🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩
Det finns en mening som cirkulerar i upphandlingspresentationer, LinkedIn-karuseller och startup-pitchmaterial över hela Europa just nu:
“We can deliver your Digital Product Passport — fast, easy, at scale.”
Vissa leverantörer har gått ännu längre. DPP på en dag.DPP redo om 72 timmar.Full DPP compliance, no technical integration required.
Det här är efterlevnadsbranschen som drivs av "fake it tills you make it." Strategin är enkel: sälj löftet, ta reda på leveransen senare. I en konsumentapp är det en tillväxtfilosofi. I en juridisk deklaration enligt EU-lag är det en ansvarsöverföring – från leverantörens balansräkning till varumärkets.
Jag har följt detta i månader. Jag måste säga något.
Vad som faktiskt säljs
I de flesta fall är det som kallas en "DPP" en av följande:
En QR-kod som länkar till en PDF
Ett produktdatablad som hostas på en leverantörs proprietära plattform
En hållbarhetsreklam-sida utan verifierbar backend
En Excel-fil som någon kallade ett "pass"
Ingen av dessa är DPP:er. Inte juridiskt. Inte tekniskt sett. Inte ens i närheten.
Vad en DPP egentligen är
Ett digitalt produktpass under EU ESPR (Regulation 2024/1781) är en strukturerad, maskinläsbar, verifierbar legitimation — inte ett dokument, inte en webbsida, inte en bricka.
För att utfärda en godkänd DPP behöver du minst:
1. Registrering i EU:s DPP-register Enligt utkast CIR Ares(2026)4424976 måste DPP-tjänsteleverantörer registrera sig enligt artikel 5. Du behöver en kvalificerad elektronisk sigill (qSeal) eller kvalificerad elektronisk signatur (qSign) från en förtroendetjänstleverantör som finns med i en EU-medlemsstats förtroendelista. Detta är ingen kryssruta. Det kräver verifiering av juridiska enheter, PKI-infrastruktur och löpande kryptografiskt ansvar.
2. Verifiable Credentials architecture En DPP måste utfärdas som en verifierbar legitimation med ett kryptografiskt bevis — JWS eller COSE — förankrat till ett DID-dokument med offentligt lösbara JWKS. Utgivarens identitet måste kunna verifieras av vilken konform plånbok eller verifierare som helst utan att behöva anropa leverantörens proprietära API.
3. Semantisk och taxonomisk efterlevnad Datan inom DPP måste följa den produktkategorispecifika datamodellen som definieras i den relevanta delegerade handlingen. För textilier inkluderar detta fibersammansättning, ursprungsland, vårdanvisningar, reparationsbarhet, återvunnet innehåll och – avgörande – massbalansdokumentation. Taxonomin är inte valfri dekoration. Det är den maskinläsbara struktur som EU:s tillsynsmyndigheter, tullsystem och efterföljande verifierare kommer att fråga.
4. Transaction Certificate verification Alla anspråk på återvunnet innehåll måste stödjas av ett verifierat transaktionsintyg — GRS, RCS eller motsvarande — på batchnivå. Att påstå "30 % återvunnen polyester" på en DPP utan ett länkat, verifierbart certifikat är en falsk deklaration enligt ESPR.
5. Massbalansförsoning per plagg Det är här klyftan är som störst – och där de flesta leverantörer tystnar. Certifieringssystemet "Återvunnet innehåll" är batchbaserat: det certifierar kilogram material i en leveranskedja. ESPR DPP är per plagg: varje enskild produkt har en deklaration. Att stämma av en batchnivå-TC till en per enhet DPP kräver en massbalansalgoritm som tillämpas på SKU-nivå. Det finns ingen genväg här. "DPP på en dag" kan omöjligt inkludera detta steg.
6. Den europeiska affärsplånboken Under eIDAS2 behöver varje juridisk enhet som verkar i EU en europeisk företagsplånbok (EUBW) — en kvalificerad digital identitetslegitimation för organisationer. Detta är inte ett produktspecifikt krav: det är identitetsinfrastrukturen som gör autentiserad, verifierbar DPP-utfärdande juridiskt bindande. Ingen EUBW-kompatibel identitet, ingen verifierbar utfärdare. Varje företag som bedriver verksamhet i Europa kommer att möta detta krav – inklusive, så småningom, Anthropic.
7. Intersecting regulatory obligations ESPR verkar inte i vakuum. En komplett DPP-strategi för en textilprodukt måste ta hänsyn till:
ECGT (Att stärka konsumenter för den gröna omställningen) — underbyggande krav för miljöpåståenden
EU Packaging Regulation — DPP-skyldigheter för produktförpackningar, separat från själva produkten
GDPR och AI-lagen artikel 50 — upplysningsskyldigheter om AI används i databehandlingspipelines som matar DPP
Att läsa en regel kvalificerar ingen att utfärda DPP:er. Att läsa alla är bara början.
Ett specifikt meddelande till leverantörer utanför EU som påstår sig vara "DPP-klara"
Den här förtjänar en egen sektion.
Jag har sett företag baserade i Asien, Nordamerika och Storbritannien som presenterar sig som DPP-leverantörer för den europeiska marknaden. Pitchen är alltid densamma: global plattform, omedelbar efterlevnad, ingen EU-enhet krävs.
Let me be direct about what ESPR actually says.
Enligt förordning 2024/1781 måste varje icke-EU-tillverkare vars produkter tas ut på EU-marknaden utse en EU Authorised Representative — en juridisk person som har etablerats inom Europeiska unionen och som har formellt ansvar för DPP-deklarationen. Denna representant är inte en kontaktperson. De är responsible economic operator i EU:s marknadsövervakningsmyndigheters ögon.
Detta betyder: om ett företag utanför EU utfärdar en DPP för en produkt som kommer in på den europeiska marknaden och den deklarationen visar sig vara icke i uppfyllelse, måste det finnas en juridiskt ansvarig EU-enhet som tillsynsmyndigheterna kan hålla ansvariga. En webbplats i Singapore eller en plattform registrerad i Delaware uppfyller inte detta krav.
Fråga dig nu: av alla företag som för närvarande påstår sig vara DPP-klara utanför EU, hur många har etablerat denna EU-ansvariga enhet? Hur många har kopplat den till en kvalificerad elektronisk försegling? Hur många har registrerat sig i EU:s DPP-register under den enhetens juridiska identitet?
Svaret är i de flesta fall inget. För de har inte läst så långt än. De planerar, i den mest bokstavliga bemärkelsen, att lista ut det senare.
Det är "fake it until you make it" som verkar på jurisdiktionsnivå. Och i detta fall betyder "senare" att ett varumärke har undertecknat ett kontrakt och lämnat en deklaration på en produkt som går in i EU:s tull.
Varför detta är viktigt bortom semantiken
"Fake it until you make it" är en gångbar filosofi för en konsumentapp. Det är inte genomförbart när det som förfalskas är en juridisk deklaration enligt EU-rätt.
Varumärken som köper en "DPP-lösning" från en leverantör som inte har gjort detta arbete slösar inte bara budget. De skapar documented liability.
En DPP är en deklaration. Om ett varumärke utfärdar en DPP som påstår 40 % återvunnet innehåll, och det påståendet inte stöds av en verifierbar massbalansering, är det en falsk deklaration — enligt ESPR, ECGT och nationell konsumentskyddslagstiftning. Det faktum att en leverantör sa att det var enligt reglerna är inget försvar.
EU:s marknadsövervakningsmyndigheter kommer inte att granska leverantörerna. De kommer att granska varumärkena. Varumärkena kommer att återvända till sina leverantörer. Deras leverantörer kommer att vara ouppnåeliga.
Detta är cykeln som just nu byggs upp, i realtid, över hundratals upphandlingsrelationer.
Testet jag använder
När ett företag säger att de levererar efterlevnadsgodkända DPP:er ställer jag fem frågor:
Är du registrerad i EU:s DPP-register, eller har du en kvalificerad elektronisk stämpel från en EU-trusttjänsteleverantör?
Kan jag lösa ditt DID-dokument och verifiera en testlegitimation mot din JWKS-endpoint just nu?
Hur stämmer man av ett GRS-transaktionscertifikat på batchnivå med individuella DPP-deklarationer på SKU-nivå?
Vilken datamodell för delegerade handlingar implementerar du, och var är din taxonomikartläggning dokumenterad?
Om du inte är EU-etablerad: vem är din EU-auktoriserade representant, och under vilken medlemsstat är de registrerade?
Den sista frågan räcker oftast.
Vad jag inte säger
Jag säger inte att det är omöjligt att bygga en kompatibel DPP-plattform. Det görs — försiktigt, långsamt och av team som har tillbringat år i den regulatoriska processen.
Jag säger inte att tidiga lösningar saknar värde. Iteration är hur infrastruktur byggs.
I am saying: "Fake it tills you make it" har en kostnad, och i den här branschen betalar någon annan den. Den personen är varumärket som skrev under kontraktet, konsumenten som skannade QR-koden, och så småningom tillsynsmyndigheten som kommer att göra exempel av båda.
Branschen förtjänar bättre
Digital Product Passport, utfört korrekt, är ett av de mest ambitiösa datainfrastrukturprojekten i textilleveranskedjans historia. Det har potential att göra hållbarhetsanspråk granskande, leveranskedjor transparenta och konsumentbeslut meningsfulla.
Det projektet undergrävs varje gång någon säljer en QR-kod och kallar det DPP.
Varumärkena, fabrikerna, certifierarna och tillsynsmyndigheterna som har arbetat med detta förtjänar verkligen en marknad som skiljer mellan det verkliga och det teatraliska.
Det gör även konsumenterna som så småningom kommer att skanna dessa saker.
Stefano Cipriani är grundaren av Reeco®, en B2B SaaS-plattform för spårbarhet av textilleveranskedjan och utfärdande av Digital Product Passport enligt EU:s ESPR. Han är expertmedlem i CIRPASS-2 (EWG1/EWG3/EWG5), registrerad intressent vid JRC (Unit B5 Sevilla) och en noterad UNTP-implementatör.