Die EN-182xx-Normen erklärt: Das technische Regelwerk des EU-DPP
Die ESPR sagt, dass ein Pass existieren muss; die EN-182xx-Normen sagen, wie er funktioniert. Acht Normen, was jede tatsächlich spezifiziert — und warum ihre Zitierung im Amtsblatt für Ihren Aufbau enorm zählt.
In 30 Sekunden
- •Wer: geschrieben vom CEN-CENELEC JTC 24 für das DPP-System
- •Was: Kennungen, Datenträger, Austausch, Speicherung, APIs, Interoperabilität, Sicherheit
- •Status: 6 im ABl. zitiert (2026/1736) → Konformitätsvermutung; 2 in Fertigstellung
- •Warum es zählt: Nach ihnen zu bauen ist der risikoärmste technische Weg zur Compliance
Warum diese Normen mehr zählen als der Verordnungstext
Die ESPR sagt Ihnen, dass erfasste Produkte einen DPP brauchen und grob, was er ist. Sie sagt nicht, wie Kennungen strukturiert werden, welcher Datenträger aufs Produkt gehört, wie Daten zwischen Ihren Systemen und der Wertschöpfungskette fließen oder wer was sehen darf. Das ist das Engineering-Problem — und genau das löst die EN-182xx-Familie.
Das CEN-CENELEC-Gemeinschaftsgremium JTC 24 schrieb diese Normen eigens für den DPP, unter einem Kommissionsmandat. Sie machen aus dem rechtlichen Gerüst der ESPR ein implementierbares technisches System — der Unterschied zwischen Gesetz lesen und ein konformes Produkt bauen.
Die Normenfamilie auf einen Blick
| Norm | Titel | ABl.-Status |
|---|---|---|
| EN 18216:2026 | Datenaustauschprotokolle | Zitiert |
| EN 18219:2026 | Eindeutige Kennungen | Zitiert |
| EN 18220:2026 | Datenträger | Zitiert |
| EN 18221:2026 | Datenspeicherung, Archivierung und Persistenz | Zitiert |
| EN 18222:2026 | APIs für Lebenszyklus-Management und Auffindbarkeit | Zitiert |
| EN 18223:2026 | Systeminteroperabilität | Zitiert |
| prEN 18239 | Zugriffsrechte, Sicherheit und Vertraulichkeit | In Fertigstellung |
| prEN 18246 | Authentifizierung, Zuverlässigkeit und Integrität | In Fertigstellung |
Jede Norm auf die ESPR-Artikel gemappt, die sie umsetzt
Die Normen sind nicht abstrakt — jede operationalisiert einen bestimmten Satz rechtlicher Anforderungen. Gegen die ESPR-Artikel gelesen zeigt sich exakt, wofür jede da ist:
| Norm | ESPR-Bestimmung | In Klartext |
|---|---|---|
| EN 18216 | Art. 9–10 (Datenaustausch) | Wie Passdaten formatiert und zwischen Systemen bewegt werden |
| EN 18219 | Art. 11 (eindeutige Kennungen) | Wie Produkte, Akteure und Einrichtungen gekennzeichnet werden |
| EN 18220 | Art. 11 (Datenträger) | QR, Data Matrix, NFC — die Regeln für den physischen Träger |
| EN 18221 | Art. 12 (Speicherung/Persistenz) | Wie Pässe über die Aufbewahrungsfrist verfügbar gehalten werden |
| EN 18222 | Art. 9 (Lebenszyklus/Suche) | Die APIs zum Erstellen, Lesen, Aktualisieren und Finden von Pässen |
| EN 18223 | Art. 9 (Interoperabilität) | Wie Systeme verschiedener Anbieter auf denselben Passdaten interagieren |
| prEN 18239 | Art. 9 (Zugriffsrechte) | Wer welchen Ausschnitt des Datensatzes sieht — die Zugriffsebenen |
| prEN 18246 | Art. 10 (Integrität/Authentizität) | Beweisen, dass ein Pass echt und unverändert ist |
Was jede Norm tatsächlich spezifiziert
EN 18216 — Datenaustauschprotokolle
Wie DPP-Daten zwischen Systemen fließen: die Transport- und Protokollschicht, damit ein von einem System erstellter Pass von einem anderen konsumiert werden kann — die Infrastruktur, die unternehmensübergreifenden Austausch überhaupt ermöglicht.
EN 18219 — Eindeutige Kennungen
Das Kennungssystem: die eindeutige Produktkennung (UPI) auf Modell-, Chargen- oder Stückebene, die eindeutige Akteurskennung (UOI) und die eindeutige Einrichtungskennung (UFI) — ihre Struktur, Vergabe und Auflösung zu Daten. Praktisch auf GS1-Schlüsseln aufgebaut.
EN 18220 — Datenträger
Die physische Bindung: QR-, Data-Matrix-, NFC- und RFID-Träger — Auswahlkriterien, Robustheit, Anbringung und Qualitätsanforderungen, damit die Kennung die reale Umgebung und Lebensdauer des Produkts übersteht.
EN 18221 — Speicherung, Archivierung und Persistenz
Die Pflicht, Passdaten über ihre geforderte Lebensdauer verfügbar und intakt zu halten — einschließlich wer sie hosten darf (Wirtschaftsakteure und DPP-Dienstleister), Backup-, Migrations- und Langzeitaufbewahrungs-Anforderungen.
EN 18222 — APIs für Lebenszyklus-Management und Auffindbarkeit
Die Operationsschicht: APIs zum Erstellen, Aktualisieren, Übertragen und Widerrufen von Pässen über den Lebenszyklus, sowie die Such-/Discovery-Schnittstelle, mit der berechtigte Akteure sie finden und abrufen.
EN 18223 — Systeminteroperabilität
Systemübergreifende Kompatibilität: wie DPP-Systeme verschiedener Anbieter, in verschiedenen Mitgliedstaaten und Wertschöpfungsketten, zusammenarbeiten — die Norm, die Pass-Lock-in an einen einzelnen Anbieter-Stack verhindert.
prEN 18239 — Zugriffsrechte, Sicherheit, Vertraulichkeit
Das gestufte Zugriffsmodell: wer welche Datenelemente lesen oder schreiben darf — die Norm, die kommerziell sensible Passdaten schützt, während öffentliche Daten offen bleiben.
prEN 18246 — Authentifizierung, Zuverlässigkeit, Integrität
Vertrauen: wie Passdaten authentifiziert und gegen Manipulation geschützt werden — die Integritätsschicht, die einen Pass zu etwas macht, auf das Behörden sich verlassen können statt es nur zu lesen.
Konformitätsvermutung — der Mechanismus, der diese Normen wichtig macht
Konformitätsvermutung
Unter dem EU-Konzept der Neuen Rechtsangleichung gilt: Wird eine harmonisierte Norm im Amtsblatt zitiert, wird vermutet, dass ein nach dieser Norm gebautes Produkt oder System die entsprechenden Rechtsanforderungen erfüllt.
Darum ist die Zitierung von EN 18216–18223 im Durchführungsbeschluss (EU) 2026/1736 wichtiger, als sie aussieht. Vor der Zitierung ist „Compliance" Ihre eigene Auslegung des Gesetzes. Nach der Zitierung ist das Bauen nach der Norm der Standard-Safe-Harbour: Sie gelten auf den abgedeckten Punkten als konform, bis das Gegenteil bewiesen ist.
Die Alternativen sind alle schlechter: die Verordnung selbst auslegen und die Gleichwertigkeitsargumentation tragen; darauf warten, dass sich Marktpraxis setzt; oder Berater für einen Ansatz nach Maß bezahlen. Für die meisten Organisationen ist das Verfolgen der zitierten Normen schlicht die risikoärmste Engineering-Haltung.
Wie eine EN entsteht — und warum die Zitierung zählt
Die EN-182xx-Normen folgten der europäischen Normungspipeline. Die Europäische Kommission erließ einen Normungsauftrag an CEN-CENELEC für Normen zur Unterstützung der DPP-Bestimmungen der ESPR. JTC 24 — das für Produktpässe geschaffene Gemeinschaftsgremium — entwarf dann jede Norm im Konsensverfahren der nationalen Mitglieder.
Der Lebenszyklus jedes Dokuments durchlief klar getrennte Stufen:
- Arbeitsentwurf → prEN — eine „vorgeschlagene Europäische Norm" in öffentlicher Umfrage. prEN 18239 und 18246 befinden sich derzeit auf dieser Stufe — zur Kommentierung veröffentlicht, noch nicht final.
- Formelle Abstimmung → EN — die nationalen Normungsorganisationen stimmen ab; bei Annahme wird die prEN zur EN und von jeder Mitgliedsorganisation identisch veröffentlicht (DIN EN, BS EN, NF EN …).
- ABl.-Zitierung — der entscheidende Schritt. Wenn die Kommission die Norm im Amtsblatt zitiert (wie der Durchführungsbeschluss (EU) 2026/1736 für die sechs EN 182xx), wird sie zur harmonisierten Norm — und Konformität zu ihr vermittelt die rechtliche Konformitätsvermutung.
Darum zählt das Zitierungsereignis mehr als das Veröffentlichungsereignis. Eine Norm kann Monate existieren, bevor sie zitiert wird — erst die Zitierung aktiviert ihre Rechtswirkung unter der ESPR.
Wie sie zu GS1, eudpp und ISO stehen
Die EN-182xx-Familie erfindet nicht alles neu — sie orchestriert vorhandene Bausteine. Kennungen und Datenträger bauen auf GS1 auf: GTIN, GLN, GS1 Digital Link, QR-/Data-Matrix-Symbologien. Das Datenmodell stützt sich auf die CIRPASS-2-Referenzontologie eudpp, ausgetauscht als JSON-LD und validiert mit JSON Schema und SHACL. Und auf internationaler Ebene ist ISO 25534 des ISO/TC 154 in Entwicklung, um DPP-Konzepte global auszurichten — damit das EU-System mit künftigen Regimen andernorts zusammenwirken kann.
Wie man eine harmonisierte Norm effizient liest
Eine praktische Reihenfolge für Ingenieure: (1) zuerst den Geltungsbereich und die normativen Verweisungen lesen — sie definieren exakt, was abgedeckt ist; (2) die normativen Anforderungen („muss"-Klauseln) auf Ihre Systemkomponenten mappen; (3) informative Anhänge als Orientierung behandeln, nicht als Pflicht; (4) verfolgen, welche Norm welche Rechtsanforderung abdeckt — die Vermutung knüpft an konkrete Zuordnungen, nicht an pauschale Konformität.
Für den DPP konkret: mit EN 18219 (Kennungen) und EN 18220 (Datenträger) beginnen — sie verankern alles Übrige —, dann zu den Datenebenen-Normen (18216/18222) und schließlich zur Vertrauens- und Zugriffsschicht (18239/18246, sobald final).
Häufige Fragen
Nach der Norm bauen, nicht um sie herum
Die Zertifizierung CDPI Implementer ist um diese Normen gebaut — Kennungen, Datenträger, Datenmodell, APIs, Zugriffskontrolle — mit interaktiven Labs zu Kennungsauflösung und Datenmodell.
CDPI entdeckenVerwandt: GS1 Digital Link · der DPP-Zeitplan