Regelverket är på plats — men genomförandet börjar först
Sedan den 1 juni 2026 har de första harmoniserade europeiska normerna för Digital Product Passport (DPP) publicerats officiellt. CEN och CENELEC har genom den gemensamma tekniska kommittén JTC 24 publicerat normserien EN 18216 till EN 18223. Den definierar den tekniska kärninfrastrukturen: entydiga produktidentifierare, databärare, API:er och ramverket för interoperabilitet. Normerna presenterades på DPP4EU 2026 Conference, som ägde rum i början av juni i Bryssel — tillsammans med testmiljöer med öppen källkod, som ska möjliggöra en bedömning av implementeringars överensstämmelse.
Detta är ingen symbolisk handling. Normerna är den tekniska konkretiseringen av ESPR-förordning (EU) 2024/1781, som har förankrat DPP som bindande EU-rätt. Utan EN 18200-serien förblev förordningen ett ramverk utan måttstock — nu finns båda. För tillverkare, importörer och återförsäljare innebär det att klockan går.
Vad normserien EN 18216–18223 reglerar
Normerna är teknikneutralt formulerade, men fastställer tydliga krav:
- EN 18216 definierar konceptet för DPP och de allmänna kraven på datastruktur och åtkomlighet.
- EN 18220 specificerar tillåtna databärare — däribland QR-koder baserade på GS1 Digital Link-Standards samt RAIN-RFID-taggar.
- EN 18219 fastställer kraven på Unique Identifier (UID), som gör varje pass entydigt adresserbar.
- De övriga normerna i serien reglerar API:er, format för datautbyte och krav på decentraliserad datalagring.
Särskilt relevant för systemarkitekter: Normerna föreskriver decentraliserad datahantering. Kommissionens planerade centrala DPP-register lagrar uteslutande UID:er och tillhörande resolver-URL:er — de faktiska produktuppgifterna blir kvar hos tillverkaren eller en utsedd dataförvaltare. Detta får direkta konsekvenser för valet av infrastruktur.
JRC:s stålutkast som mall för andra sektorer
Parallellt med publiceringen av normerna har kommissionens Joint Research Centre (JRC) lagt fram ett utkast för DPP för halvfabrikat av järn och stål. Detta utkast är vägledande av flera skäl — inte bara för stålindustrin.
Batchnivå kontra produktnivå: en avgörande åtskillnad
JRC-utkastet inför en systematisk uppdelning som är avgörande för databasarkitekturen och identifierarstrategin:
| Nivå | Identifierare | Datapunkter |
|---|---|---|
| Batchnivå (Lot) | Lotnummer | Återvunnet innehåll, legeringssammansättning, produktspecifikt CO₂-avtryck (PCF) |
| Produktnivå (Item) | Serienummer | Mått, certifieringar, försäkringar om överensstämmelse |
Det produktspecifika CO₂-avtrycket ska enligt utkastet fastställas på grundval av erkända beräkningsregler — konkret hänvisas till metoder som är kompatibla med ISO-14067-standarden. Detta är ingen rekommendation, utan ett krav på beräkningsmetoden.
Batteriförordningen (EU) 2023/1542 — hittills den enda bindande sektorsakten med egna DPP-skyldigheter — känner redan implicit till denna åtskillnad mellan Lot och Item, utan att formalisera den lika tydligt. Stålutkastet drar här en linje som sannolikt kommer att tjäna som modell för framtida sektorsspecifika genomförandeförordningar: textilier, elektronik och möbler står på ESPR-prioriteringslistan.
Konsekvenser för systemarkitekturen
Den som i dag planerar en DPP-infrastruktur måste ta hänsyn till denna uppdelning från början. En enhetlig datamodell som hanterar batch- och produktdata i samma tabell kommer inte att uppfylla kraven. Konkret innebär det:
- Batchattribut registreras en gång per produktionslot och ärvs — de behöver inte lagras redundant för varje enskilt serienummer.
- Produktattribut (serienummernivå) kräver en 1:1-koppling och måste kunna uppdateras individuellt.
- GS1 Digital Link-standarden stöder båda nivåerna genom sin hierarkiska URI-struktur (
/01/för GTIN,/10/för Lot,/21/för serienummer) och är därmed den naturliga identifierarlösningen.
CIRPASS-2 och de öppna styrningsfrågorna
De tekniska normerna är antagna — de politiska frågorna är det inte. Det EU-finansierade CIRPASS-2-konsortiet har lämnat in sitt yttrande över utkastet till genomförandeförordning för DPP-registret och pekar ut tre huvudproblem:
1. Registerstyrning: Vem kontrollerar den centrala upplösningsinfrastrukturen om kommissionen inte permanent fungerar som operatör? Frågan om en oberoende, multilateral styrningsmodell är olöst.
2. Datasuveränitet i gränsöverskridande leveranskedjor: Om produktdata finns decentraliserat hos tillverkaren, men leveranskedjorna går genom tredjeländer, uppstår konflikter med lokala dataskyddsregler. Genomförandeförordningen hanterar ännu inte denna punkt tillräckligt.
3. Interoperabilitet med befintliga identifieringssystem: CIRPASS-2 rekommenderar uttryckligen att normen EN 18219 tas upp som referens i genomförandeförordningen — och därmed att GS1 Digital Link förankras som föredraget identifieringsschema. Utan denna förankring finns risk för proprietära isolerade lösningar.
Dessa kritikpunkter är inte akademiska. För företag som nu investerar i DPP-infrastruktur är frågan om registerstyrning existentiell: Ett byte av resolverschema efter driftsättningen skulle göra miljontals redan tryckta eller inbäddade databärare värdelösa.
Närliggande regleringsutveckling: REACH och EPR
Två ytterligare regleringsområden förtjänar uppmärksamhet i samband med DPP och produktdata.
REACH-anmälningsskyldighet för mikroplast
ECHA publicerade i maj 2026 riktlinjer för REACH-anmälningsskyldigheten för syntetiska polymermikropartiklar. Den första anmälningsfristen för tillverkare och industriella efterföljande användare av polymerpellets, -flagor och -pulver började gälla i maj 2026. För företag som omfattas av ESPR-skyldigheter och samtidigt bearbetar plastkomponenter uppstår här en dataskyldighet som överlappar med DPP-datakraven — men inte är identisk med dem. En noggrann samordning av datainsamlingsprocesserna rekommenderas.
Extended Producer Responsibility i USA
GS1 US har publicerat en omfattande vägledning som ska hjälpa företag inom hälso- och sjukvård, livsmedel och konsumentvaror att standardisera förpackningsdata med hjälp av GTINs och GLN:er för kraven på Extended Producer Responsibility (EPR) på delstatsnivå i USA. Detta är visserligen inte EU-rätt, men visar att trycket på standardisering av produktdata ökar globalt — och att GS1-identifierare etableras som referensram även utanför EU.
Vad företag konkret bör göra nu
Publiceringen av normerna markerar övergången från det regulatoriska utkastsskedet till implementeringsfasen. Tre åtgärdsområden är omedelbart relevanta:
Skaffa och analysera normerna: EN 18200-serien finns att köpa via de nationella standardiseringsorganisationerna. Den som planerar utifrån offentliga sammanfattningar riskerar feltolkningar.
Fastställ en identifierarstrategi: Valet mellan GTIN-baserad GS1 Digital Link, proprietära URI:er eller andra scheman bör göras nu — inte efter den första piloten. CIRPASS-2 rekommenderar GS1 Digital Link; normserien EN 18219/18220 gör den till det tekniskt naturliga valet. Verktyg som Bulk-Import på qr3.app kan hjälpa till att snabbt omvandla befintliga produktregister till kompatibla Digital-Link-strukturer.
Anpassa datamodellen till Lot/Item-nivå: JRC:s stålutkast kommer inte att vara det sista sektorsspecifika dokumentet som kräver denna åtskillnad. Den som strukturerar sin datamodell i enlighet med detta nu undviker kostsamma migreringar.
Testmiljöerna med öppen källkod som presenterades på DPP4EU 2026 Conference erbjuder en första möjlighet att kontrollera implementeringar mot normkraven — innan bedömning av överensstämmelse genom tredje part blir obligatorisk.
