CIRPASS og CEN/CENELEC: DPP-standardene forklart

Bak hvert digitale produktpass ligger et sett tekniske standarder som definerer hvordan data struktureres, deles og verifiseres. To navn dukker stadig opp i diskusjoner om DPP: CIRPASS og CEN/CENELEC. Å forstå hva de er og hva de har produsert, er avgjørende for alle som skal implementere samsvar med DPP-kravene.

Hva er CIRPASS?

CIRPASS (Collaborative Initiative for a Standards-based Digital Product Passport for Stakeholder-Specific Sharing of Product Data for a Circular Economy) var et EU-finansiert prosjekt som pågikk fra oktober 2022 til mars 2024. Oppdraget: å utvikle det tekniske grunnlaget for å innføre digitale produktpass i stor skala i hele Europa.

CIRPASS samlet rundt 30 partnere og tilknyttede partnere — bransjeorganisasjoner, teknologiselskaper, standardiseringsorganer og forskningsinstitusjoner — for å svare på de praktiske spørsmålene som økodesignforordningen (ESPR) overlot til tekniske spesifikasjoner:

  • Hvilket dataformat bør DPP-er bruke?
  • Hvordan bør ulike systemer utveksle DPP-data?
  • Hvordan ser interoperabilitet ut på tvers av bransjer og landegrenser?
  • Hvordan bør tilgangskontroll fungere for ulike typer interessenter?

Leveransene fra CIRPASS

Prosjektet produserte flere sentrale resultater:

Arkitekturplan for DPP — En referansearkitektur som definerer hvordan DPP-systemer skal fungere, inkludert datamodeller, API-spesifikasjoner og samhandlingsmønstre mellom DPP-plattformer, EU-registeret og sluttbrukere.

Veikart for sektorer — Veikart for prototyper i tre verdikjeder: batterier, tekstiler og elektronikk. Å prøve dem ut i piloter er oppgaven til oppfølgingsprosjektet, CIRPASS-2.

Rammeverk for interoperabilitet — Spesifikasjoner for hvordan DPP-er fra ulike plattformer og bransjer kan fungere sammen. Dette er avgjørende — et gjenvinningsanlegg bør ikke trenge et eget verktøy for hver merkevares pass.

Verktøy med åpen kildekode — CIRPASS-2 (oppfølgingsprosjektet) har publisert verktøy med åpen kildekode, blant annet:

  • En DPP-validator for å kontrollere om pass oppfyller kravene
  • Et simulert EU-register for å teste registreringsflyter

Disse er tilgjengelige på github.com/CIRPASS-2 og er verdifulle for selskaper som bygger eller validerer DPP-implementeringene sine.

CIRPASS-2

Oppfølgingsprosjektet, CIRPASS-2, er i gang nå og konsentrerer seg om å:

  • Videreutvikle standardene ut fra tilbakemeldinger fra piloter i praksis
  • Støtte Europakommisjonens arbeid med de delegerte rettsaktene
  • Bygge opp fagfellesskapet (Community of Practice, CoP) for DPP-interessenter
  • Forberede åpningen av EUs DPP-register (19. juli 2026; oppdatering: i drift siden 20. juli 2026)

Hva er CEN/CENELEC?

CEN (Den europeiske standardiseringskomité) og CENELEC (Den europeiske komité for elektroteknisk standardisering) er de offisielle europeiske standardiseringsorganisasjonene. Når EU trenger tekniske standarder til støtte for en forordning, er det i CEN/CENELEC de utvikles.

For ESPR og digitale produktpass sendte Europakommisjonen en standardiseringsanmodning (juli 2024) til CEN, CENELEC og ETSI om å utvikle harmoniserte standarder som dekker de tekniske kravene til implementering av DPP.

De 8 DPP-standardene fra CEN/CENELEC

Seks ble publisert i mai 2026 og de to siste i september 2026. Sammen utgjør de det tekniske regelverket for implementering av DPP. Merk at numrene ikke er et sammenhengende nummerområde — det finnes ingen EN 18217 eller EN 18218:

1. EN 18216 — Protokoller for datautveksling

Angir hvordan DPP-data etterspørres og overføres mellom systemer: sikker transport over HTTPS, JSON som felles grunnformat, og innholdsforhandling slik at den samme adressen kan levere en nettside eller maskinlesbare data. Uten denne standarden ville hver DPP-plattform snakket sitt eget språk.

2. EN 18219 — Unike identifikatorer

Definerer hvordan produkter, markedsdeltakere og anlegg identifiseres. Den anerkjenner fem ordninger for produktidentifikatorer — GS1 Digital Link og andre nettaktiverte strukturerte stier, identifikasjonslenken (EN IEC 61406), desentraliserte identifikatorer (DID), ISO/IEC 15459-identifikatorer slik de brukes i RFID, og Digital Object Identifier (DOI).

3. EN 18220 — Databærere

Definerer de fysiske eller visuelle midlene — QR-koder, Data Matrix-koder, RFID- og NFC-brikker — som et produkts identifikator når en telefon eller leser gjennom, inkludert holdbarhet og plassering.

4. EN 18221 — Datalagring, arkivering og varighet

Stiller krav til at pass og versjonshistorikken deres holdes tilgjengelig i den påkrevde perioden, inkludert sikkerhetskopier hos en tjenesteleverandør for digitale produktpass.

5. EN 18222 — API-er for forvaltning av passets livssyklus og søkbarhet

Angir grensesnittet et DPP-system tilbyr for å opprette, lese, oppdatere og søke i pass, slik at et verktøy bygget mot ett system kan spørre et annet.

6. EN 18223 — Systeminteroperabilitet

Definerer den felles strukturen for et pass — for eksempel headeren som angir detaljnivå, skjemaversjon og status — slik at ulike DPP-systemer kan utveksle og tolke hverandres pass.

7. EN 18239 — Forvaltning av tilgangsrettigheter, informasjonssystemsikkerhet og forretningsmessig konfidensialitet

Definerer hvordan ulike interessenter får tilgang til DPP-data. Forbrukere ser ett sett med informasjon, forretningspartnere ser et annet, og myndighetene ser det de har rett til. Siden DPP-er kan inneholde forretningsmessig sensitiv informasjon, er sikkerhet ikke valgfritt.

8. EN 18246 — Autentisering, pålitelighet og integritet for data

Stiller krav til å vise at passdata er ekte og uendret, og til å beskytte dem som leser offentlige passdata.

Hvordan standarder blir obligatoriske

En vanlig kilde til forvirring: Standarder fra CEN/CENELEC er i utgangspunktet frivillige. De blir i praksis obligatoriske gjennom ESPRs mekanisme for «formodning om samsvar»:

  1. ESPR fastsetter krav (f.eks. «DPP-er må være interoperable»)
  2. CEN/CENELEC utvikler harmoniserte standarder som definerer hvordan disse kravene oppfylles
  3. Hvis du følger en harmonisert standard der henvisningen er sitert i EU-tidende, formodes du å oppfylle kravene den dekker (ESPR artikkel 41)
  4. Hvis du ikke følger standarden, må du vise samsvar på andre måter — noe som er betydelig vanskeligere og dyrere

I praksis betyr dette at standardene fra CEN/CENELEC er obligatoriske de facto. Å bygge et DPP-system som ser bort fra dem, er teknisk sett lovlig, men lite klokt i praksis.

Hva standardene betyr for implementeringen din

Hvis du skal velge en DPP-plattform

Spør plattformleverandøren din:

  • Oppfyller dere DPP-standardene fra CEN/CENELEC?
  • Hvordan håndterer dere standarden for datamodell og skjema?
  • Er grensesnittet deres mot EU-registeret klart for åpningen i juli 2026?
  • Hvordan implementerer dere tilgangskontroll etter autentiseringsstandarden?

En plattform som ble bygget før standardene var ferdigstilt, kan trenge betydelige oppdateringer. Plattformer som DPP Agent, bygget parallelt med standardiseringsarbeidet, er utformet for samsvar fra grunnen av.

Hvis du bygger selv

Standardene er byggetegningen din. Ikke utform datamodellen eller API-strukturen på egen hånd — tilpass deg spesifikasjonene fra CEN/CENELEC. Det sparer utviklingstid og sikrer at systemet ditt kan samvirke med det bredere DPP-økosystemet.

Hvis du er leverandør

Kundene dine kommer til å be deg levere data i formater som er definert av disse standardene. Å forstå standarden for datamodellen hjelper deg med å forberede strukturerte data som flyter rett inn i kundenes DPP-systemer.

JRCs DPP-metodikk

Ved siden av standardene fra CEN/CENELEC publiserte Europakommisjonens Felles forskningssenter (JRC) sin DPP-metodikk i mars 2026. Metodikken utfyller standardene ved å definere:

  • Tre prioritetsnivåer for data — vesentlige, sterkt anbefalte og frivillige
  • En trinnvis metode — hvordan man for en produktgruppe velger hvilke data et pass skal inneholde, og hvorfor

JRC-metodikken er en teknisk rapport, ikke en standard eller en rettstekst, men den viser hvordan datakravene i fremtidige delegerte rettsakter sannsynligvis vil bli valgt.

GS1s rolle

GS1, den globale standardiseringsorganisasjonen bak strekkoder og GTIN, har en bestemt, men avgjørende rolle i DPP-økosystemet:

  • GS1 Digital Link er en av identifikatorordningene EN 18219 anerkjenner, og den mest brukte for forbrukerprodukter
  • GTIN er produktidentifikatoren som er innebygd i en GS1 Digital Link
  • GS1s resolverinfrastruktur støtter det tekniske oppslaget av DPP-URL-er

Hvis du velger GS1-ruten og ikke allerede har GTIN-er for produktene dine, er det første steget å skaffe dem fra den nasjonale GS1-medlemsorganisasjonen din. Les mer i vår veiledning om GS1 Digital Link.

Standarder som fortsatt er under utvikling

Med alle åtte standardene publisert fortsetter arbeidet med:

  • Sektorspesifikke utvidelser — Ytterligere datafelt for batterier, tekstiler, elektronikk
  • Internasjonal samordning — Koordinering med ISO og andre internasjonale standardiseringsorganer
  • Driftsspesifikasjoner for registeret — Detaljerte prosedyrer for EUs DPP-register
  • Testing og sertifisering — Hvordan DPP-plattformer kan sertifiseres for samsvar med standardene

Praktiske konsekvenser

Interoperabilitet er virkelig

Standardene sikrer at et DPP opprettet på plattform A kan leses av plattform B, verifiseres av EU-registeret og nås av enhver autorisert interessent. Dette er ikke teori — CIRPASS-pilotene viste interoperabilitet på tvers av plattformer i praksis.

Ingen proprietær innlåsing

Fordi dataformater og API-er er standardisert, er selskaper ikke låst til én DPP-plattform. Du kan bytte leverandør uten å miste passdataene dine eller ødelegge QR-kodene dine. Dette er tilsiktet.

Samsvar kan dokumenteres

Å følge standardene gir deg et tydelig samsvarsargument. Når en markedstilsynsmyndighet spør «hvordan vet dere at DPP-ene deres oppfyller kravene?», er svaret enkelt: «Vi følger de harmoniserte standardene fra CEN/CENELEC.»

Neste steg

Det er viktig å forstå standardene. Det som teller, er å implementere dem.

Start med en vurdering av hvor klar du er på dppagent.com for å forstå hvilke standarder som gjelder for produktene dine, og hvor godt forberedt de nåværende systemene dine er. Bruk deretter DPP Agent til å implementere DPP-er i samsvar med kravene på en infrastruktur bygget etter spesifikasjonene fra CEN/CENELEC. Drevet av Blippa — har hjulpet europeiske virksomheter med å navigere i DPP-standardene fra første dag.