EN 18216 til 18223: De seks CEN-standardene som definerer et digitalt produktpass i samsvar med kravene

I tre år har hver diskusjon om digitale produktpass (DPP) støtt på det samme spørsmålet: hvordan ser egentlig et DPP-system i samsvar med kravene ut? Økodesignforordningen (ESPR) (EU 2024/1781) er det rettslige grunnlaget. CIRPASS-2 skisserte arkitekturen. GS1 Digital Link ga oss URL-syntaksen. Men selve de normative tekniske standardene — de en merkevare kan peke på og si «bygg etter dette» — manglet.

Det hullet er nå tettet. Den felles tekniske komiteen CEN/CENELEC Joint Technical Committee 24 (JTC 24) har publisert seks normative europeiske standarder som dekker den tekniske arkitekturen for et digitalt produktpass. Til sammen definerer de hvordan identifikatorer fungerer, hvordan data bæres, hvordan API-et oppfører seg, hvordan data utveksles og arkiveres, og hvordan systemer samvirker.

De seks publiserte standardene er:

  • EN 18216 — Protokoller for datautveksling
  • EN 18219 — Unike identifikatorer
  • EN 18220 — Databærere
  • EN 18221 — Datalagring og varighet
  • EN 18222 — API-er for livssyklusen til produktpass og søkbarhet
  • EN 18223 — Systeminteroperabilitet

To til — EN 18239 (tilgangsrettigheter og sikkerhet) og EN 18246 (autentisering og integritet for data) — er fortsatt under utarbeidelse som prEN-utkast, og 18221, 18222 og 18223 viser normativt til dem. De ventes som de neste. Oppdatering, oktober 2026: begge ble godkjent av CEN 17. august 2026 og er nå publisert — se alle åtte DPP-standardene er publisert, bare seks er sitert.

Denne artikkelen går gjennom hva hver av de seks publiserte standardene faktisk krever, hvorfor merkevarer bør tilpasse DPP-systemene sine til dem nå, og hvordan standardene henger sammen med tidsplanen for de delegerte rettsaktene under ESPR for tekstiler.

Hvorfor disse standardene er viktige for samsvar med ESPR

ESPR artikkel 9 krever digitale produktpass for produkter som bringes i omsetning på EU-markedet i de produktgruppene som dekkes av delegerte rettsakter. Artikkel 10 og 11 lister opp de grunnleggende kravene: pass må være knyttet til en varig unik identifikator, være maskinlesbare, tilgjengelige, sikre og interoperable.

Disse artiklene angir imidlertid ikke hvordan kravene skal oppfylles på teknisk nivå. Det er det disse CEN-standardene gjør. Vedlegg ZA i hver standard kobler punktene i den til de ESPR-kravene den dekker, og når Kommisjonen siterer en standard i EU-tidende, gir det å følge den formodning om samsvar (ESPR artikkel 41) — det vil si at et system som er tilpasset EN 18216, formodes å oppfylle ESPRs krav til datautveksling, at et system som bruker identifikatorer etter EN 18219, formodes å oppfylle kravet om unikhet, og så videre. Oppdatering, oktober 2026: alle seks ble sitert 15. juli 2026 ved gjennomføringsbeslutning (EU) 2026/1736.

I praksis: Hvis du ikke kan vise at du er tilpasset disse standardene, blir samsvarsvurderingen din under ESPR en egen argumentasjon fra sak til sak. Hvis du kan, blir den et avkrysningspunkt.

EN 18216 — Protokoller for datautveksling

Dette er standarden for transportlaget. Den definerer hvordan en DPP-ressurs etterspørres, overføres og vises.

Punkt 4 — Transport: DPP-datautveksling må bruke minst HTTPS med TLS 1.2 (TLS 1.3 anbefales sterkt) og minst HTTP/2, med HTTP/3 anbefalt. API-er bør følge REST-stilen. Eldre protokoller (TLS 1.1, SSL) er forbudt.

Punkt 5 — Formater og innholdsforhandling: JSON (etter ISO/IEC 21778) må støttes som grunnlag for syntaktisk interoperabilitet. XML, JSON-LD og HTML kan tilbys i tillegg, og formatet som leveres, velges via HTTP-innholdsforhandling (etter RFC 9110, det vanlige mønsteret med Accept-headeren).

Det siste kravet er det de fleste nåværende DPP-implementeringer ikke oppfyller. Den samme URL-en må returnere enten ferdig vist HTML (for en forbruker som skanner en QR-kode) eller maskinlesbar JSON / JSON-LD (for en gjenvinners verktøy, en markedsplassintegrasjon eller en verifikator), avhengig av Accept-headeren klienten sender. Én ressurs, flere representasjoner.

Når HTML returneres, må den være i samsvar med EN 301549 (EUs standard for tilgjengelighet). En DPP-side som bare finnes i HTML, er ikke i samsvar med EN 18216, selv om alt annet ved den er riktig.

EN 18219 — Unike identifikatorer

Dette er standarden for identifikatorordningen, og den mest detaljerte av de seks.

Punkt 4.1 — global unikhet: ingen gjenbruk, forskjellig fra enhver annen identifikator, ingen sameksistens med en annen ID for den samme produktforekomsten.

Punkt 4.2 — varighet: identifikatoren må overleve at markedsdeltakeren går konkurs eller avvikles. En merknad legger til at EUs DPP-register sikrer et minimumsnivå av bevaring for identifikatorer; å holde selve passet tilgjengelig er en egen plikt etter ESPR, som oppfylles gjennom en sikkerhetskopi hos en tjenesteleverandør for digitale produktpass (ESPR artikkel 10(4)).

Punkt 4.3 — syntaks: tegnsett etter ISO/IEC 646; URI-formen må følge RFC 3986; identifikatoren må være en URL eller kunne konverteres til en URL.

Punkt 4.4 — detaljnivå: hver identifikator må være unik på det minste detaljnivået den betjener (modell, parti eller serienummer på enkeltvarenivå). Detaljnivået må forbli det samme når produktet er på markedet. Hvis detaljnivået endres — for eksempel når en merkevare går fra DPP-er på partinivå til enkeltvarenivå — må det utstedes en ny identifikator som lenkes til den gamle for sporbarhetens skyld.

Punkt 4.6 — åpenhet: den offentlige DPP-informasjonen må kunne nås uten registrering, nedlasting av app eller påloggingsopplysninger. Ingen innlåsing til en leverandør er tillatt.

ID-ordning 1 — nettaktivert strukturert sti-ID (GS1-ruten): Den dominerende ruten i praksis. Den krever at identifikatoren er i samsvar med GS1 Digital Link URI Syntax v1.6.0:2022, bruker GS1 Application Identifiers etter ISO/IEC 15418, følger oppslag med strukturert sti etter ISO/IEC 18975, og bruker en registrert Issuing Agency Code etter ISO/IEC 15459-2 (et ekte GS1 Global Company Prefix, ikke en plassholder).

En GS1 Digital Link-URL i samsvar med kravene ser slik ut: /01/{GTIN}/22/{CPV}/10/{batch}/21/{serial}. Stisegmentene koder detaljnivået automatisk: /01/{GTIN} alene er modellnivå, å legge til /10/{batch} gjør det til partinivå, å legge til /21/{serial} gjør det til enkeltvarenivå.

Punkt 6 — Identifikatorer for markedsdeltakere og anlegg: Disse må bruke en av ordningene ISO/IEC 6523 (LEI, GS1 GCP, PEPPOL), ISO/IEC 15418/15459, DID eller DOI. Produsentnavn i fritekst i en DPP-header er ikke i samsvar med kravene.

EN 18220 — Databærere

Denne standarden definerer de fysiske eller visuelle midlene DPP-identifikatoren når en skanner eller leser gjennom. I praksis: QR-koder, Data Matrix-koder, RFID-brikker, NFC-brikker.

EN 18220 krever at bæreren koder den unike produktidentifikatoren (etter EN 18219) som gir tilgang til DPP-et, kan leses av alminnelig tilgjengelige mobilkameraer og vanlige industrielle lesere, og oppfyller holdbarhetskrav som passer produktets livssyklus.

For de fleste forbrukerrettede kategorier — tekstiler, fottøy, møbler — er en QR-kode som koder GS1 Digital Link-URL-en, den faktiske standardbæreren. EN 18220 bekrefter at dette er akseptabelt, men stiller krav til holdbarhet og kontrast. Merkevarer som bruker hengelapper av papir, må sørge for at bæreren holder minst til produktet er solgt; merkevarer som bruker innsydde etiketter, må sørge for at den kan skannes gjennom produktets forventede levetid.

EN 18221 — Datalagring, arkivering og varighet

Det er her de fleste eksisterende DPP-implementeringer har det største hullet.

Punkt 4.2 — arkivering fra første endring: hver endring i et DPP må arkiveres fra det øyeblikket endringen skjer, og versjonshistorikken må beholdes i hele DPP-ets levetid. DPP-et er ikke én enkelt post som kan endres; det er et versjonert objekt med full historikk.

Punkt 4.3 og 4.5 — tjenesteleverandør for sikkerhetskopi av DPP: når et produkt bringes i omsetning, kan det kreves at en sikkerhetskopi gjøres tilgjengelig gjennom en tjenesteleverandør — standardens ordlyd er betinget, og om den gjelder, følger av produktets egne regler. Der den gjelder, inneholder sikkerhetskopien den gjeldende versjonen og alle påkrevde historiske versjoner, og generell tilgang til passet i sikkerhetskopien åpnes når markedsdeltakeren ikke lenger er aktiv på markedet. Det er dette som gir identifikatoren den påkrevde varigheten (EN 18219 §4.2.2, som krever at identifikatoren overlever konkurs, avvikling eller opphør).

Varigheten er ikke et tall i denne standarden. EN 18221 definerer levetiden til det digitale produktpasset som perioden passet etter regelverket må være tilgjengelig, og hvert krav til varighet viser tilbake til den — så årene kommer fra den delegerte rettsakten under ESPR for kategorien, ikke fra standarden. Den stiller derimot et krav til tilgangsmønster: versjonen slik den var på et gitt tidspunkt må kunne hentes av autentiserte og autoriserte aktører, slik at arkivet kan spørres mot og ikke bare er en logg det bare skrives til.

Et DPP-system som bare lagrer den siste tilstanden til hvert pass, er ikke i samsvar med kravene. Merkevarer må planlegge for versjonert lagring fra første dag — å legge til tabeller for versjonshistorikk og leseendepunkter som kjenner versjoner, er mye enklere i et nytt system enn å ettermontere det i et som har vært i drift i to år.

EN 18222 — API-er for livssyklusen til produktpass og søkbarhet

Dette er API-standarden. Den definerer det minste grensesnittet hvert DPP-system må tilby.

EN 18222 krever tre lesemetoder som hvert DPP-system i samsvar med kravene må tilby som standardiserte endepunkter:

  • ReadDPPById — hent et DPP etter den unike identifikatoren (hele Digital Link-URI-en eller den kanoniske ID-en).
  • ReadDPPByProductId — hent det gjeldende DPP-et for en produktidentifikator (vanligvis GTIN), og returner det nyeste passet.
  • ReadDPPIdsByProductIds — oppslag i bulk: gitt en liste over produktidentifikatorer, returner de tilhørende DPP-ID-ene. Slik behandler markedsplasser, tollmyndigheter og gjenvinnere kataloger effektivt.

Standarden definerer også livssyklusmetoder for å opprette, oppdatere, arkivere og registrere DPP-er i EU-registeret. Disse må være autentiserte og tilgangsstyrte (med EN 18239 når den er publisert).

De fleste DPP-systemer i dag tilbyr bare et generisk CRUD-grensesnitt over sin egen datamodell. EN 18222 krever at de tre lesemetodene finnes som standardiserte endepunkter — det vil si at et verktøy bygget mot ett DPP-system i samsvar med EN 18222, kan spørre et annet uten kodeendringer. Det er det tekniske grunnlaget for integrasjon med markedsplasser og gjenvinnere i EU-skala.

EN 18223 — Systeminteroperabilitet

Dette er skjemastandarden. Den definerer den kanoniske strukturen for en DPP-header — metadataene som omslutter det produktspesifikke innholdet — slik at ulike DPP-systemer kan utveksle og tolke hverandres pass.

Etter punkt 4.1.2.1 må DPP-headeren inneholde:

  • granularity — modell, parti eller enkeltvare — uttrykkelig angitt
  • dppSchemaVersion — versjonen av skjemaet som brukes
  • dppStatus — aktiv, trukket tilbake, erstattet, arkivert
  • lastUpdated — tidsstempel for den siste endringen
  • economicOperatorId — riktig formatert etter ISO/IEC 6523 (LEI eller GS1 GCP), ikke fritekst
  • facilityId — samme krav til formatering
  • dictionaryReference — per dataelement, en henvisning til det kontrollerte vokabularet som definerer elementet
  • contentSpecificationIds — henvisninger til innholdsspesifikasjonene for produktkategorien (skjemaet fra den delegerte rettsakten under ESPR, i tekstil-DPP-er)

EN 18223 er det som gjør interoperabilitet til virkelighet. To DPP-systemer som er tilpasset den samme innholdsspesifikasjonen, og som begge produserer headere i samsvar med EN 18223, kan utveksle data uten eget integrasjonsarbeid. En gjenvinner kan bygge ett verktøy som behandler tekstil-DPP-er fra hvilken som helst merkevare.

Hva som fortsatt mangler: EN 18239 og EN 18246

To standarder til i familien er fortsatt under ferdigstilling (oppdatering, oktober 2026: begge er nå publisert, men ennå ikke sitert i EU-tidende):

  • EN 18239 — Tilgangsrettigheter og sikkerhet. Definerer hvordan autentisering, autorisasjon og rollebasert tilgang fungerer for DPP-data. Ulike interessenter (forbruker, reparasjonsverksted, gjenvinner, tollmyndighet, tilsynsmyndighet) trenger ulike tilgangsnivåer til det samme DPP-et.
  • EN 18246 — Autentisering og integritet for data. Definerer hvordan et DPP kan verifiseres kryptografisk som ekte og uendret. Bruker sannsynligvis verifiserbare bevis (verifiable credentials) eller lignende W3C-arbeid.

EN 18221, EN 18222 og EN 18223 viser normativt til begge — så de seks eksisterende standardene har avhengigheter som ennå ikke er fullt publisert. Merkevarer som bygger DPP-infrastruktur nå, bør planlegge med utskiftbare lag for autentisering og integritet, klare til å ta inn EN 18239 og EN 18246 når de er ferdigstilt.

Hvordan dette passer med tidsplanen for de delegerte rettsaktene under ESPR

Rammeforordningen ESPR (EU 2024/1781) trådte i kraft 18. juli 2024. Kommisjonens arbeidsplan for ESPR (publisert april 2025) bekrefter de løpende delegerte rettsaktene som definerer kravene for hver produktgruppe. For tekstiler ventes den delegerte rettsakten veiledende i 2027, med krav som gjelder minst 18 måneder etter at den trer i kraft — altså ikke før midten av 2028.

CEN-standardene som er beskrevet her, er horisontale — de definerer systemet, ikke de tekstilspesifikke datafeltene. Dataskjemaet for tekstiler vil komme fra den delegerte rettsakten under ESPR pluss sektorarbeidet i CIRPASS-2, og vil kobles inn i EN 18223-headeren som henvisningen contentSpecificationIds.

Dette skillet er viktig for planleggingen. En merkevare kan bygge etter EN 18216 / 18219 / 18220 / 18221 / 18222 / 18223 i dag — systemlaget er nå fullt spesifisert for de seks publiserte. Laget med tekstilfelter legges oppå når den delegerte rettsakten publiseres, uten at systemet må tegnes om.

Hva merkevarer bør gjøre nå

For merkevarer som allerede har pilot-DPP-er i drift (med QR-koder og Digital Link-URL-er), er de praktiske stegene på kort sikt:

  1. Kontroller resolveren din mot EN 18216 §5. Returnerer den samme URL-en JSON eller JSON-LD når den kalles med Accept: application/json? Hvis ikke, legg til innholdsforhandling. Dette er vanligvis den minste rettelsen på listen.
  2. Løft granularity, dppSchemaVersion, dppStatus og lastUpdated inn i DPP-headeren. Etter EN 18223 §4.1.2.1 er disse obligatoriske.
  3. Erstatt ethvert produsentfelt i fritekst med en riktig formatert economicOperatorId. Etter EN 18219 §6 må dette være en LEI eller et GS1 GCP eller tilsvarende. Fritekst stryker i samsvarsvurderingen.
  4. Planlegg arkivdesignet for EN 18221. Hvis DPP-tabellen din bare lagrer den siste tilstanden, legg til en versjonstabell og leseendepunkter som kjenner versjoner. Dette er mye enklere å legge til før du har hundretusenvis av DPP-er i produksjon.
  5. Planlegg de tre obligatoriske lesemetodene i EN 18222. Hvis det nåværende API-et ditt er et generisk CRUD over en datakildemodell, legg tynne REST-aliaser foran det som tilbyr ReadDPPById, ReadDPPByProductId og ReadDPPIdsByProductIds som standardiserte endepunkter.

Hvor du får tak i standardene

CEN selger ikke standarder direkte. De distribueres gjennom de nasjonale standardiseringsorganene. Vanlige kjøpsveier for serien EN 18216–18223:

  • SIS (sis.se) — det svenske nasjonale organet. Kjøp per standard eller et SIS-abonnement. Nyttig hvis du vil ha hele serien på svensk (SS EN) og engelsk.
  • en-standard.eu — privat nettbutikk, umiddelbar nedlasting som PDF.
  • DIN (Tyskland) / BSI (Storbritannia) — de samme EN-standardene, noen ganger raskere engelske versjoner.

Vanlig pris er 50–200 euro per standard. Hele settet med seks standarder koster 300–1 000 euro avhengig av kjøpsvei. Status for hele serien kan følges på standards.cencenelec.eu.

Konklusjonen

Publiseringen av EN 18216, 18219, 18220, 18221, 18222 og 18223 fjerner den største tekniske uklarheten som har hengt over DPP-arbeidet de siste tre årene. Merkevarer trenger ikke lenger gjette hvordan et DPP-system i samsvar med kravene ser ut — spesifikasjonene er nå normative, kan kjøpes og — når de er sitert i EU-tidende — gir formodning om samsvar etter ESPR artikkel 41.

Perioden fra nå og frem til ESPR-kravene for tekstiler håndheves (ikke før midten av 2028) er riktig tid til å kontrollere eksisterende piloter mot standardene, tette hull i innholdsforhandling, headerattributter, arkivdesign og standardiserte lesemetoder, og planlegge med utskiftbare koblingspunkter for EN 18239 og EN 18246 når de er ferdigstilt.

Merkevarer som bygger etter disse standardene nå, vil ha formodning om samsvar når kravene håndheves. Merkevarer som ikke gjør det, vil måtte argumentere særskilt i hver samsvarsvurdering.