EN 18216 till 18223: de sex CEN-standarder som definierar ett digitalt produktpass som uppfyller kraven

I tre år har varje diskussion om digitala produktpass (DPP) stött på samma fråga: hur ser ett DPP-system som uppfyller kraven egentligen ut? ESPR-förordningen (EU 2024/1781) är den rättsliga grunden. CIRPASS-2 skissade arkitekturen. GS1 Digital Link gav oss URL-syntaxen. Men de faktiska normativa tekniska standarderna – de som ett varumärke kan peka på och säga ”bygg efter det här” – saknades.

Den luckan är nu stängd. CEN/CENELEC:s gemensamma tekniska kommitté 24 (JTC 24) har publicerat sex normativa europeiska standarder som omfattar den tekniska arkitekturen för ett digitalt produktpass. Tillsammans definierar de hur identifierare fungerar, hur data bärs, hur API:t beter sig, hur data utbyts och arkiveras och hur system samverkar.

De sex publicerade standarderna är:

  • EN 18216 – Protokoll för datautbyte
  • EN 18219 – Unika identifierare
  • EN 18220 – Databärare
  • EN 18221 – Datalagring och beständighet
  • EN 18222 – API:er för hantering av passens livscykel och sökbarhet
  • EN 18223 – Interoperabilitet mellan system

Två till – EN 18239 (åtkomsträttigheter och säkerhet) och EN 18246 (autentisering och integritet för data) – håller fortfarande på att tas fram som prEN-utkast, och 18221, 18222 och 18223 hänvisar normativt till dem. De väntas härnäst. Uppdatering, oktober 2026: båda godkändes av CEN den 17 augusti 2026 och är nu publicerade – se alla åtta DPP-standarder är publicerade, bara sex är offentliggjorda i EUT.

Den här artikeln går igenom vad var och en av de sex publicerade standarderna faktiskt kräver, varför varumärken bör anpassa sina DPP-system efter dem redan nu och hur standarderna samspelar med tidslinjen för delegerade akter enligt ESPR för textilier.

Varför standarderna spelar roll för efterlevnaden av ESPR

Artikel 9 i ESPR kräver digitala produktpass för produkter som släpps ut på EU-marknaden inom de produktgrupper som omfattas av delegerade akter. Artiklarna 10 och 11 räknar upp de väsentliga kraven: passen måste vara kopplade till en beständig unik produktbeteckning och vara maskinläsbara, tillgängliga, säkra och interoperabla.

De artiklarna anger dock inte hur kraven ska uppfyllas på teknisk nivå. Det är vad CEN-standarderna gör. Bilaga ZA i varje standard kopplar dess avsnitt till de krav i ESPR som den täcker, och när kommissionen har offentliggjort en standard i EUT ger det presumtion om överensstämmelse att följa den (artikel 41 i ESPR) – vilket betyder att ett system som följer EN 18216 presumeras uppfylla ESPR:s krav på datautbyte, att ett system som använder identifierare enligt EN 18219 presumeras uppfylla kravet på unikhet, och så vidare. Uppdatering, oktober 2026: alla sex offentliggjordes den 15 juli 2026 genom genomförandebeslut (EU) 2026/1736.

Rent praktiskt: kan du inte visa att du följer standarderna blir din bedömning av överensstämmelse enligt ESPR en egen argumentation från fall till fall. Kan du det blir den en bock i en ruta.

EN 18216 – Protokoll för datautbyte

Det här är standarden för transportlagret. Den definierar hur en DPP-resurs begärs, överförs och återges.

Avsnitt 4 – Transport: DPP-datautbyte måste använda HTTPS med minst TLS 1.2 (TLS 1.3 rekommenderas starkt) och minst HTTP/2, med HTTP/3 rekommenderat. API:er bör följa REST-stil. Äldre protokoll (TLS 1.1, SSL) är förbjudna.

Avsnitt 5 – Format och innehållsförhandling: JSON (enligt ISO/IEC 21778) måste stödjas som grundnivå för syntaktisk interoperabilitet. XML, JSON-LD och HTML får erbjudas därutöver, och vilket format som levereras väljs via HTTP-innehållsförhandling (enligt RFC 9110, standardmönstret med Accept-headern).

Det sista kravet är det som de flesta nuvarande DPP-implementationer inte klarar. Samma URL måste returnera antingen återgiven HTML (för en konsument som skannar en QR-kod) eller maskinläsbar JSON / JSON-LD (för en återvinnares verktyg, en marknadsplatsintegration eller en granskare), beroende på vilken Accept-header klienten skickar. En resurs, flera representationer.

När HTML returneras måste den uppfylla EN 301549 (EU:s tillgänglighetsstandard). En DPP-sida som bara finns som HTML uppfyller inte EN 18216, även om allt annat i den är korrekt.

EN 18219 – Unika identifierare

Det här är standarden för identifieringssystem, och den mest föreskrivande av de sex.

Avsnitt 4.1 – global unikhet: ingen återanvändning, skild från alla andra identifierare, ingen samexistens med ett annat ID för samma produktexemplar.

Avsnitt 4.2 – beständighet: identifieraren måste överleva aktörens obestånd eller likvidation. En anmärkning tillägger att EU:s DPP-register garanterar en lägsta nivå av bevarande för identifierare; att hålla själva passet tillgängligt är en separat skyldighet enligt ESPR, som uppfylls genom en säkerhetskopia hos en leverantör av tjänster avseende digitala produktpass (artikel 10.4 i ESPR).

Avsnitt 4.3 – syntax: teckenuppsättning enligt ISO/IEC 646; URI-formen måste följa RFC 3986; identifieraren måste vara en URL eller kunna omvandlas till en URL.

Avsnitt 4.4 – detaljnivå: varje identifierare måste vara unik på den finaste detaljnivå den betjänar (modell, parti eller serienummer på artikelnivå). Detaljnivån måste vara konsekvent när produkten väl finns på marknaden. Om detaljnivån ändras – till exempel när ett varumärke går från DPP:er på partinivå till artikelnivå – måste en ny identifierare utfärdas och kopplas till den gamla för spårbarhetens skull.

Avsnitt 4.6 – öppenhet: den publika DPP-informationen måste kunna nås utan registrering, nedladdning av app eller inloggningsuppgifter. Ingen inlåsning hos leverantörer är tillåten.

ID-schema 1 – webbaktiverat ID med strukturerad sökväg (GS1-vägen): Den dominerande vägen i praktiken. Den kräver att identifieraren följer GS1 Digital Link URI Syntax v1.6.0:2022, använder GS1 Application Identifiers enligt ISO/IEC 15418, följer upplösning med strukturerad sökväg enligt ISO/IEC 18975 och använder en registrerad kod för utfärdande organ enligt ISO/IEC 15459-2 (ett verkligt GS1 Global Company Prefix, inte en platshållare).

En GS1 Digital Link-URL som uppfyller kraven ser ut så här: /01/{GTIN}/22/{CPV}/10/{batch}/21/{serial}. Sökvägens segment kodar detaljnivån automatiskt: /01/{GTIN} ensamt är modellnivå, med /10/{batch} blir det partinivå och med /21/{serial} blir det artikelnivå.

Avsnitt 6 – Identifierare för ekonomiska aktörer och anläggningar: De måste använda något av systemen ISO/IEC 6523 (LEI, GS1 GCP, PEPPOL), ISO/IEC 15418/15459, DID eller DOI. Tillverkarnamn som fritext i ett DPP-huvud uppfyller inte kraven.

EN 18220 – Databärare

Den här standarden definierar de fysiska eller visuella medel genom vilka DPP-identifieraren når en skanner eller läsare. I praktiken: QR-koder, Data Matrix-koder, RFID-taggar och NFC-taggar.

EN 18220 kräver att databäraren kodar den unika produktbeteckningen (enligt EN 18219) som ger åtkomst till DPP:t, kan läsas av allmänt tillgängliga mobilkameror och vanliga industriella läsare och uppfyller beständighetskrav som passar produktens livscykel.

För de flesta konsumentnära kategorier – textilier, skor, möbler – är en QR-kod som kodar GS1 Digital Link-URL:en i praktiken standardbäraren. EN 18220 bekräftar att det är godtagbart, men ställer krav på beständighet och kontrast. Varumärken som använder hängetiketter av papper måste se till att databäraren håller åtminstone tills produkten är såld; varumärken som använder insydda etiketter måste se till att den går att skanna under produktens förväntade livslängd.

EN 18221 – Datalagring, arkivering och beständighet

Det är här de flesta befintliga DPP-implementationer har sin största lucka.

Avsnitt 4.2 – arkivering från första ändringen: varje ändring av ett DPP måste arkiveras från det ögonblick ändringen görs, och versionshistoriken måste sparas under DPP:ts hela livstid. DPP:t är inte en enda föränderlig post; det är ett versionshanterat objekt med fullständig historik.

Avsnitt 4.3 och 4.5 – backupleverantör av DPP-tjänster: när en produkt släpps ut på marknaden kan det krävas att en säkerhetskopia görs tillgänglig via en tjänsteleverantör – standardens formulering är villkorad, och om den gäller avgörs av produktens egna regler. Där den gäller innehåller säkerhetskopian den aktuella versionen och alla historiska versioner som krävs, och allmän åtkomst till passet hos säkerhetskopian öppnas när den ekonomiska aktören inte längre är verksam på marknaden. Det är det som ger identifieraren den beständighet som krävs (EN 18219 §4.2.2, som kräver att identifieraren överlever obestånd, likvidation eller upphörd verksamhet).

Varaktigheten anges inte som en siffra i standarden. EN 18221 definierar det digitala produktpassets livstid som den period under vilken passet enligt regelverket måste vara tillgängligt, och varje krav på varaktighet hänvisar tillbaka till den – så antalet år kommer från den delegerade akten enligt ESPR för kategorin, inte från standarden. Däremot ställer den ett krav på åtkomstmönster: versionen så som den såg ut vid en viss tidpunkt måste kunna hämtas av autentiserade och behöriga aktörer, så arkivet går att fråga mot i stället för att vara en logg som bara skrivs till.

Ett DPP-system som bara lagrar det senaste tillståndet för varje pass uppfyller inte kraven. Varumärken behöver utforma för versionshanterad lagring från första dagen – att lägga till tabeller för versionshistorik och versionsmedvetna läsendpoints är mycket enklare i ett nytt system än att bygga om ett som har varit i drift i två år.

EN 18222 – API:er för hantering av passens livscykel och sökbarhet

Det här är API-standarden. Den definierar det minsta gränssnitt som varje DPP-system måste exponera.

EN 18222 föreskriver tre läsmetoder som varje DPP-system som uppfyller kraven måste exponera som standardiserade endpoints:

  • ReadDPPById – hämta ett DPP via dess unika identifierare (den fullständiga Digital Link-URI:n eller det kanoniska ID:t).
  • ReadDPPByProductId – hämta det aktuella DPP:t för en produktidentifierare (oftast GTIN), som returnerar det senaste passet.
  • ReadDPPIdsByProductIds – bulkuppslagning: givet en lista med produktidentifierare returneras motsvarande DPP-ID:n. Det är så marknadsplatser, tullmyndigheter och återvinnare effektivt bearbetar kataloger.

Standarden definierar också livscykelmetoder för att skapa, uppdatera, arkivera och registrera DPP:er i EU-registret. De måste vara autentiserade och åtkomststyrda (med EN 18239 när den är publicerad).

De flesta DPP-system i dag exponerar bara ett generiskt CRUD-gränssnitt över sin egen datamodell. EN 18222 kräver att de tre läsmetoderna finns som standardiserade endpoints – vilket betyder att ett verktyg byggt mot ett DPP-system som uppfyller EN 18222 kan fråga ett annat utan kodändringar. Det är den tekniska grunden för integration med marknadsplatser och återvinnare i EU-skala.

EN 18223 – Interoperabilitet mellan system

Det här är schemastandarden. Den definierar den kanoniska strukturen för ett DPP-huvud – de metadata som omsluter det produktspecifika innehållet – så att olika DPP-system kan utbyta och tolka varandras pass.

Enligt avsnitt 4.1.2.1 måste DPP-huvudet innehålla:

  • granularity – modell, parti eller artikel – uttryckligen angiven
  • dppSchemaVersion – version av det schema som används
  • dppStatus – aktiv, återkallad, ersatt, arkiverad
  • lastUpdated – tidsstämpel för den senaste ändringen
  • economicOperatorId – korrekt formaterad enligt ISO/IEC 6523 (LEI eller GS1 GCP), inte fritext
  • facilityId – samma formateringskrav
  • dictionaryReference – för varje dataelement en hänvisning till den kontrollerade vokabulär som definierar elementet
  • contentSpecificationIds – hänvisningar till innehållsspecifikationerna för produktkategorin (schemat från den delegerade akten enligt ESPR, i textil-DPP:er)

EN 18223 är det som gör interoperabiliteten verklig. Två DPP-system som följer samma innehållsspecifikation och båda producerar huvuden enligt EN 18223 kan utbyta data utan något eget integrationsarbete. En återvinnare kan bygga ett enda verktyg som bearbetar textil-DPP:er från vilket varumärke som helst.

Vad som fortfarande saknas: EN 18239 och EN 18246

Två standarder till i serien håller fortfarande på att färdigställas (uppdatering, oktober 2026: båda är nu publicerade, men ännu inte offentliggjorda i EUT):

  • EN 18239 – Åtkomsträttigheter och säkerhet. Definierar hur autentisering, behörighet och rollbaserad åtkomst fungerar för DPP-data. Olika intressenter (konsument, reparationsverkstad, återvinnare, tullmyndighet, tillsynsmyndighet) behöver olika åtkomstnivåer till samma DPP.
  • EN 18246 – Autentisering och integritet för data. Definierar hur ett DPP kryptografiskt kan verifieras som äkta och oförändrat. Använder sannolikt verifierbara intyg (verifiable credentials) eller liknande arbete från W3C.

Båda hänvisas till normativt av EN 18221, EN 18222 och EN 18223 – så de sex befintliga standarderna har beroenden som ännu inte är fullständigt publicerade. Varumärken som bygger DPP-infrastruktur nu bör utforma med utbytbara lager för autentisering och integritet, redo att koppla in EN 18239 och EN 18246 när de är färdigställda.

Hur det här hänger ihop med tidslinjen för delegerade akter enligt ESPR

Ramförordningen ESPR (EU 2024/1781) trädde i kraft den 18 juli 2024. Kommissionens arbetsplan för ESPR (publicerad i april 2025) bekräftar de löpande delegerade akter som definierar kraven för varje produktgrupp. För textilier väntas den delegerade akten preliminärt 2027, med krav som börjar gälla minst 18 månader efter att den trätt i kraft – alltså inte före mitten av 2028.

CEN-standarderna som beskrivs här är övergripande – de definierar systemet, inte de textilspecifika datafälten. Dataschemat för textilier kommer från den delegerade akten enligt ESPR plus sektorsarbetet i CIRPASS-2, och kopplas in i huvudet enligt EN 18223 som hänvisningen contentSpecificationIds.

Den uppdelningen spelar roll för planeringen. Ett varumärke kan bygga efter EN 18216 / 18219 / 18220 / 18221 / 18222 / 18223 i dag – systemlagret är nu fullständigt specificerat för de sex publicerade. Lagret med textilfält läggs till ovanpå när den delegerade akten offentliggörs, utan att systemet behöver göras om.

Vad varumärken bör göra nu

För varumärken som redan har pilot-DPP:er i drift (med QR-koder och Digital Link-URL:er) är de praktiska stegen på kort sikt:

  1. Granska din resolver mot EN 18216 §5. Returnerar samma URL JSON eller JSON-LD när den anropas med Accept: application/json? Om inte, lägg till innehållsförhandling. Det är oftast den minsta åtgärden på listan.
  2. Lyft upp granularity, dppSchemaVersion, dppStatus och lastUpdated i DPP-huvudet. Enligt EN 18223 §4.1.2.1 är de obligatoriska.
  3. Ersätt varje tillverkarfält i fritext med en korrekt formaterad economicOperatorId. Enligt EN 18219 §6 måste det vara ett LEI, ett GS1 GCP eller motsvarande. Fritext underkänns vid bedömningen av överensstämmelse.
  4. Planera arkivutformningen för EN 18221. Om din DPP-tabell bara lagrar det senaste tillståndet, lägg till en versionstabell och versionsmedvetna läsendpoints. Det är mycket enklare att lägga till innan du har hundratusentals DPP:er i produktion.
  5. Planera de tre obligatoriska läsmetoderna i EN 18222. Om ditt nuvarande API är ett generiskt CRUD över en datakällsmodell, lägg tunna REST-alias framför det som exponerar ReadDPPById, ReadDPPByProductId och ReadDPPIdsByProductIds som standardiserade endpoints.

Var du skaffar standarderna

CEN säljer inte standarder direkt. De distribueras via de nationella standardiseringsorganen. Vanliga sätt att köpa serien EN 18216–18223:

  • SIS (sis.se) – det svenska nationella organet. Köp per standard eller en SIS-prenumeration. Användbart om du vill ha hela serien på svenska (SS EN) och engelska.
  • en-standard.eu – privat butik, omedelbar nedladdning som PDF.
  • DIN (Tyskland) / BSI (Storbritannien) – samma EN-standarder, ibland snabbare engelska versioner.

Typisk kostnad är 50–200 € per standard. Hela uppsättningen om sex standarder kostar 300–1 000 € beroende på vägen. Status för hela serien kan följas på standards.cencenelec.eu.

Sammanfattning

Publiceringen av EN 18216, 18219, 18220, 18221, 18222 och 18223 löser den största tekniska oklarheten som har hängt över DPP-arbetet de senaste tre åren. Varumärken behöver inte längre gissa hur ett DPP-system som uppfyller kraven ser ut – specifikationerna är nu normativa, går att köpa och ger – när de väl offentliggjorts i EUT – presumtion om överensstämmelse enligt artikel 41 i ESPR.

Tiden mellan nu och när ESPR verkställs för textilier (inte före mitten av 2028) är rätt tillfälle att granska befintliga piloter mot standarderna, täppa till luckor i innehållsförhandling, huvudattribut, arkivutformning och standardiserade läsmetoder, och att utforma med utbytbara anslutningspunkter för EN 18239 och EN 18246 när de är färdigställda.

Varumärken som bygger efter standarderna nu har presumtion om överensstämmelse när kraven verkställs. Varumärken som inte gör det får föra en egen argumentation vid varje bedömning av överensstämmelse.