CIRPASS ja CEN/CENELEC: DPP-standardit selitettyinä

Jokaisen digitaalisen tuotepassin takana on joukko teknisiä standardeja, jotka määrittelevät, miten tiedot jäsennetään, jaetaan ja todennetaan. Kaksi nimeä toistuu DPP-keskusteluissa: CIRPASS ja CEN/CENELEC. Sen ymmärtäminen, mitä ne ovat ja mitä ne ovat tuottaneet, on välttämätöntä kaikille, jotka toteuttavat DPP-vaatimuksia.

Mikä CIRPASS on?

CIRPASS (Collaborative Initiative for a Standards-based Digital Product Passport for Stakeholder-Specific Sharing of Product Data for a Circular Economy) oli EU:n rahoittama hanke, joka kesti lokakuusta 2022 maaliskuuhun 2024. Sen tehtävä: kehittää tekninen perusta digitaalisten tuotepassien laajamittaiselle käyttöönotolle kaikkialla Euroopassa.

CIRPASS kokosi yhteen noin 30 kumppania ja liitännäiskumppania — toimialajärjestöjä, teknologiayrityksiä, standardointielimiä ja tutkimuslaitoksia — vastaamaan niihin käytännön kysymyksiin, jotka ESPR-asetus jätti teknisten eritelmien varaan:

  • Mitä tietomuotoa DPP:iden pitäisi käyttää?
  • Miten eri järjestelmien pitäisi vaihtaa DPP-tietoja?
  • Miltä yhteentoimivuus näyttää toimialojen ja rajojen yli?
  • Miten pääsynhallinnan pitäisi toimia eri sidosryhmätyypeille?

CIRPASSin tuotokset

Hanke tuotti useita keskeisiä tuotoksia:

DPP-arkkitehtuurin suunnitelma — Viitearkkitehtuuri, joka määrittelee, miten DPP-järjestelmien pitäisi toimia, mukaan lukien tietomallit, API-eritelmät ja vuorovaikutusmallit DPP-alustojen, EU:n rekisterin ja loppukäyttäjien välillä.

Toimialakohtaiset tiekartat — Tiekartat prototyypeille kolmessa arvoketjussa: akut, tekstiilit ja elektroniikka. Niiden pilotointi on jatkohankkeen, CIRPASS-2:n, tehtävä.

Yhteentoimivuuskehys — Eritelmät siitä, miten eri alustojen ja toimialojen DPP:t voivat toimia yhdessä. Tämä on ratkaisevaa — kierrätyslaitoksen ei pitäisi tarvita eri työkalua jokaisen brändin passia varten.

Avoimen lähdekoodin työkalut — CIRPASS-2 (jatkohanke) on julkaissut avoimen lähdekoodin työkaluja, muun muassa:

  • DPP-validaattorin passien vaatimustenmukaisuuden tarkistamiseen
  • EU:n rekisterin jäljitelmän (Mock EU Registry) rekisteröintityönkulkujen testaamiseen

Ne ovat saatavilla osoitteessa github.com/CIRPASS-2, ja ne ovat arvokkaita yrityksille, jotka rakentavat tai validoivat DPP-toteutuksiaan.

CIRPASS-2

Jatkohanke CIRPASS-2 on parhaillaan käynnissä, ja se keskittyy:

  • Standardien hiomiseen todellisista piloteista saadun palautteen perusteella
  • Euroopan komission delegoitujen säädösten valmistelun tukemiseen
  • DPP-sidosryhmien käytäntöyhteisön (Community of Practice, CoP) rakentamiseen
  • Valmistautumiseen EU:n DPP-rekisterin käynnistymiseen (19. heinäkuuta 2026; päivitys: käytössä 20. heinäkuuta 2026 alkaen)

Mikä CEN/CENELEC on?

CEN (Euroopan standardointikomitea) ja CENELEC (Euroopan sähköalan standardointikomitea) ovat virallisia eurooppalaisia standardointijärjestöjä. Kun EU tarvitsee teknisiä standardeja säädöksen tueksi, ne laaditaan CEN/CENELECissä.

ESPR:ää ja digitaalisia tuotepasseja varten Euroopan komissio antoi CEN:lle, CENELECille ja ETSIlle standardointipyynnön (heinäkuu 2024) laatia yhdenmukaistetut standardit, jotka kattavat DPP:n toteuttamisen tekniset vaatimukset.

8 CEN/CENELECin DPP-standardia

Kuusi julkaistiin toukokuussa 2026 ja kaksi viimeistä syyskuussa 2026. Yhdessä ne muodostavat DPP:n toteuttamisen teknisen sääntökirjan. Huomaa, että numerot eivät muodosta yhtenäistä jaksoa — EN 18217:ää tai EN 18218:aa ei ole:

1. EN 18216 — Tiedonvaihtoprotokollat

Määrittelee, miten DPP-tietoja pyydetään ja siirretään järjestelmien välillä: suojattu HTTPS-siirto, JSON yhteisenä perusmuotona ja sisällön neuvottelu, jotta sama osoite voi tarjoilla verkkosivun tai koneellisesti luettavaa dataa. Ilman tätä standardia jokainen DPP-alusta puhuisi omaa kieltään.

2. EN 18219 — Yksilölliset tunnisteet

Määrittelee, miten tuotteet, talouden toimijat ja laitokset tunnistetaan. Se tunnustaa viisi tuotetunnistejärjestelmää — GS1 Digital Link ja muut verkkokäyttöiset jäsennellyt polut, tunnistelinkki (Identification Link, EN IEC 61406), hajautetut tunnisteet (DID), RFID:ssä käytettävät ISO/IEC 15459 -tunnisteet sekä Digital Object Identifier (DOI).

3. EN 18220 — Tietovälineet

Määrittelee fyysiset tai visuaaliset keinot — QR-koodit, Data Matrix -koodit, RFID- ja NFC-tunnisteet — joilla tuotteen tunniste välittyy puhelimeen tai lukijaan, mukaan lukien kestävyys ja sijoittelu.

4. EN 18221 — Tietojen tallennus, arkistointi ja pysyvyys

Asettaa vaatimukset passien ja niiden versiohistorian pitämiselle saatavilla vaaditun ajan, mukaan lukien tuotepassipalvelun tarjoajan säilyttämät varmuuskopiot.

5. EN 18222 — API-rajapinnat passin elinkaaren hallintaan ja haettavuuteen

Määrittelee rajapinnan, jonka DPP-järjestelmä tarjoaa passien luomiseen, lukemiseen, päivittämiseen ja hakemiseen, jotta yhtä järjestelmää vasten rakennettu työkalu voi tehdä kyselyjä toiseen.

6. EN 18223 — Järjestelmien yhteentoimivuus

Määrittelee passin yhteisen rakenteen — kuten otsakkeen, joka ilmoittaa tarkkuustason, skeemaversion ja tilan — jotta eri DPP-järjestelmät voivat vaihtaa ja tulkita toistensa passeja.

7. EN 18239 — Käyttöoikeuksien hallinta, tietojärjestelmien tietoturva ja liikesalaisuuksien luottamuksellisuus

Määrittelee, miten eri sidosryhmät saavat pääsyn DPP-tietoihin. Kuluttajat näkevät yhdet tiedot, liikekumppanit toiset ja viranomaiset sen, mihin niillä on oikeus. Koska DPP:t voivat sisältää kaupallisesti arkaluonteisia tietoja, tietoturva ei ole valinnainen.

8. EN 18246 — Tietojen todentaminen, luotettavuus ja eheys

Asettaa vaatimukset sen osoittamiselle, että passin tiedot ovat aitoja ja muuttamattomia, sekä julkisia passitietoja lukevien ihmisten suojaamiselle.

Miten standardeista tulee pakollisia

Yleinen sekaannuksen aihe: CEN/CENELEC-standardit ovat lähtökohtaisesti vapaaehtoisia. Niistä tulee käytännössä pakollisia ESPR:n ”vaatimustenmukaisuusolettaman” mekanismin kautta:

  1. ESPR asettaa vaatimukset (esim. ”DPP:iden on oltava yhteentoimivia”)
  2. CEN/CENELEC laatii yhdenmukaistetut standardit, jotka määrittelevät, miten nämä vaatimukset täytetään
  3. Jos noudatat yhdenmukaistettua standardia, jonka viitetiedot on julkaistu virallisessa lehdessä, sinun oletetaan täyttävän sen kattamat vaatimukset (ESPR:n 41 artikla)
  4. Jos et noudata standardia, sinun on osoitettava vaatimustenmukaisuus muilla keinoin — mikä on huomattavasti vaikeampaa ja kalliimpaa

Käytännössä tämä tarkoittaa, että CEN/CENELEC-standardit ovat tosiasiallisesti pakollisia. Niitä huomiotta jättävän DPP-järjestelmän rakentaminen on teknisesti laillista, mutta käytännössä epäviisasta.

Mitä standardit tarkoittavat toteutuksellesi

Jos valitset DPP-alustaa

Kysy alustasi toimittajalta:

  • Noudatatteko CEN/CENELECin DPP-standardeja?
  • Miten käsittelette tietomalli- ja skeemastandardia?
  • Onko EU:n rekisterirajapintanne valmis heinäkuun 2026 käynnistykseen?
  • Miten toteutatte pääsynhallinnan todentamisstandardin mukaisesti?

Ennen standardien viimeistelyä rakennettu alusta voi vaatia merkittäviä päivityksiä. Standardointiprosessin rinnalla rakennetut alustat, kuten DPP Agent, on suunniteltu vaatimustenmukaisiksi alusta alkaen.

Jos rakennat oman ratkaisun

Standardit ovat suunnitelmasi. Älä suunnittele tietomalliasi tai API-rakennettasi itsenäisesti — sovita ne CEN/CENELECin eritelmiin. Tämä säästää kehitysaikaa ja varmistaa, että järjestelmäsi toimii yhteen laajemman DPP-ekosysteemin kanssa.

Jos olet toimittaja

Asiakkaasi pyytävät sinua toimittamaan tietoja näiden standardien määrittelemissä muodoissa. Tietomallistandardin ymmärtäminen auttaa sinua valmistelemaan jäsenneltyjä tietoja, jotka siirtyvät sujuvasti asiakkaidesi DPP-järjestelmiin.

JRC:n DPP-menetelmä

CEN/CENELEC-standardien rinnalla Euroopan komission yhteinen tutkimuskeskus (JRC) julkaisi DPP-menetelmänsä maaliskuussa 2026. Menetelmä täydentää standardeja määrittelemällä:

  • Kolme tietojen prioriteettitasoa — välttämättömät, vahvasti suositellut ja vapaaehtoiset
  • Vaiheittaisen menetelmän — miten tuoteryhmälle valitaan, mitä tietoja passissa pitäisi olla ja miksi

JRC:n menetelmä on tekninen raportti, ei standardi eikä säädösteksti, mutta se näyttää, miten tulevien delegoitujen säädösten tietovaatimukset todennäköisesti valitaan.

GS1:n rooli

GS1, viivakoodien ja GTIN-koodien taustalla oleva maailmanlaajuinen standardointijärjestö, on DPP-ekosysteemissä erityisessä mutta ratkaisevassa roolissa:

  • GS1 Digital Link on yksi EN 18219:n tunnustamista tunnistejärjestelmistä ja kulutustuotteissa yleisimmin käytetty
  • GTIN on GS1 Digital Linkiin upotettu tuotetunniste
  • GS1:n resolveri-infrastruktuuri tukee DPP-URL-osoitteiden teknistä resolvointia

Jos valitset GS1-reitin eikä tuotteillasi vielä ole GTIN-koodeja, niiden hankkiminen kansalliselta GS1-jäsenorganisaatioltasi on ensimmäinen askel. Lue lisää GS1 Digital Link -oppaastamme.

Yhä kehitteillä olevat standardit

Kun kaikki kahdeksan standardia on julkaistu, työ jatkuu seuraavien parissa:

  • Toimialakohtaiset laajennukset — Lisätietokentät akuille, tekstiileille ja elektroniikalle
  • Kansainvälinen yhdenmukaistaminen — Koordinointi ISO:n ja muiden kansainvälisten standardointielinten kanssa
  • Rekisterin toiminnalliset eritelmät — EU:n DPP-rekisterin yksityiskohtaiset menettelyt
  • Testaus ja sertifiointi — Miten DPP-alustat voidaan sertifioida standardien mukaisiksi

Käytännön vaikutukset

Yhteentoimivuus on todellista

Standardit varmistavat, että alustalla A luotu DPP voidaan lukea alustalla B, todentaa EU:n rekisterissä ja avata kenen tahansa valtuutetun sidosryhmän toimesta. Tämä ei ole teoreettista — CIRPASSin pilotit osoittivat alustojen välisen yhteentoimivuuden käytännössä.

Ei toimittajalukkoa

Koska tietomuodot ja API-rajapinnat on standardoitu, yritykset eivät ole sidottuja yhteen DPP-alustaan. Voit vaihtaa palveluntarjoajaa menettämättä passitietojasi tai rikkomatta QR-koodejasi. Tämä on tarkoituksellista.

Vaatimustenmukaisuus on osoitettavissa

Standardien noudattaminen antaa sinulle selkeän perustelun vaatimustenmukaisuudesta. Kun markkinavalvontaviranomainen kysyy: ”Mistä tiedätte, että DPP:nne ovat vaatimusten mukaisia?”, vastaus on suoraviivainen: ”Noudatamme CEN/CENELECin yhdenmukaistettuja standardeja.”

Seuraavat askeleet

Standardien ymmärtäminen on tärkeää. Niiden toteuttaminen on se, millä on merkitystä.

Aloita valmiusarviosta osoitteessa dppagent.com ymmärtääksesi, mitkä standardit koskevat tuotteitasi ja kuinka valmiita nykyiset järjestelmäsi ovat. Käytä sitten DPP Agentia vaatimusten mukaisten DPP:iden toteuttamiseen infrastruktuurilla, joka on rakennettu CEN/CENELECin eritelmien mukaan. Taustalla Blippa — auttaa eurooppalaisia yrityksiä DPP-standardien kanssa ensimmäisestä päivästä alkaen.