manipuliacijos apsauga yra šerdis

Produkto pasporto saugumas sukasi aplink tris dalykus: tik įgalioti subjektai gali peržiūrėti arba keisti tam tikrus duomenis, duomenis galima atsekti iki to, kas juos pateikė, ir niekas negali pasticsliai pamodifikuoti pasporto be žymės. ESPR (Reglamentas (ES) 2024/1781) tai nustato kaip reikalavimą sistemai, kurioje veikia pasportas, o ne kaip atskirą pasirinkimą to subjekto, kuris surenka pasportą. Tai reiškia, kad platforma, kurioje šiami pasportai, tai jau turi techniškai išsprendę — plienininkų prekybininkas arba metalo perdirbėjas, kuris užsakė pasporto sukūrimą, to pats nekeisti, bet naudinga žinoti, kas iš tikrųjų ir kas nėra garantuota.

Kam tai taikoma ir kas neapimta

Šie saugumo reikalavimai taikomi pačiam skaitmeniniam produkto pasportui: duomenų failui, kuris pasiekiamas per QR kodą, ir sistemai, kuri tą failą saugo ir rodo. Jie apima klausimą, kas gali peržiūrėti duomenis, kas juos gali keisti, ir ar keičiančiojo šaltinis yra nustatytas. Jie neapima klausimo, ar pasporto turinis yra teisingas — tai yra duomenų tikslumo klausimas, o ne saugumo klausimas. Jie taip pat neapima fizinio QR kodo ant produkto: kaip jis dedamas ir ar jis lieka skaitomas, aprašyta puslapyje apie kaip QR kodas pateka į plieną, ir tai yra kitoks klausimas nei duomenų apsauga už to kodo. Ir šie reikalavimai nieko nesako apie konkrečią IT sistemą ar tiekėjo produktą: reglamentas nustato funkcionalumą, o ne techniką.

Taip pat svarbu atskirti, kas gali matyti kuriuos duomenis. Ne visi duomenys pasporte yra skirti visiems — kai kurie duomenys skirti galutiniam naudotojui, kai kurie rinkos specialistui, kai kurie tik priežiūros institucijai. Šis sluoksniuotas prieiga yra to paties saugumo klausimo dalis, bet tikslus paskirstymas bus toliau detalizuojamas pagal produktų grupę ir todėl dar nėra žinomas detaliai.

Dar nėra tvirtesnės pradžios datos, bet yra tvirtai nustatytas rėmuo

Dar nėra galutinės datos, kada šie saugumo reikalavimai plienui ir plienininkams bus taikomi. Europos Komisijos darbo planas numato pirmą deleguotą aktą 2026 m., kurio pareigos pradedamos taikyti vėliau; kai tik tas aktas bus paskelbtas, data bus čia nurodyta. Ką jau dabar nustato, yra pats ESPR rėmuo: 10 straipsnis ir 11 straipsnis aprašo reikalavimus pasportui ir techniniam projektui, ir šis tekstas daugiau nepasikeits — tik produkto specifinis išdėstymas ir pradžios data dar turi ateiti. Iki to laiko nėra jokios teisinės pareigos vesti plienininkų produkto pasportą, bet saugumo reikalavimai, kurie vėliau bus taikomi, jau dabar yra skaitomi reglamente.

Ką iš to praktikoje kyla

Sudarant pasportą, saugumo klausimas pasikartoja fiksuota tvarka. Pirma: kas pateikia duomenis ir ar ta kilmė yra nustatyta? Pasportas sudaromas iš gamintojo arba importuotojo duomenų, ir vėliau turi būti galima atsekti, kas ir kokius duomenis įvedė. Antra: kas gali pakeisti pasportą po jo paskelbimo? Reglamentas reikalauja, kad pasportas negali būti nežymiai pakeistas — pokytis turi būti matomas arba patikrinamas, ne tyliai perrašytas. Trečia: kas gali matyti kuriuos duomenis? Plienininkų prekybininkas, kuris perduoda pasportą klientui, neketuri rūpintis prieigos teisėmis sistemoje — tai yra tos pusės, kuri talpina pasportą, atsakomybė — bet naudinga žinoti, kad ne visi duomenys turi būti viešai prieinami.

Norintis susieti produkto pasą su esama ERP arba atsargų sistema, turėtų iš anksto užduoti šį saugumo klausimą: duomenys, kurie automatiškai teka iš vidinės sistemos į viešą pasą, kelyje turi likti apsaugoti nuo neteisėtos modifikacijos. Daugiau informacijos apie tai rasite puslapyje apie paso siejimą su savo sistema. Taip pat klausimas, kiek laiko po paskelbimo pasas turi likti prieinamas ir nepakitęs, yra susijęs su šiais saugumo reikalavimais; ši tema atskirai aptariama puslapyje apie kiek laiko produkto pasas lieka prieinamas.

Verslininkui, kurio nėra savo IT skyriaus, praktikoje tai sumažėja iki kontrolės klausimo pasui talpinti įmonei skirtam daliniui: ar gali tą įmonę įrodyti, kas kokius duomenis pateikė, ar yra apsauga nuo nepastebėtos modifikacijos, ir ar prieiga prie jautrios informacijos yra atskirta nuo pasporto viešosios dalies? Tai nėra teisiniai, o praktiniai klausimai, ir juos galima užduoti neturint žinių apie patį reglamentą.

Kur tai yra nurodyta: ESPR 10 ir 11 straipsniai

ESPR 10 straipsnis (Reglamentas (ES) 2024/1781) aprašo skaitmeninio produkto paso reikalavimus, įskaitant prieigą prie duomenų įvairūs naudotojų tipais. 11 straipsnis konkrečiai nusisako apie techninį projektavimą ir paso veikimą, kuriame nustatyti reikalavimą dėl juo sekimas, apsaugos nuo manipuliavimo ir pagrindinės sistemos veikimo. Abu straipsniai kartu sudaro saugumo reikalavimų pagrindą; tolesnę techninę realizaciją reglamentuos dar turėtinos paskelbti deleguotieji aktai.

Kas nori dabar pradėti darbą su produkto pasu, geriausiai pradėtų nuo savo duomenų srautų tvarkos – užrašytų, kas kokius duomenis pateikia ir kaip jie tvarkomi – kad vėliau nereikėtų daug keisti, kai įsigalioja reikalavimas ir techninės detalės tampa galutinai nustatytos.

Kuo tai pagrįsta

Pats reglamentas yra EUR-Lex. Kiekvieno teiginio atžvilgiu pateikiame nuorodas; jūs mums neturite tikėti.

Ką jūs turėtumėte daryti konkretiškai

Ko iš jūsų tikimasi

ESPR numato produkto paso reikalavimus, kurie apima ne tik tai, kokie duomenys jame yra, bet ir tai, kaip tie duomenys tvarkomi ir saugomi. ESPR 10 ir 11 straipsniai (Reglamentas (ES) 2024/1781) kartu sudaro pagrindą: 10 straipsnis aprašo paso reikalavimus, 11 straipsnis konkrečiai nusisako apie techninį projektavimą ir veikimą. Plieno prekybai arba metalų apdorojimo įmonei, kuri tai organizuoja pirmą kartą, tai skaidosi į kelis praktinius dėmesio punktus.

Prieigos prie duomenų reguliavimas pagal vaidmenį

Ne visi, kurie žiūri į pasą, turi matyti tuos pačius duomenis. Pirkėjas konstruktyvios bendrovės turi kitokios informacijos poreikius nei priežiūros institucija arba perdirbėjas produkto eksploatavimo pabaigoje. ESPR 10 straipsnis numatytais diferencijuotą prieigą: kai kurie duomenys yra viešai prieinami, kiti matomi tik tam tikroms šalims, tokioms kaip rinkos dalyviai ar institucijos. 10–100 darbuotojų turinčiai įmonei tai reiškia, kad prieš pasą paleidžiant, turi būti priimtas sprendimas, kas kokią duomenų sluoksnį matys – ir kad šis sprendimas techniškai iš tiesų yra įgyvendintas, o ne tik į popierių.

Duomenų šaltinio ir tikslumo užtikrinimas

Produkto pasas yra vertas tik tada, kai duomenys jame yra teisingi ir atsekiami iki šaltinio. Tai liečia visos sistemos patikimumą: jei gavėjas negali nustatyti, iš kur duomenys kilo, pasas praranda savo paskirtį. Praktikoje tai reiškia, kad turi būti užregistruota, kas kokius duomenis pateikė – gamintojas, importuotojas ar tarpinė šalis – ir kada tai buvo padaryta. Įmonėms, kurios pačios neįveda duomenų, bet juos perduoda, svarbu žinoti, kaip duomenys buvo pateikti tinkamu formatu, nes neteisingai pateikti duomenys toliau grandinėje virsta nepatikimu pasu.

Apsauga nuo modifikacijos po paskelbimo

Straipsnis 11 iš ESPR aprašo, kad skaitmeninis produkto pasas turi techniškai veikti taip, kad duomenys negali būti nepastebėtai pakeisti po to, kai jie buvo fiksuoti. Metalų perdirbėjui, kuris pačiam nehost'ina paso, bet jo host'ina — pavyzdžiui, per tokią platformą kaip ši — tai reiškia, kad pasirinkimas dėl hosting'o partnerio yra ir pasirinkimas, kaip ta partija registruoja, fiksuoja ir apsaugo pakeitimus. Tai nėra teorinis punktas: jei klientas arba priežiūros institucija iš paso kwestionuoja duomenį, turi būti įrodoma, kada tas duomuo buvo fiksuotas ir ką tai padarė.

Integravimas su egzistuojančiomis verslo sistemomis

Daug verslo įmonių nori valdyti produkto pasą ne kaip izoliuotą sistemą, bet jį susieti su administracija, kuri jau yra. Tai yra įmanoma, bet paso apsauga tada nėra nepriklausoma nuo tos iš dalies sistemos apsaugos. Kas svarsčius pasą susieti su savo ERP arba atsargų sistema, turėtų svarstyti, kas turi prieigą prie tos integracijos ir ar pažeida vienoje sistemoje turės pasekmes kitai.

Kur praktikoje atsiranda problemų

Keletas situacijų praktikoje vis kartojasi.

Kai verslo įmonės leidžia QR kodą uždėti ant pačio produkto, kartais nepastebima, kad kodas pats savaime nesuteikia apsaugos — klausimas yra, kas vyksta PO to kodo. Kas intriguojasi kaip QR kodas atsiduria ant plieno, taip pat turi pasikeisti, kas administruoja pagrindinius duomenis ir ar ta skyla tarp nešiklio ir turinio aiškiai fiksuota.

Kita situacija iškyla, kai kelios grandinės dalys pateikia duomenis tam pačiam pasui, nesukoordinavus iš anksto, kas kurią dalį gali keisti. Tai sukelia painiavą, kuri versija yra galiojanti, ir kartais per klaidą vienos partijos teisingus duomenis perrašo kita partija.

Taip pat mažose dalyse kartais nueina blogai: jei QR kodas ant mažo plieno kūno techniškai ribotas, kartais pasirenkamas supaprastintas nuoroda arba tarpinė puslapis — kur ne visada buvo apsvarstytas, ar tas tarpiniu žingsnis laikosi tų pačių apsaugos sutarčių kaip pagrindinis pasas.

Ketvirtoji situacija: verslo įmonės, kurios patys išsaugo offline paso duomenų kopijas naudojimui vietose be ryšio, pamiršta tos kopijos sinchronizuoti arba apsaugoti tokiu pačiu būdu kaip online versija. Tai realus punktas, nes ne kiekviena darbo vieta turi stabilų ryšį, ir klausimas, ar pasas taip pat turi veikti neprisijungus yra aktuali būtent šios praktinės sutarties atveju.

Galiausiai: verslo įmonės, kurios baigia veiklą arba atsisako verslo dalies, kartais pamiršta, kad paso duomenys ir toliau egzistuoja ir kad prieiga ir jų valdymas turi būti perduoti — tai susiję su klausimu kas nutinka pasui, kai verslas sustabdomas.

Ką galite registruoti

Keletas sutarčių ir dokumentų padeda pasao duomenų apsaugą padaryti įrodoma:

Apžvalga, kas kokį vaidmenį atlieka teikiant duomenis ir ją valdant, įskaitant kontaktinį asmenį kiekvienai grandinės daliai.
Kiekvieno duomens kilmės registracija: iš kurio gamintojo, importatoriaus ar tarpinės dalies jis kilęs ir kokiu metu jis buvo pateiktas.
Sutartys su hosting'o partneriu apie pakeitimų fiksuojimą, kad būtų galima patvirtinti, kada duomuo buvo fiksuotas ir ar jis buvo vėliau pakeistas.
Prieigos lygių, kurie buvo nustatyti, aprašymas: kokie duomenys yra viešai prieinami ir kurie yra matomi tik konkrečioms šalims.
Jei taikytina, integracijos su jūsų ERP arba atsargų sistema apžvalga, kurioje nurodyta, kas turi prieigą prie tos integracijos.
Planas situacijai, kai verslas sustabdomas arba dalis perduodama, kad valdymas ir prieiga prie egzistuojančių pasų nelieka nutolę.

Šis užrašymas nėra naudingas tik priežiūrai, bet ir praktiškai: tai neleidžia vidaus žiniai apie tai, kas ką valdo, dingti persikėlus personalui ar įmonei perimant.

Tai nėra teisinė konsultacija. Šiame puslapyje pateikiama bendroji informacija apie reglamentavimą, kuriuo grindžiama ši platforma. Mes nežinome jūsų situacijos. Jei abejojate dėl savo atveio, pasikonsultuokite su teisininku ar atitinkama priežiūros institucija.

Parašyta naudojant dirbtinį intelektą remiantis aukščiau nurodytais šaltiniais, žmogaus patikrinta 2026-09-05. Ar kažkas neklapa? Praneškite mums — pataisymai turi prioritetą.