Joidenkin organisaatioiden on hoidettava Peppol-palveluntarjoajan roolia omissa nimissään: esimerkiksi ohjelmistotoimittaja, joka astuu säännellylle markkinalle, palveluntarjoaja, joka hakee kansallista akkreditointia, tai ryhmä, joka haluaa täyden hallinnan sähköisen laskutuksen infrastruktuuristaan. Yleensä tällaiset organisaatiot vertailevat kahta vaihtoehtoa. Yksi vaihtoehto on rakentaa ja ylläpitää liityntäpistettä itse, esimerkiksi avoimen lähdekoodin ohjelmistoilla kuten Oxalis tai phase4. Toinen vaihtoehto on ulkoistaa toiminta isännöidyn liityntäpisteen kautta, jolloin organisaatiosi toimii roolissa ja hallinnoi varmenteita, kun taas toinen palveluntarjoaja ylläpitää infrastruktuuria.
Jos tarvitset Peppolia useille asiakkaille oman tuotteesi sisällä, et ehkä tarvitse palveluntarjoajan roolia lainkaan. Embedded Peppol-ratkaisussa Qvalia hoitaa tämän roolin ja ylläpitää yhteyspistettä, ja sinä rekisteröit ja yhdistät asiakkaasi yhden sovellusrajapinnan (API) kautta, jolloin jokaisella asiakkaalla on tarvittaessa oma Peppol ID -osoitteensa.
Tässä oppaassa verrataan eri vaihtoehtoja lokakuun 2026 tilanteen mukaan: mitä jää kummassakin tapauksessa sinun vastuullesi, mitä avoimen lähdekoodin tukiasemaohjelmisto kattaa ja mitä se jättää sinun tehtäväksesi, mitkä verkko-vaatimukset astuvat voimaan vuonna 2027 sekä missä tilanteissa kansallinen akkreditointi asettaa omat ehtonsa.
Tarvitsetko Peppol-palveluntarjoajan roolin?
Tämän roolin ottaminen edellyttää palveluntarjoajasopimuksen allekirjoittamista, OpenPeppolin turvallisuus- ja raportointivaatimusten täyttämistä sekä vastuun kantamista asianomaiselle Peppol-viranomaiselle välittämästäsi liikenteestä. Jos tavoitteena on antaa asiakkaillesi mahdollisuus lähettää ja vastaanottaa sähköisiä laskuja tuotteesi kautta, voit tehdä sen ilman, että sinun tarvitsee ryhtyä palveluntarjoajaksi. Embedded Peppol -ratkaisun tai white label -alustan avulla Qvalia hoitaa tämän roolin ja sertifiointivelvoitteet.
Tämä rooli kannattaa ottaa, kun sääntelyviranomainen, sopimus tai liiketoimintamallisi sitä edellyttää. Esimerkkejä ovat kansalliset järjestelmät, kuten Yhdistyneiden arabiemiirikuntien järjestelmä, jossa akkreditoidun palveluntarjoajan on oltava rekisteröity osapuoli, sekä organisaatiot, jotka myyvät Peppol-yhteyttä omana palvelunaan. Kumppanikatsauksessa verrataan näitä kolmea toimitusmallia.
Ratkaiseva tekijä on usein markkinatilanne. Jos Qvalia on saanut asiakkaidesi tarvitseman akkreditoinnin, Embedded Peppol huolehtii siitä. Jos kansalliset säännöt edellyttävät, että sinun on itse oltava akkreditoitu osapuoli, tai jos myyt Peppol-käyttöoikeuksia omalla nimelläsi, tarvitset tämän roolin.
Mikä kuuluu aina palveluntarjoajan vastuulle
Riippumatta siitä, ylläpidätkö tukiasemaa itse vai käytätkö isännöityä tukiasemaa, nämä velvollisuudet kuuluvat oikeushenkilöllesi:
- OpenPeppol-jäsenyys palveluntarjoajaluokassa sekä palveluntarjoajasopimus asianomaisen Peppol-viranomaisen kanssa tai, jos kansallista viranomaista ei ole, OpenPeppolin kanssa koordinoivana viranomaisena.
- Omat Peppol-PKI-varmenteesi, sekä testaus- että tuotantokäyttöön.
- ISO/IEC 27001 -sertifiointi, joka kattaa Peppol-toimintasi. OpenPeppol asettaa tämän pakolliseksi kaikille palveluntarjoajille 1. heinäkuuta 2027 mennessä (Peppol-viranomainen, Italia, heinäkuu 2026). Palveluntarjoajan sertifikaattia ei voi siirtää toiselle.
- Loppukäyttäjien todentaminen, Peppol-hallinto, poikkeustapausten raportointi sekä sopimukset asiakkaiden kanssa.
- Peppol-viranomaisen tai kunkin palvelemasi markkina-alueen kansallisen sääntelyn asettamat lisävaatimukset.
OpenPeppolin maksut ovat samat molemmissa tapauksissa. Access Point- ja SMP-luokkiin kuuluville yrityksille, joissa on 11–50 työntekijää, OpenPeppol veloittaa liittymismaksuna 2 100 euroa, vuosimaksuna 3 700 euroa sekä 2 500 euron sertifiointimaksun, joka laskutetaan ensimmäisen sertifioinnin yhteydessä ja lisätään sen jälkeen vuosimaksuun (OpenPeppolin maksut).
Avoimen lähdekoodin ohjelmisto omaa Peppol-yhteyspistettä varten
Useat avoimen lähdekoodin projektit toteuttavat Peppol AS4 -profiilin, jota yhteyspisteet käyttävät asiakirjojen vaihtoon. Ne eroavat toisistaan siinä, kuinka paljon ne sisältävät siirron lisäksi, sekä siinä, kuinka ne sopivat järjestelmiisi.
| Ohjelmistot | Ylläpitäjä: | Käyttöoikeus | Mitä se kattaa |
| Oxalis-NG | NorStella Oxalis -yhteisö, Norja | LGPL-3.0 | Itsenäinen tukiasema: AS4-lähetys ja -vastaanotto, SMP-haku ja MLS. Saapuvat viestit tallennetaan oletuksena tiedostojärjestelmään, ja tallennustila on vaihdettavissa. Yhteisön tuki. |
| vaihe 4 | Philip Helger | Apache-2.0 | Java-kirjasto, jonka avulla AS4-viestejä voidaan lähettää ja vastaanottaa Peppol-profiilin mukaisesti ja joka on integroitu omaan sovellukseesi. Saatavilla on kaupallista tukea. |
| phoss-ap | Philip Helger | Apache-2.0 | Phase4-alustalle rakennettu itsenäinen tukiasema: SMP-haku, MLS palvelutason seurannalla, Peppol-raportointi, tietokantatallennus ja tiedonsiirto HTTP:n, S3:n tai SFTP:n kautta. |
| Domibus | Euroopan komissio | EUPL 1.2 | EU:n eDelivery AS4 -viiteimplementaatio. Laaja konfigurointi, jonka KoSIT kuvailee vaativaksi oppia. |
| Holodeck B2B | Chasquis Consulting | GPL-3.0 (LGPL jaettujen rajapintojen osalta) | AS4-toteutus. KoSIT:n mukaan Peppolin edellyttämät dynaamiset tunnistuskomponentit eivät ole avoimen lähdekoodin ohjelmistoja. |
Oxalis on laajalti käytössä Peppol-verkostossa. Sen kehitti alun perin SendRegning, ja norjalainen Difi-virasto vastasi sen ylläpidosta maaliskuuhun 2020 asti. Perinteinen Oxalis-AS4-tuotelinja on jäädytetty versioon 7.2.0, ja projekti ohjaa käyttäjiä siirtymään Oxalis-NG:hen, joka saavutti version 1.5.0 syyskuussa 2026. Sen release -sivulla olevat huomautukset kertovat, mitä päivitysten ylläpitäminen vaatii: MLS-tuki, G2 Peppol PKI:n poistaminen sen jälkeen, kun OpenPeppol peruutti kyseiset varmenteet 20. huhtikuuta 2026, sekä uudet oletusdomeenit, kun OpenPeppol ottaa SML:n haltuunsa Euroopan komissiolta.
Lähteet: hankkeiden omat koodivarastot ja KoSIT:n raportti ”Vertailu Peppol-yhteensopivista AS4-ratkaisuista” (elokuu 2023). Tarkista kunkin hankkeen ajantasainen release ennen valintaa.
Mitä rakennat ja käytät siirtokerroksen ympärillä
Tuotantokäytössä oleva tukiasema vaatii muutakin kuin AS4-siirron. Valitsemastasi ohjelmistosta riippuen osa näistä osista sisältyy pakettiin, ja loput sinun on rakennettava ja ylläpidettävä itse:
- SMP, johon asiakkaasi on rekisteröity yhdessä niiden asiakirjatyyppien kanssa, joita he voivat vastaanottaa. Kyseessä on erillinen komponentti, esimerkiksi avoimen lähdekoodin phoss-SMP. Tutustu SMP:n ja SML:n toimintaan.
- Liiketoimintadokumenttien validointi Peppol BIS -standardin, standardin EN 16931 ja kansallisten sääntöjen mukaisesti; päivitetään kunkin erittelyn yhteydessä release.
- MLS-vastauksia tuottava logiikka sekä vasteaikojen mittaaminen alla olevien palvelutasojen perusteella.
- Tilastoraportit OpenPeppolille.
- Integrointi ERP-järjestelmään tai alustaan, tallennus, arkistointi ja käyttöliittymä.
- Verotietojen ilmoittaminen viisikulmaisilla markkinoilla, kuten Slovakiassa ja Arabiemiirikunnissa, joissa palveluntarjoaja ilmoittaa tiedot myös veroviranomaiselle.
- Sertifikaattien uusiminen, koodiluetteloiden päivitykset, valvonta ja ympärivuorokautinen päivystystuki.
Tiimille, joka jo käyttää Java-palveluita ja PKI:tä tuotantoympäristössä, mikään tästä ei ole mitenkään poikkeuksellista. Kyseessä on pikemminkin jatkuva toiminnallinen sitoumus kuin kertaluonteinen projekti.
Peppol-verkon vaatimukset tukiasemille vuonna 2027
| Vaatimus | Päivämäärä | Mitä se tarkoittaa |
| MLS-vastaanotto | 28. helmikuuta 2027 | Viestitason tilatietojen vastaanottokyvyn on oltava tuotantokäytössä. |
| MLS-lähetys- ja palvelutasot | 31. maaliskuuta 2027 | MLS-viestien lähettäminen on pakollista. Vastausaikaa koskevat vaatimukset, joiden mukaan 99,5 % vaatimukset täyttävistä viesteistä on vastattava 20 tai 25 minuutin kuluessa, tulevat voimaan. |
| ISO/IEC 27001 | 1. heinäkuuta 2027 | Jokaisella palveluntarjoajalla on oltava kyseinen sertifikaatti. |
| Tilastoraportointi | Jokaisella raportointikaudella | Loppukäyttäjien tilastoraportit OpenPeppolille, myös ajanjaksoilta, joilla liikennettä ei ole ollut. |
Lähteet: OpenPeppolin MLS-käyttöönottosuunnitelma (heinäkuu 2026), Peppol Authority Italian julkaisema ISO/IEC 27001 -aikataulu sekä loppukäyttäjien tilastoraportointia koskeva erittely. Tarkista OpenPeppolin nykyiset suunnitelmat ennen kuin sitoudut aikatauluun.
Maakohtainen akkreditointi Peppol-palveluntarjoajille
OpenPeppol määrittelee perusvaatimukset. Monet markkinat lisäävät omat hyväksyntänsä, ja ne ovat voimassa riippumatta siitä, millä ohjelmistolla yhteyspistettä käytetään.
Yhdistyneet arabiemiirikunnat
Sähköinen laskutus Yhdistyneissä arabiemiirikunnissa hoidetaan valtiovarainministeriön hyväksymien palveluntarjoajien kautta ministeriön päätöksen nro 64 vuodelta 2025 mukaisesti, sellaisena kuin se on muutettuna ministeriön päätöksellä nro 56 vuodelta 2026. Hakijoilta vaaditaan muun muassa Yhdistyneiden arabiemiirikuntien yritys, jonka maksettu pääoma on vähintään 50 000 AED, ISO 22301 -sertifiointi, ISO/IEC 27001 -sertifiointi toimittamalleen tuotteelle, ammatillinen vastuuvakuutus, rikos- ja kyberpetosvakuutus sekä liittovaltion veroviranomaisen suorittamat käyttöönotto- ja tuotantotestit. Kolmannen osapuolen tuotteen käyttö on sallittua, ja hakija kantaa täyden vastuun palvelusta. Lue Yhdistyneiden arabiemiirikuntien sähköisen laskutuksen opas.
Ranska
Ranskan uudistus astui voimaan 1. syyskuuta 2026: jokaisen arvonlisäverovelvollisen yrityksen on kyettävä vastaanottamaan sähköisiä laskuja, ja pien- ja mikroyritysten on aloitettava niiden lähettäminen 1. syyskuuta 2027. Laskut vaihdetaan ”plateformes agréées” -alustojen (hyväksyttyjen alustojen) kautta, jotka verohallinto DGFiP rekisteröi, kun ne täyttävät sääntelyvaatimukset ja läpäisevät tekniset sekä yhteentoimivuustestit. DGFiP julkaisee rekisteröityjen alustojen luettelon (talousministeriö, tammikuu 2026). Se toimii myös Ranskan Peppol-viranomaisena ja asettaa omat vaatimuksensa maassa toimiville palveluntarjoajille. Alusta, joka on rekisteröity tai hakee hyväksyttyä alustan asemaa (plateforme agréée), voi ylläpitää yhteyspistettään (Access Point) Qvalian infrastruktuurissa omassa palveluntarjoajan roolissaan. Lue lisää Ranskan sähköisen laskutuksen sivultamme.
Slovakia
Kotimainen sähköinen laskutus 1. tammikuuta 2027 alkaen hoidetaan Verohallinnon luettelossa olevien sertifioitujen toimituspalveluntarjoajien kautta. Alusta, joka ei halua hankkia omaa sertifiointia, voidaan rekisteröidä toimituspalvelun välittäjäksi sertifioidun palveluntarjoajan alaisuuteen, jolloin tämä ottaa vastuun välittäjän vaatimustenmukaisuudesta.
Norja
Norjan Peppol-viranomainen vaatii palveluntarjoajia tarkistamaan loppukäyttäjien tiedot oikeushenkilöiden keskitetystä koordinointirekisteristä, varmistamaan, että loppukäyttäjän puolesta allekirjoittavalla henkilöllä on siihen valtuudet, sekä toimittamaan tilastotietoja. Julkisen sektorin vastaanottajien on oltava rekisteröityneitä ELMA-järjestelmään, joka on Digdirin ylläpitämä keskitetty SMP-järjestelmä. Lisätietoja löytyy ELMA-artikkelistamme.
Oman
Oman hoitaa itse Fawtara-palveluntarjoajien akkreditoinnin, josta on lisätietoja Omanin sähköisen laskutuksen sivullamme.
Australia
Australian verovirasto (ATO) toimii Australiassa Peppol-viranomaisena ja myöntää akkreditoinnin liityntäpisteille ja SMP-palveluntarjoajille. Hakijat allekirjoittavat Peppol-palveluntarjoajasopimuksen ja käyvät läpi due diligence -prosessin, johon sisältyy rikosrekisteritarkastus sekä ammatillinen vastuuvakuutus, jonka vakuutusmäärä on vähintään 1 miljoonaa AUD tapahtumaa kohti. Hakijat täyttävät A-NZ-sähköisen laskutuksen turvallisuuskyselylomakkeen joko itsearviointina tai riippumattoman auditoinnin yhteydessä ISO/IEC 27001 -standardin tai Australian tai Uuden-Seelannin tietoturvaohjeiston (ISM) mukaisesti ja läpäisevät Peppol-testialustan, mukaan lukien PINT A-NZ -yhteentoimivuustestit. Akkreditointi tarkistetaan vuosittain (ATO:n akkreditointiprosessi). Lue lisää PINT A-NZ:stä.
Uusi-Seelanti
Uuden-Seelannin Peppol-viranomainen toimii liiketoiminta-, innovaatio- ja työllisyysministeriön (MBIE) alaisuudessa. Australia ja Uusi-Seelanti ovat yhdenmukaistaneet akkreditointiprosessinsa: Australiassa akkreditoitu palveluntarjoaja voi hakea vastavuoroista akkreditointia Uuden-Seelannin Peppol-viranomaiselta. Molemmat maat käyttävät PINT A-NZ -järjestelmää.
Singapore
Singaporessa vain IMDA:n hyväksymät Access Point -palveluntarjoajat voivat toimia InvoiceNow-verkostossa, ja niiden on noudatettava IMDA:n omia Peppol-vaatimuksia. Veroviranomainen IRAS ottaa asteittain käyttöön GST InvoiceNow -vaatimuksen GST-rekisteröityneille yrityksille: uudet vapaaehtoiset rekisteröityjät 1. huhtikuuta 2026 alkaen, sitten olemassa olevat yritykset liikevaihdon mukaan 1. huhtikuuta 2028 alkaen, kunnes kaikki yritykset kuuluvat vaatimuksen piiriin 1. huhtikuuta 2031. Kopio laskutiedoista toimitetaan IRAS:lle verkon kautta (IRAS:n UKK, syyskuu 2026). Lue lisää PINT SG:stä.
Itse hallinnoitu, isännöity tukiasema ja upotettu Peppol -vertailu
| Alue | Itse ylläpidetty avoimen lähdekoodin ratkaisu | Isännöity tukiasema | Sisäänrakennettu Peppol |
| Palveluntarjoajan rooli ja sopimus | Sinä | Sinä | Qvalia |
| Peppol PKI -varmenteet | Sinä | Sinä hallinnoit niitä, ja Qvalia asentaa ja ylläpitää niitä tukiasemassa | Qvalia |
| ISO/IEC 27001 | Sinä, kun koko pino on näkyvissä | Sinulla on Qvalian toimittamat tekniset todisteet isännöidyistä komponenteista | Qvalian oma sertifiointi |
| AS4-kuljetus | Avoimen lähdekoodin ohjelmisto, jota hallinnoit itse | Qvalia | Qvalia |
| SMP ja osallistujien ilmoittautuminen | Valitset ja käytät SMP:tä | Qvalia rekisteröi osallistujat sinun ohjeidesi mukaisesti | Qvalia, Partner API:n kautta |
| Tarkistaminen, reititys ja arkistointi | Sinä rakennat ja ylläpidät | Qvalia | Qvalia |
| Verotietojen ilmoittaminen | Sinä rakennat | Qvalia huolehtii tietojen teknisestä siirrosta esimerkiksi Yhdistyneiden arabiemiirikuntien liittovaltion veroviranomaiselle | Qvalia niillä markkinoilla, joilla Qvalia on hyväksytty |
| Seuranta, päivitykset ja päivystys | Sinä | Qvalia | Qvalia |
| Vaatimustenmukaisuustestaus | Sinä | Qvalia suorittaa testit yhdessä kanssasi. Lopullinen hyväksyntä on viranomaisen vastuulla. | Ei tarvita sinun puoleltasi |
| Tuotteen käyttöliittymä ja asiakassuhde | Sinä | Sinä | Sinä |
| Ohjelmistolisenssi | Ei mitään. Maksat henkilöstöstä ja infrastruktuurista | Palvelumaksu | Palvelumaksu |
| Verkkopalvelut | Infrastruktuurin valinta | Qvalia, AWS:llä Irlannissa | Qvalia, AWS:llä Irlannissa |
| Aika käynnistää | Kuukaudet: sertifiointi ja tuotanto | Kuukaudet: sertifiointi määrää tahdin | Päiviä tai viikkoja |
Kun jokainen reitti sopii
Itse rakentaminen sopii, kun:
- käytätte jo Java-palveluita, PKI:tä ja ympärivuorokautista toimintaa
- Tukiaseman on toimittava omassa infrastruktuurissasi tai tietyllä alueella
- haluat muuttaa koodia tai tukea viestityyppejä, jotka eivät kuulu yleiseen Peppol-joukkoon
- Peppol-siirto on keskeinen osa tarjoamaasi palvelua
Isännöity tukiasema sopii seuraaviin tilanteisiin:
- sinulla on oltava palveluntarjoajan rooli, mutta et halua perustaa ja miehittää tukiasemaa
- kohdistat markkinoille, joilla vaaditaan kansallista akkreditointia tai veroraportointia ja joissa testaus ja todisteiden hankkiminen vievät aikaa
- haluat, että validointi, arkistointi, seuranta ja rajapinnat ovat käytössä alusta alkaen, tarvittaessa asiakkaillesi tarkoitetulla white label -rajapinnalla
Embedded Peppol sopii seuraaviin tilanteisiin:
- haluat tarjota Peppol-palvelua monille asiakkaille tuotteesi kautta
- mikään sääntelyviranomainen, sopimus tai liiketoimintamalli ei vaadi sinua toimimaan palveluntarjoajana
- Qvalia kattaa juuri ne markkinat, joita tarvitset
Ennen valintaa selvitettävät asiat
- Tarvitsetko palveluntarjoajan roolin vai Peppol-käyttöoikeuden asiakkaillesi?
- Minkä Peppol-viranomaisen varmenteen avulla aiot allekirjoittaa, ja mitä hyötyä siitä on?
- Onko ISO/IEC 27001 -standardi otettu käyttöön, ja kattaako sen soveltamisala tukiaseman ja SMP:n?
- Kuka ylläpitää SMP:tä, ja miten osallistujat rekisteröidään ja poistetaan järjestelmästä?
- Miten MLS-vastaukset tuotetaan ja miten niitä verrataan vuoden 2027 palvelutasoihin?
- Kuka toimittaa tilastoraportit OpenPeppolille?
- Mitkä ovat tukipalvelun aukioloajat, häiriöilmoitusten käsittelyajat ja eskalointimenettelyt?
- Missä tietoja säilytetään ja kuinka kauan?
- Mitä kansallisia veroraportointivelvoitteita sovelletaan markkinoillanne, ja kuka niistä huolehtii?
Aiheeseen liittyvät artikkelit
Qvalian Transaction API tukee nyt Svefaktura 1.0-, EDIFACT-, cXML-, Finvoice-, XRechnung-, CII- ja ZUGFeRD-formaatteja, muuntaa ne Peppol- BIS Billing 3.0 -muotoon ja toimittaa ne eteenpäin.
Qvalia on nyt kytketty ELMAan, Norjan digitalisointiviraston vastaanottorekisteriin Norjan markkinoille. Tämä tarkoittaa, että voimme rekisteröidä asiakkaamme …
Qvalian uusi julkinen seurantapalvelu näyttää 34 maassa sijaitsevien 132 Peppol-yhteyspisteen AS4-päätelaitteiden tilan, mitatun käytettävyyden ja vasteajan.