EN 18216 til 18223: De seks CEN-standarder, der definerer et digitalt produktpas, som opfylder kravene

I tre år er enhver diskussion om digitale produktpas (DPP) stødt ind i det samme spørgsmål: hvordan ser et DPP-system, der opfylder kravene, egentlig ud? ESPR-forordningen (EU 2024/1781) er det retlige grundlag. CIRPASS-2 skitserede arkitekturen. GS1 Digital Link gav os URL-syntaksen. Men de egentlige normative tekniske standarder, dem et brand kan pege på og sige »byg efter denne«, manglede.

Det hul er nu lukket. CEN/CENELEC’s fælles tekniske udvalg 24 (JTC 24) har offentliggjort seks normative europæiske standarder, der dækker den tekniske arkitektur i et digitalt produktpas. Tilsammen fastlægger de, hvordan identifikatorer fungerer, hvordan data bæres, hvordan API’et opfører sig, hvordan data udveksles og arkiveres, og hvordan systemer arbejder sammen.

De seks offentliggjorte standarder er:

  • EN 18216 — Protokoller for dataudveksling
  • EN 18219 — Entydige identifikatorer
  • EN 18220 — Databærere
  • EN 18221 — Datalagring og varighed
  • EN 18222 — API’er for produktpassets livscyklus og søgbarhed
  • EN 18223 — Interoperabilitet mellem systemer

To mere, EN 18239 (adgangsrettigheder og sikkerhed) og EN 18246 (dataautentificering og integritet), er stadig under udarbejdelse som prEN-udkast, og 18221, 18222 og 18223 henviser normativt til dem. De ventes som de næste. Opdatering, oktober 2026: begge blev godkendt af CEN den 17. august 2026 og er nu offentliggjort — se alle otte DPP-standarder er offentliggjort, kun seks er citeret.

Denne artikel gennemgår, hvad hver af de seks offentliggjorte standarder faktisk kræver, hvorfor brands bør tilpasse deres DPP-systemer til dem nu, og hvordan standarderne spiller sammen med tidsplanen for ESPR’s delegerede retsakter for tekstiler.

Hvorfor disse standarder er vigtige for at opfylde ESPR

ESPR artikel 9 kræver digitale produktpas for produkter, der bringes i omsætning på EU-markedet i de produktgrupper, som delegerede retsakter omfatter. Artikel 10 og 11 opregner de væsentlige krav: pas skal være knyttet til en varig entydig identifikator og være maskinlæsbare, tilgængelige, sikre og interoperable.

De artikler angiver dog ikke, hvordan kravene opfyldes på det tekniske plan. Det gør disse CEN-standarder. Bilag ZA i hver standard knytter dens afsnit til de ESPR-krav, den dækker, og når Kommissionen har offentliggjort en henvisning til en standard i EU-Tidende, giver det en formodning om overensstemmelse at følge den (ESPR artikel 41) — det vil sige, at et system, der er tilpasset EN 18216, formodes at opfylde ESPR’s krav om dataudveksling, at et system, der bruger EN 18219-identifikatorer, formodes at opfylde kravet om entydighed, og så videre. Opdatering, oktober 2026: henvisningen til alle seks blev offentliggjort den 15. juli 2026 ved gennemførelsesafgørelse (EU) 2026/1736.

I praksis: Hvis du ikke kan påvise, at du følger disse standarder, bliver din overensstemmelsesvurdering under ESPR en særskilt argumentation fra sag til sag. Hvis du kan, bliver den et flueben.

EN 18216 — Protokoller for dataudveksling

Dette er standarden for transportlaget. Den fastlægger, hvordan en DPP-ressource anmodes om, overføres og vises.

Afsnit 4 — Transport: Dataudveksling for DPP’er skal bruge HTTPS med mindst TLS 1.2 (TLS 1.3 anbefales kraftigt) og mindst HTTP/2, idet HTTP/3 anbefales. API’er bør følge REST-stilen. Ældre protokoller (TLS 1.1, SSL) er forbudt.

Afsnit 5 — Formater og content negotiation: JSON (efter ISO/IEC 21778) skal understøttes som grundlag for syntaktisk interoperabilitet. XML, JSON-LD og HTML kan tilbydes derudover, og det format, der leveres, vælges via HTTP content negotiation (efter RFC 9110, det almindelige mønster med Accept-headeren).

Det sidste krav er det, flest nuværende DPP-implementeringer ikke opfylder. Den samme URL skal returnere enten gengivet HTML (til en forbruger, der scanner en QR-kode) eller maskinlæsbar JSON / JSON-LD (til en genanvenders værktøj, en markedspladsintegration eller en verifikator), afhængigt af den Accept-header, klienten sender. Én ressource, flere repræsentationer.

Når der returneres HTML, skal den overholde EN 301549 (EU’s standard for tilgængelighed). En DPP-side, der kun findes som HTML, overholder ikke EN 18216, selv om alt andet ved den er korrekt.

EN 18219 — Entydige identifikatorer

Dette er standarden for identifikatorordninger, og den mest præskriptive af de seks.

Afsnit 4.1 — global entydighed: ingen gentildeling, forskellig fra enhver anden identifikator, ingen sameksistens med et andet ID for den samme produktinstans.

Afsnit 4.2 — varighed: identifikatoren skal overleve operatørens insolvens eller likvidation. En note tilføjer, at EU’s DPP-register sikrer et minimumsniveau af bevarelse for identifikatorer; at holde selve passet tilgængeligt er en særskilt pligt efter ESPR, som opfyldes gennem en backup-kopi hos en udbyder af digitale produktpastjenester (ESPR artikel 10, stk. 4).

Afsnit 4.3 — syntaks: tegnsæt efter ISO/IEC 646; URI-formen skal følge RFC 3986; identifikatoren skal være en URL eller kunne konverteres til en URL.

Afsnit 4.4 — detaljeringsniveau: hver identifikator skal være entydig på det mindste detaljeringsniveau, den betjener (model, batch eller serienummer på vareniveau). Detaljeringsniveauet skal forblive det samme, når produktet først er på markedet. Hvis detaljeringsniveauet ændres — for eksempel når et brand går fra DPP’er på batchniveau til DPP’er på vareniveau — skal der udstedes en ny identifikator, som knyttes til den gamle af hensyn til sporbarheden.

Afsnit 4.6 — åbenhed: de offentlige DPP-oplysninger skal kunne nås uden registrering, download af en app eller loginoplysninger. Leverandørbinding er ikke tilladt.

ID-ordning 1 — webbaseret ID med struktureret sti (GS1-vejen): Den dominerende vej i praksis. Den kræver, at identifikatoren overholder GS1 Digital Link URI Syntax v1.6.0:2022, anvender GS1 Application Identifiers efter ISO/IEC 15418, følger opslag med struktureret sti efter ISO/IEC 18975 og bruger en registreret Issuing Agency Code efter ISO/IEC 15459-2 (et rigtigt GS1 Global Company Prefix, ikke en pladsholder).

En GS1 Digital Link-URL, der overholder kravene, ser sådan ud: /01/{GTIN}/22/{CPV}/10/{batch}/21/{serial}. Stiens segmenter koder automatisk detaljeringsniveauet: /01/{GTIN} alene er modelniveau, tilføjes /10/{batch}, bliver det batchniveau, og tilføjes /21/{serial}, bliver det vareniveau.

Afsnit 6 — Identifikatorer for erhvervsdrivende og anlæg: Disse skal bruge en af ordningerne ISO/IEC 6523 (LEI, GS1 GCP, PEPPOL), ISO/IEC 15418/15459, DID eller DOI. Fabrikantnavne i fritekst i en DPP-header overholder ikke kravene.

EN 18220 — Databærere

Denne standard fastlægger de fysiske eller visuelle midler, hvormed DPP-identifikatoren når frem til en scanner eller læser. I praksis: QR-koder, Data Matrix-koder, RFID-tags og NFC-tags.

EN 18220 kræver, at databæreren koder den entydige produktidentifikator (efter EN 18219), der giver adgang til DPP’et, kan læses af almindeligt udbredte smartphonekameraer og standardlæsere i industrien og opfylder holdbarhedskrav, der passer til produktets livscyklus.

For de fleste forbrugerrettede kategorier — tekstiler, fodtøj, møbler — er en QR-kode, der koder GS1 Digital Link-URL’en, de facto databæreren. EN 18220 bekræfter, at det er acceptabelt, men fastsætter krav til holdbarhed og kontrast. Brands, der bruger hængemærker af papir, skal sikre, at databæreren holder mindst indtil produktet er solgt; brands, der bruger indsyede etiketter, skal sikre, at den kan scannes i hele produktets forventede levetid.

EN 18221 — Datalagring, arkivering og varighed

Det er her, de fleste eksisterende DPP-implementeringer har det største hul.

Afsnit 4.2 — arkivering fra første ændring: enhver ændring af et DPP skal arkiveres fra det øjeblik, ændringen sker, og versionshistorikken skal bevares i hele DPP’ets levetid. Et DPP er ikke én post, der kan overskrives; det er et versioneret objekt med fuld historik.

Afsnit 4.3 og 4.5 — backup hos en udbyder af DPP-tjenester: når et produkt bringes i omsætning, kan det kræves, at en backup-kopi stilles til rådighed via en tjenesteudbyder — standardens ordlyd er betinget, og om kravet gælder, følger af produktets egne regler. Hvor det gælder, rummer backuppen den aktuelle version og alle krævede historiske versioner, og generel adgang til passet i backuppen åbnes, når den erhvervsdrivende ikke længere er aktiv på markedet. Det er det, der giver identifikatoren den krævede varighed (EN 18219 §4.2.2, som kræver, at identifikatoren overlever insolvens, likvidation eller ophør).

Varigheden er ikke et tal i denne standard. EN 18221 definerer det digitale produktpas’ levetid som den periode, hvor reglerne kræver, at passet er tilgængeligt, og alle krav om varighed henviser tilbage til den — så antallet af år kommer fra ESPR’s delegerede retsakt for kategorien, ikke fra standarden. Den fastsætter dog et krav til adgangsmønsteret: versionen, som den så ud på et givet tidspunkt, skal kunne hentes af autentificerede og autoriserede aktører, så arkivet kan forespørges og ikke blot er en log, der kun skrives til.

Et DPP-system, der kun gemmer den seneste tilstand af hvert pas, overholder ikke kravene. Brands skal designe til versioneret lagring fra første dag — det er langt lettere at tilføje tabeller med versionshistorik og versionsbevidste læse-endpoints i et nyt system end at eftermontere dem i et, der har været i drift i to år.

EN 18222 — API’er for produktpassets livscyklus og søgbarhed

Dette er API-standarden. Den fastlægger den minimale grænseflade, som ethvert DPP-system skal stille til rådighed.

EN 18222 kræver tre læsemetoder, som ethvert DPP-system, der overholder kravene, skal stille til rådighed som standardiserede endpoints:

  • ReadDPPById — hent et DPP ud fra dets entydige identifikator (den fulde Digital Link-URI eller det kanoniske ID).
  • ReadDPPByProductId — hent det aktuelle DPP for en produktidentifikator (typisk GTIN’et), hvilket returnerer det seneste pas.
  • ReadDPPIdsByProductIds — masseopslag: ud fra en liste over produktidentifikatorer returneres de tilsvarende DPP-ID’er. Sådan behandler markedspladser, toldmyndigheder og genanvendere kataloger effektivt.

Standarden fastlægger også livscyklusmetoder til at oprette, opdatere, arkivere og registrere DPP’er i EU-registret. De skal være autentificerede og adgangsstyrede (med EN 18239, når den er offentliggjort).

De fleste DPP-systemer stiller i dag kun en generisk CRUD-grænseflade over deres egen datamodel til rådighed. EN 18222 kræver, at de tre læsemetoder findes som standardiserede endpoints — det betyder, at et værktøj, der er bygget mod ét DPP-system, som overholder EN 18222, kan forespørge et andet uden kodeændringer. Det er det tekniske fundament for integration med markedspladser og genanvendere i EU-skala.

EN 18223 — Interoperabilitet mellem systemer

Dette er skemastandarden. Den fastlægger den kanoniske struktur for en DPP-header — de metadata, der omgiver det produktspecifikke indhold — så forskellige DPP-systemer kan udveksle og fortolke hinandens pas.

Ifølge afsnit 4.1.2.1 skal DPP-headeren indeholde:

  • granularity — model, batch eller vare — udtrykkeligt angivet
  • dppSchemaVersion — versionen af det skema, der bruges
  • dppStatus — aktiv, trukket tilbage, erstattet, arkiveret
  • lastUpdated — tidsstempel for den seneste ændring
  • economicOperatorId — korrekt formateret efter ISO/IEC 6523 (LEI eller GS1 GCP), ikke fritekst
  • facilityId — samme krav til formatering
  • dictionaryReference — for hvert dataelement en henvisning til det kontrollerede ordforråd, der definerer elementet
  • contentSpecificationIds — henvisninger til indholdsspecifikationerne for produktkategorien (i tekstil-DPP’er skemaet fra ESPR’s delegerede retsakt)

EN 18223 er det, der gør interoperabilitet virkelig. To DPP-systemer, der følger den samme indholdsspecifikation og begge producerer headere i overensstemmelse med EN 18223, kan udveksle data uden særligt integrationsarbejde. En genanvender kan bygge ét værktøj, der behandler tekstil-DPP’er fra et hvilket som helst brand.

Hvad der stadig mangler: EN 18239 og EN 18246

To standarder mere i familien er stadig ved at blive færdiggjort (opdatering, oktober 2026: begge er nu offentliggjort, men henvisningen til dem er endnu ikke offentliggjort i EU-Tidende):

  • EN 18239 — Adgangsrettigheder og sikkerhed. Fastlægger, hvordan autentificering, autorisation og rollebaseret adgang fungerer for DPP-data. Forskellige interessenter (forbruger, reparationsværksted, genanvender, toldmyndighed, tilsynsmyndighed) har brug for forskellige adgangsniveauer til det samme DPP.
  • EN 18246 — Dataautentificering og integritet. Fastlægger, hvordan et DPP kan verificeres kryptografisk som ægte og uændret. Bruger sandsynligvis verifiable credentials eller lignende W3C-arbejde.

Begge henvises der normativt til i EN 18221, EN 18222 og EN 18223 — så de eksisterende seks standarder har afhængigheder, der endnu ikke er fuldt offentliggjort. Brands, der bygger DPP-infrastruktur nu, bør designe med udskiftelige lag for autentificering og integritet, klar til at sætte EN 18239 og EN 18246 ind, når de er færdige.

Sådan passer det med tidsplanen for ESPR’s delegerede retsakter

ESPR-rammeforordningen (EU 2024/1781) trådte i kraft den 18. juli 2024. Kommissionens arbejdsplan for ESPR (offentliggjort i april 2025) bekræfter de løbende delegerede retsakter, der fastlægger de produktgruppespecifikke krav. For tekstiler ventes den delegerede retsakt vejledende i 2027, og kravene gælder mindst 18 måneder efter, at den træder i kraft — altså ikke før midten af 2028.

De CEN-standarder, der er beskrevet her, er horisontale — de fastlægger systemet, ikke de tekstilspecifikke datafelter. Dataskemaet for tekstiler kommer fra ESPR’s delegerede retsakt plus CIRPASS-2’s sektorarbejde og kobles på EN 18223-headeren som henvisningen contentSpecificationIds.

Den opdeling er vigtig for planlægningen. Et brand kan bygge efter EN 18216 / 18219 / 18220 / 18221 / 18222 / 18223 i dag — systemlaget er nu fuldt specificeret for de seks offentliggjorte. Laget med tekstilfelter lægges ovenpå, når den delegerede retsakt offentliggøres, uden at systemet skal designes om.

Hvad brands bør gøre nu

For brands, der allerede har pilot-DPP’er i drift (med QR-koder og Digital Link-URL’er), er de praktiske skridt på kort sigt:

  1. Gennemgå din resolver mod EN 18216 §5. Returnerer den samme URL JSON eller JSON-LD, når den kaldes med Accept: application/json? Hvis ikke, så tilføj content negotiation. Det er som regel den mindste rettelse på listen.
  2. Flyt granularity, dppSchemaVersion, dppStatus og lastUpdated op i DPP-headeren. Ifølge EN 18223 §4.1.2.1 er de obligatoriske.
  3. Erstat ethvert fabrikantfelt i fritekst med et korrekt formateret economicOperatorId. Ifølge EN 18219 §6 skal det være et LEI, et GS1 GCP eller tilsvarende. Fritekst dumper i overensstemmelsesvurderingen.
  4. Planlæg arkivdesignet efter EN 18221. Hvis din DPP-tabel kun gemmer den seneste tilstand, så tilføj en versionstabel og versionsbevidste læse-endpoints. Det er meget lettere at tilføje, før du har hundredtusindvis af DPP’er i produktion.
  5. Planlæg de tre obligatoriske læsemetoder i EN 18222. Hvis dit nuværende API er en generisk CRUD over en datakildemodel, så sæt tynde REST-aliasser foran, der stiller ReadDPPById, ReadDPPByProductId og ReadDPPIdsByProductIds til rådighed som standardiserede endpoints.

Hvor du får standarderne

CEN sælger ikke standarder direkte. De distribueres gennem de nationale standardiseringsorganer. Almindelige købsveje for serien EN 18216–18223:

  • SIS (sis.se) — det svenske nationale organ. Køb pr. standard eller et SIS-abonnement. Nyttigt, hvis du vil have hele serien på svensk (SS EN) og engelsk.
  • en-standard.eu — privat butik, øjeblikkelig download som PDF.
  • DIN (Tyskland) / BSI (Storbritannien) — de samme EN-standarder, nogle gange hurtigere engelske versioner.

Den typiske pris er 50-200 € pr. standard. Hele sættet med seks standarder koster 300-1.000 € afhængigt af købsvejen. Status for hele serien kan følges på standards.cencenelec.eu.

Konklusionen

Offentliggørelsen af EN 18216, 18219, 18220, 18221, 18222 og 18223 lukker den største tekniske uklarhed, der har hængt over DPP-arbejdet de sidste tre år. Brands behøver ikke længere gætte, hvordan et DPP-system, der opfylder kravene, ser ud — specifikationerne er nu normative, kan købes og giver — når henvisningen til dem er offentliggjort i EU-Tidende — formodning om overensstemmelse efter ESPR artikel 41.

Perioden fra nu og frem til håndhævelsen af ESPR for tekstiler (ikke før midten af 2028) er det rigtige tidspunkt til at gennemgå eksisterende piloter mod standarderne, lukke hullerne i content negotiation, header-attributter, arkivdesign og standardiserede læsemetoder og designe med udskiftelige koblingspunkter til EN 18239 og EN 18246, når de er færdige.

Brands, der bygger efter disse standarder nu, vil have formodning om overensstemmelse, når håndhævelsen begynder. Brands, der ikke gør, vil skulle føre en særskilt argumentation i hver eneste overensstemmelsesvurdering.