CIRPASS en CEN/CENELEC: de DPP-normen uitgelegd

Achter elk digitaal productpaspoort staat een reeks technische normen die bepalen hoe gegevens worden gestructureerd, gedeeld en geverifieerd. In discussies over DPP’s duiken steeds twee namen op: CIRPASS en CEN/CENELEC. Wie DPP-compliance implementeert, moet weten wat ze zijn en wat ze hebben opgeleverd.

Wat is CIRPASS?

CIRPASS (Collaborative Initiative for a Standards-based Digital Product Passport for Stakeholder-Specific Sharing of Product Data for a Circular Economy) was een door de EU gefinancierd project dat liep van oktober 2022 tot maart 2024. De opdracht: de technische basis leggen om digitale productpaspoorten op grote schaal in heel Europa in te voeren.

CIRPASS bracht ongeveer 30 partners en geassocieerde partners samen — brancheorganisaties, technologiebedrijven, normalisatie-instellingen en onderzoeksinstellingen — om de praktische vragen te beantwoorden die de ESPR aan technische specificaties overliet:

Welk gegevensformaat moeten DPP’s gebruiken?
Hoe moeten verschillende systemen DPP-gegevens uitwisselen?
Hoe ziet interoperabiliteit eruit over sectoren en grenzen heen?
Hoe moet toegangscontrole werken voor verschillende soorten belanghebbenden?

Resultaten van CIRPASS

Het project leverde verschillende belangrijke resultaten op:

Blauwdruk voor de DPP-architectuur — Een referentiearchitectuur die bepaalt hoe DPP-systemen moeten werken, met gegevensmodellen, API-specificaties en interactiepatronen tussen DPP-platforms, het EU-register en eindgebruikers.

Sectorroutekaarten — Routekaarten voor prototypes in drie waardeketens: batterijen, textiel en elektronica. Die testen in pilots is de taak van het vervolgproject, CIRPASS-2.

Interoperabiliteitskader — Specificaties voor hoe DPP’s van verschillende platforms en sectoren kunnen samenwerken. Dat is cruciaal — een recyclingbedrijf zou niet voor het paspoort van elk merk een ander hulpmiddel nodig moeten hebben.

Opensourcetools — CIRPASS-2 (het vervolgproject) heeft opensourcetools gepubliceerd, waaronder:

Een DPP-validator om te controleren of paspoorten conform zijn
Een gesimuleerd EU-register (Mock EU Registry) om registratieprocessen te testen

Ze zijn beschikbaar op github.com/CIRPASS-2 en zijn waardevol voor bedrijven die hun DPP-implementatie bouwen of valideren.

CIRPASS-2

Het vervolgproject, CIRPASS-2, loopt momenteel en richt zich op:

Het verfijnen van normen op basis van feedback uit pilots in de praktijk
Het ondersteunen van de Europese Commissie bij de ontwikkeling van gedelegeerde handelingen
Het opbouwen van de Community of Practice (CoP) voor belanghebbenden bij DPP’s
De voorbereiding op de start van het EU-register voor DPP’s (19 juli 2026; update: live sinds 20 juli 2026)

Wat is CEN/CENELEC?

CEN (Europees Comité voor normalisatie) en CENELEC (Europees Comité voor elektrotechnische normalisatie) zijn de officiële Europese normalisatieorganisaties. Wanneer de EU technische normen nodig heeft ter ondersteuning van een verordening, worden die bij CEN/CENELEC ontwikkeld.

Voor de ESPR en digitale productpaspoorten heeft de Europese Commissie (in juli 2024) een normalisatieverzoek gericht aan CEN, CENELEC en ETSI om geharmoniseerde normen te ontwikkelen voor de technische vereisten van de invoering van DPP’s.

De 8 DPP-normen van CEN/CENELEC

Zes zijn in mei 2026 gepubliceerd en de laatste twee in september 2026. Samen vormen ze het technische regelboek voor de invoering van DPP’s. Let op: de nummers vormen geen aaneengesloten reeks — er bestaat geen EN 18217 of EN 18218:

1. EN 18216 — Protocollen voor gegevensuitwisseling

Bepaalt hoe DPP-gegevens tussen systemen worden opgevraagd en verzonden: beveiligd transport via HTTPS, JSON als gemeenschappelijk basisformaat, en content negotiation zodat hetzelfde adres een webpagina of machineleesbare gegevens kan leveren. Zonder deze norm zou elk DPP-platform zijn eigen taal spreken.

2. EN 18219 — Unieke identificatiecodes

Bepaalt hoe producten, marktdeelnemers en faciliteiten worden geïdentificeerd. De norm erkent vijf schema’s voor productidentificatiecodes — GS1 Digital Link en andere webgeschikte gestructureerde paden, de Identification Link (EN IEC 61406), gedecentraliseerde identificatiecodes (DID), identificatiecodes volgens ISO/IEC 15459 zoals gebruikt bij RFID, en de Digital Object Identifier (DOI).

3. EN 18220 — Gegevensdragers

Bepaalt de fysieke of visuele middelen — QR-codes, Data Matrix-codes, RFID- en NFC-tags — waarmee de identificatiecode van een product een telefoon of lezer bereikt, inclusief duurzaamheid en plaatsing.

4. EN 18221 — Gegevensopslag, archivering en persistentie

Stelt vereisten om paspoorten en hun versiegeschiedenis gedurende de vereiste periode beschikbaar te houden, inclusief reservekopieën bij een aanbieder van digitale-productpaspoortdiensten.

5. EN 18222 — API’s voor het levenscyclusbeheer van productpaspoorten en de doorzoekbaarheid

Bepaalt de interface die een DPP-systeem aanbiedt om paspoorten aan te maken, te lezen, bij te werken en te doorzoeken, zodat een tool die tegen één systeem is gebouwd een ander systeem kan bevragen.

6. EN 18223 — Systeeminteroperabiliteit

Bepaalt de gemeenschappelijke structuur van een paspoort — zoals de header die detailniveau, schemaversie en status vermeldt — zodat verschillende DPP-systemen elkaars paspoorten kunnen uitwisselen en interpreteren.

7. EN 18239 — Beheer van toegangsrechten, beveiliging van informatiesystemen en bedrijfsvertrouwelijkheid

Bepaalt hoe verschillende belanghebbenden toegang krijgen tot DPP-gegevens. Consumenten zien de ene set informatie, zakenpartners een andere, en autoriteiten zien waarop zij recht hebben. Omdat DPP’s commercieel gevoelige informatie kunnen bevatten, is beveiliging niet vrijblijvend.

8. EN 18246 — Authenticatie, betrouwbaarheid en integriteit van gegevens

Stelt vereisten om aan te tonen dat paspoortgegevens echt en ongewijzigd zijn, en om de mensen te beschermen die openbare paspoortgegevens lezen.

Hoe normen verplicht worden

Een veelvoorkomende bron van verwarring: normen van CEN/CENELEC zijn in beginsel vrijwillig. Ze worden in feite verplicht via het mechanisme van het "vermoeden van conformiteit" in de ESPR:

De ESPR stelt vereisten (bijv. "DPP’s moeten interoperabel zijn")
CEN/CENELEC ontwikkelt geharmoniseerde normen die bepalen hoe aan deze vereisten wordt voldaan
Als u een geharmoniseerde norm volgt waarvan de referentie in het Publicatieblad is bekendgemaakt, wordt u geacht te voldoen aan de vereisten die deze norm afdekt (artikel 41 van de ESPR)
Als u de norm niet volgt, moet u op een andere manier aantonen dat u voldoet — wat aanzienlijk moeilijker en duurder is

In de praktijk betekent dit dat de normen van CEN/CENELEC de facto verplicht zijn. Een DPP-systeem bouwen dat ze negeert, is technisch legaal maar praktisch onverstandig.

Wat de normen betekenen voor uw implementatie

Als u een DPP-platform kiest

Vraag uw platformleverancier:

Voldoet u aan de DPP-normen van CEN/CENELEC?
Hoe gaat u om met de norm voor het gegevensmodel en het schema?
Is uw koppeling met het EU-register klaar voor de start in juli 2026?
Hoe implementeert u toegangscontrole volgens de authenticatienorm?

Een platform dat is gebouwd voordat de normen waren afgerond, heeft mogelijk aanzienlijke aanpassingen nodig. Platforms zoals DPP Agent, die gelijktijdig met het normalisatieproces zijn gebouwd, zijn vanaf de basis ontworpen voor compliance.

Als u zelf bouwt

De normen zijn uw blauwdruk. Ontwerp uw gegevensmodel of API-structuur niet op eigen houtje — stem af op de specificaties van CEN/CENELEC. Dat bespaart ontwikkeltijd en zorgt ervoor dat uw systeem kan samenwerken met het bredere DPP-ecosysteem.

Als u leverancier bent

Uw klanten zullen u vragen gegevens aan te leveren in de formaten die deze normen bepalen. Als u de norm voor het gegevensmodel begrijpt, kunt u gestructureerde gegevens voorbereiden die soepel in de DPP-systemen van uw klanten terechtkomen.

De DPP-methodologie van het JRC

Naast de normen van CEN/CENELEC heeft het Gemeenschappelijk Centrum voor onderzoek (JRC) van de Europese Commissie in maart 2026 zijn DPP-methodologie gepubliceerd. Deze methodologie vult de normen aan door het volgende te bepalen:

Drie prioriteitsniveaus voor gegevens — essentieel, sterk aanbevolen en vrijwillig
Een stapsgewijze methode — hoe voor een productgroep wordt gekozen welke gegevens een paspoort moet bevatten en waarom

De JRC-methodologie is een technisch rapport, geen norm en geen juridische tekst, maar ze laat zien hoe de gegevensvereisten in toekomstige gedelegeerde handelingen waarschijnlijk zullen worden gekozen.

De rol van GS1

GS1, de wereldwijde normalisatieorganisatie achter streepjescodes en GTIN’s, speelt een specifieke maar cruciale rol in het DPP-ecosysteem:

GS1 Digital Link is een van de identificatieschema’s die EN 18219 erkent, en het meest gebruikte voor consumentenproducten
GTIN is de productidentificatiecode die in een GS1 Digital Link is opgenomen
De resolverinfrastructuur van GS1 ondersteunt de technische resolutie van DPP-URL’s

Als u de GS1-route kiest en nog geen GTIN’s voor uw producten hebt, is de eerste stap die aan te vragen bij uw nationale GS1-lidorganisatie. Lees meer in onze gids over GS1 Digital Link.

Normen die nog in ontwikkeling zijn

Nu alle acht normen zijn gepubliceerd, gaat het werk verder aan:

Sectorspecifieke uitbreidingen — Aanvullende gegevensvelden voor batterijen, textiel en elektronica
Internationale afstemming — Coördinatie met ISO en andere internationale normalisatie-instellingen
Operationele specificaties van het register — Gedetailleerde procedures voor het EU-register voor DPP’s
Testen en certificering — Hoe DPP-platforms kunnen worden gecertificeerd voor naleving van de normen

Praktische gevolgen

Interoperabiliteit is werkelijkheid

De normen zorgen ervoor dat een DPP dat op platform A is gemaakt, door platform B kan worden gelezen, door het EU-register kan worden geverifieerd en door elke gemachtigde belanghebbende kan worden geraadpleegd. Dat is geen theorie — de pilots van CIRPASS hebben interoperabiliteit tussen platforms in de praktijk aangetoond.

Geen lock-in bij één leverancier

Omdat gegevensformaten en API’s gestandaardiseerd zijn, zitten bedrijven niet vast aan één DPP-platform. U kunt van leverancier wisselen zonder uw paspoortgegevens te verliezen of uw QR-codes onbruikbaar te maken. Dat is zo ontworpen.

Compliance is aantoonbaar

Wie de normen volgt, heeft een helder argument voor naleving. Wanneer een markttoezichtautoriteit vraagt "hoe weet u dat uw DPP’s conform zijn?", is het antwoord eenvoudig: "Wij volgen de geharmoniseerde normen van CEN/CENELEC."

Volgende stappen

De normen begrijpen is belangrijk. Ze implementeren is waar het om gaat.

Begin met een DPP-gereedheidstest op dppagent.com om te zien welke normen op uw producten van toepassing zijn en hoe goed uw huidige systemen zijn voorbereid. Gebruik daarna DPP Agent om conforme DPP’s te implementeren op een infrastructuur die volgens de specificaties van CEN/CENELEC is gebouwd. Mogelijk gemaakt door Blippa — dat Europese bedrijven al vanaf dag één helpt de weg te vinden in de DPP-normen.