CIRPASS e CEN/CENELEC: le norme DPP spiegate

Dietro ogni passaporto digitale di prodotto c'è un insieme di norme tecniche che definiscono come i dati sono strutturati, condivisi e verificati. Due nomi ricorrono continuamente nelle discussioni sul DPP: CIRPASS e CEN/CENELEC. Capire cosa sono e cosa hanno prodotto è essenziale per chiunque implementi la conformità DPP.

Che cos'è CIRPASS?

CIRPASS (Collaborative Initiative for a Standards-based Digital Product Passport for Stakeholder-Specific Sharing of Product Data for a Circular Economy) è stato un progetto finanziato dall'UE, attivo da ottobre 2022 a marzo 2024. La sua missione: sviluppare le basi tecniche per attuare i passaporti digitali di prodotto su larga scala in tutta Europa.

CIRPASS ha riunito circa 30 partner e partner associati (associazioni di settore, aziende tecnologiche, organismi di normazione e istituti di ricerca) per rispondere alle domande pratiche che il regolamento ESPR aveva lasciato alle specifiche tecniche:

Quale formato di dati dovrebbero usare i DPP?
Come dovrebbero scambiarsi i dati DPP sistemi diversi?
Che aspetto ha l'interoperabilità tra settori e paesi?
Come dovrebbe funzionare il controllo degli accessi per i diversi tipi di soggetti interessati?

I risultati di CIRPASS

Il progetto ha prodotto diversi risultati chiave:

DPP Architecture Blueprint — Un'architettura di riferimento che definisce come dovrebbero funzionare i sistemi DPP, compresi modelli di dati, specifiche API e modalità di interazione tra le piattaforme DPP, il registro UE e gli utenti finali.

Roadmap settoriali — Roadmap per prototipi in tre catene del valore: batterie, tessili ed elettronica. Sperimentarli è il compito del progetto successivo, CIRPASS-2.

Quadro di interoperabilità — Specifiche su come i DPP di piattaforme e settori diversi possano funzionare insieme. È un aspetto fondamentale: un impianto di riciclaggio non dovrebbe aver bisogno di uno strumento diverso per il passaporto di ogni brand.

Strumenti open source — CIRPASS-2 (il progetto successivo) ha pubblicato strumenti open source, tra cui:

Un DPP Validator per verificare la conformità dei passaporti
Un Mock EU Registry per testare i flussi di registrazione

Sono disponibili su github.com/CIRPASS-2 e sono preziosi per le aziende che costruiscono o validano le proprie implementazioni DPP.

CIRPASS-2

Il progetto successivo, CIRPASS-2, è attualmente attivo e si concentra su:

Affinare le norme sulla base dei riscontri dei progetti pilota reali
Sostenere lo sviluppo degli atti delegati da parte della Commissione europea
Costruire la Community of Practice (CoP) per i soggetti interessati al DPP
Preparare l'avvio del registro UE dei DPP (19 luglio 2026; aggiornamento: operativo dal 20 luglio 2026)

Che cos'è CEN/CENELEC?

Il CEN (Comitato europeo di normazione) e il CENELEC (Comitato europeo di normazione elettrotecnica) sono le organizzazioni europee ufficiali di normazione. Quando l'UE ha bisogno di norme tecniche a supporto di un regolamento, è in CEN/CENELEC che vengono elaborate.

Per l'ESPR e i passaporti digitali di prodotto, la Commissione europea ha rivolto a CEN, CENELEC ed ETSI una richiesta di normazione (luglio 2024) per elaborare norme armonizzate che coprano i requisiti tecnici per l'attuazione del DPP.

Le 8 norme DPP CEN/CENELEC

Sei sono state pubblicate a maggio 2026 e le ultime due a settembre 2026. Insieme costituiscono il regolamento tecnico per l'attuazione del DPP. Attenzione: i numeri non formano un intervallo continuo, non esistono EN 18217 né EN 18218:

1. EN 18216 — Protocolli di scambio dei dati

Specifica come i dati DPP vengono richiesti e trasmessi tra sistemi: trasporto sicuro via HTTPS, JSON come formato di base comune e negoziazione dei contenuti, così che lo stesso indirizzo possa servire una pagina web o dati leggibili da dispositivo. Senza questa norma, ogni piattaforma DPP parlerebbe una lingua propria.

2. EN 18219 — Identificativi univoci

Definisce come vengono identificati prodotti, operatori economici e siti. Riconosce cinque schemi di identificativi di prodotto: GS1 Digital Link e altri percorsi strutturati abilitati al web, l'Identification Link (EN IEC 61406), gli identificativi decentralizzati (DID), gli identificativi ISO/IEC 15459 usati nell'RFID e il Digital Object Identifier (DOI).

3. EN 18220 — Supporti dati

Definisce i mezzi fisici o visivi (codici QR, codici Data Matrix, tag RFID e NFC) con cui l'identificativo di un prodotto raggiunge un telefono o un lettore, compresi durabilità e posizionamento.

4. EN 18221 — Archiviazione, conservazione e persistenza dei dati

Stabilisce i requisiti per mantenere disponibili i passaporti e la loro cronologia delle versioni per il periodo richiesto, comprese le copie di riserva detenute da un fornitore di servizi di passaporto digitale di prodotto.

5. EN 18222 — API per la gestione del ciclo di vita e la ricercabilità dei passaporti

Specifica l'interfaccia che un sistema DPP espone per creare, leggere, aggiornare e cercare i passaporti, così che uno strumento costruito per un sistema possa interrogarne un altro.

6. EN 18223 — Interoperabilità dei sistemi

Definisce la struttura comune di un passaporto, come l'intestazione che dichiara granularità, versione dello schema e stato, così che sistemi DPP diversi possano scambiarsi e interpretare i passaporti gli uni degli altri.

7. EN 18239 — Gestione dei diritti di accesso, sicurezza dei sistemi informativi e riservatezza commerciale

Definisce come i diversi soggetti accedono ai dati DPP. I consumatori vedono un insieme di informazioni, i partner commerciali un altro, e le autorità ciò a cui hanno diritto. Poiché i DPP possono contenere informazioni commercialmente sensibili, la sicurezza non è facoltativa.

8. EN 18246 — Autenticazione, affidabilità e integrità dei dati

Stabilisce i requisiti per dimostrare che i dati del passaporto sono autentici e inalterati, e per proteggere le persone che leggono i dati pubblici del passaporto.

Come le norme diventano obbligatorie

Una fonte comune di confusione: le norme CEN/CENELEC sono volontarie per definizione. Diventano di fatto obbligatorie attraverso il meccanismo di «presunzione di conformità» dell'ESPR:

L'ESPR stabilisce dei requisiti (ad esempio «i DPP devono essere interoperabili»)
CEN/CENELEC elabora norme armonizzate che definiscono come soddisfare tali requisiti
Se seguite una norma armonizzata il cui riferimento è citato nella Gazzetta ufficiale, si presume che siate conformi ai requisiti che essa copre (articolo 41 dell'ESPR)
Se non seguite la norma, dovete dimostrare la conformità con altri mezzi, il che è molto più difficile e costoso

In pratica, ciò significa che le norme CEN/CENELEC sono obbligatorie di fatto. Costruire un sistema DPP che le ignori è tecnicamente legale, ma poco saggio nella pratica.

Cosa significano le norme per la vostra implementazione

Se state scegliendo una piattaforma DPP

Chiedete al vostro fornitore di piattaforma:

Siete conformi alle norme DPP CEN/CENELEC?
Come gestite la norma sul modello di dati e sugli schemi?
La vostra interfaccia con il registro UE è pronta per l'avvio di luglio 2026?
Come implementate il controllo degli accessi secondo la norma sull'autenticazione?

Una piattaforma costruita prima che le norme fossero definitive potrebbe richiedere aggiornamenti significativi. Piattaforme come DPP Agent, costruite in parallelo al processo di normazione, sono progettate per la conformità fin dalle fondamenta.

Se state sviluppando su misura

Le norme sono il vostro progetto. Non progettate il vostro modello di dati o la struttura delle API in modo indipendente: allineatevi alle specifiche CEN/CENELEC. Risparmierete tempo di sviluppo e farete in modo che il vostro sistema possa interoperare con l'ecosistema DPP più ampio.

Se siete un fornitore

I vostri clienti vi chiederanno di fornire dati nei formati definiti da queste norme. Comprendere la norma sul modello di dati vi aiuta a preparare dati strutturati che confluiscano senza intoppi nei sistemi DPP dei vostri clienti.

La metodologia DPP del JRC

Accanto alle norme CEN/CENELEC, il Centro comune di ricerca (JRC) della Commissione europea ha pubblicato la propria metodologia DPP nel marzo 2026. Questa metodologia integra le norme definendo:

Tre livelli di priorità per i dati: essenziali, fortemente raccomandati e volontari
Un metodo passo passo: come scegliere, per un gruppo di prodotti, quali dati debba contenere un passaporto e perché

La metodologia del JRC è una relazione tecnica, non una norma né un testo giuridico, ma mostra come verranno probabilmente scelti i requisiti di dati nei futuri atti delegati.

Il ruolo di GS1

GS1, l'organizzazione globale di standard dietro i codici a barre e i GTIN, svolge un ruolo specifico ma cruciale nell'ecosistema DPP:

GS1 Digital Link è uno degli schemi di identificativi riconosciuti da EN 18219, e il più usato per i prodotti di consumo
Il GTIN è l'identificativo di prodotto incorporato in un GS1 Digital Link
L'infrastruttura di resolver GS1 supporta la risoluzione tecnica degli URL dei DPP

Se scegliete la strada di GS1 e non avete ancora i GTIN per i vostri prodotti, ottenerli dall'organizzazione GS1 del vostro paese è il primo passo. Approfondite nella nostra guida a GS1 Digital Link.

Norme ancora in fase di sviluppo

Con tutte e otto le norme pubblicate, il lavoro prosegue su:

Estensioni settoriali — Campi di dati aggiuntivi per batterie, tessili, elettronica
Allineamento internazionale — Coordinamento con l'ISO e altri organismi internazionali di normazione
Specifiche operative del registro — Procedure dettagliate per il registro UE dei DPP
Test e certificazione — Come le piattaforme DPP possono essere certificate per la conformità alle norme

Implicazioni pratiche

L'interoperabilità è reale

Le norme garantiscono che un DPP creato sulla piattaforma A possa essere letto dalla piattaforma B, verificato dal registro UE e consultato da qualsiasi soggetto autorizzato. Non è teoria: i progetti pilota di CIRPASS hanno dimostrato nella pratica l'interoperabilità tra piattaforme.

Nessun vincolo proprietario

Poiché formati di dati e API sono standardizzati, le aziende non sono vincolate a un'unica piattaforma DPP. Potete cambiare fornitore senza perdere i dati dei vostri passaporti né rendere inservibili i vostri codici QR. È voluto.

La conformità è dimostrabile

Seguire le norme vi dà un argomento di conformità chiaro. Quando un'autorità di vigilanza del mercato chiede «come sapete che i vostri DPP sono conformi?», la risposta è semplice: «Seguiamo le norme armonizzate CEN/CENELEC».

Prossimi passi

Capire le norme è importante. Ciò che conta è applicarle.

Iniziate con una valutazione della preparazione su dppagent.com per capire quali norme si applicano ai vostri prodotti e quanto sono pronti i vostri sistemi attuali. Poi usate DPP Agent per implementare DPP conformi su un'infrastruttura costruita secondo le specifiche CEN/CENELEC. Realizzato con Blippa, che aiuta le imprese europee a orientarsi tra le norme DPP fin dal primo giorno.