Ostatnie dwie normy paszportu są opublikowane. Rozstrzygają, kto widzi Twoje dane i czy paszport jest prawdziwy, ale nie są jeszcze zharmonizowane

16 września 2026 r. CEN i CENELEC opublikowały dwie ostatnie normy z rodziny cyfrowego paszportu produktu: EN 18239 o zarządzaniu prawami dostępu, bezpieczeństwie systemu informacyjnego i poufności handlowej oraz EN 18246 o uwierzytelnianiu, wiarygodności i integralności danych. Wszystkie osiem to już teksty końcowe. W Dzienniku Urzędowym jest tylko sześć z nich, przywołanych decyzją wykonawczą Komisji (UE) 2026/1736 z 14 lipca 2026 r. (Dz.U. z 15 lipca), i tylko te sześć daje domniemanie zgodności z art. 10 i 11 rozporządzenia o ekoprojekcie. Dwie normy, które rozstrzygają, kto może przeczytać listę Twoich dostawców i skąd celnik wie, że strona nie jest podróbką, są opublikowane, ale w sensie prawnym jeszcze się nie liczą.

Osiem opublikowanych, sześć zharmonizowanych

Sześć przywołanych norm to instalacja. EN 18216 to protokół wymiany, EN 18219 identyfikatory produktów, operatorów i zakładów, EN 18220 nośniki danych, EN 18221 przechowywanie i trwałość, EN 18222 API i cykl życia, EN 18223 interoperacyjność. CEN wydał je 27 maja 2026 r. Pisaliśmy o nich w sierpniu i skutek praktyczny się nie zmienił: paszport zbudowany według tych sześciu numerów przerzuca ciężar argumentacji na organ.

Dwie nowe normy domykają rodzinę i nie są marginalne:

• EN 18239, Cyfrowy paszport produktu, zarządzanie prawami dostępu, bezpieczeństwo systemu informacyjnego i poufność handlowa. To norma o dostępie warstwowym: kto może przeczytać którą część paszportu, jak zabezpieczony jest system, który go serwuje, i jak chronione są dane wrażliwe handlowo.
• EN 18246, Cyfrowy paszport produktu, uwierzytelnianie danych, wiarygodność i integralność. To norma o pytaniu „czy ten paszport jest prawdziwy i niezmieniony”: jak dane są uwierzytelniane i jak czytelnik może sprawdzić, że nic w nich nie zmieniono.

Komitet nie zatrzymał się na ośmiu. W jego programie prac jest dziewiąta pozycja, Digital Product Passport, Dictionary referencing: Concepts and principles (odwołania do słowników: pojęcia i zasady), w opracowaniu od 17 marca 2026 r. To najwcześniejszy etap, bez daty głosowania.

Na czym stoją, sprawdzone

Sprawdziliśmy 1 października 2026 r. Lista opublikowanych norm CEN/CLC/JTC 24, wspólnego komitetu technicznego dla paszportu, pokazuje EN 18239:2026 i EN 18246:2026 z datą publikacji 16 września 2026 r., obok sześciu z 27 maja. Strona Komisji o normach zharmonizowanych dla paszportu wymienia jedną publikację w Dzienniku Urzędowym: decyzję 2026/1736 z pierwszymi sześcioma. Tak było też 26 października. Wydania krajowe pojawiają się po kolei. Brytyjska BSI wydała BS EN 18246 18 września, a BS EN 18239 21 września. Hiszpańska organizacja normalizacyjna UNE zatwierdziła obie i sklep z normami sprzedaje je od 1 października. W sklepie PKN tego samego dnia nie było żadnej z nich i nie było ich też 26 października.

Nasz sierpniowy tekst mówił, że publikacji należy oczekiwać jeszcze w 2026 r., a przywołania po niej. Publikacja przyszła 16 września, dwa miesiące po głosowaniu formalnym zamkniętym 16 lipca. Część naszych wrześniowych tekstów nazywała obie normy projektami jeszcze po tej dacie; poprawiliśmy je.

Następny krok to przywołanie: decyzja Komisji, która dopisze oba odniesienia do Dziennika Urzędowego, zmieniając albo uzupełniając decyzję 2026/1736. Nie ma dla niej ogłoszonej daty. Dopóki się nie pojawi, EN 18239 i EN 18246 są dobrowolnymi dokumentami technicznymi jak każda inna norma europejska: przydatnymi, możliwymi do powołania i bez własnego skutku prawnego.

Co publikacja zmienia, a czego nie

• Kończy spór o projekty. Dostawca może teraz wskazać tekst końcowy, a Ty możesz zapytać, o który tekst chodzi. Niektóre sklepy wciąż mają w ofercie projekt do ankiety z 2025 r., prEN 18239:2025, który nie jest tym samym dokumentem.
• Nie daje domniemania zgodności. Do czasu przywołania stosowanie EN 18239 jest dobrym dowodem przemyślanego projektu, a nie prawnym skrótem. Organ nadal może poprosić o uzasadnienie Twojego modelu dostępu co do istoty.
• Nie odpowiada na pytania prawne, od których normy zależą. Kto jest osobą z uzasadnionym interesem w paszporcie baterii, ma rozstrzygnąć akt wykonawczy z art. 77 ust. 9 rozporządzenia bateryjnego, który miał powstać do 18 sierpnia 2026 r. Inicjatywa 16473 w rejestrze Komisji pokazuje, że projekt opublikowano dopiero 19 października 2026 r., dwa miesiące po terminie, z opiniami do 16 listopada; akt nie jest przyjęty, a projekt wymienia role, ale nie mówi, jak ktokolwiek ma udowodnić swoją. Norma może opisać, jak sprawdza się rolę; nie może zdecydować, kto ją ma.
• Nie wyznacza terminu. Normy zharmonizowane są dobrowolne także po przywołaniu. Daty, które Cię wiążą, biorą się z aktów delegowanych i rozporządzenia bateryjnego.

Co jest już ustalone, z normami czy bez

Trzy źródła ustaliły kształt dostępu, zanim którakolwiek z tych norm wyszła, a paszport zbudowany według tego kształtu nie musi być teraz przebudowany.

• FAQ Komisji z grudnia 2025 r. mówi, że dostęp do paszportu ma być bezpłatny i łatwy, że dostęp ogólny jest anonimowy i że w paszporcie nie wolno przechowywać danych osobowych klienta. To załatwia warstwę konsumencką: publiczna, bez logowania, nic o czytelniku.
• Rozporządzenie bateryjne, art. 77 i załącznik XIII, już operuje trzema kręgami: publiczny, osoby z uzasadnionym interesem oraz organy nadzoru rynku i Komisja. Obowiązuje i stosuje się do paszportów baterii od 18 lutego 2027 r. niezależnie od jakiejkolwiek normy.
• Studium JRC dla żelaza i stali, podstawa pierwszego produktowego aktu delegowanego ESPR, przypisuje każde proponowane pole do jednego z tych samych trzech kręgów i mówi w przypisie, że idzie za precedensem bateryjnym. Liczba jest publiczna, metoda zastrzeżona, certyfikat należy do organów.

Architektura to więc trzy warstwy i trzy warstwy zostają. EN 18239 opisuje, jak środkowa i górna warstwa mają być zrealizowane, a nie czy mają istnieć. Firma, która dziś rozdziela dane na publiczne, zastrzeżone i tylko dla organów, podejmuje decyzję, która przetrwa.

Co wciąż musi poczekać

Publikacja zamyka lukę techniczną na papierze. Trzy luki praktyczne zostają otwarte i uczciwiej to powiedzieć, niż udawać, że załatwia je slajd dostawcy.

• Kto udowadnia rolę i przed kim. Recykler albo celnik będzie musiał się jakoś uwierzytelnić. Czy będzie to portfel unijny, certyfikat wydany przez państwo członkowskie, konto w rejestrze, czy coś innego, zależy od decyzji, których Komisja nie podjęła, począwszy od aktu bateryjnego o uzasadnionym interesie. Do tego czasu każde logowanie do warstwy zastrzeżonej jest własnym mechanizmem dostawcy, niezależnie od tego, za którą normą idzie.
• Do czego przywiązać sprawdzenie autentyczności. Każdy może przyszyć do ubrania kod QR prowadzący do jakiejś strony. EN 18246 istnieje już jako tekst, ale bez przywołania i bez określonego powiązania z rejestrem i kwalifikowaną pieczęcią operatora jedynym prawnie zakotwiczonym sprawdzeniem pozostaje wpis w rejestrze, a rejestr nie trzyma danych paszportu.
• Które pola są poufne. Studium stalowe mówi, że skład, dane procesowe i zaopatrzenie mogą ujawniać know-how i powinny być zastrzeżone. Norma może dać metodę oznaczania i egzekwowania pól poufnych; listę pól ustalą akty sektorowe. Dopóki ich nie ma, to polityka, którą piszesz, a nie mechanizm, który kupujesz.

Co to znaczy w rozmowie z dostawcą

Jeśli dostawca mówi, że jego dostęp warstwowy jest zgodny z EN 18239, takie twierdzenie da się teraz co do zasady sprawdzić. Zapytaj o trzy rzeczy: według którego wydania budował, publikacji z 2026 r. czy projektu z 2025 r.; czy ma tekst końcowy; i czy powołuje się na domniemanie zgodności. Dopóki nie ma przywołania, uczciwa odpowiedź na ostatnie pytanie brzmi: nie.

Pozostałe użyteczne pytania się nie zmieniły. Czy warstwę zastrzeżoną da się przenieść na inny mechanizm uwierzytelniania bez ponownej publikacji paszportu? Czy każdy odczyt pola zastrzeżonego jest logowany, żeby dało się pokazać organowi, kto co widział? Czy publiczny JSON paszportu wymienia, które warstwy istnieją, żeby przyszły weryfikator mógł je znaleźć? To decyzje projektowe, które albo zapadły, albo nie, i ważą więcej niż numer na slajdzie.

Dla porządku: tak zbudowaliśmy to we wrześniu. Strona paszportu na dppera.com ma warstwę konsumencką, którą czyta każdy, i dwie kolejne, dla nadzoru rynku i dla recyklerów, które otwierają się po zalogowaniu w serwisie, a każdy odczyt jest liczony. Role nie są rolami, które prawo w końcu zdefiniuje, i strona mówi to wprost. Budowaliśmy według przepisów i FAQ Komisji, a nie według tekstu EN 18239, którego wersji końcowej jeszcze nie czytaliśmy. Gdy przeczytamy, mechanizm logowania jest częścią, którą spodziewamy się dostosować; pola i podział zostają.

Czym to nie jest

To nie jest powód, żeby czekać. Sześć norm jest przywołanych, dwie kolejne opublikowane, rejestr działa od lipca, termin bateryjny jest w lutym. Dwa nowe teksty rządzą tym, jak otwiera się środkową warstwę, a nie tym, czy paszport ma istnieć.

To nie jest nowy obowiązek. Publikacja przez CEN nie nakłada na żadną firmę żadnego obowiązku i przywołanie też tego nie zrobi; zmienia tylko to, na czym możesz się oprzeć, gdy zdecydujesz się stosować normę.

To nie jest opis treści obu norm. Tekstów końcowych nie czytaliśmy, a ten artykuł mówi o ich statusie, nie o tym, czego wymagają.

Jak to sprawdzić samemu

Na stronie CEN, standards.cencenelec.eu, znajdź komitet CEN/CLC/JTC 24. Zakładka Published Standards wymienia wszystkie osiem z datami publikacji; zakładka Work programme pokazuje dziewiątą pozycję. Wyszukiwanie po samym numerze potrafi zmylić: EN ISO 18246 to niepowiązana norma o motorowerach i motocyklach elektrycznych, która dzieli z nią cyfry. Przywołania szukaj na stronie Komisji o normach zharmonizowanych dla cyfrowego paszportu produktu, która wymienia każdą decyzję opublikowaną w Dzienniku Urzędowym. Dla aktu o dostępie do paszportu baterii inicjatywa 16473 w rejestrze inicjatyw Komisji pokazuje, czy opublikowano projekt.

Co zrobić w tym tygodniu

• Posortuj pola na trzy kolumny: publiczne, zastrzeżone, dla organów. Jeśli nie masz aktu dla swojej branży, użyj studium stalowego jako szablonu. To część, która się nie zmieni.
• Zapisz, kto dziś powinien mieć dostęp zastrzeżony, z nazwy albo z roli, i loguj każdy odczyt. Gdy przyjdzie prawdziwy system ról, przeniesiesz listę, a nie będziesz jej wymyślać.
• Kupuj tekst końcowy tylko wtedy, gdy piszesz pod niego oprogramowanie, i kupuj wydanie z 2026 r., nie projekt z 2025 r. Jeśli potrzebujesz wydania polskiego, poczekaj na PKN; licencja obejmuje jedno wydanie.
• Zapytaj dostawcę, według którego wydania EN 18239 budował. Dobra odpowiedź wymienia wydanie z 2026 r. i komponent, który je realizuje. Zła to projekt albo „wszystkie”.

FAQ

Łukasz Głuch

Buduje DPPera, narzędzie do cyfrowych paszportów produktu dla małych i średnich firm. Czyta akty delegowane, żebyś Ty nie musiał. Pisze o tym, co sprawdził w rejestrze, nie o tym, co obiecują dostawcy.

LinkedIn