Sechs Normen für den digitalen Produktpass haben das Amtsblatt erreicht. Die Norm für die Echtheit nicht.

Am 14. Juli 2026 verabschiedete die Europäische Kommission den Durchführungsbeschluss (EU) 2026/1736, veröffentlicht im Amtsblatt der Europäischen Union am 15. Juli 2026 und am selben Tag in Kraft getreten. Er zitiert sechs harmonisierte Normen, die für den digitalen Produktpass im Rahmen des Ökodesign-Regelwerks der EU entwickelt wurden: EN 18216 (Datenaustauschprotokolle), EN 18219 (eindeutige Kennungen), EN 18220 (Datenträger), EN 18221 (Datenspeicherung, Archivierung und Persistenz), EN 18222 (Anwendungsprogrammierschnittstellen für die Verwaltung des Lebenszyklus eines Passes) und EN 18223 (Systeminteroperabilität). Alle sechs wurden am 27. Mai 2026 von CEN-CENELEC veröffentlicht, entwickelt im Rahmen des Normungsauftrags M/604 der Kommission zur Unterstützung der Verordnung (EU) 2024/1781, der Verordnung zur Festlegung von Ökodesign-Anforderungen für nachhaltige Produkte, bekannt als ESPR.

Die Zitierung im Amtsblatt ist keine Formalität. Artikel 41 der ESPR besagt, dass bei Produkten, die einer harmonisierten Norm entsprechen, deren Fundstelle dort veröffentlicht wurde, vermutet wird, dass sie die entsprechenden Ökodesign-Anforderungen der Delegierten Rechtsakte der Verordnung erfüllen, soweit diese Anforderungen von der Norm abgedeckt werden. Einfach gesagt: Wer einen Pass nach einer dieser sechs Normen baut, verschiebt die Beweislast. Statt die Erfüllung Fall für Fall nachzuweisen, übernimmt die Norm selbst diese Arbeit, für die Anforderungen, die sie abdeckt.

Insgesamt wurden im Rahmen von M/604 acht harmonisierte Normen beauftragt, nicht sechs. Die beiden noch ausstehenden betreffen beide die Sicherheit: EN 18246, „Digitaler Produktpass, Datenauthentifizierung, Zuverlässigkeit und Integrität", und ihre Schwesternorm EN 18239. EN 18246 ist die Norm, die es ermöglichen soll, die Daten eines Passes auf Echtheit, Manipulationssicherheit und Zuverlässigkeit zu prüfen, aufgebaut um das, was die Norm als elektronisch signierte Datenstruktur bezeichnet. Die formelle Abstimmung bei CEN-CENELEC wurde am 16. Juli 2026 abgeschlossen, einen Tag nachdem die Kommission die anderen sechs zitiert hatte, und die Veröffentlichung wird für etwa September 2026 erwartet.

Der Anwendungsbereich der Norm selbst ist bewusst eng gefasst. Er umfasst den Rahmen für die sichere Informationsverarbeitung und -kommunikation, der die Integrität, Echtheit und Zuverlässigkeit der über einen Pass ausgetauschten Daten schützt. Ausdrücklich nicht abgedeckt sind die Systemarchitektur des Passes, seine Anwendungsfälle oder die sicheren Elemente und kryptografischen Sicherheitsmerkmale, die an einen Datenträger zur eindeutigen Produktidentifizierung gebunden sind; diese gehören zu den Schwesternormen, einschließlich der bereits zitierten. Bis EN 18246 veröffentlicht und anschließend von der Kommission in einem künftigen Durchführungsbeschluss gesondert zitiert wird, erstreckt sich die Erfüllungsvermutung, die derzeit für Austausch, Kennung, Datenträger, Speicherung, Schnittstellen und Interoperabilität gilt, nicht auf die Echtheit.

Das Fehlen einer zitierten Norm setzt die zugrunde liegende Pflicht nicht außer Kraft. Die Verordnung (EU) 2024/1781 verlangt bereits in ihrem eigenen Text, dass die Daten des digitalen Produktpasses genau, vollständig, aktuell und verifizierbar sein müssen; diese Pflicht gilt unabhängig davon, welche harmonisierten Normen zu ihrer Erfüllung existieren. Was fehlt, ist die Abkürzung. Artikel 41 erlaubt es der Kommission außerdem, als Ersatzlösung gemeinsame Spezifikationen im Wege eines Durchführungsrechtsakts zu erlassen, wo noch keine harmonisierte Norm existiert, doch auch eine solche Ersatzlösung wurde für die Datenauthentizität bisher nicht erlassen. Ein Unternehmen, das heute die Echtheitsebene eines Passes aufbaut, hat weder eine zitierte Norm noch eine gemeinsame Spezifikation, auf die es sich berufen kann, sondern nur die Anforderung der Verordnung selbst und die eigene Fähigkeit zu zeigen, wie es sie erfüllt.

In der Praxis bedeutet das den Rückgriff auf gewöhnliche Nachweismittel: aufbewahrte technische Dokumentation, eine selbst erklärte Erfüllungsbewertung nach dem allgemeinen Verfahren der ESPR oder die eigene Erklärung eines Zulieferers, keines davon trägt die automatische Vermutung, die eine zitierte Norm verleiht. Das ist keine Lücke im Recht; die Anforderung der ESPR an genaue, vollständige und verifizierbare Passdaten war nie davon abhängig, dass eine Norm zu ihrer Umsetzung existiert. Es ist eine Lücke im verfügbaren Werkzeug, um die Erfüllung effizient nachzuweisen, und sie schließt sich erst, wenn EN 18246 veröffentlicht und zitiert ist.

Diese Lücke wiegt bei der Echtheit schwerer als bei den meisten anderen Anforderungen, denn ein Pass, dessen Daten nicht überprüfbar sind, ist kaum besser als ein bedrucktes Etikett. AnyLAI beispielsweise stellt seine Pässe signiert aus, mit einer Signatur, die sich gegen den veröffentlichten Schlüssel des Ausstellers prüfen lässt.

Die eigenen Delegierten Rechtsakte der ESPR stehen noch auf einem separaten Gleis aus. Der erste ESPR-Arbeitsplan der Kommission, angenommen am 16. April 2025 als COM(2025) 187, nennt sechs vorrangige Produktgruppen: Textilien und Bekleidung, Möbel, Matratzen, Reifen, Eisen und Stahl sowie Aluminium. Die vorläufigen Termine für ihre Delegierten Rechtsakte reichen von 2026 für Eisen und Stahl bis 2029 für Matratzen, und eine Pflicht zum digitalen Produktpass folgt in der Regel etwa achtzehn Monate nach der Annahme des jeweiligen Delegierten Rechtsakts. Keine dieser Pflichten ist bislang eingetreten.

Die nähere Frist liegt in einer anderen Verordnung. Nach der Verordnung (EU) 2023/1542, der EU-Batterieverordnung, wird ein digitaler Batteriepass ab dem 18. Februar 2027 verpflichtend, für Elektrofahrzeugbatterien, Batterien für Leichtfahrzeuge und Industriebatterien über 2 kWh. Das ist der erste reale Fall, an dem sich die oben beschriebene Normenlücke in der Praxis zeigen wird. Dasselbe Datum taucht im Register wieder auf, das die Kennung jedes Passes aufnehmen soll: Die Durchführungsverordnung (EU) 2026/1778 der Kommission vom 16. Juli 2026, die den Betrieb des digitalen Produktpassregisters der EU regelt, verlangt von jedem Mitgliedstaat ebenfalls, bis zum 18. Februar 2027 einen nationalen Registerverwalter zu benennen.

Nichts davon spricht dafür, zu warten. Die sechs zitierten Normen verschaffen bereits eine echte, nutzbare Erfüllungsvermutung dafür, wie ein Pass aufgebaut, gekennzeichnet, getragen, gespeichert, ausgetauscht und interoperabel gemacht wird, und ein Unternehmen, das heute einen Pass zusammenstellt, kann sich schon jetzt darauf stützen. Die Anforderung, dass die zugrunde liegenden Daten genau und verifizierbar sein müssen, gilt bereits unabhängig von jeder Norm, daher ist die sinnvolle Reihenfolge, zuerst diese Datendisziplin herzustellen und EN 18246 zu übernehmen, sobald sie existiert, nicht umgekehrt. AnyLAI beispielsweise kennzeichnet seine KI-unterstützten Ausgaben als KI-unterstützt und von Menschen verifiziert.

Zwei Termine sind von hier aus im Blick zu behalten. September 2026 ist der Zeitpunkt, zu dem EN 18246 und ihre Schwesternorm zur Sicherheit bei CEN-CENELEC veröffentlicht werden sollen, wodurch die technische Lücke schon vor der förmlichen Zitierung durch die Kommission geschlossen wird. Was danach geschieht, ist weniger vorhersehbar: Bei den sechs bereits zitierten Normen vergingen zwischen ihrer Veröffentlichung bei CEN-CENELEC am 27. Mai 2026 und der Zitierung durch die Kommission am 15. Juli 2026 etwa sieben Wochen, doch das ist ein Präzedenzfall, keine Garantie. Ein Unternehmen mit geordneter Datendisziplin muss so oder so nicht umsteuern; es gewinnt lediglich eine Abkürzung, die es noch nicht hat.