EN 18216 do 18223: sześć norm CEN, które definiują zgodny cyfrowy paszport produktu

Od trzech lat każda dyskusja o cyfrowym paszporcie produktu (DPP) natrafia na to samo pytanie: jak właściwie wygląda zgodny system DPP? Rozporządzenie ESPR (UE 2024/1781) stanowi podstawę prawną. CIRPASS-2 naszkicował architekturę. GS1 Digital Link dał nam składnię adresów URL. Brakowało jednak właściwych normatywnych norm technicznych — takich, na które marka może wskazać i powiedzieć: „budujemy zgodnie z tym”.

Ta luka została teraz zamknięta. Wspólny Komitet Techniczny CEN/CENELEC 24 (JTC 24) opublikował sześć normatywnych norm europejskich obejmujących architekturę techniczną cyfrowego paszportu produktu. Razem określają one, jak działają identyfikatory, jak przenoszone są dane, jak zachowuje się API, jak dane są wymieniane i archiwizowane oraz jak systemy współdziałają ze sobą.

Sześć opublikowanych norm to:

  • EN 18216 — Protokoły wymiany danych
  • EN 18219 — Niepowtarzalne identyfikatory
  • EN 18220 — Nośniki danych
  • EN 18221 — Przechowywanie i trwałość danych
  • EN 18222 — Interfejsy API dla cyklu życia paszportu produktu i jego wyszukiwalności
  • EN 18223 — Interoperacyjność systemów

Dwie kolejne — EN 18239 (prawa dostępu i bezpieczeństwo) oraz EN 18246 (uwierzytelnianie i integralność danych) — są nadal w przygotowaniu jako projekty prEN, a normy 18221, 18222 i 18223 powołują się na nie normatywnie. Oczekuje się ich w następnej kolejności. Aktualizacja, październik 2026 r.: obie zostały zatwierdzone przez CEN 17 sierpnia 2026 r. i są już opublikowane — zob. opublikowano wszystkie osiem norm DPP, przywołano tylko sześć.

W tym artykule omawiamy, czego faktycznie wymaga każda z sześciu opublikowanych norm, dlaczego marki powinny już teraz dostosowywać do nich swoje systemy DPP i jak normy te łączą się z harmonogramem aktów delegowanych ESPR dla tekstyliów.

Dlaczego te normy mają znaczenie dla zgodności z ESPR

Art. 9 ESPR wymaga cyfrowych paszportów produktów dla produktów wprowadzanych do obrotu na rynku UE w grupach produktów objętych aktami delegowanymi. Art. 10 i 11 wymieniają wymagania zasadnicze: paszporty muszą być powiązane z trwałym niepowtarzalnym identyfikatorem, odczytywalne maszynowo, dostępne, bezpieczne i interoperacyjne.

Artykuły te nie określają jednak, jak spełnić te wymagania na poziomie technicznym. Robią to właśnie te normy CEN. Załącznik ZA każdej normy przyporządkowuje jej punkty do wymagań ESPR, które obejmuje, a gdy Komisja przywoła normę w Dzienniku Urzędowym, jej stosowanie daje domniemanie zgodności (art. 41 ESPR) — co oznacza, że system dostosowany do EN 18216 uznaje się za spełniający wymóg ESPR dotyczący wymiany danych, system stosujący identyfikatory zgodne z EN 18219 uznaje się za spełniający wymóg niepowtarzalności i tak dalej. Aktualizacja, październik 2026 r.: wszystkie sześć zostało przywołanych 15 lipca 2026 r. decyzją wykonawczą (UE) 2026/1736.

W praktyce: jeśli nie można wykazać zgodności z tymi normami, ocena zgodności na podstawie ESPR staje się indywidualną argumentacją prowadzoną w każdym przypadku osobno. Jeśli można — staje się odhaczeniem pozycji na liście.

EN 18216 — Protokoły wymiany danych

To norma warstwy transportowej. Określa, jak zasób DPP jest żądany, przesyłany i wyświetlany.

Sekcja 4 — Transport: wymiana danych DPP musi korzystać z HTTPS z co najmniej TLS 1.2 (TLS 1.3 zdecydowanie zalecany) oraz co najmniej HTTP/2, przy czym zalecany jest HTTP/3. Interfejsy API powinny mieć styl RESTful. Starsze protokoły (TLS 1.1, SSL) są zakazane.

Sekcja 5 — Formaty i negocjacja treści: JSON (zgodnie z ISO/IEC 21778) musi być obsługiwany jako bazowy poziom interoperacyjności składniowej. Dodatkowo można oferować XML, JSON-LD i HTML, a serwowany format wybiera się za pomocą negocjacji treści HTTP (zgodnie z RFC 9110, standardowy wzorzec nagłówka Accept).

To ostatnie wymaganie jest tym, którego większość obecnych wdrożeń DPP nie spełnia. Ten sam adres URL musi zwracać albo wyrenderowany HTML (dla konsumenta skanującego kod QR), albo odczytywalny maszynowo JSON / JSON-LD (dla narzędzia recyklera, integracji z platformą handlową lub weryfikatora), zależnie od nagłówka Accept wysłanego przez klienta. Jeden zasób, wiele reprezentacji.

Gdy zwracany jest HTML, musi on być zgodny z EN 301549 (unijną normą dostępności). Strona DPP dostępna wyłącznie jako HTML nie jest zgodna z EN 18216, nawet jeśli wszystko inne jest w niej poprawne.

EN 18219 — Niepowtarzalne identyfikatory

To norma dotycząca schematów identyfikatorów i najbardziej szczegółowa z całej szóstki.

Sekcja 4.1 — globalna niepowtarzalność: brak ponownego przydzielania, odrębność od każdego innego identyfikatora, brak współistnienia z innym ID dla tego samego egzemplarza produktu.

Sekcja 4.2 — trwałość: identyfikator musi przetrwać niewypłacalność lub likwidację podmiotu. Uwaga dodaje, że rejestr DPP UE zapewnia minimalny poziom zachowania identyfikatorów; utrzymanie dostępności samego paszportu to odrębny obowiązek na podstawie ESPR, realizowany przez kopię zapasową u dostawcy usług w zakresie cyfrowych paszportów produktów (art. 10 ust. 4 ESPR).

Sekcja 4.3 — składnia: zestaw znaków zgodnie z ISO/IEC 646; forma URI musi być zgodna z RFC 3986; identyfikator musi być adresem URL lub dać się przekształcić w adres URL.

Sekcja 4.4 — poziom szczegółowości: każdy identyfikator musi być niepowtarzalny na najdrobniejszym poziomie szczegółowości, któremu służy (model, partia lub numer seryjny egzemplarza). Poziom szczegółowości musi pozostać niezmienny po wprowadzeniu produktu do obrotu. Jeśli poziom szczegółowości się zmienia — na przykład gdy marka przechodzi z DPP na poziomie partii na DPP na poziomie egzemplarza — należy wydać nowy identyfikator i powiązać go ze starym na potrzeby identyfikowalności.

Sekcja 4.6 — otwartość: publiczne informacje DPP muszą być osiągalne bez rejestracji, pobierania aplikacji czy danych uwierzytelniających. Uzależnienie od dostawcy jest niedozwolone.

Schemat ID 1 — ID w postaci ustrukturyzowanej ścieżki dostępnej w sieci (ścieżka GS1): w praktyce dominująca droga. Wymaga, aby identyfikator był zgodny z GS1 Digital Link URI Syntax v1.6.0:2022, stosował identyfikatory zastosowań GS1 zgodnie z ISO/IEC 15418, przestrzegał rozwiązywania ustrukturyzowanej ścieżki według ISO/IEC 18975 i używał zarejestrowanego kodu agencji wydającej zgodnie z ISO/IEC 15459-2 (prawdziwego GS1 Global Company Prefix, a nie wartości zastępczej).

Zgodny adres URL GS1 Digital Link wygląda tak: /01/{GTIN}/22/{CPV}/10/{batch}/21/{serial}. Segmenty ścieżki automatycznie kodują poziom szczegółowości: samo /01/{GTIN} to poziom modelu, dodanie /10/{batch} daje poziom partii, a dodanie /21/{serial} — poziom egzemplarza.

Sekcja 6 — Identyfikatory podmiotów gospodarczych i zakładów: muszą korzystać z jednego ze schematów ISO/IEC 6523 (LEI, GS1 GCP, PEPPOL), ISO/IEC 15418/15459, DID lub DOI. Nazwy producentów w postaci dowolnego tekstu w nagłówku DPP nie są zgodne.

EN 18220 — Nośniki danych

Ta norma określa fizyczne lub wizualne środki, za pomocą których identyfikator DPP trafia do skanera lub czytnika. W praktyce: kody QR, kody Data Matrix, znaczniki RFID, znaczniki NFC.

EN 18220 wymaga, aby nośnik kodował niepowtarzalny identyfikator produktu (zgodnie z EN 18219), który daje dostęp do DPP, był odczytywalny przez powszechnie dostępne aparaty smartfonów i standardowe czytniki przemysłowe oraz spełniał wymagania dotyczące trwałości odpowiednie do cyklu życia produktu.

W większości kategorii skierowanych do konsumentów — tekstylia, obuwie, meble — kod QR kodujący adres URL GS1 Digital Link jest de facto standardowym nośnikiem. EN 18220 potwierdza, że jest to dopuszczalne, ale ustala wymagania dotyczące trwałości i kontrastu. Marki stosujące papierowe metki muszą zapewnić, że nośnik przetrwa co najmniej do momentu sprzedaży produktu; marki stosujące wszywki muszą zapewnić możliwość skanowania przez cały przewidywany okres życia produktu.

EN 18221 — Przechowywanie, archiwizacja i trwałość danych

To tutaj większość istniejących wdrożeń DPP ma największą lukę.

Sekcja 4.2 — archiwizacja od pierwszej zmiany: każda zmiana DPP musi być archiwizowana od momentu jej wprowadzenia, a historia wersji musi być przechowywana przez cały okres życia DPP. DPP nie jest pojedynczym, modyfikowalnym rekordem; to wersjonowany obiekt z pełną historią.

Sekcje 4.3 i 4.5 — zapasowy dostawca usług w zakresie cyfrowych paszportów produktów: gdy produkt jest wprowadzany do obrotu, może być wymagane udostępnienie kopii zapasowej za pośrednictwem dostawcy usług — sformułowanie normy jest warunkowe, a to, czy wymóg ma zastosowanie, wynika z przepisów właściwych dla danego produktu. Jeśli ma, kopia zapasowa zawiera aktualną wersję i wszystkie wymagane wersje historyczne, a ogólny dostęp do paszportu w kopii zapasowej otwiera się, gdy podmiot gospodarczy przestaje działać na rynku. To właśnie zapewnia identyfikatorowi wymaganą trwałość (EN 18219 §4.2.2, który wymaga, by identyfikator przetrwał niewypłacalność, likwidację lub zaprzestanie działalności).

Czas przechowywania nie jest w tej normie liczbą. EN 18221 definiuje okres życia cyfrowego paszportu produktu jako okres, w którym przepisy wymagają dostępności paszportu, i każde wymaganie dotyczące czasu odsyła właśnie do niego — lata wynikają więc z aktu delegowanego ESPR dla danej kategorii, a nie z normy. Norma ustala natomiast wymaganie dotyczące wzorca dostępu: wersja w stanie z danego momentu musi być możliwa do pobrania przez uwierzytelnione i upoważnione podmioty, tak aby archiwum dało się przeszukiwać, a nie było jedynie dziennikiem tylko do zapisu.

System DPP, który przechowuje wyłącznie najnowszy stan każdego paszportu, nie jest zgodny. Marki muszą projektować wersjonowane przechowywanie od pierwszego dnia — dodanie tabel historii wersji i punktów odczytu uwzględniających wersje jest znacznie łatwiejsze w nowym systemie niż w takim, który działa produkcyjnie od dwóch lat.

EN 18222 — Interfejsy API dla cyklu życia paszportu produktu i jego wyszukiwalności

To norma dotycząca API. Określa minimalny interfejs, który musi udostępniać każdy system DPP.

EN 18222 nakazuje trzy metody odczytu, które każdy zgodny system DPP musi udostępniać jako ustandaryzowane punkty końcowe:

  • ReadDPPById — pobranie DPP według jego niepowtarzalnego identyfikatora (pełnego URI Digital Link lub kanonicznego ID).
  • ReadDPPByProductId — pobranie aktualnego DPP dla identyfikatora produktu (zwykle GTIN), zwracające najnowszy paszport.
  • ReadDPPIdsByProductIds — wyszukiwanie zbiorcze: dla listy identyfikatorów produktów zwraca odpowiadające im ID paszportów DPP. W ten sposób platformy handlowe, organy celne i recyklerzy sprawnie przetwarzają katalogi.

Norma określa także metody cyklu życia służące do tworzenia, aktualizowania, archiwizowania i rejestrowania DPP w rejestrze UE. Muszą one być uwierzytelniane i objęte kontrolą dostępu (z wykorzystaniem EN 18239, gdy zostanie opublikowana).

Większość dzisiejszych systemów DPP udostępnia jedynie ogólny interfejs CRUD nad własnym modelem danych. EN 18222 wymaga, aby trzy metody odczytu istniały jako ustandaryzowane punkty końcowe — co oznacza, że narzędzie zbudowane dla jednego systemu DPP zgodnego z EN 18222 może odpytywać inny bez żadnych zmian w kodzie. To techniczny fundament integracji z platformami handlowymi i recyklerami w skali UE.

EN 18223 — Interoperacyjność systemów

To norma dotycząca schematu. Określa kanoniczną strukturę nagłówka DPP — metadanych otaczających treść właściwą dla produktu — tak aby różne systemy DPP mogły wymieniać i interpretować nawzajem swoje paszporty.

Zgodnie z sekcją 4.1.2.1 nagłówek DPP musi zawierać:

  • granularity — model, partia lub egzemplarz — zadeklarowane wprost
  • dppSchemaVersion — wersja stosowanego schematu
  • dppStatus — aktywny, wycofany, zastąpiony, zarchiwizowany
  • lastUpdated — znacznik czasu ostatniej zmiany
  • economicOperatorId — poprawnie sformatowany zgodnie z ISO/IEC 6523 (LEI lub GS1 GCP), nie dowolny tekst
  • facilityId — to samo wymaganie dotyczące formatu
  • dictionaryReference — dla każdego elementu danych odniesienie do słownika kontrolowanego definiującego ten element
  • contentSpecificationIds — odniesienia do specyfikacji treści dla kategorii produktów (w przypadku DPP dla tekstyliów: schematu z aktu delegowanego ESPR)

To EN 18223 sprawia, że interoperacyjność staje się rzeczywistością. Dwa systemy DPP dostosowane do tej samej specyfikacji treści i oba tworzące nagłówki zgodne z EN 18223 mogą wymieniać dane bez indywidualnych prac integracyjnych. Recykler może zbudować jedno narzędzie, które przetwarza DPP dla tekstyliów dowolnej marki.

Czego jeszcze brakuje: EN 18239 i EN 18246

Dwie kolejne normy z tej rodziny są wciąż finalizowane (aktualizacja, październik 2026 r.: obie są już opublikowane, ale jeszcze nie przywołane w Dzienniku Urzędowym):

  • EN 18239 — Prawa dostępu i bezpieczeństwo. Określa, jak działają uwierzytelnianie, autoryzacja i dostęp oparty na rolach w odniesieniu do danych DPP. Różni interesariusze (konsument, warsztat naprawczy, recykler, organ celny, organ nadzoru) potrzebują różnych poziomów dostępu do tego samego DPP.
  • EN 18246 — Uwierzytelnianie i integralność danych. Określa, jak można kryptograficznie zweryfikować, że DPP jest autentyczny i niezmieniony. Prawdopodobnie wykorzystuje weryfikowalne poświadczenia (verifiable credentials) lub podobne prace W3C.

EN 18221, EN 18222 i EN 18223 powołują się na obie normatywnie — istniejące sześć norm ma więc zależności, które nie zostały jeszcze w pełni opublikowane. Marki budujące dziś infrastrukturę DPP powinny projektować wymienne warstwy uwierzytelniania i integralności, gotowe na włączenie EN 18239 i EN 18246 po ich sfinalizowaniu.

Jak to się ma do harmonogramu aktów delegowanych ESPR

Rozporządzenie ramowe ESPR (UE 2024/1781) weszło w życie 18 lipca 2024 r. Plan prac Komisji dotyczący ESPR (opublikowany w kwietniu 2025 r.) potwierdza kolejne akty delegowane, które określają wymogi właściwe dla poszczególnych grup produktów. W przypadku tekstyliów akt delegowany jest orientacyjnie oczekiwany w 2027 r., a wymogi zaczną obowiązywać co najmniej 18 miesięcy po jego wejściu w życie — zatem nie wcześniej niż w połowie 2028 r.

Opisane tu normy CEN są horyzontalne — określają system, a nie pola danych właściwe dla tekstyliów. Schemat danych dla tekstyliów będzie pochodził z aktu delegowanego ESPR oraz prac sektorowych CIRPASS-2 i zostanie podłączony do nagłówka EN 18223 jako odniesienie contentSpecificationIds.

To rozdzielenie ma znaczenie dla planowania. Marka może już dziś budować zgodnie z EN 18216 / 18219 / 18220 / 18221 / 18222 / 18223 — warstwa systemowa jest teraz w pełni wyspecyfikowana w zakresie opublikowanej szóstki. Warstwa pól dla tekstyliów zostanie dodana na wierzchu, gdy akt delegowany zostanie opublikowany, bez przeprojektowywania systemu.

Co marki powinny zrobić teraz

Dla marek, które mają już działające pilotażowe DPP (z kodami QR i adresami URL Digital Link), praktyczne kroki na najbliższy czas to:

  1. Sprawdzić resolver pod kątem EN 18216 §5. Czy ten sam adres URL zwraca JSON lub JSON-LD przy wywołaniu z Accept: application/json? Jeśli nie, należy dodać negocjację treści. Zwykle jest to najmniejsza poprawka na liście.
  2. Przenieść granularity, dppSchemaVersion, dppStatus i lastUpdated do nagłówka DPP. Zgodnie z EN 18223 §4.1.2.1 są one obowiązkowe.
  3. Zastąpić każde pole producenta w postaci dowolnego tekstu poprawnie sformatowanym economicOperatorId. Zgodnie z EN 18219 §6 musi to być LEI, GS1 GCP lub odpowiednik. Dowolny tekst nie przechodzi oceny zgodności.
  4. Zaplanować archiwum zgodnie z EN 18221. Jeśli tabela DPP przechowuje tylko najnowszy stan, należy dodać tabelę wersji i punkty odczytu uwzględniające wersje. Znacznie łatwiej zrobić to, zanim w środowisku produkcyjnym będą setki tysięcy DPP.
  5. Zaplanować trzy obowiązkowe metody odczytu EN 18222. Jeśli obecne API to ogólny CRUD nad modelem źródła danych, warto poprzedzić je cienkimi aliasami REST, które udostępniają ReadDPPById, ReadDPPByProductId i ReadDPPIdsByProductIds jako ustandaryzowane punkty końcowe.

Gdzie kupić normy

CEN nie sprzedaje norm bezpośrednio. Są one dystrybuowane przez krajowe jednostki normalizacyjne. Typowe drogi zakupu serii EN 18216–18223:

  • SIS (sis.se) — szwedzka jednostka krajowa. Zakup pojedynczej normy lub subskrypcja SIS. Przydatne, jeśli potrzebna jest cała seria po szwedzku (SS EN) i po angielsku.
  • en-standard.eu — prywatny sklep, natychmiastowe pobranie PDF.
  • DIN (Niemcy) / BSI (Wielka Brytania) — te same normy EN, czasem szybciej dostępne wersje angielskie.

Typowy koszt to 50–200 € za normę. Pełny zestaw sześciu norm kosztuje 300–1 000 € w zależności od drogi zakupu. Status całej serii można śledzić na standards.cencenelec.eu.

Podsumowanie

Publikacja EN 18216, 18219, 18220, 18221, 18222 i 18223 usuwa największą niejasność techniczną, która ciążyła nad pracami nad DPP przez ostatnie trzy lata. Marki nie muszą już zgadywać, jak wygląda zgodny system DPP — specyfikacje są teraz normatywne, można je kupić, a po przywołaniu w Dzienniku Urzędowym dają domniemanie zgodności na podstawie art. 41 ESPR.

Okres między dniem dzisiejszym a egzekwowaniem ESPR dla tekstyliów (nie wcześniej niż w połowie 2028 r.) to właściwy czas, aby sprawdzić istniejące pilotaże pod kątem norm, zamknąć luki w negocjacji treści, atrybutach nagłówka, projekcie archiwum i ustandaryzowanych metodach odczytu oraz zaprojektować wymienne punkty podłączenia dla EN 18239 i EN 18246, gdy zostaną sfinalizowane.

Marki, które budują zgodnie z tymi normami już teraz, będą miały domniemanie zgodności w chwili rozpoczęcia egzekwowania przepisów. Marki, które tego nie zrobią, będą musiały przedstawiać indywidualną argumentację przy każdej ocenie zgodności.