Normramverket är på plats — nu börjar genomförandet
I och med antagandet av ESPR-förordningen (EU) 2024/1781 är Digital Product Passport (DPP) bindande EU-rätt. Det som länge betraktades som ett framtidsprojekt har sedan våren 2026 fått en avgörande ny betydelse: de tekniska normer som genomförandeförordningarna kommer att bygga på finns nu på plats.
I början av juni 2026 presenterade DPP4EU-konferensen i Bryssel det normpaket som tagits fram inom CEN/CENELEC JTC 24. Normserien EN 18216 till EN 18223 definierar den tekniska kärninfrastrukturen: databärare, unika identifierare, API:er och ramverket för interoperabilitet. Parallellt presenterades testmiljöer med öppen källkod, som kan användas för att kontrollera implementeringars överensstämmelse. Fraunhofer IPK, som deltog i normutvecklingen, kommenterade: ”The standards are here — now is the time to bring them to life."
Den meningen beskriver läget träffsäkert. Den regulatoriska arkitekturen är fastställd; det som saknas är sektorsspecifika genomförandeförordningar, en stabil registerdrift och en heltäckande implementeringspraxis i industrin.
Vad normerna EN 18216–18223 reglerar i praktiken
Identifierare och databärare
Normserien fastställer att varje DPP måste ha en unik produktidentifierare som är maskinläsbar och permanent upplösningsbar. EN 18220 reglerar tillåtna databärare — däribland QR-koder, DataMatrix och RAIN-RFID. Avgörande är att normen är teknikneutral: den föreskriver ingen specifik bärare, men definierar minimikrav på läsbarhet och beständighet.
GS1 Digital Link är i detta sammanhang inget krav, men de facto den dominerande kandidaten för identifierarstrategin — eftersom den kopplar samman befintlig GTIN-infrastruktur med upplösning via webbadresser. CIRPASS-2-konsortiet rekommenderade uttryckligen i sitt yttrande om utkastet att normen EN 18219 skulle tas med som referens i genomförandeförordningen, för att säkerställa interoperabilitet med GS1 Digital Link och andra befintliga identifieringssystem.
Registerarkitektur: decentraliserad med centralt index
En vanlig missuppfattning gäller det planerade EU-DPP-registret. Det kommer inte att lagra produktdata, utan endast unika identifierare och resolver-URL:er — alltså pekare till decentraliserat hostade passdata. Ansvaret för datalagringen ligger kvar hos tillverkaren eller en anlitad tjänsteleverantör.
CIRPASS-2 kritiserar framför allt tre aspekter av denna modell: registrets styrningsstruktur (vem driver det och på vilka villkor?), frågan om datasuveränitet i gränsöverskridande leveranskedjor och den ännu öppna interoperabiliteten med nationella system. Kritiken är befogad — genomförandeförordningen för registret befinner sig fortfarande på utkaststadiet när detta skrivs.
JRC:s stålutkast som förebild för andra sektorer
Varför järn och stål är vägledande
Europeiska kommissionens Joint Research Centre har lagt fram ett utkast för DPP för halvfabrikat av järn och stål. Utkastet är relevant även utanför stålindustrin av flera skäl: för första gången formaliseras systematiskt skillnaden mellan data på produktnivå och data på partinivå — en åtskillnad som är grundläggande för databasarkitektur och identifierarstrategi.
Produkt- kontra partinivå: ett strukturellt vägval
JRC-utkastet hänför uttryckligen datapunkter till en av två nivåer:
Partinivå (partinummer):
- Återvunnet material
- Legeringssammansättning
- Produktspecifikt CO₂-avtryck (PCF)
Produktnivå (serienummer):
- Dimensioner
- Certifieringar
- Försäkran om överensstämmelse
Det produktspecifika CO₂-avtrycket fastställs enligt utkastet på grundval av beräkningsregler som är kompatibla med ISO-14067-standarden. Det är betydelsefullt eftersom det definierar ett metodologiskt minimikrav — inte bara en skyldighet att lämna data.
Batteriförordningen (EU) 2023/1542 — hittills den enda bindande sektorsakten med egna DPP-krav — innehåller redan denna åtskillnad implicit. Utkastet för stålsektorn formaliserar den dock uttryckligen för första gången, vilket sannolikt kommer att fungera som förebild för alla efterföljande sektorsakter.
För företag som i dag planerar sin DPP-databasarkitektur får detta omedelbara konsekvenser: en platt datamodell som placerar alla attribut på produktnivå kommer inte att uppfylla de regulatoriska kraven. Den som redan arbetar med arbetsflöden för bulkimport bör kontrollera om importstrukturen skiljer mellan parti- och serienummerdata.
Relaterad utveckling: REACH-mikroplaster och RFID-kodning
ECHA:s riktlinjer för syntetiska polymerpartiklar
Parallellt med DPP-utvecklingen publicerade ECHA i maj 2026 riktlinjer för REACH-anmälningsplikten för syntetiska polymermikropartiklar. Den första anmälningsfristen för tillverkare och industriella efterföljande användare av polymerpellets, -flagor och -pulver började gälla i maj 2026.
Detta steg är inte en DPP-fråga i snäv bemärkelse, men illustrerar den bredare regulatoriska inriktningen: EU bygger systematiskt upp anmälningskrav för ämnesegenskaper som på medellång sikt kommer att integreras i DPP-datakrav. Företag som i dag samlar in REACH-data skapar därmed en grund för senare DPP-attribut.
RAIN-RFID och GS1 Digital Link: kodningsstandarder i praktiken
På implementeringssidan har TEKLYNX uppdaterat sin CODESOFT-programvara och stöder nu GS1:s ”++”-kodningsscheman (EPC++ och ISO BD). Därmed kan webbadresser skrivas direkt till RAIN-RFID-taggar — ett krav som följer av kombinationen av EN 18220 och GS1 Digital Link-standarden.
Detta är ett konkret exempel på hur de abstrakta normkraven når produktionsprogramvara. För företag som driver RFID-baserade processer i leveranskedjan innebär det att identifierarstrategin måste börja redan vid taggkodningen, inte först vid konfigureringen av resolvern.
Vad företag bör göra nu
Det regulatoriska läget kan delas in i tre åtgärdsområden:
1. Kontrollera överensstämmelse med normerna: Normerna EN 18216–18223 har publicerats. Den som i dag bygger DPP-system bör säkerställa att valda databärare, identifierare och API:er är kompatibla med dessa normer. Testmiljöerna med öppen källkod som presenterades på DPP4EU-konferensen erbjuder en första möjlighet till kontroll.
2. Strukturera datamodellen efter nivåer: JRC:s stålutkast visar vilken riktning utvecklingen tar. Företag bör bygga sin datamodell så att parti- och produktdata hålls tydligt åtskilda och kan adresseras separat. Detta gäller både den interna datalagringen och API-gränssnitten mot DPP-systemet.
3. Följ registerutvecklingen: Genomförandeförordningen för det centrala DPP-registret är ännu inte slutgiltig. CIRPASS-2:s kritik — särskilt vad gäller styrning och datasuveränitet — är sakligt välgrundad och kan fortfarande påverka det slutliga utkastet. Företag bör inte planera registret som färdig infrastruktur, utan behandla det som en variabel i sin systemarkitektur.
Normerna finns på plats. De första sektorsspecifika utkasten har lagts fram. Det som räknas nu är att bygga upp implementeringskompetens — innan genomförandeförordningarnas tidsfrister avgör tempot.
