Weryfikowany podmiot gospodarczy — jak uzyskać status w rejestrze DPP

Rejestr cyfrowych paszportów produktów działa od 20 lipca 2026 roku, a rozporządzenie wykonawcze (UE) 2026/1778 obowiązuje od 6 sierpnia. Najczęstsze pytanie, jakie dostajemy od producentów, brzmi: „kiedy zacznie to dotyczyć mojej kategorii”. To rozsądne pytanie, ale na dziś jest przedwczesne — bo pierwszy krok, bez którego cała reszta jest niemożliwa, nie ma żadnego terminu produktowego i można go wykonać teraz.

Tym krokiem jest uzyskanie statusu weryfikowanego podmiotu gospodarczego. Rejestr nie przyjmuje zgłoszeń od anonimowych nadawców: zanim zarejestrujesz pierwszy paszport, twoja firma musi potwierdzić tożsamość kwalifikowanymi środkami identyfikacji elektronicznej z rozporządzenia eIDAS. Procedura opiera się na zewnętrznym dostawcy usług zaufania, więc liczy się w tygodniach, nie w minutach — i to właśnie czyni ją najlepszym kandydatem na zadanie, które warto zamknąć zawczasu. Jeśli dopiero orientujesz się w temacie, zacznij od artykułu DPP w 15 minut, a po całości mechaniki rejestru sięgnij do opisu samego rejestru.

Najważniejsze w skrócie

Status weryfikowanego podmiotu gospodarczego (art. 4 rozporządzenia 2026/1778) jest warunkiem wstępnym każdej rejestracji paszportu i nie czeka na akt delegowany dla twojej kategorii.
Osoba prawna potwierdza tożsamość kwalifikowaną pieczęcią elektroniczną. Osoba fizyczna prowadząca działalność — kwalifikowanym podpisem, środkiem eID o wysokim poziomie bezpieczeństwa albo kwalifikowanym poświadczeniem atrybutów.
Kwalifikowaną pieczęć kupujesz u kwalifikowanego dostawcy usług zaufania (QTSP) z krajowej listy zaufania — nie u dostawcy oprogramowania DPP.
Status jest ważny tyle, ile środek identyfikacji, na którym się opiera, i nigdy dłużej niż trzy lata (art. 4 ust. 4).
Własnej weryfikacji nie kupisz od nikogo, ale po jej uzyskaniu wolno ci upoważnić zweryfikowaną stronę trzecią do rejestrowania paszportów w twoim imieniu (art. 19 ust. 4). Odpowiedzialność zostaje po twojej stronie.
To nie jest status upoważnionego przedsiębiorcy AEO znany z prawa celnego. Zbieżność nazw jest myląca i kosztowna.
Najbliższy twardy termin: 18 lutego 2027 — obowiązkowa rejestracja paszportów baterii.

To nie jest AEO — najczęstsza i najdroższa pomyłka

Zanim przejdziemy do procedury, warto rozbroić nieporozumienie, które regularnie wraca w rozmowach z działami compliance. „Weryfikowany podmiot gospodarczy” z rozporządzenia o rejestrze DPP nie ma nic wspólnego z „upoważnionym przedsiębiorcą” (AEO) z unijnego kodeksu celnego. Pomyłkę ułatwia to, że rejestr DPP przechowuje kod towarowy celny przy każdej rejestracji, więc oba światy stykają się w danych.

	Upoważniony przedsiębiorca (AEO)	Weryfikowany podmiot gospodarczy (DPP)
Podstawa prawna	Unijny kodeks celny (UE) nr 952/2013	Rozporządzenie wykonawcze (UE) 2026/1778, art. 4
Kto przyznaje	Krajowa administracja celna	Weryfikacja wobec Komisji, w rejestrze DPP
Podstawa przyznania	Audyt firmy: wypłacalność, historia zgodności, bezpieczeństwo łańcucha dostaw	Potwierdzenie tożsamości kwalifikowanym środkiem eIDAS
Czas uzyskania	Miesiące, z kontrolą na miejscu	Tygodnie, głównie po stronie dostawcy usług zaufania
Co daje	Ułatwienia celne, mniej kontroli	Możliwość rejestrowania paszportów w rejestrze
Ważność	Bezterminowo, z monitoringiem	Maks. 3 lata, z ponowną weryfikacją

Jeśli twoja firma ma AEO, nie skraca to drogi do rejestru DPP ani o dzień. I odwrotnie — weryfikacja w rejestrze DPP nie daje żadnych uprawnień celnych.

Trzy role w rejestrze — którą właściwie potrzebujesz

Rozporządzenie przewiduje odrębne role z odrębnymi uprawnieniami. Dobranie złej roli oznacza stracone tygodnie, więc warto to ustalić przed pierwszym telefonem do dostawcy usług zaufania.

Rola	Podstawa	Kto to jest	Co może
Weryfikowany podmiot gospodarczy	art. 4	Producent, importer, upoważniony przedstawiciel — podmiot odpowiedzialny za wprowadzenie wyrobu do obrotu	Rejestrować paszporty, modyfikować własne wpisy, pobierać dowody rejestracji
Weryfikowany podmiot łańcucha wartości	art. 5	Warsztaty naprawcze, regeneratorzy, recyklerzy	Odczytywać i uzupełniać dane w zakresie wynikającym z uprawnień
Dostawca usług DPP	art. 3 lit. f	Podmiot świadczący usługi paszportowe, ujęty w publicznym wykazie prowadzonym przez rejestr	Działać na rzecz podmiotów gospodarczych; sam wykaz jest jawny

Dla zdecydowanej większości producentów właściwa jest rola pierwsza. Rolę drugą warto zaplanować wtedy, gdy model biznesowy zakłada, że serwis autoryzowany albo recykler dopisuje coś do historii wyrobu — wtedy jego dostęp też wymaga formalnej weryfikacji i też trwa.

Który podmiot prawny w grupie ma się zweryfikować

Status przypisuje się do osoby prawnej, nie do marki, nie do grupy kapitałowej i nie do zakładu produkcyjnego. To brzmi oczywiście, dopóki nie spojrzy się na typową strukturę średniej firmy produkcyjnej, w której spółka holdingowa, spółka handlowa i spółka produkcyjna to trzy różne podmioty z trzema różnymi numerami rejestrowymi.

Reguła praktyczna jest prosta: zweryfikować należy ten podmiot, który występuje wobec rynku jako podmiot gospodarczy dla danego wyrobu — czyli ten, którego nazwa i adres widnieją na produkcie oraz w deklaracji zgodności UE. Jeśli w grupie są dwie spółki wprowadzające wyroby do obrotu pod własnym nazwiskiem, potrzebne będą dwie weryfikacje i dwie pieczęcie.

Trzy sytuacje, które warto rozstrzygnąć na papierze, zanim ruszysz:

Importer. Podmiot wprowadzający na rynek UE wyroby producenta spoza Unii jest samodzielnym podmiotem gospodarczym w rozumieniu prawa harmonizacyjnego. Weryfikuje się sam, na własny rachunek.
Upoważniony przedstawiciel. Działa na podstawie pełnomocnictwa producenta spoza UE, ale w rejestrze występuje jako odrębny podmiot i potrzebuje własnego środka identyfikacji.
Produkcja na zlecenie i marki własne. Wyrób sprzedawany pod marką sieci handlowej ma za producenta w rozumieniu przepisów tę sieć, a nie zakład, który go wytworzył. Weryfikuje się ten, kogo nazwa jest na wyrobie.

Najczęstszy błąd na tym etapie: zweryfikowanie spółki holdingowej, która nigdy nie pojawia się na żadnym produkcie. Pieczęć jest wtedy poprawna technicznie i bezużyteczna operacyjnie.

Pieczęć czy podpis — jak wybrać środek identyfikacji

Rozporządzenie rozdziela środki według charakteru podmiotu, a nie według wielkości firmy czy branży.

Osoby prawne

Spółka wykazuje tożsamość i miejsce ustanowienia kwalifikowaną pieczęcią elektroniczną opartą na kwalifikowanym certyfikacie dla pieczęci, wydanym przez kwalifikowanego dostawcę usług zaufania, albo kwalifikowanym elektronicznym poświadczeniem atrybutów przewidzianym w prawie Unii (art. 4 ust. 2).

Kluczowa różnica, którą łatwo przeoczyć: pieczęć należy do podmiotu, a nie do człowieka. Certyfikat wystawiany jest na spółkę, nie na prezesa. Kwalifikowany podpis elektroniczny członka zarządu nie zastąpi pieczęci firmy — to dwa różne środki o dwóch różnych funkcjach prawnych. Firma, która ma podpisy dla zarządu, nie ma jeszcze niczego, co nadaje się do rejestru DPP.

Osoby fizyczne i jednoosobowa działalność

Przedsiębiorca będący osobą fizyczną wykazuje tożsamość kwalifikowanym podpisem elektronicznym opartym na kwalifikowanym certyfikacie, środkiem identyfikacji elektronicznej o wysokim poziomie bezpieczeństwa albo kwalifikowanym elektronicznym poświadczeniem atrybutów (art. 4 ust. 1). Rejestr przechowuje w tym wypadku również krajowy identyfikator — numer dokumentu tożsamości albo identyfikator podatkowy.

Podmioty spoza Unii

Producenci i podmioty spoza UE, od których przepisy nie wymagają ustanowienia w Unii, potwierdzają tożsamość kwalifikowanym podpisem albo poświadczeniem atrybutów, bez elementu dowodzenia ustanowienia w UE. W praktyce oznacza to konieczność sięgnięcia po usługę dostawcy działającego w reżimie eIDAS, nawet jeśli firma nie ma w Europie spółki.

Jak zdobyć kwalifikowaną pieczęć — pięć kroków

1. Wybierz kwalifikowanego dostawcę usług zaufania

Kwalifikowane certyfikaty mogą wydawać wyłącznie podmioty wpisane na krajową listę zaufania prowadzoną przez państwo członkowskie. Listy są publiczne i zebrane w przeglądarce list zaufania Komisji Europejskiej. Nie musisz wybierać dostawcy ze swojego kraju: kwalifikowany certyfikat wydany w dowolnym państwie członkowskim jest skuteczny w całej Unii. Zanim podpiszesz umowę, sprawdź, czy dostawca figuruje na liście dla usługi wydawania certyfikatów pieczęci, a nie tylko podpisów — to odrębne pozycje.

2. Zdecyduj o nośniku

Kwalifikowana pieczęć wymaga kwalifikowanego urządzenia do jej składania. W praktyce dostępne są trzy warianty:

Karta lub token kryptograficzny — najtańszy wariant startowy, ale wymaga fizycznego dostępu do nośnika przy każdym użyciu. Kiepsko znosi automatyzację.
Moduł HSM u siebie — sensowny przy dużej skali i własnym zespole utrzymania.
Pieczęć zdalna u dostawcy — klucz pozostaje w infrastrukturze dostawcy, dostęp odbywa się przez API. To jedyny wariant, który realnie nadaje się do rejestracji masowej przez API rejestru.

Jeśli planujesz rejestrować pojedyncze modele ręcznie, karta wystarczy. Jeśli twoje wyroby będą rejestrowane per partia albo per egzemplarz, wybór nośnika przesądza o tym, czy da się to w ogóle zautomatyzować — i lepiej podjąć tę decyzję przed zakupem, a nie po.

3. Skompletuj dokumenty

Dostawca weryfikuje istnienie podmiotu i umocowanie osoby, która wnioskuje w jego imieniu. Standardowo potrzebne będą: aktualny wypis z rejestru przedsiębiorców, dane identyfikacyjne spółki, dokument potwierdzający umocowanie reprezentanta oraz jego dokument tożsamości. Przy strukturach z pełnomocnictwami warto przygotować je zawczasu — to najczęstsze źródło opóźnień.

4. Przejdź weryfikację tożsamości

Osoba wnioskująca przechodzi weryfikację tożsamości: osobiście, u notariusza albo zdalnie, jeśli dostawca oferuje kwalifikowaną identyfikację wideo. Sposób i dostępność wariantu zdalnego różnią się między państwami członkowskimi i między dostawcami — to element, o który warto zapytać przy pierwszym kontakcie, bo potrafi zdecydować o różnicy między tygodniem a miesiącem.

5. Odbierz certyfikat i od razu wpisz datę wygaśnięcia

Certyfikaty kwalifikowane dla pieczęci wydaje się zwykle na rok, dwa lub trzy lata. Data wygaśnięcia to nie formalność — po niej pieczęć przestaje działać, a wraz z nią możliwość rejestrowania nowych paszportów. Wpisz ją do kalendarza compliance w tej samej godzinie, w której odbierasz certyfikat.

Co się dzieje po stronie rejestru

Mając kwalifikowany środek identyfikacji, przechodzisz weryfikację w samym rejestrze: system potwierdza tożsamość i ustanowienie podmiotu, nadaje status weryfikowanego podmiotu gospodarczego i otwiera dostęp do rejestracji — przez interfejs internetowy albo przez API.

Od tego momentu każda rejestracja paszportu jest podpisana albo opieczętowana twoim środkiem, a rejestr zapisuje identyfikator produktu, kod towarowy, tożsamość rejestrującego, znacznik czasu oraz skrót kryptograficzny wersji paszportu. Zgłoszenie bez ważnego podpisu lub pieczęci jest odrzucane.

Warto zauważyć, co z tego wynika dla danych: skrót wiąże rejestrację z konkretną wersją treści paszportu. Zmiana danych bez zarządzania wersjami rozjeżdża się z tym, co zapisano w rejestrze. Wersjonowanie przestaje być dobrą praktyką i staje się wymogiem konstrukcyjnym — piszemy o tym szerzej w artykule o DPP i systemach PIM.

Kto może rejestrować w twoim imieniu

To pytanie pada w każdej rozmowie z producentem i wymaga precyzyjnej odpowiedzi, bo obiegowa wersja („statusu nie da się delegować”) jest uproszczeniem, które prowadzi do złych decyzji zakupowych.

Czego nie da się zrobić: nie kupisz cudzego statusu ani nie zlecisz nikomu potwierdzenia własnej tożsamości. Twój podmiot weryfikuje się sam, własnym kwalifikowanym środkiem. Dostawca oprogramowania nie stanie się weryfikowanym podmiotem gospodarczym „za ciebie”, bo weryfikacja dotyczy konkretnej osoby prawnej.

Co da się zrobić: rozporządzenie dopuszcza wprost, by weryfikowany podmiot gospodarczy upoważnił stronę trzecią do dokonywania rejestracji w jego imieniu — pod warunkiem, że ta strona trzecia sama przeszła weryfikację zgodnie z art. 5. Podmiot gospodarczy pozostaje w pełni odpowiedzialny za to, co zostało zgłoszone (art. 19 ust. 4).

Praktyczna konsekwencja przy wyborze dostawcy jest taka: pytanie „czy zrobicie to za nas” ma sensowną odpowiedź tylko wtedy, gdy dostawca sam jest zweryfikowany. Warto zadać trzy pytania kontrolne:

Czy wasz podmiot przeszedł weryfikację w rejestrze i pod jaką rolą?
Czy figurujecie w publicznym wykazie dostawców usług DPP prowadzonym przez rejestr (art. 3 lit. f)?
Czy w modelu upoważnienia nadal to my odpowiadamy za treść zgłoszeń — i jak zapewniacie nam wgląd w to, co zgłaszacie?

Odpowiedź na trzecie pytanie brzmi „tak, odpowiadacie wy” i tak ma brzmieć. Dostawca, który sugeruje, że przejmuje odpowiedzialność za zgodność zgłoszeń, albo nie przeczytał rozporządzenia, albo składa obietnicę, której nie może dotrzymać.

Trzy lata — jak nie stracić statusu w środku sprzedaży

Nad statusem tykają dwa niezależne zegary i wygasa on wtedy, gdy zadzwoni pierwszy z nich:

Zegar certyfikatu. Kwalifikowany certyfikat pieczęci wydano na rok, dwa albo trzy lata — decyduje umowa z dostawcą usług zaufania.
Zegar rozporządzenia. Status weryfikacji trwa nie dłużej niż trzy lata od daty weryfikacji, niezależnie od tego, jak długo ważny jest sam certyfikat (art. 4 ust. 4).

Firma, która wyrobi pieczęć w 2026 roku i o niej zapomni, w 2029 traci możliwość rejestrowania nowych paszportów — nie w wyniku kontroli, tylko po cichu, w środku normalnej sprzedaży. Trzy rzeczy, które to porządkują:

Przypomnienie na trzy miesiące przed wcześniejszą z dwóch dat, a nie na tydzień przed.
Właściciel zadania wskazany z nazwiska i z zastępcą — status przypisany do prywatnego kalendarza jednej osoby znika razem z jej odejściem z firmy.
Odnowienie potraktowane jako pozycja cykliczna w rejestrze zadań compliance, obok przeglądu dokumentacji technicznej i oceny zgodności.

Pięć błędów, które kosztują tygodnie

Weryfikacja niewłaściwej spółki. Holding zamiast podmiotu, którego nazwa jest na wyrobie. Trzeba zaczynać od nowa.
Zakup niewłaściwego certyfikatu. Zwykły certyfikat organizacyjny, certyfikat SSL albo niekwalifikowana pieczęć nie spełniają wymogu. Liczy się słowo „kwalifikowany” i wpis dostawcy na liście zaufania.
Mylenie pieczęci z podpisem prezesa. Kwalifikowany podpis osoby fizycznej nie potwierdza tożsamości osoby prawnej.
Założenie, że zrobi to dostawca DPP. Zrobi za ciebie rejestrację, jeśli sam jest zweryfikowany — ale nie zrobi za ciebie twojej weryfikacji.
Start w miesiącu, w którym wypada termin produktowy. Uzyskanie środka identyfikacji liczy się w tygodniach i zależy od kalendarza zewnętrznego dostawcy, na który nie masz wpływu.

FAQ

Czy muszę uzyskać status już teraz, skoro moja kategoria nie ma jeszcze aktu delegowanego?

Formalnie nie ma takiego obowiązku, dopóki nie musisz rejestrować paszportów. Praktycznie jest to jedyne zadanie z całego obszaru DPP, które można zamknąć bez czekania na cokolwiek: nie zależy od aktu delegowanego, od gotowości danych ani od wyboru oprogramowania. Jeśli produkujesz baterie objęte terminem 18 lutego 2027, czas na spokojne załatwienie tego bez presji właśnie się kończy.

Czy dostawca oprogramowania DPP może uzyskać status za mnie?

Nie. Weryfikacja dotyczy twojej osoby prawnej i opiera się na środku identyfikacji wydanym twojemu podmiotowi. Dostawca może natomiast — jeśli sam jest zweryfikowany — dokonywać rejestracji w twoim imieniu na podstawie upoważnienia (art. 19 ust. 4), przy czym odpowiedzialność za zgłoszenia zostaje po twojej stronie.

Ile to kosztuje?

Koszt leży po stronie dostawcy usług zaufania i zależy od wybranego nośnika oraz okresu ważności certyfikatu; pieczęć zdalna z dostępem przez API jest zwykle droższa od karty kryptograficznej. W skali budżetu wdrożenia DPP jest to pozycja niewielka — istotne ryzyko dotyczy tu harmonogramu, nie ceny.

Czy tę samą pieczęć mogę wykorzystać do innych celów?

Tak. Kwalifikowana pieczęć elektroniczna to ogólne narzędzie eIDAS — służy do pieczętowania faktur, dokumentacji technicznej, deklaracji zgodności czy korespondencji z organami. Rejestr DPP jest jednym z jej zastosowań, a nie osobnym produktem. Warto to policzyć przy uzasadnianiu zakupu.

Jesteśmy importerem, nie producentem. Czy nas to dotyczy?

Tak. Importer wprowadzający na rynek UE wyroby producenta spoza Unii jest samodzielnym podmiotem gospodarczym i weryfikuje się na własny rachunek. To samo dotyczy upoważnionego przedstawiciela. Więcej o podziale ról piszemy w artykule o GPSR i ogólnym bezpieczeństwie produktów.

Czytaj dalej

myDPP przechowuje dane produktowe w wersjonowanej, walidowanej postaci i udostępnia je maszynowo — czyli w formie, jakiej wymaga zgłoszenie do rejestru wraz ze skrótem wersji. Weryfikację własnego podmiotu musisz przeprowadzić sam; my pomagamy w tym, co dzieje się potem. Zobacz myDPP.

Źródła

Rozporządzenie wykonawcze Komisji (UE) 2026/1778 z 16 lipca 2026 r. w sprawie ustaleń wykonawczych dotyczących rejestru cyfrowych paszportów produktów — art. 3, 4, 5 i 19 — EUR-Lex
Rozporządzenie (UE) nr 910/2014 (eIDAS) ze zmianami wprowadzonymi rozporządzeniem (UE) 2024/1183 — kwalifikowane podpisy, pieczęcie i poświadczenia atrybutów — EUR-Lex
Rozporządzenie (UE) 2024/1781 (ESPR), art. 13 — rejestr cyfrowych paszportów produktów — EUR-Lex
Rozporządzenie (UE) 2023/1542 (rozporządzenie bateryjne), art. 77 — paszport baterii — EUR-Lex
Rozporządzenie (UE) nr 952/2013 — unijny kodeks celny, status upoważnionego przedsiębiorcy (AEO) — EUR-Lex
Komisja Europejska, przeglądarka list zaufania (eIDAS Dashboard) — wykaz kwalifikowanych dostawców usług zaufania