Vissa organisationer behöver inneha rollen som Peppol-tjänsteleverantör i eget namn: en programvaruleverantör som går in på en marknad med e-fakturakrav, en tjänsteleverantör som söker nationell ackreditering eller en koncern som vill ha full kontroll över sin e-fakturainfrastruktur. Valet står oftast mellan två vägar. Den ena är att bygga och drifta accesspunkten själva, till exempel med programvara med öppen källkod som Oxalis eller phase4. Den andra är att lägga ut driften genom Egen accesspunkt, där er organisation innehar rollen och certifikaten medan Qvalia driftar infrastrukturen.
Om det ni behöver är Peppol för många kunder i er egen produkt behöver ni kanske inte rollen som tjänsteleverantör alls. Med Inbyggd Peppol innehar Qvalia rollen och driftar accesspunkten, och ni registrerar och ansluter era kunder via ett API, var och en med eget Peppol-ID där det behövs.
Den här guiden jämför vägarna som de ser ut i oktober 2026: vad som alltid är ert ansvar, vad accesspunktsprogramvara med öppen källkod täcker och vad den lämnar åt er, vilka nätverkskrav som börjar gälla 2027 och var nationella ackrediteringar ställer egna villkor.
Behöver ni rollen som Peppol-tjänsteleverantör?
Rollen innebär att ni tecknar ett Service Provider Agreement, uppfyller OpenPeppols krav på säkerhet och rapportering och står till svars inför berörd Peppol-myndighet för trafiken ni förmedlar. Om målet är att era kunder ska kunna skicka och ta emot e-fakturor från er produkt behöver ni inte bli tjänsteleverantör. Med Inbyggd Peppol eller en white-label-plattform innehar Qvalia rollen och certifieringsåtagandena.
Rollen är värd att ta på sig när en myndighet, ett avtal eller er affärsmodell kräver det. Exempel är nationella regelverk som det i Förenade Arabemiraten, där den ackrediterade leverantören ska vara ansvarig part, och organisationer som säljer Peppol-anslutning som sin egen tjänst. Partnersidan jämför de tre leveransmodellerna.
Ofta avgör marknaden. Där Qvalia har den ackreditering era kunder behöver räcker Inbyggd Peppol. Där nationella regler kräver att ni själva är ackrediterad part, eller där ni säljer Peppol-anslutning under egen identitet, behöver ni rollen.
Det här är alltid tjänsteleverantörens ansvar
Oavsett om ni driftar accesspunkten själva eller väljer Egen accesspunkt ligger de här åtagandena hos er juridiska person:
- Medlemskap i OpenPeppol i en kategori för tjänsteleverantörer och ett Service Provider Agreement med berörd Peppol-myndighet, eller med OpenPeppol som samordnande myndighet där ingen nationell myndighet finns.
- Egna Peppol-PKI-certifikat för test och produktion.
- ISO/IEC 27001-certifiering som omfattar er Peppol-verksamhet. OpenPeppol gör den obligatorisk för alla tjänsteleverantörer senast den 1 juli 2027 (Peppol-myndigheten i Italien, juli 2026). En driftleverantörs certifikat kan inte ärvas.
- Kontroll av era slutanvändare, Peppol-styrning, incidentrapportering och avtalen med era kunder.
- Ytterligare krav från Peppol-myndigheten eller det nationella regelverket på varje marknad ni verkar på.
OpenPeppols avgifter är desamma i båda fallen. För ett företag med 11–50 anställda i kategorin accesspunkt och SMP anger OpenPeppol 2 100 euro i anslutningsavgift, 3 700 euro per år och en certifieringsavgift på 2 500 euro som faktureras vid den första certifieringen och därefter läggs till årsavgiften (OpenPeppols avgifter).
Programvara med öppen källkod för en egen Peppol-accesspunkt
Flera projekt med öppen källkod implementerar Peppols AS4-profil, protokollet som accesspunkter använder för att utbyta dokument. De skiljer sig åt i hur mycket de innehåller utöver transport och i hur de passar in i era system.
| Programvara | Förvaltas av | Licens | Vad den täcker |
| Oxalis-NG | NorStella Oxalis Community, Norge | LGPL-3.0 | Fristående accesspunkt: sändning och mottagning via AS4, SMP-uppslag och MLS. Inkommande meddelanden sparas i filsystemet som standard, med utbytbar lagring. Support i communityn. |
| phase4 | Philip Helger | Apache-2.0 | Java-bibliotek för att skicka och ta emot AS4 med Peppol-profil, som byggs in i er egen applikation. Kommersiell support finns. |
| phoss-ap | Philip Helger | Apache-2.0 | Fristående accesspunkt byggd på phase4: SMP-uppslag, MLS med övervakning av servicenivåer, Peppol-rapportering, lagring i databas och vidarebefordran via HTTP, S3 eller SFTP. |
| Domibus | EU-kommissionen | EUPL 1.2 | EU:s referensimplementation för eDelivery AS4. Omfattande konfiguration, som KoSIT beskriver som svår att lära sig. |
| Holodeck B2B | Chasquis Consulting | GPL-3.0 (LGPL för delade gränssnitt) | AS4-implementation. Enligt KoSIT är komponenterna för dynamisk adressering (dynamic discovery) som Peppol kräver inte öppen källkod. |
Oxalis är vanligt förekommande i Peppol-nätverket. Programvaran utvecklades först av SendRegning och förvaltades av den norska myndigheten Difi fram till mars 2020. Den klassiska Oxalis-AS4 har stannat vid version 7.2.0, och projektet hänvisar till Oxalis-NG, som kom i version 1.5.0 i september 2026. Versionsanteckningarna visar vad det innebär att hålla en accesspunkt aktuell, oavsett programvara: stöd för MLS, borttagen G2-PKI sedan OpenPeppol återkallade de certifikaten den 20 april 2026 och nya standarddomäner när OpenPeppol tar över SML från EU-kommissionen.
Källor: projektens egna kodförråd och KoSIT:s Comparison of AS4 solutions for Peppol (augusti 2023). Kontrollera varje projekts aktuella version innan ni väljer.
Det här bygger och driftar ni runt transportlagret
En accesspunkt i produktion behöver mer än AS4-transport. Beroende på vilken programvara ni väljer ingår en del av det här, resten bygger och driftar ni själva:
- En SMP där era kunder registreras med de dokumenttyper de kan ta emot. Den är en separat komponent, till exempel phoss SMP med öppen källkod. Läs hur SMP och SML fungerar.
- Validering av affärsdokument mot Peppol BIS, EN 16931 och nationella regler, uppdaterad vid varje ny specifikationsversion.
- Logiken som skapar MLS-svar och mätningen av svarstider mot servicenivåerna nedan.
- Statistikrapporter till OpenPeppol.
- Integration med ert affärssystem eller er plattform, lagring, arkivering och användargränssnitt.
- Rapportering av skattedata på marknader med femhörningsmodell, till exempel Slovakien och Förenade Arabemiraten, där leverantören även rapporterar till skattemyndigheten.
- Förnyelse av certifikat, uppdatering av kodlistor, övervakning och jour dygnet runt.
För ett team som redan driftar Java-tjänster och PKI i produktion är inget av detta ovanligt. Det är däremot ett varaktigt driftåtagande och inte ett avgränsat projekt.
Peppols nätverkskrav på accesspunkter 2027
| Krav | Datum | Vad det innebär |
| Ta emot MLS | 28 februari 2027 | Förmågan att ta emot Message Level Status ska vara i produktion. |
| Skicka MLS och servicenivåer | 31 mars 2027 | Det blir obligatoriskt att skicka MLS. Krav på svarstider om 20 och 25 minuter för 99,5 procent av berörda meddelanden börjar gälla. |
| ISO/IEC 27001 | 1 juli 2027 | Varje tjänsteleverantör ska vara certifierad. |
| Statistikrapportering | Varje rapportperiod | Rapporter om slutanvändarstatistik till OpenPeppol, även för perioder utan trafik. |
Källor: OpenPeppols plan för införande av MLS (juli 2026), tidplanen för ISO/IEC 27001 som Peppol-myndigheten i Italien har publicerat och specifikationen för End User Statistics Reporting. Kontrollera OpenPeppols aktuella planer innan ni lägger en tidplan.
Landsspecifika ackrediteringar för Peppol-tjänsteleverantörer
OpenPeppol sätter grundnivån. Många marknader lägger till ett eget godkännande, och det gäller oavsett vilken programvara som kör accesspunkten.
Förenade Arabemiraten
E-fakturering i Förenade Arabemiraten sker via ackrediterade tjänsteleverantörer (Accredited Service Providers) som godkänns av finansministeriet enligt Ministerial Decision No. 64 of 2025, ändrat genom Ministerial Decision No. 56 of 2026. Sökanden behöver bland annat ett bolag i landet med ett inbetalt kapital på minst 50 000 AED, ISO 22301-certifiering, ISO/IEC 27001 för den produkt tjänsten levereras på, ansvars-, brotts- och cyberbedrägeriförsäkring samt genomförd anslutning och produktionstest hos skattemyndigheten Federal Tax Authority. En tredjepartsprodukt är tillåten, men sökanden behåller hela ansvaret för tjänsten. Läs guiden till e-fakturering i Förenade Arabemiraten (på engelska).
Frankrike
Frankrikes reform började gälla den 1 september 2026. Alla momsregistrerade företag ska kunna ta emot e-fakturor, och små företag och mikroföretag börjar skicka den 1 september 2027. Fakturorna utbyts via plateformes agréées (godkända plattformar), som skatteförvaltningen DGFiP registrerar när de uppfyller regelkraven och har klarat tekniska tester och interoperabilitetstester. DGFiP publicerar listan över registrerade plattformar (franska ekonomiministeriet, januari 2026). DGFiP är också Peppol-myndighet i Frankrike och ställer egna krav på tjänsteleverantörer som verkar där. En plattform som är registrerad eller ansöker som plateforme agréée kan driva sin accesspunkt på Qvalias infrastruktur, med egen roll som tjänsteleverantör. Läs mer på vår sida om e-fakturering i Frankrike.
Slovakien
Inhemsk e-fakturering från den 1 januari 2027 går via certifierade leverantörer av leveranstjänster på Finansförvaltningens lista. En plattform som inte vill certifiera sig själv kan registreras som förmedlare (delivery service intermediary) under en certifierad leverantör, som då tar ansvar för förmedlarens regelefterlevnad.
Norge
Den norska Peppol-myndigheten kräver att leverantörer kontrollerar slutanvändare mot Enhetsregisteret, säkerställer att den som skriver under för en slutanvändare har behörighet och rapporterar statistik. Offentliga mottagare ska vara registrerade i ELMA, den centrala SMP som Digdir driver. Läs mer i vår artikel om ELMA.
Sverige
Sedan den 1 juli 2026 är Upphandlingsmyndigheten Peppol-myndighet i Sverige. Rollen låg tidigare hos Digg.
Oman
Oman har en egen ackreditering för tjänsteleverantörer inom Fawtara, som vi beskriver på vår sida om e-fakturering i Oman (på engelska).
Australien
Skattemyndigheten Australian Taxation Office (ATO) är Peppol-myndighet i Australien och ackrediterar accesspunkter och SMP:er. Sökanden tecknar Peppol Service Provider Agreement och genomgår en lämplighetsprövning med bland annat kontroll i brottsregistret och en ansvarsförsäkring på minst 1 miljon AUD per skadetillfälle. Sökanden fyller också i A-NZ eInvoicing Security Questionnaire, som självskattning eller med en oberoende revision mot ISO/IEC 27001 eller Australiens eller Nya Zeelands informationssäkerhetsmanual (ISM), och ska klara Peppol Testbed, inklusive interoperabilitetstesterna för PINT A-NZ. Ackrediteringen prövas varje år (ATO:s ackrediteringsprocess). Läs mer om PINT A-NZ.
Nya Zeeland
Nya Zeelands Peppol-myndighet finns inom Ministry of Business, Innovation and Employment (MBIE). Australien och Nya Zeeland har samordnat sina ackrediteringsprocesser: en leverantör som är ackrediterad i Australien kan ansöka om ömsesidig ackreditering hos Nya Zeelands Peppol-myndighet. Båda länderna använder PINT A-NZ.
Singapore
I Singapore får bara accesspunktsleverantörer som är ackrediterade av IMDA verka i InvoiceNow-nätverket, och de omfattas av IMDA:s egna Peppol-krav. Skattemyndigheten IRAS inför GST InvoiceNow Requirement stegvis för momsregistrerade företag: nya frivilligt registrerade sedan den 1 april 2026 och därefter befintliga företag efter omsättning från den 1 april 2028, tills alla omfattas den 1 april 2031. En kopia av fakturadata går till IRAS via nätverket (IRAS FAQ, september 2026). Läs mer om PINT SG.
Egen drift, Egen accesspunkt och Inbyggd Peppol jämförda
| Område | Egen drift med öppen källkod | Egen accesspunkt (driftad av Qvalia) | Inbyggd Peppol |
| Rollen som tjänsteleverantör och avtalet | Ni | Ni | Qvalia |
| Peppol-PKI-certifikat | Ni | Ni innehar dem, Qvalia installerar och driftar dem i accesspunkten | Qvalia |
| ISO/IEC 27001 | Ni, med hela stacken i omfattningen | Ni, med teknisk dokumentation från Qvalia för de driftade delarna | Qvalias egen certifiering |
| AS4-transport | Programvara med öppen källkod, driftad av er | Qvalia | Qvalia |
| SMP och registrering av deltagare | Ni väljer och driftar en SMP | Qvalia registrerar deltagare på ert uppdrag | Qvalia, via Partner API |
| Validering, routing och arkivering | Ni bygger och driftar | Qvalia | Qvalia |
| Rapportering av skattedata | Ni bygger | Qvalia utför den tekniska överföringen, till exempel till skattemyndigheten i Förenade Arabemiraten | Qvalia, på marknader där Qvalia är ackrediterat |
| Övervakning, uppdateringar och jour | Ni | Qvalia | Qvalia |
| Konformanstester | Ni | Qvalia kör testerna tillsammans med er. Godkännandet ligger hos myndigheten | Behövs inte för er del |
| Produktgränssnitt och kundrelation | Ni | Ni | Ni |
| Programvarulicens | Ingen. Ni betalar för personal och infrastruktur | Tjänsteavgift | Tjänsteavgift |
| Drift | Valfri infrastruktur | Qvalia, på AWS i Irland | Qvalia, på AWS i Irland |
| Tid till lansering | Månader: certifiering plus utveckling | Månader: certifieringen styr tidplanen | Dagar till veckor |
När passar respektive metod?
Att bygga själva passar när
- ni redan driftar Java-tjänster, PKI och verksamhet dygnet runt
- accesspunkten måste köras i er egen infrastruktur eller i en viss region
- ni vill ändra i koden eller stödja meddelandetyper utanför Peppols vanliga uppsättning
- Peppol-transport är en central del av det ni säljer
Egen accesspunkt passar när
- ni måste inneha rollen som tjänsteleverantör men inte vill bygga och bemanna en accesspunkt
- ni ska in på en marknad med nationell ackreditering eller skatterapportering, där tester och dokumentation tar tid
- ni vill ha validering, arkivering, övervakning och gränssnitt på plats från start, gärna med ett white-label-gränssnitt för era kunder
Inbyggd Peppol passar när
- ni vill erbjuda Peppol till många kunder i er produkt
- ingen myndighet, inget avtal och ingen affärsmodell kräver att ni innehar rollen som tjänsteleverantör
- Qvalia täcker de marknader ni behöver
Frågor att reda ut innan ni väljer
- Behöver ni rollen som tjänsteleverantör, eller Peppol-anslutning för era kunder?
- Vilken Peppol-myndighet ska ni teckna avtal med, och vilka krav lägger den till?
- Finns ISO/IEC 27001 på plats, och kommer omfattningen att täcka accesspunkten och SMP:n?
- Vem driftar SMP:n, och hur registreras och avregistreras deltagare?
- Hur skapas MLS-svar, och hur mäts de mot servicenivåerna 2027?
- Vem skickar statistikrapporterna till OpenPeppol?
- Vilka supporttider, tider för incidentnotiser och eskaleringsvägar gäller?
- Var lagras data, och hur länge?
- Vilken nationell skatterapportering gäller på era marknader, och vem utför den?
Fler artiklar
Qvalia är nu anslutet till ELMA, Digitaliseringsdirektoratets mottagarregister för den norska marknaden. Det betyder att vi kan registrera våra kunder i ELMA, även för norska EHF-dokument som inte ingår i Peppol BIS, till exempel EHF Reminder.
Qvalia har lanserat publik övervakning av Peppol-accesspunkters tillgänglighet, med status, upptid och svarstider för AS4-endpoints.
Lär dig identifiera och åtgärda vanliga fel i Peppol-fakturor – från Peppol-ID och validering till moms, ERP-mappning och svarsmeddelanden.