Tenk deg en revisjon i 2029. En kunde lar leverandørkjeden din bli revidert, og revisoren spør hvilken tekst produktpasset ditt er utarbeidet etter. Det riktige svaret er et svar som ikke har endret seg siden den gang: samme standard, samme versjon, samme kontroll som den gang.
Inntil nylig fantes ikke dette svaret. Den som utarbeidet et produktpass, gjorde det i henhold til utkast, og hver nye versjon kunne endre målsettingen. Siden juli 2026 har teksten vært fastlagt.
Denne artikkelen forklarer hva dette betyr for deg, hvilke av de åtte standardene som er fastsatt, og hva hver enkelt krever. Og den viser, standard for standard, hvordan Transpareo oppfyller dem i dag.
Hva «harmonisert» betyr
Den 15. juli 2026 publiserte EU de første seks standardene for det digitale produktpasset i EUT, med gjennomføringsbeslutning (EU) 2026/1736. Siden da har de vært harmonisert. Ordet høres teknisk ut og betyr to enkle ting.
For det første: Teksten endres ikke lenger. En vurdering av mangler som gjøres i dag, gjelder også neste år.
For det andre: Den som oppfyller standardene, anses å være i samsvar med artikkel 10 og 11 i ESPR, forordningen som ligger til grunn for produktpasset, og trenger ikke å bevise dette selv. De kan også oppfylle artiklene på en annen måte, men da har de bevisbyrden.
Teksten er fastlagt, og den som oppfyller den, anses som regelkonform.
Dermed er det bare ett spørsmål som teller for deg: Oppfyller plattformen du overlater passene dine til, disse standardene allerede i dag? Vår gjør det. Her er beviset, standard for standard.
Identifikatorer og datamedier: EN 18219 og EN 18220
EN 18219 (unike identifikatorer). Hvert pass har en permanent identifikator som ikke tilhører noen server, og en produktidentifikator i form av en GS1 Digital Link som enhver skanner kan finne; den ansvarlige produsenten er angitt der som LEI eller GLN. En identifikator som fortsatt er gyldig selv om et domene eller en leverandør forsvinner.
EN 18220 (databærere). QR-koden på produktet åpnes i alle nettlesere, uten app og uten tilleggsprogramvare. Det som standarden krever for databæreren, er allerede vanlig praksis.
Lagring og utveksling: EN 18221 og EN 18216
EN 18221 (lagring og arkivering). Hver publiserte versjon blir fryst, signert og lagret i et arkiv der ingenting lenger kan endres, og som er utformet for langvarig oppbevaring. Hver versjon er koblet til sin forgjenger via et «fingeravtrykk», slik at en manglende eller endret versjon umiddelbart blir lagt merke til.
EN 18216 (datautveksling). Vi leverer dataformatet som standarden foreskriver, via vanlige webprotokoller. Ingen spesialformater, ingen egen innpakning.
Datamodell og grensesnitt: EN 18223 og EN 18222
EN 18223 (datamodell). Her ligger vår største styrke. Datamodellen vår er åpen og inneholder egne ordbøker for hver forskrift side om side, akkurat slik innledningen til standarden krever. Hvert element beskriver seg selv, med henvisning til egenskap, ordbok og datatype. Før oppstarten har vi sammenlignet det klausul for klausul med EN 18223; standarden er for oss et utdataformat, ikke noe vi må bygge opp fra grunnen av. Hvordan dette ser ut i detalj, viser «Verbosity-avgiften» i EN 18223, og hvorfor vi ikke betaler den.
EN 18222 (grensesnitt). Å lese et pass ved hjelp av identifikasjonsnummer eller produktkode, opprette pass, enkeltvis eller i bunker på tusenvis, hente frem hver versjon målrettet: Grensesnittene som standarden foreskriver for drift av et pass, er en del av plattformen. Deres systemer leser og skriver pass slik standarden beskriver.
De to som fortsatt er på vei: EN 18246 og EN 18239
To standarder er ennå ikke nevnt, nemlig de som gjelder tillit og sikkerhet. Også disse oppfyller vi allerede.
EN 18246 (ektehet og integritet). Hvert pass er signert og verifiserer seg selv i brukerens nettleser, offline, mot en offentlig nøkkel. Leseren kan se om dataene er intakte og hvem de stammer fra uten å måtte kontakte oss, og utstederen kan ikke benekte sin signatur. Et uforanderlig arkiv sikrer historikken. Det er nettopp dette standarden krever. Hvordan signaturene fungerer, står beskrevet under «Signaturer og sertifikater» i DPP.
EN 18239 (tilgangsrettigheter og konfidensialitet). Fire tilgangsnivåer - offentlig, på forespørsel, berettiget interesse, myndigheter - gjenspeiler allerede i dag nøyaktig de mottakergruppene som batteriforordningen nevner i artikkel 77(2). Hver kunde er adskilt fra de andre, og myndighetene får en egen, sertifisert kanal.
Og fordi vårt tillitslag er nøye innkapslet fra starten av, tilpasser vi de siste finjusteringene i disse to standardene i løpet av få dager, så snart de blir sitert, uten ombygging.
Hvor vi står
Dette er svaret som teller: Målet er fastsatt, og plattformen vår oppfyller det. Vi har vært tett med på å utvikle dette bevegelige målet så lenge det fortsatt var i bevegelse, og nå som det er fastsatt, er det praktisk talt ingenting vi trenger å endre. Vi oppfyller de seks harmoniserte standardene allerede i dag, og de to neste er integrert.
Den som starter nå, bygger ikke lenger mot et flytende utkast, men mot et fast mål og på en plattform som ivaretar standardene for vedkommende.
Hvilken frist som gjelder for ditt produkt, avhenger av regelverket i din bransje; for hver bransje finnes dette oppført i vår bransjehåndbok, for batterier spesifikt i ESPR-tidsplanen for 2027. Standardene er klare. Det er vi også.
Spørsmål om dette innlegget
Er de seks standardene obligatoriske?
Nei. En harmonisert standard er en måte å oppfylle regelverket på, ikke en forpliktelse i seg selv. Den som oppfyller den, anses å være i samsvar med artikkel 10 og 11 i ESPR, men kan også dokumentere samsvaret på andre måter. Selve teksten trer i kraft 15. juli 2026. Gjennomføringsbeslutningen (EU) 2026/1736 henviser til de seks standardene, og dermed endres ikke lenger målet du skal oppfylle.
Hva er den praktiske fordelen ved at vi regnes som regeloverholdende?
Det snur bevisbyrden. Uten standardene må du på egen hånd bevise overfor en markedstilsynsmyndighet at identifikasjon, datamedier, lagring og grensesnitt oppfyller artikkel 10 og 11. Med standardene er det tilstrekkelig å henvise til standarden, så lenge ingen beviser det motsatte. Dette er spesielt viktig nettopp når det passer dårligst, nemlig under en kontroll flere år etter at personen som utformet passet, har forlatt bedriften.
Må vi kjøpe og lese standardene?
De må vite hva de krever; om dere kjøper dem, er en annen sak. De seks standardene omfatter identifikatorer (EN 18219), datamedier (EN 18220), lagring og arkivering (EN 18221), datautveksling (EN 18216), datamodell (EN 18223) og grensesnitt (EN 18222) - alt sammen elementer som implementeres av plattformen der passene dine ligger, og ikke felter du fyller ut for hvert enkelt produkt. Hvis du bygger passlagringen selv, bør du lese dem. Hvis du ikke bygger den selv, bør du i stedet be leverandøren din om å vise deg en klausulvis oversikt.
Når kommer de to gjenstående standardene?
EN 18246 om autentisitet og integritet og EN 18239 om tilgangsrettigheter og konfidensialitet er ennå ikke nevnt. De som oppfyller disse kravene, anses altså ikke automatisk som regelkonforme. Det står Dem fritt å oppfylle dem allerede nå, med signerte pass som selv kontrollerer seg mot en offentlig nøkkel, en uforanderlig historikk og tilgangsnivåer som samsvarer med mottakerne nevnt i artikkel 77(2) i batteriforordningen. Transpareo implementerer begge deler allerede i dag, og at de nå blir nevnt, vil derfor ikke medføre noen endringer.
Må pass som ble utstedt før saken ble anlagt, utstedes på nytt?
Nei. Sitatet har endret tekstens status, ikke kravene i artikkel 10 og 11. Et pass som tidligere oppfylte disse kravene, oppfyller dem fortsatt. Det som endres, er forutsigbarheten. En mangelsjekk utført i dag forblir gyldig, i stedet for å bortfalle med neste utkastversjon. Skulle det likevel vise seg å være en mangel, vil korreksjonen være en ny signert versjon, og den tidligere versjonen forblir tilgjengelig.
Betyr samsvar med standardene at vi er klare for EU-registeret?
De to områdene overlapper hverandre, men det er snakk om ulike forpliktelser. Standardene regulerer hvordan passet identifiseres, lagres, utveksles og leses; registeret krever at du registrerer at passet eksisterer, under en identitet som er verifisert via eIDAS, og at oppføringen oppbevares i ti år. Det er den økonomiske aktøren selv som må foreta registreringen; en tjenesteleverandør kan foreløpig ikke gjøre dette på vegne av vedkommende. Standardiseringsarbeidet er det som gjør registreringen kort, fordi identifikasjonsnummer, adresse og fingeravtrykk allerede eksisterer.
Hvordan vurderer vi opplysningene fra en leverandør?
La oss gå gjennom illustrasjonen, klausul for klausul, sammen med dokumentasjonen: identifikasjonsnummeret som et pass har, en signert versjon som kan verifiseres uten å måtte henvende seg til leverandøren, arkivet med tidligere versjoner og grensesnittet som leser et pass ved hjelp av identifikasjonsnummeret. Den som «støtter standardene», men ikke kan nevne en eneste klausul, kommer bare med en markedsføringsfrase. Vår oversikt er standard for standard i denne artikkelen, og hvert Transpareo-pass kan verifiseres uavhengig med den åpne kildekoden Transpareo Time Machine.
