CIRPASS und CEN/CENELEC: DPP-Normen erklärt

Hinter jedem digitalen Produktpass steht ein Satz technischer Normen, der festlegt, wie Daten strukturiert, geteilt und verifiziert werden. Zwei Namen tauchen in DPP-Diskussionen immer wieder auf: CIRPASS und CEN/CENELEC. Wer DPP-Compliance umsetzt, muss verstehen, was sie sind und was sie hervorgebracht haben.

Was ist CIRPASS?

CIRPASS (Collaborative Initiative for a Standards-based Digital Product Passport for Stakeholder-Specific Sharing of Product Data for a Circular Economy) war ein EU-gefördertes Projekt, das von Oktober 2022 bis März 2024 lief. Sein Auftrag: die technischen Grundlagen dafür zu schaffen, digitale Produktpässe in großem Maßstab in ganz Europa einzuführen.

CIRPASS brachte rund 30 Partner und assoziierte Partner zusammen – Branchenverbände, Technologieunternehmen, Normungsorganisationen und Forschungseinrichtungen –, um die praktischen Fragen zu beantworten, die die ESPR technischen Spezifikationen überlassen hatte:

• Welches Datenformat sollten DPPs verwenden?
• Wie sollten verschiedene Systeme DPP-Daten austauschen?
• Wie sieht Interoperabilität über Branchen und Grenzen hinweg aus?
• Wie sollte die Zugriffskontrolle für verschiedene Gruppen von Beteiligten funktionieren?

Ergebnisse von CIRPASS

Das Projekt hat mehrere zentrale Ergebnisse hervorgebracht:

DPP Architecture Blueprint – Eine Referenzarchitektur, die festlegt, wie DPP-Systeme funktionieren sollen, einschließlich Datenmodellen, API-Spezifikationen und Interaktionsmustern zwischen DPP-Plattformen, dem EU-Register und Endnutzern.

Sektor-Roadmaps – Roadmaps für Prototypen in drei Wertschöpfungsketten: Batterien, Textilien und Elektronik. Sie zu erproben ist die Aufgabe des Nachfolgeprojekts CIRPASS-2.

Interoperabilitätsrahmen – Spezifikationen dafür, wie DPPs verschiedener Plattformen und Branchen zusammenspielen können. Das ist entscheidend – eine Recyclinganlage sollte nicht für den Pass jeder Marke ein anderes Werkzeug brauchen.

Open-Source-Werkzeuge – CIRPASS-2 (das Nachfolgeprojekt) hat Open-Source-Werkzeuge veröffentlicht, darunter:

• einen DPP-Validator zur Prüfung der Konformität von Pässen
• ein Mock-EU-Register zum Testen von Registrierungsabläufen

Diese sind unter github.com/CIRPASS-2 verfügbar und wertvoll für Unternehmen, die ihre DPP-Implementierungen aufbauen oder prüfen.

CIRPASS-2

Das Nachfolgeprojekt CIRPASS-2 läuft derzeit und konzentriert sich auf:

• die Weiterentwicklung von Normen auf Basis von Rückmeldungen aus realen Piloten
• die Unterstützung der Europäischen Kommission bei der Ausarbeitung delegierter Rechtsakte
• den Aufbau der Community of Practice (CoP) für DPP-Beteiligte
• die Vorbereitung auf den Start des EU-DPP-Registers (19. Juli 2026; Update: live seit dem 20. Juli 2026)

Was ist CEN/CENELEC?

CEN (Europäisches Komitee für Normung) und CENELEC (Europäisches Komitee für elektrotechnische Normung) sind die offiziellen europäischen Normungsorganisationen. Wenn die EU technische Normen zur Unterstützung einer Verordnung braucht, werden sie bei CEN/CENELEC entwickelt.

Für die ESPR und digitale Produktpässe hat die Europäische Kommission (im Juli 2024) einen Normungsauftrag an CEN, CENELEC und ETSI erteilt, harmonisierte Normen zu den technischen Anforderungen an die DPP-Umsetzung zu entwickeln.

Die 8 DPP-Normen von CEN/CENELEC

Sechs wurden im Mai 2026 veröffentlicht, die letzten beiden im September 2026. Zusammen bilden sie das technische Regelwerk für die DPP-Umsetzung. Beachten Sie, dass die Nummern keinen lückenlosen Bereich bilden – es gibt weder EN 18217 noch EN 18218:

1. EN 18216 – Datenaustauschprotokolle

Legt fest, wie DPP-Daten zwischen Systemen angefordert und übertragen werden: sicherer Transport über HTTPS, JSON als gemeinsames Basisformat und Content Negotiation, damit dieselbe Adresse eine Webseite oder maschinenlesbare Daten ausliefern kann. Ohne diese Norm würde jede DPP-Plattform ihre eigene Sprache sprechen.

2. EN 18219 – Eindeutige Kennungen

Legt fest, wie Produkte, Wirtschaftsteilnehmer und Einrichtungen identifiziert werden. Sie erkennt fünf Schemata für Produktkennungen an – GS1 Digital Link und andere webfähige strukturierte Pfade, den Identifikationslink (EN IEC 61406), dezentrale Kennungen (DID), Kennungen nach ISO/IEC 15459, wie sie bei RFID verwendet werden, und den Digital Object Identifier (DOI).

3. EN 18220 – Datenträger

Legt die physischen oder visuellen Mittel fest – QR-Codes, Data-Matrix-Codes, RFID- und NFC-Tags –, über die die Kennung eines Produkts ein Telefon oder Lesegerät erreicht, einschließlich Haltbarkeit und Platzierung.

4. EN 18221 – Datenspeicherung, Archivierung und Persistenz

Legt Anforderungen dafür fest, Pässe und ihre Versionshistorie für den vorgeschriebenen Zeitraum verfügbar zu halten, einschließlich Sicherungskopien bei einem Digitalproduktpass-Dienstleister.

5. EN 18222 – APIs für Lebenszyklusverwaltung und Durchsuchbarkeit von Pässen

Legt die Schnittstelle fest, die ein DPP-System zum Erstellen, Lesen, Aktualisieren und Durchsuchen von Pässen bereitstellt, damit ein Werkzeug, das gegen ein System gebaut ist, ein anderes abfragen kann.

6. EN 18223 – Systeminteroperabilität

Legt die gemeinsame Struktur eines Passes fest – etwa den Header, der Granularität, Schemaversion und Status angibt –, damit verschiedene DPP-Systeme die Pässe der jeweils anderen austauschen und interpretieren können.

7. EN 18239 – Zugriffsrechteverwaltung, Informationssystemsicherheit und Geschäftsgeheimnisse

Legt fest, wie verschiedene Beteiligte Zugang zu DPP-Daten erhalten. Verbraucher sehen einen Satz von Informationen, Geschäftspartner einen anderen, und Behörden sehen, worauf sie Anspruch haben. Da DPPs geschäftlich sensible Informationen enthalten können, ist Sicherheit nicht optional.

8. EN 18246 – Datenauthentifizierung, Zuverlässigkeit und Integrität

Legt Anforderungen dafür fest, nachzuweisen, dass Passdaten echt und unverändert sind, und die Menschen zu schützen, die öffentliche Passdaten lesen.

Wie Normen verpflichtend werden

Eine häufige Quelle der Verwirrung: Normen von CEN/CENELEC sind grundsätzlich freiwillig. Faktisch verpflichtend werden sie über den Mechanismus der „Konformitätsvermutung“ in der ESPR:

1. Die ESPR legt Anforderungen fest (z. B. „DPPs müssen interoperabel sein“)
2. CEN/CENELEC entwickelt harmonisierte Normen, die festlegen, wie diese Anforderungen zu erfüllen sind
3. Wenn Sie eine harmonisierte Norm anwenden, deren Fundstelle im Amtsblatt veröffentlicht ist, wird vermutet, dass Sie die von ihr abgedeckten Anforderungen erfüllen (ESPR Artikel 41)
4. Wenn Sie die Norm nicht anwenden, müssen Sie die Konformität auf anderem Weg nachweisen – was deutlich schwieriger und teurer ist

In der Praxis bedeutet das, dass die Normen von CEN/CENELEC de facto verpflichtend sind. Ein DPP-System zu bauen, das sie ignoriert, ist rechtlich zulässig, aber praktisch unklug.

Was die Normen für Ihre Umsetzung bedeuten

Wenn Sie eine DPP-Plattform auswählen

Fragen Sie Ihren Plattformanbieter:

• Erfüllen Sie die DPP-Normen von CEN/CENELEC?
• Wie gehen Sie mit der Norm für Datenmodell und Schema um?
• Ist Ihre Schnittstelle zum EU-Register bereit für den Start im Juli 2026?
• Wie setzen Sie die Zugriffskontrolle nach der Authentifizierungsnorm um?

Eine Plattform, die gebaut wurde, bevor die Normen fertiggestellt waren, braucht möglicherweise umfangreiche Anpassungen. Plattformen wie DPP Agent, die parallel zum Normungsprozess entstanden sind, sind von Grund auf auf Konformität ausgelegt.

Wenn Sie selbst entwickeln

Die Normen sind Ihr Bauplan. Entwerfen Sie Ihr Datenmodell oder Ihre API-Struktur nicht unabhängig davon – richten Sie sich nach den Spezifikationen von CEN/CENELEC. Das spart Entwicklungszeit und stellt sicher, dass Ihr System mit dem breiteren DPP-Ökosystem zusammenarbeiten kann.

Wenn Sie Lieferant sind

Ihre Kunden werden Sie bitten, Daten in den Formaten zu liefern, die diese Normen festlegen. Wenn Sie die Norm für das Datenmodell verstehen, können Sie strukturierte Daten vorbereiten, die sauber in die DPP-Systeme Ihrer Kunden fließen.

Die DPP-Methodik der JRC

Neben den Normen von CEN/CENELEC hat die Gemeinsame Forschungsstelle (JRC) der Europäischen Kommission im März 2026 ihre DPP-Methodik veröffentlicht. Diese Methodik ergänzt die Normen, indem sie Folgendes festlegt:

• Drei Prioritätsstufen für Daten – wesentlich, dringend empfohlen und freiwillig
• Ein schrittweises Vorgehen – wie man für eine Produktgruppe auswählt, welche Daten ein Pass enthalten sollte und warum

Die Methodik der JRC ist ein technischer Bericht, keine Norm und kein Rechtstext, aber sie zeigt, wie die Datenanforderungen in künftigen delegierten Rechtsakten voraussichtlich ausgewählt werden.

Die Rolle von GS1

GS1, die globale Standardisierungsorganisation hinter Barcodes und GTINs, spielt im DPP-Ökosystem eine spezifische, aber entscheidende Rolle:

• GS1 Digital Link ist eines der Kennungsschemata, die EN 18219 anerkennt, und das für Verbraucherprodukte am weitesten verbreitete
• GTIN ist die Produktkennung, die in einen GS1 Digital Link eingebettet ist
• Die Resolver-Infrastruktur von GS1 unterstützt die technische Auflösung von DPP-URLs

Wenn Sie den GS1-Weg gehen und noch keine GTINs für Ihre Produkte haben, ist der erste Schritt, sie bei Ihrer nationalen GS1-Mitgliedsorganisation zu beziehen. Mehr dazu in unserem Leitfaden zu GS1 Digital Link.

Normen, die noch in Entwicklung sind

Nachdem alle acht Normen veröffentlicht sind, geht die Arbeit weiter an:

• Sektorspezifischen Erweiterungen – zusätzliche Datenfelder für Batterien, Textilien, Elektronik
• Internationaler Abstimmung – Koordination mit der ISO und anderen internationalen Normungsorganisationen
• Betriebsspezifikationen für das Register – detaillierte Verfahren für das EU-DPP-Register
• Prüfung und Zertifizierung – wie DPP-Plattformen für die Normkonformität zertifiziert werden können

Praktische Folgen

Interoperabilität ist real

Die Normen stellen sicher, dass ein auf Plattform A erstellter DPP von Plattform B gelesen, vom EU-Register verifiziert und von jedem berechtigten Beteiligten abgerufen werden kann. Das ist keine Theorie – die CIRPASS-Piloten haben plattformübergreifende Interoperabilität in der Praxis gezeigt.

Keine proprietäre Bindung

Da Datenformate und APIs standardisiert sind, sind Unternehmen nicht an eine einzige DPP-Plattform gebunden. Sie können den Anbieter wechseln, ohne Ihre Passdaten zu verlieren oder Ihre QR-Codes unbrauchbar zu machen. Das ist so gewollt.

Konformität ist nachweisbar

Die Anwendung der Normen gibt Ihnen ein klares Konformitätsargument. Wenn eine Marktüberwachungsbehörde fragt: „Woher wissen Sie, dass Ihre DPPs konform sind?“, ist die Antwort einfach: „Wir wenden die harmonisierten Normen von CEN/CENELEC an.“

Nächste Schritte

Die Normen zu verstehen ist wichtig. Sie umzusetzen ist das, was zählt.

Beginnen Sie mit einer Bereitschaftsanalyse auf dppagent.com, um zu verstehen, welche Normen für Ihre Produkte gelten und wie gut Ihre aktuellen Systeme vorbereitet sind. Nutzen Sie dann DPP Agent, um konforme DPPs auf einer Infrastruktur umzusetzen, die nach den Spezifikationen von CEN/CENELEC gebaut ist. Ein Angebot von Blippa – wir helfen europäischen Unternehmen seit dem ersten Tag, sich in den DPP-Normen zurechtzufinden.