EN 18216–18223: kuusi CEN-standardia, jotka määrittelevät vaatimusten mukaisen digitaalisen tuotepassin

Kolmen vuoden ajan jokainen keskustelu digitaalisesta tuotepassista (DPP) on törmännyt samaan kysymykseen: miltä vaatimusten mukainen DPP-järjestelmä todella näyttää? ESPR-asetus (EU 2024/1781) on oikeudellinen perusta. CIRPASS-2 hahmotteli arkkitehtuurin. GS1 Digital Link antoi URL-syntaksin. Mutta varsinaiset velvoittavat tekniset standardit — ne, joihin brändi voi osoittaa ja sanoa ”rakentakaa tämän mukaan” — puuttuivat.

Tämä aukko on nyt umpeutunut. CEN/CENELECin yhteinen tekninen komitea 24 (JTC 24) on julkaissut kuusi velvoittavaa eurooppalaista standardia, jotka kattavat digitaalisen tuotepassin teknisen arkkitehtuurin. Yhdessä ne määrittelevät, miten tunnisteet toimivat, miten tietoja kuljetetaan, miten API toimii, miten tietoja vaihdetaan ja arkistoidaan ja miten järjestelmät toimivat yhteen.

Kuusi julkaistua standardia ovat:

  • EN 18216 — Tiedonvaihtoprotokollat
  • EN 18219 — Yksilölliset tunnisteet
  • EN 18220 — Tietovälineet
  • EN 18221 — Tietojen tallennus ja pysyvyys
  • EN 18222 — API-rajapinnat tuotepassin elinkaareen ja haettavuuteen
  • EN 18223 — Järjestelmien yhteentoimivuus

Kaksi muuta — EN 18239 (käyttöoikeudet ja tietoturva) ja EN 18246 (tietojen todentaminen ja eheys) — ovat yhä valmisteilla prEN-luonnoksina, ja standardit 18221, 18222 ja 18223 viittaavat niihin velvoittavasti. Niitä odotetaan seuraavaksi. Päivitys, lokakuu 2026: CEN hyväksyi molemmat 17. elokuuta 2026, ja ne on nyt julkaistu — katso kaikki kahdeksan DPP-standardia on julkaistu, vain kuuden viitetiedot ovat virallisessa lehdessä.

Tässä artikkelissa käydään läpi, mitä kukin kuudesta julkaistusta standardista todella edellyttää, miksi brändien kannattaa sovittaa DPP-järjestelmänsä niihin jo nyt ja miten standardit liittyvät tekstiilejä koskevaan ESPR:n delegoitujen säädösten aikatauluun.

Miksi nämä standardit ovat tärkeitä ESPR-vaatimusten kannalta

ESPR:n 9 artikla edellyttää digitaalisia tuotepasseja EU:n markkinoille saatettaville tuotteille niissä tuoteryhmissä, jotka kuuluvat delegoitujen säädösten piiriin. 10 ja 11 artiklassa luetellaan olennaiset vaatimukset: passien on oltava linkitettyjä pysyvään yksilölliseen tunnisteeseen, koneellisesti luettavia, saatavilla, turvallisia ja yhteentoimivia.

Nämä artiklat eivät kuitenkaan määrittele, miten vaatimukset täytetään teknisellä tasolla. Sen nämä CEN-standardit tekevät. Kunkin standardin liite ZA kohdistaa sen kohdat niihin ESPR:n vaatimuksiin, jotka se kattaa, ja kun komissio julkaisee standardin viitetiedot virallisessa lehdessä, sen noudattaminen antaa vaatimustenmukaisuusolettaman (ESPR:n 41 artikla) — eli EN 18216:een sovitetun järjestelmän oletetaan täyttävän ESPR:n tiedonvaihtovaatimuksen, EN 18219:n tunnisteita käyttävän järjestelmän oletetaan täyttävän yksilöllisyysvaatimuksen ja niin edelleen. Päivitys, lokakuu 2026: kaikkien kuuden viitetiedot julkaistiin 15. heinäkuuta 2026 täytäntöönpanopäätöksellä (EU) 2026/1736.

Käytännössä: jos et pysty osoittamaan sovittaneesi järjestelmääsi näihin standardeihin, ESPR:n mukaisesta vaatimustenmukaisuuden arvioinnistasi tulee tapauskohtainen erillinen perustelu. Jos pystyt, siitä tulee rasti ruutuun.

EN 18216 — Tiedonvaihtoprotokollat

Tämä on siirtokerroksen standardi. Se määrittelee, miten DPP-resurssia pyydetään, miten se siirretään ja miten se esitetään.

Kohta 4 — Siirto: DPP-tiedonvaihdossa on käytettävä HTTPS:ää vähintään TLS 1.2:lla (TLS 1.3 vahvasti suositeltu) ja vähintään HTTP/2:ta, HTTP/3 suositeltu. API-rajapintojen tulisi noudattaa REST-tyyliä. Vanhemmat protokollat (TLS 1.1, SSL) ovat kiellettyjä.

Kohta 5 — Muodot ja sisällön neuvottelu: JSON-muotoa (ISO/IEC 21778:n mukaisesti) on tuettava syntaktisen yhteentoimivuuden perustasona. XML-, JSON-LD- ja HTML-muotoja voidaan tarjota lisäksi, ja tarjoiltava muoto valitaan HTTP-sisällön neuvottelulla (RFC 9110:n mukaisesti, tavanomainen Accept-otsakemalli).

Viimeinen vaatimus on se, jonka useimmat nykyiset DPP-toteutukset eivät täytä. Saman URL-osoitteen on palautettava joko esitetty HTML (QR-koodia skannaavalle kuluttajalle) tai koneellisesti luettava JSON / JSON-LD (kierrättäjän työkalulle, markkinapaikkaintegraatiolle tai todentajalle) asiakkaan lähettämän Accept-otsakkeen mukaan. Yksi resurssi, useita esitysmuotoja.

Kun palautetaan HTML-muotoa, sen on oltava EN 301549 -standardin (EU:n saavutettavuusstandardi) mukaista. Pelkästään HTML-muotoinen DPP-sivu ei ole EN 18216:n mukainen, vaikka kaikki muu siinä olisi oikein.

EN 18219 — Yksilölliset tunnisteet

Tämä on tunnistejärjestelmien standardi ja kuudesta yksityiskohtaisin.

Kohta 4.1 — maailmanlaajuinen yksilöllisyys: ei uudelleenkäyttöä, eroaa kaikista muista tunnisteista, ei rinnakkaiseloa toisen tunnisteen kanssa saman tuotekappaleen osalta.

Kohta 4.2 — pysyvyys: tunnisteen on säilyttävä toimijan maksukyvyttömyyden tai selvitystilan yli. Huomautuksessa todetaan, että EU:n DPP-rekisteri varmistaa tunnisteiden säilymisen vähimmäistason; itse passin pitäminen saatavilla on erillinen ESPR-velvoite, joka täytetään tuotepassipalvelun tarjoajalla olevalla varmuuskopiolla (ESPR:n 10 artiklan 4 kohta).

Kohta 4.3 — syntaksi: merkistö ISO/IEC 646:n mukaisesti; URI-muodon on noudatettava RFC 3986:ta; tunnisteen on oltava URL-osoite tai muunnettavissa URL-osoitteeksi.

Kohta 4.4 — tarkkuustaso: jokaisen tunnisteen on oltava yksilöllinen pienimmällä palvelemallaan tarkkuustasolla (malli, erä tai kappaletason sarjanumero). Tarkkuustason on pysyttävä samana, kun tuote on markkinoilla. Jos tarkkuustaso muuttuu — esimerkiksi kun brändi siirtyy erätason DPP:istä kappaletason DPP:ihin — on annettava uusi tunniste ja linkitettävä se vanhaan jäljitettävyyden vuoksi.

Kohta 4.6 — avoimuus: julkisten DPP-tietojen on oltava tavoitettavissa ilman rekisteröitymistä, sovelluksen lataamista tai tunnistetietoja. Toimittajalukko ei ole sallittu.

Tunnistejärjestelmä 1 — verkkokäyttöinen jäsennelty polkutunniste (GS1-reitti): Käytännössä hallitseva reitti. Se edellyttää, että tunniste on GS1 Digital Link URI Syntax v1.6.0:2022 -eritelmän mukainen, käyttää GS1-sovellustunnisteita ISO/IEC 15418:n mukaisesti, noudattaa ISO/IEC 18975:n mukaista jäsennellyn polun resolvointia ja käyttää ISO/IEC 15459-2:n mukaisesti rekisteröityä myöntäjätahon koodia (Issuing Agency Code) (todellinen GS1 Global Company Prefix, ei paikkamerkki).

Vaatimusten mukainen GS1 Digital Link -URL-osoite näyttää tältä: /01/{GTIN}/22/{CPV}/10/{batch}/21/{serial}. Polun osat koodaavat tarkkuustason automaattisesti: pelkkä /01/{GTIN} on mallitaso, /10/{batch} lisättynä erätaso ja /21/{serial} lisättynä kappaletaso.

Kohta 6 — Talouden toimijoiden ja laitosten tunnisteet: Niissä on käytettävä jotakin seuraavista järjestelmistä: ISO/IEC 6523 (LEI, GS1 GCP, PEPPOL), ISO/IEC 15418/15459, DID tai DOI. Vapaatekstinen valmistajan nimi DPP:n otsakkeessa ei ole vaatimusten mukainen.

EN 18220 — Tietovälineet

Tämä standardi määrittelee fyysiset tai visuaaliset keinot, joilla DPP:n tunniste välittyy skannerille tai lukijalle. Käytännössä: QR-koodit, Data Matrix -koodit, RFID-tunnisteet, NFC-tunnisteet.

EN 18220 edellyttää, että tietoväline koodaa yksilöllisen tuotetunnisteen (EN 18219:n mukaisesti), joka antaa pääsyn DPP:hen, on luettavissa yleisesti saatavilla olevilla älypuhelinten kameroilla ja tavanomaisilla teollisuuslukijoilla ja täyttää tuotteen elinkaareen soveltuvat kestävyysvaatimukset.

Useimmissa kuluttajille suunnatuissa tuoteryhmissä — tekstiilit, jalkineet, huonekalut — GS1 Digital Link -URL-osoitteen koodaava QR-koodi on tosiasiallinen tietoväline. EN 18220 vahvistaa, että tämä on hyväksyttävää, mutta asettaa kestävyys- ja kontrastivaatimukset. Paperisia riippulappuja käyttävien brändien on varmistettava, että tietoväline säilyy vähintään tuotteen myyntiin asti; ommeltuja etikettejä käyttävien brändien on varmistettava skannattavuus koko tuotteen odotetun käyttöiän ajan.

EN 18221 — Tietojen tallennus, arkistointi ja pysyvyys

Tässä useimpien nykyisten DPP-toteutusten suurin puute on.

Kohta 4.2 — arkistointi ensimmäisestä muutoksesta alkaen: jokainen DPP:hen tehty muutos on arkistoitava muutoshetkestä alkaen, ja versiohistoria on säilytettävä DPP:n koko elinajan. DPP ei ole yksittäinen muutettava tietue; se on versioitu objekti, jolla on täydellinen historia.

Kohdat 4.3 ja 4.5 — varmuuskopioinnin tuotepassipalvelun tarjoaja: kun tuote saatetaan markkinoille, voidaan edellyttää, että varmuuskopio asetetaan saataville tuotepassipalvelun tarjoajan kautta — standardin sanamuoto on ehdollinen, ja se, sovelletaanko tätä, määräytyy tuotteen omien sääntöjen mukaan. Kun sitä sovelletaan, varmuuskopio sisältää nykyisen version ja kaikki vaaditut historialliset versiot, ja yleinen pääsy varmuuskopiossa olevaan passiin avautuu, kun talouden toimija ei enää ole aktiivinen markkinoilla. Juuri tämä antaa tunnisteelle sen vaaditun pysyvyyden (EN 18219 §4.2.2, joka edellyttää tunnisteen säilyvän maksukyvyttömyyden, selvitystilan tai toiminnan lopettamisen yli).

Kesto ei ole tässä standardissa luku. EN 18221 määrittelee digitaalisen tuotepassin elinajan ajanjaksoksi, jonka passin on sääntelyn mukaan oltava saatavilla, ja jokainen kestoa koskeva vaatimus viittaa takaisin siihen — joten vuodet tulevat tuoteryhmää koskevasta ESPR:n delegoidusta säädöksestä, eivät standardista. Standardi asettaa kuitenkin pääsytapaa koskevan vaatimuksen: tietyllä ajanhetkellä voimassa ollut versio on oltava todennettujen ja valtuutettujen toimijoiden haettavissa, joten arkistoon on voitava tehdä kyselyjä eikä se ole pelkkä vain kirjoitettava loki.

DPP-järjestelmä, joka tallentaa vain kunkin passin viimeisimmän tilan, ei ole vaatimusten mukainen. Brändien on suunniteltava versioitu tallennus ensimmäisestä päivästä alkaen — versiohistoriataulujen ja versiot huomioivien lukurajapintojen lisääminen on paljon helpompaa uuteen järjestelmään kuin jälkikäteen kahden vuoden ajan tuotannossa olleeseen.

EN 18222 — API-rajapinnat tuotepassin elinkaareen ja haettavuuteen

Tämä on API-standardi. Se määrittelee vähimmäisrajapinnan, joka jokaisen DPP-järjestelmän on tarjottava.

EN 18222 edellyttää kolmea lukumenetelmää, jotka jokaisen vaatimusten mukaisen DPP-järjestelmän on tarjottava standardoituina päätepisteinä:

  • ReadDPPById — hakee DPP:n sen yksilöllisellä tunnisteella (koko Digital Link -URI tai kanoninen tunniste).
  • ReadDPPByProductId — hakee tuotetunnisteen (tyypillisesti GTIN) nykyisen DPP:n ja palauttaa uusimman passin.
  • ReadDPPIdsByProductIds — massahaku: palauttaa annetun tuotetunnisteluettelon vastaavat DPP-tunnisteet. Näin markkinapaikat, tulliviranomaiset ja kierrättäjät käsittelevät tuoteluetteloita tehokkaasti.

Standardi määrittelee myös elinkaarimenetelmät DPP:iden luomiseen, päivittämiseen, arkistointiin ja rekisteröintiin EU:n rekisteriin. Niiden on oltava todennettuja ja pääsynhallinnan alaisia (EN 18239:n mukaisesti, kun se julkaistaan).

Useimmat DPP-järjestelmät tarjoavat nykyisin vain yleisen CRUD-rajapinnan oman tietomallinsa päälle. EN 18222 edellyttää, että kolme lukumenetelmää ovat olemassa standardoituina päätepisteinä — eli yhtä EN 18222:n mukaista DPP-järjestelmää vasten rakennettu työkalu voi tehdä kyselyjä toiseen ilman koodimuutoksia. Se on markkinapaikka- ja kierrättäjäintegraatioiden tekninen perusta EU:n mittakaavassa.

EN 18223 — Järjestelmien yhteentoimivuus

Tämä on skeemastandardi. Se määrittelee DPP:n otsakkeen kanonisen rakenteen — metatiedot, jotka ympäröivät tuotekohtaista sisältöä — jotta eri DPP-järjestelmät voivat vaihtaa ja tulkita toistensa passeja.

Kohdan 4.1.2.1 mukaan DPP:n otsakkeessa on oltava:

  • granularity — malli, erä tai kappale — nimenomaisesti ilmoitettuna
  • dppSchemaVersion — käytössä olevan skeeman versio
  • dppStatus — aktiivinen, peruttu, korvattu, arkistoitu
  • lastUpdated — viimeisimmän muutoksen aikaleima
  • economicOperatorId — asianmukaisesti muotoiltu ISO/IEC 6523:n mukaisesti (LEI tai GS1 GCP), ei vapaata tekstiä
  • facilityId — sama muotoiluvaatimus
  • dictionaryReference — kullekin tietoelementille viittaus kyseisen elementin määrittelevään valvottuun sanastoon
  • contentSpecificationIds — viittaukset tuoteryhmäkohtaisiin sisältöeritelmiin (tekstiilien DPP:issä ESPR:n delegoidun säädöksen skeema)

EN 18223 tekee yhteentoimivuudesta todellista. Kaksi DPP-järjestelmää, jotka on sovitettu samaan sisältöeritelmään ja jotka molemmat tuottavat EN 18223:n mukaisia otsakkeita, voivat vaihtaa tietoja ilman räätälöityä integraatiotyötä. Kierrättäjä voi rakentaa yhden työkalun, joka käsittelee minkä tahansa brändin tekstiilien DPP:itä.

Mitä vielä puuttuu: EN 18239 ja EN 18246

Kaksi muuta perheen standardia ovat yhä viimeisteltävinä (päivitys, lokakuu 2026: molemmat on nyt julkaistu, mutta niiden viitetietoja ei ole vielä julkaistu virallisessa lehdessä):

  • EN 18239 — Käyttöoikeudet ja tietoturva. Määrittelee, miten todentaminen, valtuutus ja roolipohjainen pääsy toimivat DPP-tiedoissa. Eri sidosryhmät (kuluttaja, korjaamo, kierrättäjä, tulliviranomainen, valvontaviranomainen) tarvitsevat eritasoisen pääsyn samaan DPP:hen.
  • EN 18246 — Tietojen todentaminen ja eheys. Määrittelee, miten DPP voidaan todentaa kryptografisesti aidoksi ja muuttamattomaksi. Käyttää todennäköisesti todennettavia tunnisteita (verifiable credentials) tai vastaavaa W3C:n työtä.

EN 18221, EN 18222 ja EN 18223 viittaavat kumpaankin velvoittavasti — joten olemassa olevilla kuudella standardilla on riippuvuuksia, joita ei ole vielä kokonaan julkaistu. DPP-infrastruktuuria nyt rakentavien brändien kannattaa suunnitella vaihdettavat todentamis- ja eheyskerrokset, jotka ovat valmiita ottamaan EN 18239:n ja EN 18246:n käyttöön, kun ne on viimeistelty.

Miten tämä liittyy ESPR:n delegoitujen säädösten aikatauluun

ESPR-kehysasetus (EU 2024/1781) tuli voimaan 18. heinäkuuta 2024. Komission ESPR-työsuunnitelma (julkaistu huhtikuussa 2025) vahvistaa vaiheittain annettavat delegoidut säädökset, joissa määritellään tuoteryhmäkohtaiset vaatimukset. Tekstiilejä koskevaa delegoitua säädöstä odotetaan alustavasti vuonna 2027, ja vaatimuksia sovelletaan vähintään 18 kuukautta sen voimaantulon jälkeen — eli ei ennen vuoden 2028 puoliväliä.

Tässä kuvatut CEN-standardit ovat horisontaalisia — ne määrittelevät järjestelmän, eivät tekstiilikohtaisia tietokenttiä. Tekstiilien tietoskeema tulee ESPR:n delegoidusta säädöksestä sekä CIRPASS-2:n toimialakohtaisesta työstä, ja se liitetään EN 18223:n otsakkeeseen contentSpecificationIds-viittauksena.

Tällä erottelulla on merkitystä suunnittelussa. Brändi voi rakentaa EN 18216 / 18219 / 18220 / 18221 / 18222 / 18223 -standardien mukaan jo tänään — järjestelmäkerros on nyt kokonaan määritelty julkaistujen kuuden osalta. Tekstiilikenttien kerros lisätään päälle, kun delegoitu säädös julkaistaan, ilman että järjestelmää suunnitellaan uudelleen.

Mitä brändien kannattaa tehdä nyt

Brändeille, joilla on jo DPP-pilotteja käynnissä (QR-koodeilla ja Digital Link -URL-osoitteilla), käytännön lähiajan askeleet ovat:

  1. Auditoi resolverisi EN 18216:n kohtaa 5 vasten. Palauttaako sama URL-osoite JSON- tai JSON-LD-muotoa, kun sitä kutsutaan otsakkeella Accept: application/json? Jos ei, lisää sisällön neuvottelu. Tämä on yleensä listan pienin korjaus.
  2. Nosta granularity, dppSchemaVersion, dppStatus ja lastUpdated DPP:n otsakkeeseen. EN 18223:n kohdan 4.1.2.1 mukaan ne ovat pakollisia.
  3. Korvaa jokainen vapaatekstinen valmistajakenttä asianmukaisesti muotoillulla economicOperatorId-tunnisteella. EN 18219:n kohdan 6 mukaan sen on oltava LEI tai GS1 GCP tai vastaava. Vapaa teksti ei läpäise vaatimustenmukaisuuden arviointia.
  4. Suunnittele arkistointi EN 18221:tä varten. Jos DPP-taulusi tallentaa vain viimeisimmän tilan, lisää versiotaulu ja versiot huomioivat lukurajapinnat. Tämä on paljon helpompi lisätä ennen kuin tuotannossa on satojatuhansia DPP:itä.
  5. Suunnittele EN 18222:n kolme pakollista lukumenetelmää. Jos nykyinen API-rajapintasi on yleinen CRUD tietolähdemallin päällä, lisää sen eteen ohuet REST-aliakset, jotka tarjoavat ReadDPPById-, ReadDPPByProductId- ja ReadDPPIdsByProductIds-menetelmät standardoituina päätepisteinä.

Mistä standardit saa

CEN ei myy standardeja suoraan. Niitä jakelevat kansalliset standardointielimet. Yleisiä ostoreittejä EN 18216–18223 -sarjalle:

  • SIS (sis.se) — Ruotsin kansallinen standardointielin. Standardikohtainen osto tai SIS-tilaus. Hyödyllinen, jos haluat koko sarjan ruotsiksi (SS EN) ja englanniksi.
  • en-standard.eu — yksityinen verkkokauppa, PDF-lataus heti.
  • DIN (Saksa) / BSI (Iso-Britannia) — samat EN-standardit, englanninkieliset versiot joskus nopeammin.

Tyypillinen hinta on 50–200 € standardilta. Koko kuuden standardin sarja maksaa 300–1 000 € reitistä riippuen. Laajemman sarjan tilaa voi seurata osoitteessa standards.cencenelec.eu.

Yhteenveto

EN 18216-, 18219-, 18220-, 18221-, 18222- ja 18223-standardien julkaiseminen poistaa suurimman teknisen epäselvyyden, joka on leijunut DPP-työn yllä viimeiset kolme vuotta. Brändien ei enää tarvitse arvata, miltä vaatimusten mukainen DPP-järjestelmä näyttää — eritelmät ovat nyt velvoittavia ja ostettavissa, ja kun niiden viitetiedot on julkaistu virallisessa lehdessä, ne antavat vaatimustenmukaisuusolettaman ESPR:n 41 artiklan nojalla.

Aika tästä hetkestä ESPR:n tekstiilivaatimusten valvonnan alkuun (ei ennen vuoden 2028 puoliväliä) on oikea hetki auditoida olemassa olevat pilotit standardeja vasten, korjata puutteet sisällön neuvottelussa, otsakemääritteissä, arkistoinnin suunnittelussa ja standardoiduissa lukumenetelmissä sekä suunnitella vaihdettavat liitäntäkohdat EN 18239:lle ja EN 18246:lle, kun ne viimeistellään.

Näiden standardien mukaan nyt rakentavilla brändeillä on vaatimustenmukaisuusolettama valvonnan alkaessa. Niillä, jotka eivät rakenna, on erillinen perustelu esitettävänä jokaisessa vaatimustenmukaisuuden arvioinnissa.