Europa har gjort Plug&Charge obligatorisk. Ingen kan sige, hvor det virker.

Den 8. januar 2026 holdt Plug&Charge op med at være en funktion og blev et lovkrav. Alle nyinstallerede offentlige ladepunkter i EU skal nu implementere ISO 15118-2. Fra 1. januar 2027 kommer ISO 15118-20 oveni, også for private ladere.

Tysklands føderale laderegister omfatter 31 865 offentlige ladesteder. 1 018 af dem angiver Plug&Charge. Det er 3.2%.

Før du konkluderer, at Europa ignorerer sin egen lov: Så enkelt er det ikke. Det er værre. Ingen kan fortælle dig, hvor Plug&Charge faktisk virker — hverken myndighederne, operatørerne eller os. Og hvorfor, er hele historien.

Løftet er Teslas, og det er et godt et

Sæt kablet i. Gå videre. Bilen og laderen afklarer, hvem du er, og hvem der betaler, og ingen åbner en app, tæpper et kort eller fotograferer en QR-kode.

Tesla har gjort det siden 2012 med et proprietært handshake på et netværk, virksomheden ejer fra ende til anden. To parter, ét selskab, ingen forhandling. Alle andre skal genskabe den oplevelse på tværs af hundredvis af operatører og snesevis af bilproducenter, som ikke har nogen særlig grund til at stole på hinanden.

Det er dét, ISO 15118 er til for. Og det er også dér, problemerne begynder.

Reguleringen påbyder implementering. Den påbyder ikke brug.

AFIR, som ændret ved Kommissionens delegerede forordning (EU) 2025/656, kræver, at nye eller opgraderede offentlige ladere implementerer ISO 15118-1/2/3/4/5 fra 2026 og ISO 15118-20 fra 2027.

Bemærk verbet. En lader kan være fuldt compliant uden nogensinde at gennemføre en eneste Plug&Charge-session. AFIR's betalingsforpligtelser står i artikel 5, og de opfyldes med kortlæsere og QR-koder — Kommissionens egen vejledning bekræfter, at Plug&Charge ikke er relevant for ad hoc-betaling.

Så loven garanterer, at rørene er lagt. Den garanterer intet om vandet.

CharIN — organisationen, der ejer CCS-stikket, og ikke ligefrem er kendt for dramatik — offentliggjorde et positionspapir den 28. april 2026, som læser som et høfligt nødblus.

Dets konklusioner: Reguleringen påbyder standarden, men definerer aldrig, hvordan compliance dokumenteres. Fuldt compliant hardware fås ikke i stor skala. Færre end ti laboratorier på verdensplan er akkrediteret til fuld ISO 15118-20-overensstemmelse, med ventetider på 6 til 9 måneder. Formelle testcases for AC-overensstemmelse forventes ikke før sent i 2027 — et år efter kravet træder i kraft.

CharIN anbefaler Kommissionen at udskyde fristen i 2027, indtil markedsklare løsninger findes. Det er branchens eget standardiseringsorgan, der beder om en udsættelse af en regel, som blev skrevet for at hjælpe det.

Syv parter og et kabel

Autocharge kræver to parter og én identifikator. Plug&Charge kræver en bilproducent, en mobilitetsudbyder, en certifikatprovisioneringstjeneste, en rodcertifikatmyndighed, en certifikatpool, en ladeoperatør og dens administrationsplatform — alle med gyldige, opdaterede legitimationsoplysninger, som parterne gensidigt stoler på, i det øjeblik føreren sætter stikket i.

Når det virker, er det usynligt. Når blot ét led er forældet, står føreren med en lader, der ikke vil starte, og ingen forklaring.

Hvem får lov at være tillidens rod?

Det er det kommercielt interessante spørgsmål, og det er det, Hubject byggede en forretning på.

Hubject er et joint venture mellem BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens og Volkswagen. Det driver en V2G root CA og platformen, der forbinder parterne, som har brug for den. ChargePoints engineering SVP Eric Sidle har kaldt ISO 15118 “meget skævvredet til fordel for en lille gruppe organisationer, der udsteder og kontrollerer de certifikater”, med argumentet om, at mellemleddet ender med at kontrollere prissætningen. Marc Mültin, medforfatter til standarden, har medgivet, at interessenter opfatter Hubject som “ikke tilstrækkeligt uafhængig”.

Europa er mindre monopolært, end det var. Gireve — den franske roamingoperatør, med Thales bag kryptografien — tilbyder nu root CA- og pooltjenester. CharIN driver sin egen V2G-root, som administreres for organisationen af Irdeto. Penta Security krydscertificerer med Hubject. Det er sundere. Det betyder også, at en lader nu skal stole på flere rødder, og at førerens certifikat skal kunne nås gennem den pool, bilproducenten tilfældigvis har valgt.

Nordamerika greb det an fra den anden ende. SAE ITC's EVPKI-konsortium har lanceret en produktionsklar Certificate Trust List med seks rodcertifikater og det erklærede mål at skabe “et konkurrencedygtigt PKI-udbudsmarked, som ikke findes i nogen meningsfuld form i dag”.

Læs den sætning igen. Det er et standardiseringskonsortium, der siger den stille del højt i en mikrofon.

Og Korea valgte et helt tredje svar: Hyundai Motor Group overdrager sin Plug&Charge-teknologi og certificeringsmyndigheden til staten, gratis, sammen med en åben alliance af 12 indenlandske operatører. Staten bliver roden.

Tre kontinenter, tre svar på “hvem stoler du på”: et joint venture ejet af bilproducenter, et konkurrencemarked med en fælles tillidsliste og et ministerium. Kun ét af dem er en forretningsmodel.

Hvad det tyske register ved, og hvad det ikke ved

Tyskland er det eneste store europæiske marked, hvor det officielle laderegister udtrykkeligt spørger operatørerne, om et site understøtter Plug&Charge. Vi hentede svarene.

Aral pulse angiver 53 af sine 87 tyske DC-sites. Allego angiver 11 af 68. Ionity — som har kørt ISO 15118-2 Plug&Charge på hele sit netværk i årevis — angiver ét site ud af 61. Tesla angiver ingen af 268.

Dette diagram måler ikke Plug&Charge. Det måler, hvem der udfyldte formularen.

Det er fundet. I det første år med et kontinentalt krav findes der, på markedet med flest ladepunkter og Europas mest samvittighedsfulde register, ingen pålidelig offentlig oversigt over, hvor Plug&Charge virker. Ingen af de øvrige nationale registre, vi har — Frankrig, Norden, Italien, Nederlandene — stiller overhovedet spørgsmålet.

Førerne finder ud af det ved at sætte stikket i og vente.

Imens bliver den primitive version ved med at virke

Autocharge løser den samme opgave uden noget af maskineriet. Laderen læser den identifikator, bilen udsender under DC-handshaket — normalt dens MAC-adresse — slår den op mod en konto og starter. Én registrering, ingen certifikater, ingen tillidsrod, ingen pool, intet clearinghouse.

På papiret er det også usikkert. En MAC-adresse er en identifikator, ikke en hemmelighed. Enhver, der kan læse en, kan i princippet udgive sig for den, og det eneste forsvar, en operatør har, er at sortliste dem, der misbruges. Marc Mültin, der var med til at skrive ISO 15118, har udgivet et argument med titlen, uden den store subtilitet, “Autocharge: hvad det er, og hvorfor det er en dårlig idé”.

Han har ret om sikkerheden. Han beskriver også noget, der stilfærdigt kører på tværs af Europa, mens den sikre version venter på sine certifikater.

Autocharge er i drift hos blandt andre EnBW, Mer, Electra, Fastned, Powerdot og GRIDSERVE. Powerdot rullede det ud med Miio og derefter med Chargemap på tværs af Frankrig, Belgien, Spanien og Polen. Det fungerer i biler, der aldrig vil modtage et kontraktcertifikat, og på lokationer, der aldrig vil tilslutte sig en PKI.

Seks er et udsnit, ikke en optælling. Ingen offentliggør et register over Autocharge-udrulninger — hvilket igen er pointen. Til sammenligning rummer vores database omkring 135 000 offentlige DC-lokationer i Europa. Det reelle Autocharge-tal er højere end vores udsnit. Ingen kan sige, hvor meget højere.

Autocharge er heller ikke ensartet, og det betyder noget

Finten, og det siger operatørerne gerne selv: at aktivere Autocharge på et netværk betyder ikke, at det aktiveres på alle ladere i netværket.

Det virker kun på DC. Identifikatoren følger med i det digitale håndtryk, som DC-opladning kræver, og almindelig AC-opladning har ingen tilsvarende samtale — hvilket netop er det hul, ISO 15118 blev skrevet for at lukke. Laderen skal også have OCPP 1.5 eller nyere og firmware, der understøtter funktionen, så ældre enheder i et ellers Autocharge-aktiveret netværk ganske enkelt ikke kan det. GRIDSERVE indførte det eksempelvis med nyere hardware frem for på tværs af hele anlægget fra den ene dag til den anden.

Så er der bilen. Volkswagen Groups MEB-platform roterer sin MAC-adresse, hvilket gør Autocharge strukturelt umuligt på ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron og Cupra Born. CHAdeMO-køretøjer er udelukket af design. En håndfuld ældre modeller understøttede det aldrig.

Så føreroplevelsen er: det virker, indtil det ikke gør, og du kan ikke på forhånd se, hvilken lader eller hvilken bil der bliver undtagelsen. Hvilket ord for ord er den samme klage, vi netop har fremsat om Plug&Charge.

Det er den ærlige læsning. Autocharge er ikke et bedre system. Det er et dårligere system, som blev lanceret, og det viser sig, at det at få noget lanceret er meget værd.

Den tredje vej, ingen skrev ind i reguleringen

Mens standardiseringsorganerne diskuterer, er et mere stille svar ved at tage form: identificér bilen gennem dens egen dataforbindelse, og spring kabelsamtalen helt over.

Ford gør allerede dette og bygger sin egen telematikbaserede certifikatudlevering frem for at bruge standardens provisioneringsflow. I foråret 2026 gennemførte Vattenfall InCharge og WirelessCar en pilot med mere end 700 førere i Sverige, Nederlandene og Tyskland, hvor ladesessioner startede uden kort, app, certifikat eller MAC-adresse — blot ved at bilen fortalte skyen, hvor den var tilsluttet.

Telematik har en åbenlys svaghed: det kræver bilproducentens samarbejde, og det giver bilproducenten kunderelationen. Hvilket måske netop er grunden til, at bilproducenterne kan lide det.

Sikkerhedsargumentet, taget alvorligt

Argumentet for alt det maskineri er reelt. Certifikater giver tilbagekaldelse, uafviselighed og et værn mod præcis den identitetsforfalskning, Autocharge inviterer til. Hvis Plug&Charge skal håndtere betaling for millioner af ubemandede transaktioner, er kryptografi det rigtige svar.

Så kom december 2025.

Forskere offentliggjorde et fungerende relay-angreb mod ISO 15118 Plug&Charge-betaling: en falsk lader, et videresendt håndtryk og en andens regning. Fuldt proof-of-concept, accepteret til USENIX VehicleSec 2026.

Til Hubjects reelle kredit præsenterer hovedforfatteren det på ICNC26 — på Hubjects egen scene, i en session med titlen “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”. Sådan håndterer en seriøs branche dårlige nyheder.

Men hold de to kendsgerninger op mod hinanden. Syv års certifikatinfrastruktur skabte et system, der stadig kunne udsættes for relay-angreb. Det, det blev bygget til at erstatte — en MAC-adresse i en opslagstabel — kører stille og roligt i fire lande. Kompleksiteten købte mindre sikkerhed, end salgsmaterialet antydede.

Bilproducenterne er klar. Laderne er ikke.

På køretøjssiden er dette tæt på løst. Porsche Taycan og Mercedes EQS kom først i mål. I dag omfatter listen Volkswagen ID-serien, Skoda Enyaq, Audi Q4 e-tron og Cupra Born; BMW i4, i5, i7 og iX; Hyundai Ioniq 5 og 6, Kia EV6 og EV9, Genesis GV60; Volvo EX90 og EX60; Polestar fra modelår 2026.

Volvo aktiverede Plug&Charge på tværs af 35 000 amerikanske stationer i juni 2026. GM annoncerede sin udrulning på Empower i løbet af sommeren. Bilerne lever i store træk op til deres del af aftalen.

To detaljer skæmmer billedet. Ford byggede sin egen telematikbaserede certifikatudlevering frem for at bruge standardens provisioneringsflow med henvisning til sikkerhed. Når en bilproducent går uden om dit økosystem for at nå din standard, har økosystemet et produktproblem.

Og BMW's egen servicebulletin for 2025-modelårs elbiler opremser de fejltilstande, deres forhandlere bør forvente: Plug&Charge-menuen vises ikke, installation af kontrakten fejler, kontrakter forsvinder efter installation, udbydere sender dem ganske enkelt ikke. Det er friktionen, dokumenteret af fabrikken, i en værkstedshåndbog.

Laderproducenterne er der, hvor 2027-fristen holder op med at være en politisk debat og bliver et forsyningskædeproblem. Alpitronic angiver ISO 15118-20-understøttelse med en implementeringsdato på “TBC”. De er ikke alene.

Hardware, der tages i brug til offentlig anvendelse i Europa fra 2026, skal have PLC-kompatible kommunikationscontrollere fra dag ét — et firmwareløfte er ikke nok. Det er en beslutning om stykliste, truffet to år før softwaren, der skal bruge den, er færdig.

Det har vi gjort før

I 2015 stod vores grundlægger Ole Henrik Hannisdahl på ICNC-scenen i Berlin og fortalte et rum fuld af roamingfolk, at roaming var løsningen på et problem, branchen selv havde skabt ved at gøre det så svært bare at gå hen til en lader og bruge den.

Han er ikke blevet inviteret tilbage.

Det irriterende ved det argument er, hvor godt det har ældet. Roaming virkede kommercielt. Det cementerede også den fragmentering, det var bygget til at dække over. Elleve år senere slæber europæiske førere stadig rundt på en pung med RFID-kort og en mappe fuld af apps, og clearinglaget er blevet en permanent skat på et problem, der aldrig var førerens skyld.

Instinktet lever i bedste velgående, for øvrigt. I december 2025 grundlagde Atlante, Electra, Fastned og Ionity ChargeLeague, så førere fra ethvert medlemsnetværk kan lade på ethvert andet. En alliance til at løse den fragmentering, alliancerne skabte. Den film har vi set før.

Plug&Charge har den samme silhuet som roaming. En oprigtigt fremragende brugeroplevelse, leveret gennem et tillidslag, der kræver en mellemmand, prissættes af en mellemmand og — ifølge det tyske register — er usynligt i de offentlige registre. Brugerproblemet, det løser, er reelt. Governance-strukturen, det kræver, er den del, ingen bad om.

Afsløringen er, at Autocharge, som er dårligere ingeniørarbejde, lige nu er et bedre produkt. Færre parter, ingen certifikater, virker i dag, på flere netværk, i flere lande. Det burde bekymre dem, der bygger den gode teknik, frem for at berolige dem, der bygger den primitive version.

Intet af dette er et argument for at opgive ISO 15118. Det er den rigtige standard, og sikkerhedsargumentet bliver kun stærkere, efterhånden som tovejsopladning gør hver bil til et netaktiv. Det er et argument for at gøre økosystemet kedeligt.

Fire ting ville gøre det: flere konkurrerende rodcertifikater, hvilket Europa nu har. En fælles tillidsliste, som alle kan tilslutte sig, hvilket Nordamerika har, og Europa ikke har. Certifikatudstedelse, der aldrig kræver en supportsag. Og et offentligt register, der faktisk angiver, hvor løsningen virker — for en funktion, som bilisterne ikke kan finde, er ikke en funktion.

Europa gjorde protokollen obligatorisk og sprang de tre andre over.

Hubject samler branchen i Tempelhof fra 1. til 3. september. På agendaen står både “Plug&Charge: Expanding Possibilities” og oplægget om relay-angreb. Det er værd at bemærke, hvilket lokale der bliver fyldt op.