Operatore economico verificato — come ottenere accesso al registro DPP

Il registro europeo dei passaporti digitali di prodotto è aperto dal 20 luglio 2026 e il regolamento di esecuzione (UE) 2026/1778 si applica dal 6 agosto. La domanda che i fabbricanti pongono più spesso è «quando comincerà a riguardare la mia categoria?». È una domanda ragionevole, ma per ora è quella sbagliata: il primo passo, senza il quale nient’altro è possibile, non dipende da alcuna scadenza di prodotto e si può completare oggi.

Quel passo è ottenere lo status di operatore economico verificato. Il registro non accetta invii da mittenti anonimi: prima di registrare il primo passaporto, la tua impresa deve dimostrare la propria identità con mezzi qualificati di identificazione elettronica previsti dal regolamento eIDAS. La procedura passa da un prestatore di servizi fiduciari esterno, quindi si misura in settimane e non in minuti — ed è proprio questo a renderla la migliore candidata tra le attività da chiudere in anticipo. Se ti stai avvicinando ora al tema, parti da il DPP in 15 minuti; per la meccanica completa del registro vedi il nostro articolo sul registro.

I punti chiave

Lo status di operatore economico verificato (articolo 4 del regolamento 2026/1778) è presupposto di ogni registrazione di passaporto e non attende l’atto delegato relativo alla tua categoria.
Una persona giuridica dimostra la propria identità con un sigillo elettronico qualificato. Una persona fisica che opera come ditta individuale usa una firma elettronica qualificata, un mezzo di identificazione elettronica di livello di garanzia «elevato» oppure un’attestazione qualificata di attributi.
Il sigillo qualificato si acquista da un prestatore qualificato di servizi fiduciari (QTSP) iscritto in un elenco di fiducia nazionale, non da un fornitore di software DPP.
Lo status dura quanto il mezzo di identificazione su cui si fonda e mai più di tre anni (articolo 4, paragrafo 4).
La tua verifica non puoi acquistarla da nessuno, ma una volta verificato puoi autorizzare un terzo verificato a registrare passaporti per tuo conto (articolo 19, paragrafo 4). La responsabilità resta in capo a te.
Non si tratta dello status di Operatore Economico Autorizzato (AEO) del diritto doganale. La somiglianza dei nomi è fuorviante e costosa.
La scadenza vincolante più vicina: 18 febbraio 2027, registrazione obbligatoria dei passaporti delle batterie.

Questo non è l’AEO — l’equivoco più frequente e più costoso

Prima della procedura vera e propria conviene disinnescare un fraintendimento che torna di continuo nelle conversazioni con i team compliance. L’«operatore economico verificato» del regolamento sul registro DPP non ha nulla a che vedere con l’«Operatore Economico Autorizzato» (AEO) del codice doganale dell’Unione. La confusione è favorita dal fatto che il registro DPP conserva un codice doganale della merce insieme a ogni registrazione, cosicché i due mondi effettivamente si toccano sul piano dei dati.

	Operatore Economico Autorizzato (AEO)	Operatore economico verificato (DPP)
Base giuridica	Codice doganale dell’Unione (UE) n. 952/2013	Regolamento di esecuzione (UE) 2026/1778, articolo 4
Chi lo concede	L’amministrazione doganale nazionale	Verifica nei confronti della Commissione, dentro il registro DPP
Base della concessione	Audit dell’impresa: solvibilità, storico di conformità, sicurezza della catena di fornitura	Prova d’identità mediante un mezzo qualificato eIDAS
Tempo di ottenimento	Mesi, con ispezione in loco	Settimane, per lo più a carico del prestatore di servizi fiduciari
Che cosa dà	Semplificazioni doganali, meno controlli	La possibilità di registrare passaporti nel registro
Validità	A tempo indeterminato, con monitoraggio	Max. 3 anni, poi nuova verifica

Se la tua impresa possiede lo status AEO, questo non accorcia di un solo giorno la strada verso il registro DPP. Ed è vero anche il contrario: la verifica nel registro DPP non concede alcun privilegio doganale.

Tre ruoli nel registro — quale ti serve davvero

Il regolamento prevede ruoli distinti con permessi distinti. Sbagliare scelta costa settimane, quindi conviene chiarirlo prima della prima telefonata a un prestatore di servizi fiduciari.

Ruolo	Base	Chi è	Che cosa può fare
Operatore economico verificato	Art. 4	Fabbricante, importatore, mandatario: il soggetto responsabile dell’immissione del prodotto sul mercato	Registrare passaporti, modificare le proprie voci, scaricare la prova di registrazione
Attore verificato della catena del valore	Art. 5	Riparatori, rigeneratori, riciclatori	Leggere e integrare dati nei limiti dei propri permessi
Prestatore di servizi DPP	Art. 3, lettera f)	Fornitore di servizi di passaporto, iscritto nell’elenco pubblico tenuto dal registro	Agire per conto degli operatori economici; l’elenco stesso è pubblico

Per la grande maggioranza dei fabbricanti il ruolo giusto è il primo. Il secondo va pianificato quando il modello di business prevede un centro di assistenza autorizzato o quando un riciclatore integra la storia del prodotto: anche il loro accesso richiede una verifica formale, e richiede lo stesso tempo.

Quale entità giuridica del gruppo deve essere verificata

Lo status si attribuisce a una persona giuridica: non a un marchio, non a un gruppo societario, non a uno stabilimento produttivo. Sembra ovvio finché non si guarda la struttura tipica di un fabbricante di medie dimensioni, dove la holding, la società commerciale e la società produttiva sono tre entità diverse con tre numeri di registrazione diversi.

La regola pratica è semplice: verifica l’entità che si presenta sul mercato come operatore economico per quel prodotto, quella il cui nome e indirizzo compaiono sul prodotto e sulla dichiarazione di conformità UE. Se due società del gruppo immettono prodotti sul mercato con nome proprio, serviranno due verifiche e due sigilli.

Tre situazioni da mettere per iscritto prima di iniziare:

Importatore. Chi immette sul mercato UE prodotti di un fabbricante extra-UE è operatore economico a pieno titolo secondo la normativa di armonizzazione. Si verifica da sé, per proprio conto.
Mandatario. Agisce su mandato di un fabbricante extra-UE, ma nel registro compare come entità separata e necessita di mezzi di identificazione propri.
Produzione conto terzi e marchi propri. Un prodotto venduto con il marchio di un distributore ha quel distributore come fabbricante in senso giuridico, non lo stabilimento che lo ha costruito. Si verifica il soggetto il cui nome è sul prodotto.

L’errore più frequente in questa fase: verificare una holding che non compare su alcun prodotto. Il sigillo risulta allora tecnicamente valido e operativamente inutile.

Sigillo o firma — la scelta del mezzo di identificazione

Il regolamento distingue i mezzi in base alla natura dell’entità, non alle dimensioni dell’impresa o al settore.

Persone giuridiche

Un’impresa dimostra la propria identità e il proprio stabilimento con un sigillo elettronico qualificato basato su un certificato qualificato di sigillo elettronico, rilasciato da un prestatore qualificato di servizi fiduciari, oppure con un’attestazione qualificata di attributi prevista dal diritto dell’Unione (articolo 4, paragrafo 2).

La distinzione decisiva, facile da mancare: il sigillo appartiene all’entità, non a una persona fisica. Il certificato è rilasciato all’impresa, non all’amministratore delegato. La firma elettronica qualificata di un membro del consiglio non sostituisce il sigillo aziendale: sono due mezzi diversi con due funzioni giuridiche diverse. Un’impresa che dispone di firme per i propri amministratori non ha ancora nulla di utilizzabile per il registro DPP.

Persone fisiche e ditte individuali

Una ditta individuale dimostra la propria identità con una firma elettronica qualificata basata su un certificato qualificato, con un mezzo di identificazione elettronica di livello di garanzia «elevato» oppure con un’attestazione qualificata di attributi (articolo 4, paragrafo 1). In questo caso il registro conserva anche un identificativo nazionale: un numero di documento d’identità o un codice fiscale.

Entità al di fuori dell’Unione

I fabbricanti e gli altri soggetti stabiliti fuori dall’UE che non sono tenuti a stabilirsi nell’Unione dimostrano la propria identità con una firma qualificata o un’attestazione di attributi, senza l’elemento della prova dello stabilimento. In pratica ciò significa rivolgersi a un prestatore che opera in regime eIDAS anche se l’impresa non ha alcuna entità europea.

Come ottenere un sigillo qualificato — cinque passi

1. Scegliere un prestatore qualificato di servizi fiduciari

Possono rilasciare certificati qualificati soltanto gli organismi iscritti in un elenco di fiducia nazionale tenuto da uno Stato membro. Gli elenchi sono pubblici e raccolti nel trusted list browser della Commissione europea. Non è obbligatorio scegliere un prestatore del proprio Paese: un certificato qualificato rilasciato in un qualsiasi Stato membro ha effetto in tutta l’Unione. Prima di firmare, verifica che il prestatore sia iscritto per il servizio di certificati di sigillo, non soltanto per le firme: sono voci distinte.

2. Decidere il supporto

Un sigillo qualificato richiede un dispositivo qualificato per la creazione di sigilli. In pratica esistono tre varianti:

Smart card crittografica o token. Il modo più economico per iniziare, ma richiede l’accesso fisico al dispositivo a ogni utilizzo. Si presta male all’automazione.
Un HSM nella propria sede. Ha senso su volumi elevati e con un team operativo interno.
Sigillo da remoto presso il prestatore. La chiave resta nell’infrastruttura del prestatore e l’accesso avviene via API. È l’unica variante realmente adatta alla registrazione massiva tramite l’API del registro.

Se prevedi di registrare singoli modelli a mano, una smart card basta. Se i tuoi prodotti saranno registrati per lotto o per esemplare, la scelta del supporto determina se la cosa sia automatizzabile — ed è una decisione che conviene prendere prima dell’acquisto, non dopo.

3. Raccogliere i documenti

Il prestatore verifica che l’entità esista e che la persona che presenta domanda per suo conto sia legittimata a farlo. Di norma servono: una visura camerale aggiornata, i dati identificativi dell’impresa, un documento che attesti i poteri di rappresentanza e il documento d’identità del rappresentante. Se la struttura comporta procure, preparale in anticipo: è di gran lunga la causa di ritardo più comune.

4. Superare la verifica dell’identità

Il richiedente si sottopone a una verifica dell’identità: di persona, davanti a un notaio, oppure da remoto se il prestatore offre l’identificazione video qualificata. Il metodo e la disponibilità dell’opzione remota variano tra Stati membri e tra prestatori: conviene chiederlo al primo contatto, perché può fare la differenza tra una settimana e un mese.

5. Ritirare il certificato e annotare subito la scadenza

I certificati qualificati di sigillo sono di solito rilasciati per uno, due o tre anni. La data di scadenza non è una formalità: dopo quella data il sigillo smette di funzionare e con esso viene meno la possibilità di registrare nuovi passaporti. Inseriscila nel calendario di compliance nella stessa ora in cui ritiri il certificato.

Che cosa succede dal lato del registro

Con un mezzo di identificazione qualificato in mano, completi la verifica nel registro stesso: il sistema conferma l’identità e lo stabilimento dell’entità, concede lo status di operatore economico verificato e apre l’accesso alla registrazione, tramite l’interfaccia web o tramite l’API.

Da quel momento ogni registrazione di passaporto è firmata o sigillata con il tuo mezzo, e il registro annota l’identificativo del prodotto, il codice della merce, l’identità di chi registra, una marca temporale e un hash crittografico della versione del passaporto. Un invio privo di firma o sigillo validi viene respinto.

Vale la pena notare che cosa implica tutto questo sul piano dei dati: l’hash lega la registrazione a una specifica versione del contenuto del passaporto. Modificare i dati senza gestione delle versioni ti allontana da ciò che il registro conserva. Il versionamento smette di essere una buona pratica e diventa un requisito strutturale — ne parliamo più diffusamente nell’articolo su DPP e PIM.

Chi può registrare per tuo conto

Questa domanda arriva in ogni conversazione con un fabbricante e merita una risposta precisa, perché la versione popolare («lo status non è delegabile») è una semplificazione che porta a cattive decisioni d’acquisto.

Che cosa non si può fare: non puoi acquistare lo status altrui e non puoi esternalizzare la prova della tua identità. La tua entità si verifica da sé, con mezzi qualificati propri. Un fornitore di software non diventerà operatore economico verificato «al posto tuo», perché la verifica si attribuisce a una specifica persona giuridica.

Che cosa si può fare: il regolamento consente espressamente a un operatore economico verificato di autorizzare un terzo a effettuare registrazioni per suo conto, purché tale terzo abbia a sua volta completato il processo di verifica di cui all’articolo 5. L’operatore economico resta pienamente responsabile di quanto viene inviato (articolo 19, paragrafo 4).

La conseguenza pratica nella scelta del fornitore: la domanda «potete farlo voi per noi?» ha una risposta significativa solo se il fornitore è a sua volta verificato. Vale la pena porre tre domande di controllo:

La vostra entità è verificata nel registro, e con quale ruolo?
Comparite nell’elenco pubblico dei prestatori di servizi DPP tenuto dal registro (articolo 3, lettera f)?
Nel modello di autorizzazione, restiamo noi responsabili del contenuto degli invii — e come ci date visibilità su ciò che inviate?

La risposta alla terza domanda è «sì, restate responsabili», ed è giusto così. Un fornitore che lascia intendere di assumersi la responsabilità della conformità degli invii o non ha letto il regolamento o sta facendo una promessa che non può mantenere.

Tre anni — come non perdere lo status a metà stagione

Contro il tuo status corrono due orologi indipendenti, ed esso decade quando scatta il primo dei due:

L’orologio del certificato. Il certificato del sigillo qualificato è stato rilasciato per uno, due o tre anni: lo decide il tuo contratto con il prestatore di servizi fiduciari.
L’orologio del regolamento. Lo status di verificato non dura più di tre anni dalla data della verifica, indipendentemente da quanto a lungo resti valido il certificato (articolo 4, paragrafo 4).

Un’impresa che ottiene un sigillo nel 2026 e poi se ne dimentica perde nel 2029 la possibilità di registrare nuovi passaporti — non a seguito di un controllo, ma in silenzio, nel mezzo dell’attività ordinaria. Tre cose lo evitano:

Un promemoria tre mesi prima della prima delle due date, non una settimana prima.
Un responsabile designato e un sostituto: uno status legato al calendario privato di una persona lascia l’azienda insieme a lei.
Il rinnovo trattato come voce ricorrente del registro di compliance, accanto alle revisioni della documentazione tecnica e alla valutazione della conformità.

Cinque errori che costano settimane

Verificare la società sbagliata. La holding invece di quella il cui nome è sul prodotto. Si ricomincia da capo.
Acquistare il certificato sbagliato. Un normale certificato di organizzazione, un certificato SSL o un sigillo non qualificato non soddisfano il requisito. Contano la parola «qualificato» e l’iscrizione del prestatore nell’elenco di fiducia.
Confondere il sigillo con la firma dell’amministratore delegato. La firma qualificata di una persona fisica non prova l’identità di una persona giuridica.
Dare per scontato che se ne occupi il fornitore DPP. Può effettuare la registrazione per te se è a sua volta verificato, ma non può fare al posto tuo la tua verifica.
Iniziare nel mese in cui scade il termine di prodotto. Ottenere un mezzo di identificazione si misura in settimane e dipende dal calendario di un fornitore esterno che non controlli.

Domande frequenti

Mi serve lo status adesso, se la mia categoria non ha ancora un atto delegato?

Formalmente non c’è obbligo finché non hai passaporti da registrare. In pratica è l’unica attività dell’intero ambito DPP che si può chiudere senza aspettare nulla: non dipende da un atto delegato, né dalla maturità dei dati, né dalla scelta del software. Se produci batterie soggette alla scadenza del 18 febbraio 2027, la finestra per affrontarla con calma si sta chiudendo ora.

Un fornitore di software DPP può ottenere lo status per me?

No. La verifica si attribuisce alla tua persona giuridica e si fonda su un mezzo di identificazione rilasciato alla tua entità. Il fornitore però può — se è a sua volta verificato — effettuare registrazioni per tuo conto in forza di un’autorizzazione (articolo 19, paragrafo 4), restando la responsabilità degli invii in capo a te.

Quanto costa?

Il costo è a carico del prestatore di servizi fiduciari e dipende dal supporto scelto e dal periodo di validità del certificato; il sigillo da remoto con accesso via API è di norma più caro di una smart card crittografica. Rispetto al budget di un’implementazione DPP è una voce piccola: qui il rischio reale è il calendario, non il prezzo.

Posso usare lo stesso sigillo per altri scopi?

Sì. Un sigillo elettronico qualificato è uno strumento eIDAS di uso generale: sigilla fatture, documentazione tecnica, dichiarazioni di conformità e corrispondenza con le autorità. Il registro DPP è uno dei suoi impieghi, non un prodotto a sé. Vale la pena considerarlo nel giustificare l’acquisto.

Siamo importatori, non fabbricanti. Ci riguarda?

Sì. Un importatore che immette sul mercato UE prodotti di un fabbricante extra-UE è operatore economico a pieno titolo e si verifica per proprio conto. Lo stesso vale per il mandatario. La ripartizione dei ruoli è trattata più a fondo nell’articolo su GPSR e sicurezza generale dei prodotti.

Continua a leggere

myDPP mantiene i dati di prodotto versionati, convalidati e leggibili dalle macchine, cioè nella forma che un invio al registro e il suo hash di versione richiedono. La verifica della tua entità devi farla tu; noi aiutiamo con ciò che viene dopo. Vedi myDPP.

Fonti

Regolamento di esecuzione (UE) 2026/1778 della Commissione, del 16 luglio 2026, sulle modalità di attuazione del registro dei passaporti digitali di prodotto — articoli 3, 4, 5 e 19 — EUR-Lex
Regolamento (UE) n. 910/2014 (eIDAS), come modificato dal regolamento (UE) 2024/1183 — firme, sigilli e attestazioni di attributi qualificati — EUR-Lex
Regolamento (UE) 2024/1781 (ESPR), articolo 13 — registro dei passaporti digitali di prodotto — EUR-Lex
Regolamento (UE) 2023/1542 (regolamento batterie), articolo 77 — passaporto della batteria — EUR-Lex
Regolamento (UE) n. 952/2013 — codice doganale dell’Unione, status di Operatore Economico Autorizzato (AEO) — EUR-Lex
Commissione europea, trusted list browser (dashboard eIDAS) — elenco dei prestatori qualificati di servizi fiduciari