Die DPP-Normenreihe, verständlich erklärt

Der Digital Product Passport wird nicht durch eine einzige technische Norm definiert. Er wird durch eine ganze Reihe von Normen definiert, die vom gemeinsamen technischen Komitee von CEN/CENELEC entwickelt wurden und jeweils einen anderen Teil davon abdecken, wie ein Pass ausgetauscht, gefunden, gespeichert und als vertrauenswürdig eingestuft wird. Zu verstehen, welche Norm was regelt — und, ebenso wichtig, welche tatsächlich in Kraft sind —, macht den Unterschied aus zwischen einem Bau nach den echten Anforderungen und einem Bau nach deren Marketing-Zusammenfassung.

Die Normen und was jede einzelne regelt

Vier Normen bilden den Interoperabilitätskern:

Datenaustauschprotokolle (EN 18216) legen die Transportschicht fest. Jeder Pass muss sich bewegen — vom System eines Herstellers zu einem Dienstleister, zu einem Recycler, zu einer Behörde — und diese Norm legt fest, wie: RESTful APIs über HTTPS mit TLS, strukturierte Nachrichtenformate und ein Austausch, der authentifiziert, vertraulich und manipulationssicher ist. Sie ist der kleinste gemeinsame Nenner, der es zwei Systemen, die sich nie begegnet sind, ermöglicht, miteinander zu kommunizieren.

Lebenszyklus-APIs (EN 18222) legen genau fest, welche API-Aufrufe ein konformes System anbieten muss — einen Pass erstellen, lesen, aktualisieren und durchsuchen, einschließlich elementbezogener Operationen, Stapelabruf, Versionierungsabfragen und Registerübermittlung. Wo die Austauschprotokoll-Norm „nutze REST“ sagt, sagt diese präzise, welche Methoden, sodass ein Aufarbeiter einen Pass lesen, einen Datensatz anhängen und zurückschreiben kann, ohne für jeden Partner eine maßgeschneiderte Integration zu benötigen.

Systeminteroperabilität (EN 18223) befasst sich mit der Semantik — gemeinsame Bedeutung und technische Formate, damit ein Recycler oder ein Marktplatz Ihre Daten ohne individuelle Zuordnung und über Branchen hinweg verstehen kann.

Speicherung, Archivierung und Persistenz (EN 18221) stellt Anforderungen daran, Passdaten über lange Produktlebenszyklen verfügbar und vertrauenswürdig zu halten, einschließlich Sicherungen und Migration. Für ein Produkt, das ein Jahrzehnt oder länger im Einsatz sein kann, sind die Persistenzanforderungen kein nachträglicher Gedanke.

Weitere Normen der Reihe befassen sich mit der Verwaltung von Zugriffsrechten, der Informationssystemsicherheit sowie der Datenauthentifizierung und -integrität — den Teilen, die regeln, wer welche Felder sehen darf und wie ein Leser darauf vertrauen kann, dass Daten nicht verändert wurden.

Der ehrliche Stand

Hier kommt es auf Präzision an. EN 18222:2026 und EN 18223:2026 wurden veröffentlicht, nachdem sie von der Europäischen Kommission im Rahmen des Normungsauftrags M/604 förmlich angefordert worden waren. Doch Veröffentlichung ist nicht dasselbe wie Rechtswirkung. Solange diese Normen nicht im Official Journal of the European Union zitiert werden, begründen sie noch keine Konformitätsvermutung mit der ESPR — und diese Zitierung ist nicht erfolgt. Weitere Normen der Reihe, die Zugriffsrechte und Sicherheit abdecken, befanden sich Mitte 2026 noch im Genehmigungsverfahren.

Die korrekte Einordnung lautet also: Die technische Grundlage existiert und ist stabil genug, um danach zu bauen, aber ihr förmlicher Rechtsstatus reift noch. Wer Ihnen sagt, die Normen seien „fertig und verbindlich“, übertreibt; wer Ihnen sagt, Sie sollten sie ignorieren, bis sie im OJ zitiert sind, verlangt von Ihnen, in der Zwischenzeit auf schwankendem Grund zu bauen.

Was das in der Praxis bedeutet

Die praktische Lesart für jeden, der ein Passsystem baut oder auswählt: Bauen Sie jetzt nach diesen Normen — REST-over-TLS-Austausch, die festgelegten Lebenszyklus-API-Methoden, versionierte Datensätze, persistente Speicherung mit Prüfpfad — und halten Sie die Implementierung zugleich flexibel genug, um sich an die endgültig zitierten Fassungen anzupassen, wenn das Official Journal nachzieht. Inhaltlich heute konform, bereit, am Tag der Zitierung die Konformitätsvermutung in Anspruch zu nehmen. Ein System, das die Reihe ignoriert, weil sie noch nicht im OJ zitiert ist, baut auf Grund, der sich verschieben wird; eines, das den veröffentlichten Text als verbindlich behandelt, geht eine Überverpflichtung gegenüber einem Status ein, den er noch nicht hat.