Europa gjorde Plug&Charge obligatorisk. Ingen kan sige, hvor det virker.

Den 8. januar 2026 holdt Plug&Charge op med at være en funktion og blev et lovkrav. Alle nyinstallerede offentlige ladepunkter i EU skal nu implementere ISO 15118-2. Fra 1. januar 2027 kommer ISO 15118-20 med, også for private ladere.

Tysklands føderale register over ladepunkter omfatter 31 865 offentlige ladesteder. 1 018 af dem angiver Plug&Charge. Det er 3.2%.

Før du konkluderer, at Europa ignorerer sin egen lov: Så enkelt er det ikke. Det er værre. Ingen kan fortælle dig, hvor Plug&Charge faktisk virker — hverken myndigheden, operatørerne eller os. Og hvorfor, er hele historien.

Løftet er Teslas, og det er et godt et

Sæt kablet i. Gå videre. Bilen og laderen afklarer, hvem du er, og hvem der betaler, og ingen åbner en app, holder et kort op eller fotograferer en QR-kode.

Tesla har gjort det siden 2012 med et proprietært handshake på et netværk, de ejer fra ende til anden. To parter, ét selskab, ingen forhandling. Alle andre skal genskabe den oplevelse på tværs af hundredvis af operatører og dusinvis af bilproducenter, som ikke har nogen særlig grund til at stole på hinanden.

Det er det, ISO 15118 er til for. Det er også her, problemerne begynder.

Reguleringen kræver implementering. Den kræver ikke brug.

AFIR, som ændret ved Kommissionens delegerede forordning (EU) 2025/656, kræver, at nye eller opgraderede offentlige ladere implementerer ISO 15118-1/2/3/4/5 fra 2026 og ISO 15118-20 fra 2027.

Læg mærke til verbet. En lader kan være fuldt compliant uden nogensinde at gennemføre en eneste Plug&Charge-session. AFIR's betalingsforpligtelser står i artikel 5, og de opfyldes med kortlæsere og QR-koder — Kommissionens egen vejledning bekræfter, at Plug&Charge ikke er relevant for ad hoc-betaling.

Så loven garanterer, at rørene er lagt. Den garanterer intet om vandet.

CharIN — organisationen, der ejer CCS-stikket, og ikke en organisation med hang til dramatik — offentliggjorde et positionspapir den 28. april 2026, som læser som et høfligt nødraket-signal.

Dets konklusioner: Reguleringen kræver standarden, men definerer aldrig, hvordan compliance dokumenteres. Fuldt compliant hardware er ikke tilgængelig i stor skala. Færre end ti laboratorier globalt er akkrediteret til fuld ISO 15118-20-overensstemmelsestest, med ventetider på 6 til 9 måneder. Formelle testcases for AC-overensstemmelse forventes ikke før sent i 2027 — et år efter kravet træder i kraft.

CharIN anbefaler Kommissionen at udskyde 2027-fristen, til markedsklare løsninger findes. Det er branchens eget standardiseringsorgan, der beder om en forsinkelse af en regel, skrevet for at hjælpe det.

Syv parter og et kabel

Autocharge kræver to parter og én identifikator. Plug&Charge kræver en bilproducent, en mobilitetstjenesteudbyder, en certifikat-provisioneringstjeneste, en root-certifikatmyndighed, en certifikatpool, en ladepunktoperatør og dens managementplatform — alle med gyldige, opdaterede og gensidigt betroede legitimationsoplysninger i det øjeblik, føreren sætter stikket i.

Når det virker, er det usynligt. Når blot ét led er forældet, står føreren med en lader, der ikke starter, og ingen forklaring.

Hvem får lov til at være tillidens rod?

Det er det kommercielt interessante spørgsmål, og det er dét, Hubject har bygget en forretning på.

Hubject er et joint venture mellem BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens og Volkswagen. Det driver en V2G root CA og platformen, der forbinder parterne, som har brug for den. ChargePoints engineering SVP Eric Sidle har kaldt ISO 15118 “meget skæv til fordel for en lille gruppe organisationer, der udsteder og kontrollerer disse certifikater”, med argumentet om, at mellemleddet ender med at kontrollere prissætningen. Marc Mültin, medforfatter til standarden, har indrømmet, at interessenter opfatter Hubject som “ikke tilstrækkeligt uafhængig”.

Europa er mindre monopolært, end det var. Gireve — den franske roamingoperatør med Thales bag kryptografien — tilbyder nu root CA- og pooltjenester. CharIN driver sin egen V2G-root, forvaltet for organisationen af Irdeto. Penta Security krydscertificerer med Hubject. Det er sundere. Det betyder også, at en lader nu skal stole på flere roots, og at en førers certifikat skal kunne nås gennem den pool, bilproducenten nu engang har valgt.

Nordamerika greb det an fra den anden ende. SAE ITC's EVPKI-konsortium har lanceret en produktionsklar Certificate Trust List med seks root-certifikater, med det erklærede mål at skabe “et konkurrencepræget PKI-udbud, som reelt ikke eksisterer i dag”.

Læs den sætning igen. Det er et standardiseringskonsortium, der siger den stille del højt i en mikrofon.

Og Korea valgte et helt tredje svar: Hyundai Motor Group overdrager sin Plug&Charge-teknologi og certifikatmyndigheden til staten, gratis, sammen med en åben alliance af 12 indenlandske operatører. Staten bliver roden.

Tre kontinenter, tre svar på “hvem stoler du på”: et joint venture ejet af bilproducenter, et konkurrencepræget marked med en fælles tillidsliste og et ministerium. Kun ét af dem er en forretningsmodel.

Hvad det tyske register ved, og hvad det ikke ved

Tyskland er det eneste store europæiske marked, hvis officielle ladepunktregister eksplicit spørger operatørerne, om et site understøtter Plug&Charge. Vi hentede svarene.

Aral pulse angiver 53 af sine 87 tyske DC-sites. Allego angiver 11 af 68. Ionity — som har kørt ISO 15118-2 Plug&Charge på hele sit netværk i årevis — angiver ét site ud af 61. Tesla angiver ingen af 268.

Dette diagram måler ikke Plug&Charge. Det måler, hvem der udfyldte formularen.

Det er konklusionen. I det første år med et kontinentalt krav findes der, på markedet med flest ladepunkter og Europas mest omhyggelige register, ingen pålidelig offentlig oversigt over, hvor Plug&Charge virker. Ingen af de øvrige nationale registre, vi har — Frankrig, Norden, Italien, Nederlandene — stiller overhovedet spørgsmålet.

Førerne finder ud af det ved at sætte stikket i og vente.

Imens bliver den primitive version ved med at virke

Autocharge løser den samme opgave uden hele maskineriet. Laderen læser den identifikator, bilen udsender under DC-handshaket — typisk dens MAC-adresse — slår den op mod en konto og starter. Én registrering, ingen certifikater, ingen root of trust, ingen pool, intet clearinghouse.

På papiret er det også usikkert. En MAC-adresse er en identifikator, ikke en hemmelighed. Enhver, der kan aflæse en, kan i princippet udgive sig for at have den, og operatørens eneste tilgængelige forsvar er at sortliste dem, der misbruges. Marc Mültin, som var med til at skrive ISO 15118, har udgivet et indlæg med den ikke videre subtile titel “Autocharge: hvad det er, og hvorfor det er en dårlig idé”.

Han har ret om sikkerheden. Han beskriver også noget, der stilfærdigt kører på tværs af Europa, mens den sikre version venter på sine certifikater.

Autocharge er i drift hos blandt andre EnBW, Mer, Electra, Fastned, Powerdot og GRIDSERVE. Powerdot rullede det ud sammen med Miio og siden med Chargemap i Frankrig, Belgien, Spanien og Polen. Det virker i biler, der aldrig vil modtage et kontraktcertifikat, på lokationer, der aldrig vil indgå i en PKI.

Seks er en stikprøve, ikke en totaloptælling. Ingen offentliggør et register over Autocharge-udrulninger — hvilket endnu en gang er pointen. Til sammenligning rummer vores database omkring 135 000 offentlige DC-lokationer i Europa. Det reelle Autocharge-tal er højere end vores stikprøve. Ingen kan sige, hvor meget højere.

Autocharge er heller ikke ensartet, og det betyder noget

Hagen, som operatørerne gerne selv fortæller om, er, at aktivering af Autocharge på et netværk ikke aktiverer det på alle ladere i netværket.

Det virker kun på DC. Identifikatoren følger med i det digitale håndtryk, som DC-opladning kræver, og almindelig AC-opladning har ingen tilsvarende samtale — præcis det hul ISO 15118 blev skrevet for at lukke. Laderen skal også have OCPP 1.5 eller nyere og firmware, der understøtter funktionen, så ældre enheder i et netværk, der ellers understøtter Autocharge, ganske enkelt ikke kan det. GRIDSERVE indførte det for eksempel med nyere hardware frem for på tværs af hele anlægsmassen fra den ene dag til den anden.

Så er der bilen. Volkswagen Groups MEB-platform roterer sin MAC-adresse, hvilket gør Autocharge strukturelt umuligt på ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron og Cupra Born. CHAdeMO-køretøjer er udelukket af design. En håndfuld ældre modeller understøttede det aldrig.

Så føreroplevelsen er: det virker, indtil det ikke gør, og du kan ikke på forhånd se, hvilken lader eller hvilken bil der bliver undtagelsen. Hvilket ord for ord er den samme klage, vi netop har rejst om Plug&Charge.

Vækstvejen har også en udløbsdato. Bilagets punkt 2.1.2 i den delegerede forordning kræver, at ethvert offentligt tilgængeligt ladepunkt, der installeres eller renoveres fra 1 January 2027 og tilbyder automatisk autentifikation — Autocharge tæller med — implementerer både ISO 15118-2 og -20. Eksisterende lokationer kan fortsætte: betragtning 25 tillader udtrykkeligt, at punkter, der anvender en ikke-plug-and-charge-løsning, fortsætter “indtil en fuld markedsovergang er opnået”.

Autocharge er altså ikke forbudt. Det er grandfathered — en anden og langsommere form for afslutning, som lukker vejen for nybyggeri, mens den lader den installerede base være i fred.

Det er den ærlige læsning. Autocharge er ikke et bedre system. Det er et dårligere system, der blev sendt på markedet, og det viser sig, at det at komme på markedet er meget værd.

Den tredje vej, som ingen skrev ind i forordningen

Mens standardiseringsorganerne diskuterer, er et mere stilfærdigt svar ved at tage form: Identificér bilen via dens egen dataforbindelse, og spring kabelsamtalen helt over.

Ford gør det allerede og bygger sin egen telematikbaserede certifikatlevering frem for at bruge det standardiserede provisioning-flow. I foråret 2026 gennemførte Vattenfall InCharge og WirelessCar et pilotprojekt med mere end 700 chauffører i Sverige, Nederlandene og Tyskland, hvor sessioner blev startet uden kort, app, certifikat og MAC-adresse — blot ved at bilen fortalte skyen, hvor den var tilsluttet.

Telematik har en åbenlys svaghed: Det kræver bilproducentens samarbejde, og det giver bilproducenten kundeforholdet. Hvilket måske er præcis derfor, bilproducenterne kan lide det.

Sikkerhedsargumentet, taget alvorligt

Argumentet for alt det maskineri er reelt. Certifikater giver dig tilbagekaldelse, uafviselighed og et værn mod netop den identifikator-spoofing, som Autocharge åbner for. Hvis Plug&Charge skal håndtere betaling for millioner af uovervågede transaktioner, er kryptografi det rigtige svar.

Så kom December 2025.

Forskere offentliggjorde et fungerende relay-angreb mod ISO 15118 Plug&Charge-betaling: en falsk lader, et videresendt håndtryk og en andens regning. Fuld proof-of-concept, accepteret til USENIX VehicleSec 2026.

Til Hubjects store ære præsenterer hovedforfatteren det på ICNC26 — på Hubjects egen scene, i en session med titlen “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”. Sådan håndterer en seriøs branche dårlige nyheder.

Men hold de to fakta op ved siden af hinanden. Syv års certifikatinfrastruktur skabte et system, der stadig kunne udsættes for relay-angreb. Det, systemet blev bygget til at erstatte — en MAC-adresse i en opslagstabel — kører stilfærdigt i fire lande. Kompleksiteten købte mindre sikkerhed, end salgsmaterialet lovede.

Bilproducenterne er klar. Laderne er ikke.

På køretøjssiden er det tæt på løst. Porsche Taycan og Mercedes EQS kom først i mål. I dag omfatter listen Volkswagen ID-serien, Skoda Enyaq, Audi Q4 e-tron og Cupra Born; BMW i4, i5, i7 og iX; Hyundai Ioniq 5 og 6, Kia EV6 og EV9, Genesis GV60; Volvo EX90 og EX60; Polestar fra modelår 2026.

Volvo aktiverede Plug&Charge på tværs af 35 000 amerikanske stationer i June 2026. GM annoncerede sin udrulning på Empower i løbet af sommeren. Bilerne løfter i store træk deres del.

To detaljer skæmmer billedet. Ford byggede sin egen telematikbaserede certifikatlevering frem for at bruge det standardiserede provisioning-flow med henvisning til sikkerhed. Når en bilproducent går uden om dit økosystem for at nå din standard, har økosystemet et produktproblem.

Og BMW's eget servicebulletin for elbiler i modelår 2025 oplister de fejltilstande, som deres forhandlere bør forvente: Plug&Charge-menuen vises ikke, kontraktinstallationen fejler, kontrakter forsvinder efter installation, udbydere sender dem ganske enkelt ikke. Det er friktionen, dokumenteret af fabrikken, i en værkstedsmanual.

Ladeproducenterne er der, hvor 2027-fristen ophører med at være en politisk debat og bliver et forsyningskædeproblem. Alpitronic angiver ISO 15118-20-understøttelse med en implementeringsdato på “TBC”. De er ikke alene.

Hardware, der tages i brug til europæisk offentlig anvendelse fra 2026, skal have PLC-kompatible kommunikationscontrollere fra første dag — et firmwareløfte er ikke nok. Det er en beslutning om stykliste, truffet to år før softwaren, der skal bruge den, er færdig.

Det har vi prøvet før

I 2015 stod vores grundlægger Ole Henrik Hannisdahl på ICNC-scenen i Berlin og fortalte et rum fuldt af roamingfolk, at roaming var løsningen på et problem, branchen selv havde skabt ved at gøre det så svært bare at gå hen til en lader og bruge den.

Han er ikke blevet inviteret tilbage.

Det irriterende ved argumentet er, hvor godt det er ældet. Roaming fungerede kommercielt. Det cementerede også den fragmentering, det var bygget til at skjule. Elleve år senere bærer europæiske bilister stadig en pung fuld af RFID-kort og en mappe fuld af apps, og clearinglaget er blevet en permanent skat på et problem, der aldrig var chaufførens skyld.

Instinktet lever i bedste velgående, i øvrigt. I December 2025 grundlagde Atlante, Electra, Fastned og Ionity ChargeLeague, så chauffører fra ethvert medlemsnetværk kan lade i alle de andre. En alliance, der skal løse den fragmentering, alliancerne skabte. Den film har vi set før.

Plug&Charge har samme kontur, som roaming havde. En ægte fremragende brugeroplevelse, leveret gennem et tillidslag, der kræver en mellemmand, prissættes af en mellemmand og — ifølge det tyske register — er usynligt i det offentlige register. Brugerproblemet, det løser, er reelt. Governance-strukturen, det kræver, er den del, ingen bad om.

Det afslørende er, at Autocharge, som er dårligere ingeniørarbejde, lige nu er et bedre produkt. Færre parter, ingen certifikater, virker i dag, på flere netværk, i flere lande. Det burde bekymre dem, der bygger den gode teknologi, snarere end berolige dem, der bygger den primitive version.

Intet af dette er et argument for at opgive ISO 15118. Det er den rigtige standard, og sikkerhedscasen bliver kun stærkere, efterhånden som tovejsopladning gør hver bil til et aktiv i elnettet. Det er et argument for at gøre økosystemet kedeligt.

Fire ting ville gøre det: flere konkurrerende rødder, som Europa nu har. En fælles tillidsliste, som alle kan tilslutte sig, hvilket Nordamerika har, og Europa ikke har. Certifikatudstedelse, der aldrig kræver en supportsag. Og et offentligt register, der faktisk siger, hvor det virker — for en funktion, som bilister ikke kan finde, er ikke en funktion.

Europa gjorde protokollen obligatorisk og sprang de tre andre over.

Hubject samler branchen i Tempelhof fra 1. til 3. september. Programmet rummer både “Plug&Charge: Expanding Possibilities” og oplægget om relay-angreb. Det er værd at bemærke, hvilket rum der bliver fyldt op.