Systemy paszportu baterii dostały znak certyfikacji. Jest dobrowolny i nie przejmuje Twojej odpowiedzialności

7 października 2026 r. TÜV SÜD ogłosił znak certyfikacji dla cyfrowego paszportu baterii. To dobrowolny, prywatny znak. Żaden przepis UE nie wymaga certyfikacji systemu paszportu baterii, a certyfikat nie przenosi obowiązku: zgodnie z art. 77 ust. 4 rozporządzenia (UE) 2023/1542 to podmiot gospodarczy wprowadzający baterię do obrotu zapewnia, aby informacje w paszporcie były dokładne, kompletne i aktualne. Certyfikację dostawców usług paszportowych przewiduje inny akt, ESPR, a akt delegowany, który mógłby ją wprowadzić, nie ma jeszcze nawet projektu. Wyjaśniamy, co nowy znak może Ci powiedzieć, czego nie może, i o co pytać każdego dostawcę, z certyfikatem albo bez.

Co ogłosił TÜV SÜD

Komunikat prasowy wydany w Monachium 7 października 2026 r. wprowadza znak certyfikacji dla cyfrowego paszportu baterii (Digital Battery Passport). Według komunikatu ocena obejmuje cztery obszary:

• wymogi rozporządzenia bateryjnego, czyli rozporządzenia (UE) 2023/1542;
• wymogi techniczne ESPR, czyli rozporządzenia (UE) 2024/1781;
• wymogi dotyczące cyberbezpieczeństwa, integralności danych i zaufania;
• interoperacyjność zgodnie ze zharmonizowanymi normami DPP.

Adresatami są producenci, inni uczestnicy rynku i organy. Argument TÜV SÜD, w słowach jego linii biznesowej Energy, brzmi tak: paszport baterii to regulowany system istotny dla bezpieczeństwa, a nie tylko produkt informatyczny. Prasa branżowa ujęła to jako lukę zaufania: dostawca oprogramowania nie udowodni sam swojej zgodności, a odpowiedzialność prawną ponosi producent.

Czego komunikat nie mówi, przynajmniej w tekście, który udało nam się przeczytać: według której wersji jakich kryteriów odbywa się ocena, czy znak obejmuje platformę oprogramowania czy wdrożenie u jednego producenta i jak długo jest ważny. Strony usług TÜV SÜD nie otworzyły się nam. Jeśli dostawca pokazuje Ci ten znak, poproś o dokument opisujący jego zakres.

Kto odpowiada według rozporządzenia bateryjnego

Art. 77 ust. 4 ma dwa zdania. Podmiot gospodarczy wprowadzający baterię do obrotu zapewnia, aby informacje zawarte w paszporcie baterii były dokładne, kompletne i aktualne. Może on udzielić pisemnego upoważnienia każdemu innemu podmiotowi do działania w jego imieniu.

Pracę możesz więc oddać komuś innemu, z pisemnym upoważnieniem. Obowiązek zostaje tam, gdzie umieściło go rozporządzenie. Art. 78 ustala z kolei zasadnicze wymogi dla tego, kto prowadzi paszport:

• Przechowywanie, art. 78 lit. c: przez odpowiedzialny podmiot gospodarczy albo przez podmioty upoważnione do działania w jego imieniu.
• Zakaz wykorzystywania Twoich danych, art. 78 lit. d: te podmioty nie mogą sprzedawać, ponownie wykorzystywać ani przetwarzać danych poza tym, co niezbędne do usługi przechowywania lub przetwarzania.
• Trwałość, art. 78 lit. e: paszport pozostaje dostępny po ustaniu albo zaprzestaniu działalności w Unii przez odpowiedzialny podmiot.
• Kontrola dostępu, art. 78 lit. f: prawa dostępu, wprowadzania, modyfikowania i aktualizacji informacji wynikają z załącznika XIII i z aktu wykonawczego z art. 77 ust. 9, którego Komisja wciąż nie przyjęła.
• Uwierzytelnianie, niezawodność i integralność danych, art. 78 lit. g, oraz bezpieczeństwo, prywatność i zapobieganie oszustwom, art. 78 lit. h.

W rozporządzeniu bateryjnym brakuje dwóch rzeczy. Nie ma w nim roli dostawcy usług w zakresie paszportów: to określenie w ogóle nie pada w tekście, a helpdesk KE ds. DPP potwierdził nam w sierpniu 2026 r., że rozporządzenie bateryjne nie przewiduje dostawców usług DPP jako podmiotu. Nie ma w nim też certyfikacji nikogo, kto prowadzi paszport w Twoim imieniu. Znak taki jak ten od TÜV SÜD to sposób pokazania, że system spełnia wymogi w rodzaju art. 78 lit. g i h. Nie jest statusem prawnym.

Gdzie certyfikacja pojawia się w prawie: ESPR

Rozporządzenie w sprawie ekoprojektu, które obejmie paszporty tekstyliów, stali, mebli i pozostałych grup produktów, tę rolę nazywa. Art. 2 pkt 32 definiuje dostawcę usług w zakresie cyfrowych paszportów produktów jako niezależną stronę trzecią upoważnioną przez podmiot gospodarczy wprowadzający produkt do obrotu. Art. 10 ust. 4 zobowiązuje ten podmiot do udostępnienia kopii zapasowej paszportu za pośrednictwem takiego dostawcy.

Ostatni akapit art. 11 upoważnia Komisję do przyjęcia aktów delegowanych określających wymogi, które dostawcy usług mają spełniać, aby zostać takimi dostawcami, oraz, w stosownych przypadkach, system certyfikacji służący sprawdzaniu, czy te wymogi są spełniane, a także wymogi, które dostawcy spełniają w trakcie świadczenia usług. Motyw 40 dodaje, że Komisja mogłaby przeprowadzić ocenę skutków, żeby zbadać, czy system certyfikacji dostawców w ogóle jest adekwatny.

Ten akt delegowany to inicjatywa 14382 w rejestrze Komisji. Zaproszenie do zgłaszania uwag zebrało 178 opinii, a konsultacje publiczne 275. 8 października 2026 r. projekt wciąż był oznaczony jako nadchodzący. Rejestr podaje IV kwartał 2026 r. jako planowany termin przyjęcia; helpdesk Komisji powiedział nam w sierpniu, żeby spodziewać się go około II kwartału 2027 r. Tak czy inaczej, dziś nie ma prawnych kryteriów bycia dostawcą usług ani oficjalnego systemu certyfikacji.

Rozporządzenie o rejestrze, (UE) 2026/1778, ma już dla nich miejsce. Art. 3 lit. f wymienia wśród elementów rejestru wykaz zweryfikowanych dostawców usług w zakresie cyfrowych paszportów produktów zarejestrowanych w rejestrze. Opisana tam weryfikacja dotyczy tożsamości, potwierdzanej kwalifikowaną pieczęcią elektroniczną, a rozporządzenie mówi wprost, że sprawdzanie poprawności merytorycznej zarejestrowanych danych pozostaje zadaniem organów nadzoru rynku.

Co dziś znaczą „normy zharmonizowane”

Komunikat wspomina o zharmonizowanych normach DPP, więc warto dokładnie powiedzieć, które istnieją.

• Na podstawie ESPR decyzja wykonawcza (UE) 2026/1736 z 15 lipca 2026 r. przywołała sześć norm: EN 18216, EN 18219, EN 18220, EN 18221, EN 18222 i EN 18223.
• EN 18239 o prawach dostępu, bezpieczeństwie i poufności handlowej oraz EN 18246 o uwierzytelnianiu, niezawodności i integralności danych CEN wydał 16 września 2026 r., ale 8 października 2026 r. żadna z nich nie była przywołana w Dzienniku Urzędowym. To dokładnie tematy art. 78 lit. f-h.
• Na podstawie rozporządzenia bateryjnego art. 15 ust. 3 mówi, że normy zharmonizowane mogą dawać domniemanie zgodności z art. 78, czyli z projektem technicznym paszportu. Jedyne dotąd odniesienie opublikowane na podstawie tego rozporządzenia to EN 18060:2025, przywołana 16 września 2026 r., i dotyczy wydajności i trwałości baterii do pojazdów elektrycznych, a nie paszportu.

Dziś żadna norma zharmonizowana nie daje więc systemowi paszportu baterii domniemania zgodności z art. 78. Zewnętrzna ocena bezpieczeństwa i integralności to ocena według kryteriów wybranych przez jednostkę certyfikującą. Może być cenna. Nie jest jednak tym samym co domniemanie zgodności, które daje tylko przywołana norma zharmonizowana albo wspólne specyfikacje przyjęte przez Komisję na podstawie art. 16.

Co znak może dla Ciebie zrobić, a czego nie

Może:

• dać Ci niezależny dowód, że ktoś kompetentny przyjrzał się bezpieczeństwu, integralności i interoperacyjności systemu w określonym momencie;
• skrócić Twoją własną weryfikację dostawcy i dać Ci coś do pokazania klientowi albo audytorowi, który zapyta o powód wyboru.

Nie może:

• zdjąć z Ciebie obowiązku z art. 77 ust. 4;
• potwierdzić, że Twoje dane są prawdziwe, bo dane pochodzą od Ciebie, a ich sprawdzanie należy do organów nadzoru rynku;
• stworzyć domniemania zgodności, które dają tylko przywołane normy albo wspólne specyfikacje;
• uzupełnić przepisów, których jeszcze nie ma, na przykład tego, kto jest osobą z uzasadnionym interesem w rozumieniu art. 77 ust. 9;
• zagwarantować, że wersja systemu, z której korzystasz dziś, to ta sama wersja, którą oceniono.

O co pytać każdego dostawcę, z certyfikatem albo bez

• Upoważnienie. Czy jest pisemne upoważnienie z art. 77 ust. 4 i co dokładnie obejmuje?
• Eksport. Czy wyjmiesz wszystkie paszporty w formacie do odczytu maszynowego i otwartym, bez pomocy dostawcy? Art. 77 ust. 5 wymaga danych możliwych do przeniesienia bez uzależnienia od jednego dostawcy.
• Adres w kodzie QR. Czyja to domena i co się stanie z kodem nadrukowanym na Twoich bateriach, jeśli zmienisz dostawcę?
• Trwałość. Co utrzyma Twoje paszporty w sieci, jeśli dostawca zakończy działalność, a co, jeśli zrobi to Twoja firma? Art. 78 lit. e wymaga, żeby paszport przetrwał odpowiedzialny podmiot.
• Twoje dane. Czy umowa powtarza ograniczenie z art. 78 lit. d: żadnej sprzedaży, ponownego wykorzystania ani przetwarzania poza usługą?
• Warstwy dostępu. Jak dziś oddzielone są część publiczna, część dla organów i jednostek notyfikowanych oraz część dla osób z uzasadnionym interesem, skoro aktu z art. 77 ust. 9 wciąż nie ma?
• Integralność. Jak zapisywane są zmiany i czy pokażesz inspektorowi, co paszport zawierał w danym dniu?
• Jeśli ma certyfikat: co dokładnie oceniono, według jakich kryteriów, kto, kiedy, dla której wersji i do kiedy jest ważny? Poproś o raport albo zakres, nie tylko o logo.

Jeśli chcesz wejść głębiej w same normy, opublikowaliśmy czternaście pytań, które sprawdzają dostawcę pod kątem norm DPP.

Dla jasności: DPPera też jest dostawcą paszportów. Nie mamy znaku TÜV SÜD ani żadnej innej certyfikacji naszego systemu i żaden przepis nie wymaga jej od nas ani od nikogo innego. Pytania powyżej to te, których spodziewamy się od klientów.

Czym to nie jest

To nie jest wymóg prawny. Ani rozporządzenie bateryjne, ani ESPR nie wymagają dziś certyfikowanego systemu paszportu.

To nie jest system certyfikacji z ESPR. Ten system może przyjść razem z aktem delegowanym o dostawcach usług albo nie, a jego kryteria nie są znane.

To nie jest krytyka TÜV SÜD. Niezależne badanie systemów, które przechowują regulowane dane, jest przydatne, a znak z opublikowanym zakresem jest lepszy niż obietnica samego dostawcy. Po prostu nie zmienia tego, kto odpowiada.

FAQ

Łukasz Głuch

Buduje DPPera, narzędzie do cyfrowych paszportów produktu dla małych i średnich firm. Czyta akty delegowane, żebyś Ty nie musiał. Pisze o tym, co sprawdził w rejestrze, nie o tym, co obiecują dostawcy.

LinkedIn