Am 31. März 2026 veröffentlichen CEN und CENELEC unter dem Mandate M/604 die ersten acht harmonisierten europäischen Normen für den Digital Product Passport. Sie sind das technische Rückgrat der ESPR-Implementierung — und werden in jeder DPP-Plattform der nächsten Jahre referenziert werden.
Was Mandate M/604 ist
Die EU-Kommission veröffentlichte im Juli 2024 das Standardisierungsmandat M/604 als Standardisation Request (SReq) zur Unterstützung der ESPR und der Battery Regulation. Das Mandat ist ein Auftrag an die europäischen Normungsorganisationen CEN und CENELEC, harmonisierte Normen zu entwickeln, die als technische Konkretisierung der Verordnung dienen.
Im November 2025 wurde das Mandat per Implementing Decision angepasst (M/604 AMD 1) — die rechtliche Basis und die Fristen für einzelne Standards wurden präzisiert. Ein Teil der Arbeiten läuft jetzt bis 2028, weil reale Pilotergebnisse aus CIRPASS-2 in die Spezifikationen einfließen sollen.
Die acht Standards
Konzipiert wurden acht Normen, die zusammen die volle DPP-Stack abdecken — von der Datenstruktur über die API-Schnittstellen bis zur Datensicherheit:
- EN 18222 — Allgemeine Architektur des DPP (Akteure, Rollen, Schnittstellen)
- EN 18223 — Datenmodell und Inhalte (Core Ontology, JSON-LD, Schema.org-Mapping)
- EN 18224 — Identifikatoren und Datenträger (GS1-Integration, NFC/QR/RFID-Encoding)
- EN 18225 — APIs und Datenaustausch (RESTful endpoints, OAuth2-Flows)
- prEN 18246 — Daten-Authentifizierung und -Integrität (cryptographische Signaturen, Tamper-Evidence)
- EN 18247 — Zugriffsrechte und Stakeholder-Gruppen (rollenbasiertes Access Control)
- EN 18248 — Lifecycle und Persistenz (Mindest-Verfügbarkeitsdauer, Migration)
- EN 18249 — Konformitätsbewertung (Audit-Verfahren, Self-Declaration)
Die genaue Nummerierung kann beim Final-Release leicht abweichen — das Set ist aber inhaltlich abgeschlossen.
Was prEN 18246 für die Sicherheit bedeutet
Besonders relevant für Counterfeit-Schutz ist prEN 18246 — Daten-Authentifizierung und -Integrität. Der Standard legt fest, wie ein DPP gegen Manipulation gesichert wird:
- Digital Signatures auf Datenträger-Ebene (z. B. NXP Ntag 424 DNA mit AES-128)
- Per-Tap-Signatur: Jeder NFC-Tap erzeugt eine eindeutige, nicht wiederholbare Signatur
- Hash-Ketten für DPP-Inhalts-Integrität (SHA-256 als Default)
- Tamper-Evidence — physische und digitale Indikatoren für Manipulation
Die Verlängerung bis 2028
Warum wurde das Mandat verlängert? Die JTC 24 (Joint Technical Committee) hat Mitte 2025 signalisiert, dass einige Standards nach den ersten Pilotergebnissen aus CIRPASS-2 noch revidiert werden müssen. Die Kommission hat reagiert und eine Living-Document-Strategie eingeführt: Die Kern-Standards bleiben stabil, ergänzende Spezifikationen können bis 2028 nachgereicht werden.
Die Kooperation mit der OPC Foundation (Liaison-Agreement Februar 2026) bringt zusätzliche Industrie-Expertise ein — vor allem für die Integration mit Maschinenbau-IoT-Standards.
Wer heute eine DPP-Plattform aufbaut, sollte JSON-LD + Schema.org + GS1-Identifier als Default annehmen. Das ist der Pfad, der von praktisch allen Standards referenziert wird.
Für Hersteller relevant: Konformität mit den harmonisierten Normen erzeugt eine Vermutung der Konformität mit der ESPR. Wer die Standards einhält, hat im Streitfall mit der Marktüberwachung deutlich bessere Karten.