kako zagotovim, da so podatki v potnem imeniku varni

Dostop, izvor in zaščita pred manipulacijo so jedro

Varnost productnega potnega lista temelji na treh stvareh: samo pooblaščene stranke lahko vidijo ali spreminjajo določene podatke, podatki se lahko sledijo do tistega, ki jih je zagotovil, in nihče ne more naknadno neopazno spremeniti potnega lista. ESPR (Uredba (EU) 2024/1781) to določa kot zahtevo za sistem, v katerem deluje potni list, ne kot prosto izbiro stranke, ki potni list sestavi. To pomeni, da mora platforma, ki gosti potne liste, to že tehnično urediti — trgovec s steklom ali obdelovalec kovin, ki naroči izdelavo potnega lista, tega ne mora sam zgraditi, vendar je dobro, da ve, kaj je in kaj ni zagotovljeno.

Za koga velja in kaj je izven

Te varnostne zahteve veljajo za sam digitalni produktni potni list: datoteko s podatki, ki je dostopna prek QR-kode, in sistem, ki to datoteko shranjuje in prikazuje. Nanašajo se na vprašanje, kdo sme videti podatke, kdo jih sme spreminjati in ali je izvor spremembe proton dokumentiran. Ne nanašajo se na vprašanje, ali je vsebina potnega lista pravilna — to je vprašanje natančnosti podatkov, ne varnosti. Tudi ne nanašajo se na fizično QR-kodo na proizvodu: kako se ta nanese in ali ostane berljiva, je opisano na strani o kako QR-koda pride na jeklo, in to je drugačno vprašanje kot varnost podatkov za to kodo. In te zahteve nimajo nobene zveze s specifičnim IT-sistemom ali produktom dobavitelja: uredba predpisuje funkcionalnost, ne tehnologijo.

Pomembno je tudi razlikovanje med tem, kdo sme videti katere podatke. Ne vsi podatki v potnem listu niso namenjeni vsem — nekatere informacije so za končnega uporabnika, nekatere za tržnega strokovnjaka, nekatere samo za nadzornika. Ta slojevit dostop je del istega varnostnega vprašanja, toda natančna delitev se za vsako skupino produktov še bolj opredeli in zato še ni v podrobnostih fiksna.

Še ni fiksnega datuma začetka veljavnosti, vendar je okvir fiksiran

Ni še dokončnega datuma, od katerega bodo te varnostne zahteve veljale za jeklo in jeklo. Akcijski načrt Evropske komisije predvideva prvo delegirano zakonom v letu 2026, s pravicami, ki so nato v veljavi; takoj ko je ta dejanje objavljeno, bo datum tu navedeno. Kaj je že fiksno, je okvir same ESPR: člena 10 in 11 opisujeta zahteve za potni list in tehnično zasnovo, in to besedilo se ne bo spremenilo — le produktno specifična razlaga in datum začetka veljavnosti morata še priti. Do takrat ni nobenega zakonskega obveznosti za vodenje produktnega potnega lista za jeklo, vendar zahteve za varnost, ki bodo sčasoma veljale, so že zdaj berljive v uredbi.

Kaj iz tega izhaja v praksi

Pri načrtovanju potnega lista se varnostno vprašanje pojavi v fiksnem vrstnem redu. Prvo: kdo zagotovi podatke in je ta izvor dokumentiran? Potni list se sestavi iz podatkov proizvajalca ali uvoznika in mora biti mogoče pozneje slediti, kdo je vnesel kateri podatek. Drugo: kdo sme potni list po objavi še spremeniti? Uredba zahteva, da potnega lista ni mogoče neopazno spremeniti — sprememba mora biti vidna ali preverljiva, ne tiho prepisana. Tretje: kdo dobi videti katere podatke? Trgovec s steklom, ki potni list posreduje kupcu, se ne mora sam zanimati za pravice dostopa v sistemu — to je odgovornost stranke, ki gosti potni list — vendar je dobro vedeti, da ni vsakega podatka treba biti javno dostopen.

Kdor želi vezati digitalno passpor z obstoječim ERP- ali inventarnim sistemom, bi se moral pravočasno postaviti to varnostno vprašanje: podatki, ki se samodejno pretakajo iz notranjega sistema v javni passpor, morajo biti med prenosom zaščiteni pred nepooblaščenimi spremembami. Več o tem je na strani o vezanju passpota na lastni sistem. Tudi vprašanje, kako dolgo mora biti passpor po objavi dostopen in nespremenjen, je povezano s temi varnostnimi zahtevami; ta tema je obravnavana posebej na strani o kako dolgo je digitalni passpor dostopen.

Za podjetnika, ki nima svoje IT-službe, se to v praksi izteče v kontrolno vprašanje, ki ga postavi osebi, ki je passpor gostuje: ali lahko dokaže, kdo je katere podatke zagotovil, ali obstaja zaprtina proti neopazni spremembi, in ali je dostop do občutljivih podatkov ločen od javnega dela passpota? To niso pravna vprašanja, ampak praktična, in jih je mogoče postaviti tudi brez poznavanja same uredbe.

Kje je to: 10. in 11. člen ESPR

10. člen ESPR (Uredba (EU) 2024/1781) opisuje zahteve, ki mora izpolnjevati digitalni passpor, vključno z dostopom do podatkov različnih vrst uporabnikov. 11. člen se specifično nanaša na tehnični načrt in delovanje passpota, in v njem so opredeljeni pogoji za sledljivost, zaščito pred manipulacijo in delovanje temeljnega sistema. Oba člena skupaj tvorita okvir, iz katerega izhajajo varnostne zahteve; nadaljnja tehnična izvedba sledi z delegiranimi akti, ki jih je treba še objaviti.

Kdor se želi že zdaj lotiti digitalnega passpota, bi se moral najprej osredotočiti na ureditev lastnih tokov podatkov — dokumentiranje, kdo katere podatke zagotavlja in kako se vodijo — tako da bo po uspostavitvi obveznosti in končne determination tehnični podrobnosti treba malo spremeniti.

Na čem je to osnovano

Uredba je dostopna na EUR-Lex. Navedke navajamo; nam ni treba verjeti.

Kaj konkretno morate storiti

Kaj se od vas pričakuje

ESPR postavlja zahteve za digitalni passpor, ki se ne nanašajo samo na to, katere podatke vsebuje, ampak tudi na to, kako se ti podatki upravljajo in varujejo. 10. in 11. člen ESPR (Uredba (EU) 2024/1781) tvorita skupno osnovo: 10. člen opisuje zahteve, ki jih mora izpolnjevati passpor, 11. člen se specifično nanaša na tehnični načrt in delovanje. Za trgovino s steklom ali obdelovalca kovin, ki to prvič organizira, se to razčleni na vrsto praktičnih vidikov.

Urejanje dostopa do podatkov glede na vlogo

Ne vsi, ki se posvetajo passpota, morajo videti iste podatke. Nabavka pri gradbenim podjetjem potrebuje druge informacije kot nadzorni organ ali reciklator na koncu življenjske dobe. 10. člen ESPR izhaja iz diferenciranega dostopa: nekateri podatki so javni, drugi so vidni samo za določene stranke, kot so tržni udeleženci ali organi. Za podjetje s 10 do 100 zaposlenimi to pomeni, da je treba, preden passpor postane aktiven, odločiti, kdo kateri nivo podatkov vidi — in da je ta odločitev tehnično res izvedena, ne le na papirju.

Zagotavljanje izvora in pravilnosti podatkov

Digitalni passpor je dragocen le, če so podatki v njem pravilni in sledljivi do vira. To se nanaša na zanesljivost celotnega sistema: če prejemnik ne more preveriti, od kje podatek prihaja, passpor izgubi svojo funkcijo. Praktično to pomeni, da je treba dokumentirati, kdo je katere podatke zagotovil — proizvajalec, uvoznik ali vmesna stranka — in kdaj je bilo to opravljeno. Za podjetja, ki sama ne vnašajo podatkov, ampak jih posredujejo, je pomembno vedeti, kako so podatki dobavljeni v pravem formatu, ker napačna dobava povzroči nezanesljivost passpota naprej po verigi.

Zaščita pred spremembami po objavi

Člen 11 ESPR opisuje, da mora biti digitalni produktni potni list tehnično zasnovan tako, da podatkov ni mogoče neopaženo spremeniti potem, ko so enkrat zabeleženi. Za kovinskega obdelovalca, ki potnega lista ne gosti sam, ampak ga da gostiti — na primer prek platforme, kot je ta — to pomeni, da je izbira gostitelja tudi izbira o tem, kako ta stran beležira, beleži v dnevnik in varuje spremembe. To ni teoretična točka: če kupec ali nadzorni organ podatek iz potnega lista ospori, mora biti mogoče dokazati, kdaj je bil ta podatek zabeležen in od koga.

Povezava s postoječimi poslovnimi sistemi

Številna podjetja ne želijo upravljati produktnega potnega lista kot izoliranega sistema, ampak ga želijo povezati s že obstoječo administracijo. To je mogoče, a varnost potnega lista v tem primeru ni ločena od varnosti tega osnovnega sistema. Kdor razmišlja o povezavi potnega lista z lastnim ERP- ali skladiščnim sistemom, bi bilo dobro, da pogleda, kdo ima dostop do te povezave, in ali bi puščava v enem sistemu vplivala na drugega.

Kjer se v praksi ne gre

V praksi se pojavljajo vedno znova nekatere situacije.

Pri podjetjih, ki nalepko QR-code natisnejo na sam proizvod, se včasih spregleda, da koda sama po sebi ne nudi nobene varnosti — vprašanje je, kaj se dogaja za to kodo. Kdor se sprašuje kako QR-koda pride na jeklo, se mora tudi vprašati, kdo upravlja osnovne podatke in ali je ta ločitev med nosilcem in vsebino jasno dokumentirana.

Druga situacija nastane, ko več strank v verigi zagotavlja podatke za isti potni list, ne da bi bilo vnaprej dogovorjeno, kdo sme spremeniti kateri del. To vodi do zmede o tem, katera različica je veljavna, in včasih do naključnega prepisa pravilnih podatkov s strani druge strani.

Tudi pri majhnih komponentah se zgodi: če je QR-code na majhnem kosu jekla tehnično omejena, se včasih izbere poenostavljeno povezavo ali vmesno stran — pri čemer ni vedno premišljeno, ali ta vmesni korak sledi istim varnostnim dogovorom kot glavni potni list.

Četrta situacija: podjetja, ki si sami hranijo brezpovezavo kopijo podatkov potnega lista za uporabo na lokacijah brez povezave, pozabijo usklajevati to kopijo ali je varovati na enak način kot spletno različico. To je resna točka, ker ni vsako delovno mesto sposobno imeti stabilne povezave, in vprašanje, ali mora potni list delati tudi brez povezave, je posebej pomembno pri tej vrsti praktične ureditve.

Končno: podjetja, ki prenehajo ali odtujo del poslovanja, včasih pozabijo, da podatki potnega lista še vedno obstajajo in da je treba dostop in upravljanje prenesli — nekaj, kar je povezano z vprašanjem kaj se zgodi s potnim listom, če podjetje preneha.

Kaj lahko dokumentirate

Več dogovorov in dokumentov pomaga, da je varnost podatkov potnega lista dokazljiva:

Pregled, kdo ima kakšno vlogo pri zagotavljanju in upravljanju podatkov, vključno s stikom za vsako stran v verigi.
Registracija izvora vsakega podatka: od katerega proizvajalca, uvoznika ali vmesne stranke izvira in kdaj je bil zagotovljen.
Dogovori z gostiteljem glede beleženja v dnevnike sprememb, tako da je mogoče dokazati, kdaj je bil podatek zabeležen in ali je bil pozneje spremenjen.
Opis ravni dostopa, ki so nastavljene: kateri podatki so javno dostopni in kateri so vidni samo za specifične stranke.
Če je to mogoče, pregled povezave z lastnim ERP- ali skladiščnim sistemom, v katerem je navedeno, kdo ima dostop do te povezave.
Načrt za situacijo, v kateri podjetje preneha ali je del prenesen, tako da upravljanje in dostop do obstoječih potnih listov ne ostaneta v zraku.

Ta registracija je koristna ne samo za nadzor, ampak tudi praktično: prepreči, da se notranje znanje o tem, kdo kaj upravlja, izgubi ob kadrovskih spremembah ali prevzemu podjetja.

To ni pravno svetovanje. Ta stran daje splošne informacije o pravilnikih, na katere se nanaša ta platforma. Ne poznamo vaše situacije. Če ste negotovi glede vašega primera, se posпосavtite s pravnikom ali pristojnim nadzornim organom.

Napisano s pomočjo umetne inteligence na podlagi zgornjih virov, preveril človek 2026-09-05. Ali je kaj narobe? Nam povejte — popravki imajo prednost.