CIRPASS och CEN/CENELEC: DPP-standarderna förklarade

Bakom varje digitalt produktpass finns en uppsättning tekniska standarder som definierar hur data struktureras, delas och verifieras. Två namn dyker upp gång på gång i diskussioner om DPP: CIRPASS och CEN/CENELEC. Att förstå vad de är och vad de har tagit fram är avgörande för alla som ska införa DPP och uppfylla kraven.

Vad är CIRPASS?

CIRPASS (Collaborative Initiative for a Standards-based Digital Product Passport for Stakeholder-Specific Sharing of Product Data for a Circular Economy) var ett EU-finansierat projekt som pågick från oktober 2022 till mars 2024. Uppdraget: lägga den tekniska grunden för att införa digitala produktpass i stor skala i hela Europa.

CIRPASS samlade omkring 30 partner och associerade partner – branschorganisationer, teknikföretag, standardiseringsorgan och forskningsinstitut – för att besvara de praktiska frågor som ESPR-förordningen lämnade till tekniska specifikationer:

  • Vilket dataformat ska DPP:er använda?
  • Hur ska olika system utbyta DPP-data?
  • Hur ser interoperabilitet ut mellan branscher och över gränser?
  • Hur ska åtkomstkontroll fungera för olika typer av intressenter?

Vad CIRPASS levererade

Projektet tog fram flera centrala resultat:

DPP Architecture Blueprint – En referensarkitektur som definierar hur DPP-system ska fungera, med datamodeller, API-specifikationer och interaktionsmönster mellan DPP-plattformar, EU-registret och slutanvändare.

Sektorsfärdplaner – Färdplaner för prototyper i tre värdekedjor: batterier, textilier och elektronik. Att pilottesta dem är uppgiften för uppföljningsprojektet CIRPASS-2.

Interoperabilitetsramverk – Specifikationer för hur DPP:er från olika plattformar och branscher kan fungera tillsammans. Det är avgörande – en återvinningsanläggning ska inte behöva ett nytt verktyg för varje varumärkes pass.

Verktyg med öppen källkod – CIRPASS-2 (uppföljningsprojektet) har publicerat verktyg med öppen källkod, bland annat:

  • En DPP-validator för att kontrollera om pass uppfyller kraven
  • Ett simulerat EU-register för att testa registreringsflöden

De finns på github.com/CIRPASS-2 och är värdefulla för företag som bygger eller validerar sina DPP-implementationer.

CIRPASS-2

Uppföljningsprojektet CIRPASS-2 pågår för närvarande och fokuserar på att:

  • Förfina standarder utifrån erfarenheter från verkliga piloter
  • Stödja Europeiska kommissionens arbete med delegerade akter
  • Bygga upp en Community of Practice (CoP) för DPP-intressenter
  • Förbereda lanseringen av EU:s DPP-register (19 juli 2026; uppdatering: i drift sedan 20 juli 2026)

Vad är CEN/CENELEC?

CEN (Europeiska standardiseringskommittén) och CENELEC (Europeiska kommittén för elektroteknisk standardisering) är de officiella europeiska standardiseringsorganisationerna. När EU behöver tekniska standarder till stöd för en förordning är det inom CEN/CENELEC de tas fram.

För ESPR och digitala produktpass lämnade Europeiska kommissionen en standardiseringsbegäran (juli 2024) till CEN, CENELEC och ETSI om att ta fram harmoniserade standarder för de tekniska kraven på DPP-implementationer.

CEN/CENELEC:s 8 DPP-standarder

Sex publicerades i maj 2026 och de två sista i september 2026. Tillsammans utgör de det tekniska regelverket för DPP-implementationer. Observera att numren inte är ett sammanhängande intervall – det finns ingen EN 18217 eller EN 18218:

1. EN 18216 – Protokoll för datautbyte

Anger hur DPP-data begärs och överförs mellan system: säker transport över HTTPS, JSON som gemensamt grundformat och innehållsförhandling så att samma adress kan leverera en webbsida eller maskinläsbar data. Utan den här standarden skulle varje DPP-plattform tala sitt eget språk.

2. EN 18219 – Unika identifierare

Definierar hur produkter, ekonomiska aktörer och anläggningar identifieras. Den erkänner fem system för produktidentifierare – GS1 Digital Link och andra webbaktiverade strukturerade sökvägar, identifieringslänken (EN IEC 61406), decentraliserade identifierare (DID), identifierare enligt ISO/IEC 15459 som används i RFID, samt Digital Object Identifier (DOI).

3. EN 18220 – Databärare

Definierar de fysiska eller visuella medlen – QR-koder, Data Matrix-koder, RFID- och NFC-taggar – genom vilka en produkts identifierare når en telefon eller läsare, inklusive beständighet och placering.

4. EN 18221 – Datalagring, arkivering och beständighet

Ställer krav på att pass och deras versionshistorik hålls tillgängliga under den period som krävs, inklusive säkerhetskopior hos en leverantör av tjänster avseende digitala produktpass.

5. EN 18222 – API:er för hantering av passens livscykel och sökbarhet

Anger det gränssnitt som ett DPP-system exponerar för att skapa, läsa, uppdatera och söka pass, så att ett verktyg byggt mot ett system kan fråga ett annat.

6. EN 18223 – Interoperabilitet mellan system

Definierar den gemensamma strukturen för ett pass – till exempel huvudet som anger detaljnivå, schemaversion och status – så att olika DPP-system kan utbyta och tolka varandras pass.

7. EN 18239 – Hantering av åtkomsträttigheter, informationssystemsäkerhet och affärsmässig konfidentialitet

Definierar hur olika intressenter får åtkomst till DPP-data. Konsumenter ser en uppsättning information, affärspartner en annan och myndigheter det de har rätt till. Eftersom DPP:er kan innehålla affärskänslig information är säkerhet inte frivilligt.

8. EN 18246 – Dataäkthet, tillförlitlighet och integritet

Ställer krav på att visa att passdata är äkta och oförändrad, och på att skydda de personer som läser publik passdata.

Hur standarder blir obligatoriska

En vanlig källa till förvirring: CEN/CENELEC-standarder är som utgångspunkt frivilliga. De blir i praktiken obligatoriska genom ESPR:s mekanism med ”presumtion om överensstämmelse”:

  1. ESPR fastställer krav (t.ex. ”DPP:er måste vara interoperabla”)
  2. CEN/CENELEC tar fram harmoniserade standarder som definierar hur kraven uppfylls
  3. Om du följer en harmoniserad standard vars hänvisning har offentliggjorts i EUT presumeras du uppfylla de krav den omfattar (artikel 41 i ESPR)
  4. Om du inte följer standarden måste du visa att du uppfyller kraven på annat sätt – vilket är betydligt svårare och dyrare

I praktiken betyder det att CEN/CENELEC-standarderna är de facto obligatoriska. Att bygga ett DPP-system som struntar i dem är tekniskt lagligt men praktiskt oklokt.

Vad standarderna betyder för din implementation

Om du väljer en DPP-plattform

Fråga din plattformsleverantör:

  • Uppfyller ni CEN/CENELEC:s DPP-standarder?
  • Hur hanterar ni standarden för datamodell och schema?
  • Är ert gränssnitt mot EU-registret redo för lanseringen i juli 2026?
  • Hur implementerar ni åtkomstkontroll enligt standarden för autentisering?

En plattform som byggdes innan standarderna var färdigställda kan behöva omfattande uppdateringar. Plattformar som DPP Agent, byggda parallellt med standardiseringsarbetet, är utformade för att uppfylla kraven från grunden.

Om du bygger själv

Standarderna är din ritning. Utforma inte din datamodell eller API-struktur på egen hand – följ CEN/CENELEC-specifikationerna. Det sparar utvecklingstid och säkerställer att ditt system kan samverka med resten av DPP-ekosystemet.

Om du är leverantör

Dina kunder kommer att be dig leverera data i de format som standarderna definierar. Att förstå standarden för datamodellen hjälper dig att förbereda strukturerad data som flyter smidigt in i kundernas DPP-system.

JRC:s DPP-metodik

Vid sidan av CEN/CENELEC-standarderna publicerade Europeiska kommissionens gemensamma forskningscentrum (JRC) sin DPP-metodik i mars 2026. Metodiken kompletterar standarderna genom att definiera:

  • Tre prioritetsnivåer för data – väsentliga, starkt rekommenderade och frivilliga
  • En metod steg för steg – hur man för en produktgrupp väljer vilken data ett pass ska innehålla och varför

JRC:s metodik är en teknisk rapport, inte en standard eller en rättstext, men den visar hur datakraven i kommande delegerade akter sannolikt kommer att väljas.

GS1:s roll

GS1, den globala standardiseringsorganisationen bakom streckkoder och GTIN, har en specifik men avgörande roll i DPP-ekosystemet:

  • GS1 Digital Link är ett av de identifieringssystem som EN 18219 erkänner, och det mest använda för konsumentprodukter
  • GTIN är den produktidentifierare som bäddas in i en GS1 Digital Link
  • GS1:s resolverinfrastruktur stöder den tekniska upplösningen av DPP-URL:er

Om du väljer GS1-vägen och inte redan har GTIN för dina produkter är det första steget att skaffa dem från din nationella GS1-medlemsorganisation. Läs mer i vår guide till GS1 Digital Link.

Standarder som fortfarande utvecklas

Nu när alla åtta standarder är publicerade fortsätter arbetet med:

  • Sektorsspecifika tillägg – Ytterligare datafält för batterier, textilier och elektronik
  • Internationell samordning – Samordning med ISO och andra internationella standardiseringsorgan
  • Driftspecifikationer för registret – Detaljerade rutiner för EU:s DPP-register
  • Provning och certifiering – Hur DPP-plattformar kan certifieras för att de uppfyller standarderna

Praktiska konsekvenser

Interoperabiliteten är verklig

Standarderna säkerställer att ett DPP som skapats på plattform A kan läsas av plattform B, verifieras av EU-registret och nås av alla behöriga intressenter. Det är inte teoretiskt – CIRPASS-piloterna visade interoperabilitet mellan plattformar i praktiken.

Ingen inlåsning

Eftersom dataformat och API:er är standardiserade är företag inte låsta till en enda DPP-plattform. Du kan byta leverantör utan att förlora din passdata eller förstöra dina QR-koder. Så är det tänkt.

Efterlevnaden går att visa

Att följa standarderna ger dig ett tydligt argument för att du uppfyller kraven. När en marknadskontrollmyndighet frågar ”hur vet ni att era DPP:er uppfyller kraven?” är svaret enkelt: ”Vi följer de harmoniserade CEN/CENELEC-standarderna.”

Nästa steg

Att förstå standarderna är viktigt. Att införa dem är det som räknas.

Börja med en bedömning av hur redo du är på dppagent.com för att förstå vilka standarder som gäller för dina produkter och hur förberedda dina nuvarande system är. Använd sedan DPP Agent för att införa DPP:er som uppfyller kraven, på en infrastruktur byggd efter CEN/CENELEC-specifikationerna. Drivs av Blippa – som har hjälpt europeiska företag att navigera DPP-standarderna sedan första dagen.