CIRPASS i CEN/CENELEC: normy DPP wyjaśnione

Za każdym cyfrowym paszportem produktu stoi zestaw norm technicznych, które określają, jak dane są ustrukturyzowane, udostępniane i weryfikowane. W dyskusjach o DPP wciąż powracają dwie nazwy: CIRPASS i CEN/CENELEC. Zrozumienie, czym są i co wypracowały, jest niezbędne dla każdego, kto wdraża zgodność z wymogami DPP.

Czym jest CIRPASS?

CIRPASS (Collaborative Initiative for a Standards-based Digital Product Passport for Stakeholder-Specific Sharing of Product Data for a Circular Economy) był finansowanym przez UE projektem realizowanym od października 2022 r. do marca 2024 r. Jego misja: przygotować podstawy techniczne do wdrażania cyfrowych paszportów produktów na dużą skalę w całej Europie.

CIRPASS zgromadził około 30 partnerów i partnerów stowarzyszonych — stowarzyszenia branżowe, firmy technologiczne, organizacje normalizacyjne i instytucje badawcze — aby odpowiedzieć na praktyczne pytania, które rozporządzenie ESPR pozostawiło specyfikacjom technicznym:

  • Jakiego formatu danych powinny używać DPP?
  • Jak różne systemy powinny wymieniać dane DPP?
  • Jak wygląda interoperacyjność między branżami i ponad granicami?
  • Jak powinna działać kontrola dostępu dla różnych typów interesariuszy?

Rezultaty CIRPASS

Projekt wypracował kilka kluczowych rezultatów:

Projekt architektury DPP (DPP Architecture Blueprint) — architektura referencyjna określająca, jak powinny działać systemy DPP, w tym modele danych, specyfikacje API i wzorce interakcji między platformami DPP, rejestrem UE i użytkownikami końcowymi.

Mapy drogowe dla sektorów — mapy drogowe dla prototypów w trzech łańcuchach wartości: bateriach, tekstyliach i elektronice. Ich pilotażowe wdrożenie to zadanie projektu następczego, CIRPASS-2.

Ramy interoperacyjności — specyfikacje tego, jak DPP z różnych platform i branż mogą ze sobą współdziałać. To kluczowe — zakład recyklingu nie powinien potrzebować innego narzędzia dla paszportu każdej marki.

Narzędzia open source — CIRPASS-2 (projekt następczy) opublikował narzędzia open source, w tym:

  • walidator DPP do sprawdzania zgodności paszportów,
  • symulowany rejestr UE (Mock EU Registry) do testowania procesów rejestracji.

Są one dostępne na github.com/CIRPASS-2 i mają dużą wartość dla firm budujących lub walidujących swoje wdrożenia DPP.

CIRPASS-2

Projekt następczy, CIRPASS-2, jest obecnie aktywny i koncentruje się na:

  • doskonaleniu norm na podstawie informacji zwrotnych z rzeczywistych pilotaży,
  • wspieraniu prac Komisji Europejskiej nad aktami delegowanymi,
  • budowaniu wspólnoty praktyków (Community of Practice, CoP) dla interesariuszy DPP,
  • przygotowaniach do uruchomienia rejestru DPP UE (19 lipca 2026 r.; aktualizacja: działa od 20 lipca 2026 r.).

Czym jest CEN/CENELEC?

CEN (Europejski Komitet Normalizacyjny) i CENELEC (Europejski Komitet Normalizacyjny Elektrotechniki) to oficjalne europejskie organizacje normalizacyjne. Gdy UE potrzebuje norm technicznych wspierających rozporządzenie, opracowuje się je właśnie w CEN/CENELEC.

Na potrzeby ESPR i cyfrowych paszportów produktów Komisja Europejska skierowała do CEN, CENELEC i ETSI wniosek o normalizację (lipiec 2024 r.) dotyczący opracowania norm zharmonizowanych obejmujących wymagania techniczne wdrażania DPP.

8 norm DPP CEN/CENELEC

Sześć opublikowano w maju 2026 r., a ostatnie dwie we wrześniu 2026 r. Razem stanowią techniczny zbiór zasad wdrażania DPP. Należy pamiętać, że numery nie tworzą ciągłego zakresu — nie istnieją EN 18217 ani EN 18218:

1. EN 18216 — Protokoły wymiany danych

Określa, jak dane DPP są żądane i przesyłane między systemami: bezpieczny transport HTTPS, JSON jako wspólny format bazowy oraz negocjacja treści, dzięki której pod tym samym adresem można serwować stronę internetową lub dane odczytywalne maszynowo. Bez tej normy każda platforma DPP mówiłaby własnym językiem.

2. EN 18219 — Niepowtarzalne identyfikatory

Określa, jak identyfikuje się produkty, podmioty gospodarcze i zakłady. Uznaje pięć schematów identyfikatorów produktów — GS1 Digital Link i inne ustrukturyzowane ścieżki dostępne w sieci, link identyfikacyjny (EN IEC 61406), zdecentralizowane identyfikatory (DID), identyfikatory ISO/IEC 15459 stosowane w RFID oraz cyfrowy identyfikator obiektu (DOI).

3. EN 18220 — Nośniki danych

Określa fizyczne lub wizualne środki — kody QR, kody Data Matrix, znaczniki RFID i NFC — za pomocą których identyfikator produktu trafia do telefonu lub czytnika, w tym ich trwałość i rozmieszczenie.

4. EN 18221 — Przechowywanie, archiwizacja i trwałość danych

Ustala wymagania dotyczące utrzymywania paszportów i historii ich wersji w dostępności przez wymagany okres, w tym kopii zapasowych przechowywanych przez dostawcę usług w zakresie cyfrowych paszportów produktów.

5. EN 18222 — Interfejsy API do zarządzania cyklem życia paszportu i jego wyszukiwalności

Określa interfejs, który system DPP udostępnia do tworzenia, odczytywania, aktualizowania i wyszukiwania paszportów, tak aby narzędzie zbudowane dla jednego systemu mogło odpytywać inny.

6. EN 18223 — Interoperacyjność systemów

Określa wspólną strukturę paszportu — na przykład nagłówek deklarujący poziom szczegółowości, wersję schematu i status — tak aby różne systemy DPP mogły wymieniać i interpretować nawzajem swoje paszporty.

7. EN 18239 — Zarządzanie prawami dostępu, bezpieczeństwo systemów informacyjnych i poufność informacji handlowych

Określa, jak różni interesariusze uzyskują dostęp do danych DPP. Konsumenci widzą jeden zestaw informacji, partnerzy biznesowi inny, a organy to, do czego są uprawnione. Ponieważ DPP mogą zawierać informacje wrażliwe handlowo, bezpieczeństwo nie jest opcjonalne.

8. EN 18246 — Autentyczność, wiarygodność i integralność danych

Ustala wymagania dotyczące wykazania, że dane paszportu są autentyczne i niezmienione, oraz ochrony osób czytających publiczne dane paszportu.

Jak normy stają się obowiązkowe

Częste źródło nieporozumień: normy CEN/CENELEC są domyślnie dobrowolne. Faktycznie obowiązkowe stają się dzięki mechanizmowi „domniemania zgodności” w ESPR:

  1. ESPR ustala wymagania (np. „DPP muszą być interoperacyjne”)
  2. CEN/CENELEC opracowuje normy zharmonizowane, które określają, jak spełnić te wymagania
  3. Jeśli stosuje się normę zharmonizowaną, do której odniesienie opublikowano w Dzienniku Urzędowym, domniemywa się zgodność z wymaganiami, które ona obejmuje (art. 41 ESPR)
  4. Jeśli normy się nie stosuje, zgodność trzeba wykazać innymi środkami — co jest znacznie trudniejsze i droższe

W praktyce oznacza to, że normy CEN/CENELEC są de facto obowiązkowe. Zbudowanie systemu DPP, który je ignoruje, jest technicznie legalne, ale praktycznie nierozsądne.

Co normy oznaczają dla wdrożenia

Przy wyborze platformy DPP

Warto zapytać dostawcę platformy:

  • Czy platforma jest zgodna z normami DPP CEN/CENELEC?
  • Jak obsługiwana jest norma dotycząca modelu danych i schematu?
  • Czy interfejs do rejestru UE jest gotowy na uruchomienie w lipcu 2026 r.?
  • Jak wdrożona jest kontrola dostępu zgodnie z normą dotyczącą uwierzytelniania?

Platforma zbudowana przed sfinalizowaniem norm może wymagać znaczących aktualizacji. Platformy takie jak DPP Agent, budowane równolegle z procesem normalizacyjnym, są od podstaw projektowane z myślą o zgodności.

Przy budowie własnego rozwiązania

Normy są projektem wykonawczym. Nie należy projektować modelu danych ani struktury API niezależnie — trzeba dostosować je do specyfikacji CEN/CENELEC. Oszczędza to czas prac rozwojowych i zapewnia, że system będzie współdziałał z szerszym ekosystemem DPP.

Dla dostawców

Klienci będą prosić o dostarczanie danych w formatach określonych przez te normy. Zrozumienie normy dotyczącej modelu danych pomaga przygotować ustrukturyzowane dane, które bez przeszkód trafią do systemów DPP klientów.

Metodyka DPP JRC

Równolegle z normami CEN/CENELEC Wspólne Centrum Badawcze Komisji Europejskiej (JRC) opublikowało w marcu 2026 r. swoją metodykę DPP. Metodyka ta uzupełnia normy, określając:

  • Trzy poziomy priorytetu danych — dane niezbędne, zdecydowanie zalecane i dobrowolne
  • Metodę krok po kroku — jak wybrać dla danej grupy produktów, jakie dane powinien zawierać paszport i dlaczego

Metodyka JRC jest raportem technicznym, a nie normą ani tekstem prawnym, ale pokazuje, w jaki sposób prawdopodobnie będą dobierane wymagania dotyczące danych w przyszłych aktach delegowanych.

Rola GS1

GS1, globalna organizacja normalizacyjna stojąca za kodami kreskowymi i numerami GTIN, odgrywa w ekosystemie DPP szczególną, ale kluczową rolę:

  • GS1 Digital Link to jeden ze schematów identyfikatorów uznawanych przez EN 18219 i najszerzej stosowany w przypadku produktów konsumenckich
  • GTIN to identyfikator produktu osadzony w GS1 Digital Link
  • Infrastruktura resolverów GS1 wspiera techniczne rozwiązywanie adresów URL DPP

Jeśli wybierają Państwo ścieżkę GS1 i nie mają jeszcze numerów GTIN dla swoich produktów, pierwszym krokiem jest ich uzyskanie w krajowej organizacji członkowskiej GS1. Więcej w naszym przewodniku po GS1 Digital Link.

Normy wciąż w opracowaniu

Po opublikowaniu wszystkich ośmiu norm prace trwają nad:

  • Rozszerzeniami sektorowymi — dodatkowymi polami danych dla baterii, tekstyliów i elektroniki
  • Dostosowaniem międzynarodowym — koordynacją z ISO i innymi międzynarodowymi organizacjami normalizacyjnymi
  • Specyfikacjami operacyjnymi rejestru — szczegółowymi procedurami dla rejestru DPP UE
  • Testowaniem i certyfikacją — tym, jak platformy DPP mogą być certyfikowane pod kątem zgodności z normami

Praktyczne konsekwencje

Interoperacyjność jest realna

Normy zapewniają, że DPP utworzony na platformie A może zostać odczytany przez platformę B, zweryfikowany przez rejestr UE i udostępniony każdemu upoważnionemu interesariuszowi. To nie teoria — pilotaże CIRPASS wykazały w praktyce interoperacyjność między platformami.

Brak uzależnienia od zastrzeżonych rozwiązań

Ponieważ formaty danych i interfejsy API są ustandaryzowane, firmy nie są uzależnione od jednej platformy DPP. Można zmienić dostawcę bez utraty danych paszportów i bez psucia kodów QR. Tak to zaprojektowano.

Zgodność da się wykazać

Stosowanie norm daje jasny argument na rzecz zgodności. Gdy organ nadzoru rynku zapyta: „Skąd Państwo wiedzą, że Państwa DPP są zgodne?”, odpowiedź jest prosta: „Stosujemy zharmonizowane normy CEN/CENELEC”.

Kolejne kroki

Zrozumienie norm jest ważne. Liczy się jednak ich wdrożenie.

Warto zacząć od oceny gotowości na dppagent.com, aby zrozumieć, które normy dotyczą Państwa produktów i na ile przygotowane są obecne systemy. Następnie można użyć DPP Agent, aby wdrożyć zgodne DPP na infrastrukturze zbudowanej zgodnie ze specyfikacjami CEN/CENELEC. Rozwiązanie oparte na platformie Blippa — od pierwszego dnia pomagamy europejskim firmom poruszać się w świecie norm DPP.