Alle acht DPP-normen zijn gepubliceerd. Slechts zes zijn in het Publicatieblad bekendgemaakt.

In mei 2026 publiceerde CEN/CENELEC JTC 24 zes van de acht geharmoniseerde normen voor digitale productpaspoorten. We schreven er toen over en merkten op dat er nog twee ontbraken.

Die ontbreken niet meer. EN 18239 en EN 18246 zijn op 17 augustus 2026 door CEN goedgekeurd en op 16 september als SS-EN overgenomen. De reeks is compleet.

Dat is het deel waarover iedereen zal berichten. Het deel dat er meer toe doet, is dat de compleetheid van de reeks niet alle acht gelijkwaardig heeft gemaakt, en het verschil is geen formaliteit.

Zes zijn bekendgemaakt, twee niet

Uitvoeringsbesluit (EU) 2026/1736 van de Commissie maakt de referenties van zes normen bekend in het Publicatieblad:

EN 18239 (beheer van toegangsrechten, beveiliging van informatiesystemen en bedrijfsvertrouwelijkheid) en EN 18246 (authenticiteit, betrouwbaarheid en integriteit van gegevens) staan niet op die lijst.

De bekendmaking in het Publicatieblad is wat een geharmoniseerde norm rechtsgevolg geeft. Een geharmoniseerde norm waarvan de referentie is bekendgemaakt, geeft een vermoeden van conformiteit (artikel 41 van de ESPR): volgt u die norm, dan wordt u geacht aan het bijbehorende wettelijke vereiste te voldoen, tenzij iemand het tegendeel bewijst. Een norm die niet is bekendgemaakt, geeft zo’n vermoeden niet, hoe recent die ook is gepubliceerd en hoe goed die ook is.

De twee nieuwste normen hebben dus een eigenaardige positie. Ze zijn echt, ze zijn te koop, ze geven het weloverwogen standpunt weer van het comité dat ook de andere zes schreef — en ze volgen is een keuze, geen verweer. U kunt niet naar EN 18246 wijzen en zeggen dat u geacht wordt te voldoen. Niemand anders kan dat, en dat is goed om te weten wanneer een concurrent geharmoniseerde conformiteit met "alle acht" claimt.

Beide zullen hoogstwaarschijnlijk worden bekendgemaakt bij een latere wijziging van het uitvoeringsbesluit. Tot die tijd is de eerlijke formulering "wij volgen de norm", niet "wij voldoen aan de norm".

Nu we toch aan het corrigeren zijn: er bestaat geen EN 18217

De reeks wordt bijna overal geschreven als EN 18216–18223, ook door mensen die beter zouden moeten weten. Het is geen aaneengesloten reeks.

Er bestaat geen EN 18217 en geen EN 18218. De acht zijn 18216, 18219, 18220, 18221, 18222, 18223, 18239 en 18246. Wie de reeks als 18216–18223 schrijft, verzint twee normen die niet bestaan en laat de twee weg die het laatst zijn gepubliceerd.

Als u deze normen aanhaalt in een specificatie, een antwoord op een aanbesteding of een vragenlijst voor leveranciers, haal ze dan aan met nummer en punt. Een reeks is in beide richtingen fout.

Wat er van buitenaf echt te controleren valt

Onze validator volgt de gepubliceerde reeks. Hij voert tien controles uit over zeven van de acht normen, tegen elke paspoort-URL, zonder medewerking van de uitgever en zonder account.

Zeven, niet acht. EN 18239 gaat over toegangscontrole, beveiliging en vertrouwelijkheid, en vrijwel niets daarin kan worden beantwoord door een buitenstaander die één verzoek doet. Wij implementeren de norm — toegang op rijniveau per tenant, kortlevende tokens in plaats van gedeelde sleutels, rate limiting in de resolver geschreven op basis van §5.2 punt 11 — maar een norm implementeren en die van buitenaf toetsen zijn twee verschillende dingen, en een controle die niet kan falen, is geen controle.

Dezelfde terughoudendheid geldt binnen EN 18246. De zwaarste vereisten daarvan gaan over het bewijs dat een paspoort en zijn gegevensdrager echt zijn, en daarvoor is cryptografische ondertekening nodig. Er wordt nog niets ondertekend — niet bij ons, niet bij wie dan ook — en een controle die geen enkel paspoort ter wereld kan doorstaan, leert de lezer niets. Drie punten ervan kunnen van buitenaf worden beantwoord. Dat zijn de drie die wij uitvoeren.

De controle waarop de meeste paspoorten zullen zakken

Van die drie zal er één mensen verrassen.

EN 18246 §5.1.2 verbiedt het verzamelen van persoonlijke informatie van natuurlijke personen die openbare paspoortgegevens lezen. §5.1.5 vereist dat profilering wordt voorkomen. Samen gelezen beschrijven ze precies wat een analytics-tag doet: een identificatiecode bij een lezer plaatsen, die over pagina’s heen volgen en naar een derde sturen.

Een digitaal productpaspoort dat Google Analytics, Meta Pixel, Hotjar, Clarity of Segment laadt, verzamelt persoonlijke informatie van iemand die alleen een QR-code op een trui heeft gescand. De validator zoekt naar de host van de tracker in de pagina die een consument werkelijk ontvangt, niet naar een bestandsnaam van een script, omdat elk van deze tools onder een half dozijn namen wordt geleverd.

Deze controle uitbrengen is ongemakkelijk, dus het is goed om duidelijk te zijn over onze eigen positie: onze resolver voegt een GA4-tag in wanneer een tenant een measurement-ID instelt. De functie bestaat, en elke tenant die er een instelt, zakt in onze eigen validator, op onze eigen pagina’s, voor deze controle. Dat is de enige soort controle die het schrijven waard is. Een controle die de auteur vrijstelt, is marketing.

Als u analytics op uw paspoortpagina’s gebruikt, is de vraag die u aan uw juridische team moet voorleggen niet of de tracking met toestemming gebeurt — maar of §5.1.2 die op het openbare deel van een paspoort überhaupt toestaat.

De beperking in EN 18239 die het lastig maakt

EN 18239 §5.2 punt 11 vereist dat de toegang tot DPP-diensten "zodanig wordt beperkt dat aanvallen of ongeoorloofd massaal scrapen van gegevens worden voorkomen".

De voor de hand liggende implementaties worden allemaal uitgesloten door andere punten in hetzelfde paar normen:

• Een API-sleutel of login? EN 18246 §4.3 bepaalt dat openbare gegevens zonder authenticatie worden aangeboden. EN 18239 §5.2(2) zegt hetzelfde en noemt het vermijden van discriminatie op grond van geografische locatie als reden.
• Blokkeren per land? EN 18239 §5.2(3) bepaalt dat toegang niet mag worden geweigerd uitsluitend op grond van de locatie of jurisdictie van de actor.
• Een CAPTCHA-muur? Hetzelfde probleem, en die zakt voor §5.4.2 over leesbaarheid op elk consumentenapparaat.
• IP-adressen loggen om misbruikers te herkennen? Een IP-adres is een persoonsgegeven, en §5.1.2 verbiedt het verzamelen van persoonlijke informatie van lezers van openbare gegevens.
• Bots blokkeren? EN 18246 §5.1.8 zegt dat robuuste mechanismen tegen scraping zouden moeten worden geïmplementeerd, en in één adem dat het systeem nuttige zoekmachines DPP-gegevens mag laten indexeren. Een limiter die Googlebot blokkeert, is niet veiliger, maar fout.

Wat overblijft is smal: afremmen op basis van een gesalte hash van het adres, die in het geheugen wordt bewaard voor de duur van één tijdvenster en nergens wordt weggeschreven. Wat de minuut overleeft, is een telling, en een telling gaat niet over een persoon.

Dat is een echte technische beperking, en het soort ding dat pas zichtbaar wordt wanneer de normen samen worden gelezen in plaats van één voor één.

Wat u hiermee doet

1. Schrijf de reeks niet meer. EN 18216–18223 verzint twee normen en laat er twee weg. Haal ze aan met nummer en punt.
2. Maak in uw eigen claims onderscheid tussen "gepubliceerd" en "in het Publicatieblad bekendgemaakt". Zes geven een vermoeden van conformiteit. Twee nog niet. Wie geharmoniseerde conformiteit met alle acht claimt, claimt iets wat op dit moment niet bestaat.
3. Kijk wat uw paspoortpagina’s laden. Als er een analytics-tag op het openbare deel staat, is EN 18246 §5.1.2 een gesprek dat u moet voeren voordat iemand anders het begint.
4. Koop de normen. Ze zijn verkrijgbaar bij SIS en en-standard.eu. Zes ervan bepalen of uw implementatie geacht wordt te voldoen, en geen van de samenvattingen die de ronde doen — deze inbegrepen — vervangt de tekst.

U kunt de bovenstaande controles uitvoeren tegen elke paspoort-URL op dppagent.com/validate, ook voor paspoorten die niet van ons zijn. Het rapport geeft resultaten per norm en per punt, en vermeldt welke bevindingen gedeeltelijk zijn en waarom.

Bronnen

Primaire bronnen voor dit artikel:

• Uitvoeringsbesluit (EU) 2026/1736 van de Commissie — bekendmaking van de referenties van geharmoniseerde normen voor digitale productpaspoorten in het Publicatieblad
• EN 18216 (protocollen voor gegevensuitwisseling), EN 18219 (unieke identificatiecodes), EN 18220 (gegevensdragers), EN 18221 (gegevensopslag, archivering en persistentie), EN 18222 (API’s voor het levenscyclusbeheer van productpaspoorten en de doorzoekbaarheid), EN 18223 (systeeminteroperabiliteit) — CEN/CENELEC JTC 24, gepubliceerd in mei 2026
• EN 18239 (beheer van toegangsrechten, beveiliging van informatiesystemen en bedrijfsvertrouwelijkheid) en EN 18246 (authenticiteit, betrouwbaarheid en integriteit van gegevens) — door CEN goedgekeurd op 17 augustus 2026, als SS-EN overgenomen op 16 september 2026
• Verordening (EU) 2024/1781 (ESPR), artikelen 4, 9 en 10 — EUR-Lex

De verwijzingen naar punten in dit artikel betreffen de gelicentieerde SS-EN-uitgaven van 2026. Normen zijn auteursrechtelijk beschermde documenten en kunnen hier niet worden overgenomen; de puntnummers worden vermeld zodat de tekst aan de originelen kan worden getoetst.