El 8 de enero de 2026, Plug&Charge dejó de ser una funcionalidad y pasó a ser una obligación legal. Todos los puntos de recarga públicos instalados recientemente en la UE deben implementar ahora ISO 15118-2. A partir del 1 de enero de 2027, se suma ISO 15118-20, incluidos los cargadores privados.
El registro federal alemán de puntos de recarga lista 31 865 ubicaciones públicas. 1 018 de ellas declaran Plug&Charge. Eso es el 3.2%.
Antes de concluir que Europa está ignorando su propia ley: no es exactamente eso. Es peor. Nadie puede decirte dónde funciona realmente Plug&Charge —ni el regulador, ni los operadores, ni nosotros—. Y el motivo es toda la historia.
La propuesta es la de Tesla, y es buena
Enchufa el cable. Aléjate. El coche y el cargador resuelven quién eres y quién paga, sin que nadie abra una app, acerque una tarjeta ni fotografíe un código QR.
Tesla lleva haciendo esto desde 2012, con un handshake propietario en una red que posee de extremo a extremo. Dos partes, una empresa, ninguna negociación. Todos los demás tienen que reproducir esa experiencia entre cientos de operadores y decenas de fabricantes de coches que no tienen ningún motivo especial para confiar unos en otros.
Para eso existe ISO 15118. Y ahí es también donde empiezan los problemas.
La regulación obliga a implementar. No obliga a usar.
AFIR, modificada por el Reglamento Delegado (UE) 2025/656 de la Comisión, exige que los cargadores públicos nuevos o mejorados implementen ISO 15118-1/2/3/4/5 desde 2026, e ISO 15118-20 desde 2027.
Fíjate en el verbo. Un cargador puede cumplir plenamente y no completar jamás una sola sesión de Plug&Charge. Las obligaciones de pago de AFIR están en el artículo 5, y se satisfacen mediante lectores de tarjetas y códigos QR —la propia guía de la Comisión confirma que Plug&Charge no es relevante para el pago ad hoc.
Así que la ley garantiza que se instala la fontanería. No garantiza nada sobre el agua.
El mismo documento señala que no existe ningún esquema de certificación para EVSE de CA, y prevé que los protocolos heredados coexistan “al menos hasta 2028”.
CharIN —el organismo propietario del conector CCS, y no precisamente una organización dada al dramatismo— publicó un documento de posición el 28 de abril de 2026 que se lee como una bengala de emergencia lanzada con extrema cortesía.
Sus conclusiones: la regulación obliga al estándar, pero nunca define cómo se demuestra el cumplimiento. El hardware plenamente conforme no está disponible a escala. Menos de diez laboratorios en todo el mundo están acreditados para la conformidad completa con ISO 15118-20, con plazos de 6 a 9 meses. No se esperan casos formales de prueba de conformidad para CA antes de finales de 2027 —un año después de que entre en vigor la obligación.
La recomendación de CharIN a la Comisión es posponer el plazo de 2027 hasta que existan soluciones listas para el mercado. Es el propio organismo de estándares del sector pidiendo retrasar una norma redactada para ayudarle.
Siete partes y un cable
2. El fabricante instala un certificado de aprovisionamiento OEM en el coche durante su fabricación.
3. El conductor contrata con un proveedor de movilidad, que emite un certificado de contrato.
4. Un servicio de aprovisionamiento de certificados lo cifra y lo entrega a un pool.
5. El coche lo recoge en el siguiente cargador compatible.
6. El CPO y su sistema de gestión deben confiar en la misma raíz y disponer de un certificado hoja SECC válido.
Cada certificado debe emitirse, distribuirse, instalarse, renovarse y revocarse. En todos ellos.
Autocharge necesita dos partes y un identificador. Plug&Charge necesita un fabricante de coches, un proveedor de servicios de movilidad, un servicio de aprovisionamiento de certificados, una autoridad de certificación raíz, un pool de certificados, un operador de puntos de recarga y su plataforma de gestión; todos con credenciales válidas, vigentes y de confianza mutua en el momento en que el conductor enchufa.
Cuando funciona, es invisible. Cuando un solo eslabón está caducado, el conductor se encuentra con un cargador que no arranca y ninguna explicación.
¿Quién puede ser la raíz de confianza?
Esta es la pregunta comercialmente interesante, y es sobre la que Hubject construyó un negocio.
Hubject es una joint venture de BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens y Volkswagen. Opera una V2G root CA y la plataforma que conecta a las partes que la necesitan. Eric Sidle, SVP de ingeniería de ChargePoint, ha calificado ISO 15118 de “muy sesgado hacia un pequeño grupo de organizaciones que emiten y controlan esos certificados”, sosteniendo que el intermediario acaba controlando los precios. Marc Mültin, coautor del estándar, ha reconocido que las partes interesadas consideran que Hubject “no es lo bastante independiente”.
Europa es menos monopolar de lo que era. Gireve —el operador francés de roaming, con Thales detrás de la criptografía— ofrece ahora servicios de root CA y pool. CharIN opera su propia raíz V2G, gestionada para ella por Irdeto. Penta Security realiza certificación cruzada con Hubject. Eso es más saludable. También significa que un cargador debe confiar ahora en varias raíces, y que el certificado de un conductor debe poder alcanzarse a través del pool que haya elegido su fabricante.
Norteamérica lo abordó desde el otro extremo. El consorcio EVPKI de SAE ITC ha lanzado una Certificate Trust List de producción con seis certificados raíz, con el objetivo declarado de crear “un mercado competitivo de proveedores de PKI que hoy no existe de forma significativa”.
Lee esa frase otra vez. Es un consorcio de estándares diciendo en voz alta lo que todos piensan.
Y Corea eligió una tercera respuesta por completo: Hyundai Motor Group está entregando su tecnología Plug&Charge y la autoridad de certificación al gobierno, de forma gratuita, junto a una alianza abierta de 12 operadores nacionales. El Estado se convierte en la raíz.
Tres continentes, tres respuestas a “¿en quién confías?”: una joint venture propiedad de fabricantes, un mercado competitivo con una lista de confianza compartida y un ministerio. Solo una de ellas es un modelo de negocio.
Lo que sabe el registro alemán, y lo que no
Alemania es el único gran mercado europeo cuyo registro oficial de puntos de recarga pregunta explícitamente a los operadores si una ubicación admite Plug&Charge. Hemos recopilado las respuestas.
Proporción de las ubicaciones alemanas de CC (50 kW+) de cada operador que declaran Plug&Charge en el registro federal de puntos de recarga. Operadores con 40 o más ubicaciones de CC. Fuente: Chargalytics, a partir de datos de Bundesnetzagentur, agosto de 2026.
Aral pulse declara 53 de sus 87 ubicaciones alemanas de CC. Allego declara 11 de 68. Ionity —que lleva años operando Plug&Charge ISO 15118-2 en toda su red— declara una ubicación de 61. Tesla no declara ninguna de 268.
Este gráfico no mide Plug&Charge. Mide quién rellenó el formulario.
Ese es el hallazgo. En el primer año de una obligación continental, en el mercado con más puntos de recarga y el registro más riguroso de Europa, no existe un registro público fiable de dónde funciona Plug&Charge. Ningún otro registro nacional que tengamos —Francia, los países nórdicos, Italia, Países Bajos— siquiera formula la pregunta.
Los conductores lo descubren enchufando y esperando.
Mientras tanto, la versión rudimentaria sigue funcionando
Autocharge hace el mismo trabajo sin toda la maquinaria. El cargador lee el identificador que emite el coche durante el handshake de CC —normalmente su dirección MAC—, lo consulta frente a una cuenta y empieza a cargar. Un registro, sin certificados, sin raíz de confianza, sin pool, sin cámara de compensación.
También es, sobre el papel, inseguro. Una dirección MAC es un identificador, no un secreto. Cualquiera que pueda leer una puede, en principio, presentarla, y la única defensa disponible para un operador es incluir en una lista negra las que se utilicen de forma abusiva. Marc Mültin, coautor de ISO 15118, ha publicado un argumento titulado, sin demasiada sutileza, “Autocharge: qué es y por qué es una mala idea”.
Tiene razón respecto a la seguridad. También está describiendo algo que funciona discretamente por toda Europa mientras la versión segura espera sus certificados.
Solo esos seis operan en nuestra base de datos 5 789 ubicaciones de DC y 32 677 puntos de carga de DC en hasta ocho países.
Tómelo como una muestra, no como un censo. No existe un registro de despliegues de Autocharge, así que esta es una cifra mínima descubierta al leer anuncios, no una medición de mercado.
Autocharge está activo, entre otros, en EnBW, Mer, Electra, Fastned, Powerdot y GRIDSERVE. Powerdot lo desplegó con Miio y después con Chargemap en Francia, Bélgica, España y Polonia. Funciona en coches que nunca recibirán un certificado de contrato, en ubicaciones que nunca se integrarán en una PKI.
Seis es una muestra, no un censo. Nadie publica un registro de despliegues de Autocharge —y ese es, una vez más, el punto. Para ponerlo en escala, nuestra base de datos reúne aproximadamente 135 000 ubicaciones públicas de DC en Europa. La cifra real de Autocharge es superior a nuestra muestra. Nadie puede decirle cuánto mayor.
Autocharge tampoco es uniforme, y eso importa
La trampa, y los operadores se lo dirán sin tapujos, es que activar Autocharge en una red no lo activa en todos los cargadores de esa red.
Solo funciona en DC. El identificador viaja en el intercambio digital que exige la carga en DC, y la carga convencional en AC no mantiene esa conversación —precisamente la brecha que ISO 15118 se diseñó para cerrar. El cargador también necesita OCPP 1.5 o posterior y firmware compatible con la función, de modo que las unidades más antiguas de una red que, por lo demás, tiene Autocharge activado simplemente no lo hacen. GRIDSERVE, por ejemplo, lo introdujo con hardware más nuevo en lugar de extenderlo a toda su red de la noche a la mañana.
Volkswagen Group también es copropietario de Hubject.
Los coches CHAdeMO quedan completamente fuera. Varios modelos VAG antiguos y algunos Lucid nunca fueron compatibles.
Luego está el coche. La plataforma MEB de Volkswagen Group rota su dirección MAC, lo que hace que Autocharge sea estructuralmente imposible en el ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron y Cupra Born. Los vehículos CHAdeMO quedan excluidos por diseño. Un puñado de modelos más antiguos nunca fue compatible.
Así que la experiencia del conductor es esta: funciona, hasta que deja de funcionar, y no se puede saber de antemano qué cargador o qué coche será la excepción. Lo cual es, palabra por palabra, la misma queja que acabamos de plantear sobre Plug&Charge.
También hay una fecha de caducidad para la vía de crecimiento. El punto 2.1.2 del anexo del reglamento delegado exige que cualquier punto de recarga de acceso público instalado o renovado a partir del 1 January 2027 que ofrezca autenticación automática —Autocharge cuenta— implemente tanto ISO 15118-2 como -20. Las ubicaciones existentes pueden continuar: el considerando 25 permite explícitamente que los puntos que utilizan una solución distinta de plug-and-charge sigan funcionando “until a full market transition has been achieved”.
Así que Autocharge no está prohibido. Queda amparado por derechos adquiridos —una forma distinta y más lenta de terminar, que cierra la vía de las nuevas instalaciones mientras deja intacta la base instalada.
Esa es la lectura honesta. Autocharge no es un sistema mejor. Es un sistema peor que llegó a desplegarse, y resulta que desplegarse vale muchísimo.
La tercera vía que nadie incluyó en el reglamento
Mientras los organismos de normalización discuten, está surgiendo una respuesta más silenciosa: identificar el coche a través de su propia conexión de datos y saltarse por completo la conversación por cable.
Ford ya hace esto, construyendo su propia entrega de certificados basada en telemática en lugar de utilizar el flujo de aprovisionamiento estándar. En primavera de 2026, Vattenfall InCharge y WirelessCar llevaron a cabo un piloto con más de 700 conductores en Suecia, Países Bajos y Alemania, iniciando sesiones sin tarjeta, sin app, sin certificado y sin dirección MAC: simplemente el coche diciéndole a la nube dónde está enchufado.
La telemática tiene un defecto evidente: necesita la colaboración del fabricante del coche y entrega al fabricante la relación con el cliente. Lo cual puede ser exactamente la razón por la que les gusta a los fabricantes.
| Autocharge | Plug & Charge (ISO 15118-2) | |
|---|---|---|
| Identidad | Dirección MAC o VIN | Certificado de contrato X.509 |
| Partes necesarias | 2 (conductor, operador) | 7+ en toda la cadena de confianza |
| Estandarizado | No, específico de cada operador | Sí, ISO 15118-2 y -20 |
| Entre redes | Solo cuando los operadores lo acuerdan bilateralmente | Por diseño, mediante raíces compartidas |
| Suplantable | Sí, en principio | Ataque de relay demostrado en 2025 |
| Coste de gobernanza | Cero | CA raíz, pools, ciclo de vida de certificados |
| Situación AFIR | Permitido hoy, y las ubicaciones existentes pueden continuar. Desde el 1 Jan 2027 los puntos públicos instalados o renovados deben implementar -2 y -20 si ofrecen autenticación automática | La implementación del protocolo es obligatoria desde 2026. El caso de uso en sí nunca es obligatorio |
| Funciona en AC | No, solo handshake de DC | Sí, ese es el objetivo de -2 |
| Carencias de vehículos | MEB de VW Group, CHAdeMO y algunos otros | Amplias y en aumento |
| Funciona hoy | 6+ redes que podemos confirmar | Ionity, Allego, Aral y una larga cola irregular |
El argumento de seguridad, tomado en serio
El argumento a favor de toda esa maquinaria es real. Los certificados aportan revocación, no repudio y una defensa frente a la misma suplantación de identificadores a la que invita Autocharge. Si Plug&Charge va a gestionar pagos de millones de transacciones no supervisadas, la criptografía es la respuesta correcta.
Entonces llegó diciembre de 2025.
Causa raíz: la firma de Plug&Charge no contiene la identidad de la estación, combinada con debilidades en la forma en que ISO 15118 gestiona los certificados TLS.
Investigadores publicaron un ataque de relay funcional contra el pago Plug&Charge de ISO 15118: un cargador falso, un handshake retransmitido y la factura de otra persona. Prueba de concepto completa, aceptada en USENIX VehicleSec 2026.
En honor a Hubject, el autor principal lo presenta en ICNC26 —en el propio escenario de Hubject, en una sesión titulada “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”. Así es como una industria seria gestiona las malas noticias.
Pero ponga los dos hechos uno junto al otro. Siete años de infraestructura de certificados produjeron un sistema que seguía siendo vulnerable a ataques de relay. Aquello a lo que venía a sustituir —una dirección MAC en una tabla de consulta— funciona discretamente en cuatro países. La complejidad compró menos seguridad de la que insinuaba la presentación comercial.
Los fabricantes de coches están preparados. Los cargadores no.
Del lado del vehículo, esto está cerca de resolverse. Porsche Taycan y Mercedes EQS llegaron primero. Hoy la lista incluye la gama Volkswagen ID, Skoda Enyaq, Audi Q4 e-tron y Cupra Born; BMW i4, i5, i7 e iX; Hyundai Ioniq 5 y 6, Kia EV6 y EV9, Genesis GV60; Volvo EX90 y EX60; Polestar desde el año modelo 2026.
Volvo activó Plug&Charge en 35 000 estaciones de EE. UU. en junio de 2026. GM anunció su despliegue en Empower durante el verano. A grandes rasgos, los coches están cumpliendo con su parte.
Dos detalles estropean la imagen. Ford construyó su propia entrega de certificados basada en telemática en lugar de utilizar el flujo de aprovisionamiento estándar, alegando motivos de seguridad. Cuando un fabricante rodea tu ecosistema para llegar a tu estándar, el ecosistema tiene un problema de producto.
Y el propio boletín de servicio de BMW para los vehículos eléctricos del año modelo 2025 enumera los modos de fallo que sus concesionarios deben esperar: que no aparezca el menú de Plug&Charge, que falle la instalación del contrato, que los contratos desaparezcan tras instalarse, que los proveedores sencillamente no los envíen. Esa es la fricción, documentada por fábrica, en un manual de taller.
Plazos de entrega de 6 a 9 meses.
No se esperan casos formales de prueba de conformidad para AC antes de finales de 2027.
El mandato comienza el 1 January 2027.
Los fabricantes deben enviar hardware certificado aproximadamente un año antes de que exista la certificación.
Los fabricantes de cargadores son donde el plazo de 2027 deja de ser un debate político y se convierte en un problema de cadena de suministro. Alpitronic enumera la compatibilidad con ISO 15118-20 con una fecha de implementación “TBC”. No es el único.
El hardware puesto en servicio para uso público europeo a partir de 2026 necesita desde el primer día controladores de comunicación compatibles con PLC; una promesa de firmware no basta. Es una decisión de lista de materiales, tomada dos años antes de que esté terminado el software que la utilizará.
Ya hemos hecho esto antes
En 2015, nuestro fundador Ole Henrik Hannisdahl subió al escenario de ICNC en Berlín y le dijo a una sala llena de gente del roaming que el roaming era la solución a un problema que la industria se había creado a sí misma, al hacer tan difícil llegar a un cargador y usarlo sin más.
No le han vuelto a invitar.
Lo irritante de ese argumento es lo bien que ha envejecido. El roaming funcionó, comercialmente. También afianzó la fragmentación que se construyó para disimular. Once años después, los conductores europeos siguen llevando una cartera de tarjetas RFID y una carpeta llena de apps, y la capa de clearing se ha convertido en un impuesto permanente sobre un problema que nunca fue culpa del conductor.
El instinto sigue vivo y coleando, por cierto. En diciembre de 2025, Atlante, Electra, Fastned e Ionity fundaron ChargeLeague, para que los conductores de cualquier red miembro puedan cargar en cualquier otra. Una alianza para arreglar la fragmentación creada por las alianzas. Esta película ya la hemos visto.
Plug&Charge tiene la misma silueta que tuvo el roaming. Una experiencia de usuario realmente excelente, ofrecida a través de una capa de confianza que requiere un intermediario, tiene precio de intermediario y —a juzgar por el registro alemán— resulta invisible para el registro público. El problema del usuario que resuelve es real. La estructura de gobernanza que necesita es la parte que nadie pidió.
La señal es que Autocharge, una ingeniería peor, es hoy un producto mejor. Menos actores, sin certificados, funciona hoy, en más redes y en más países. Eso debería preocupar a quienes están construyendo la buena ingeniería, no tranquilizar a quienes construyen la versión rudimentaria.
Nada de esto es un argumento para abandonar ISO 15118. Es el estándar correcto, y el argumento de seguridad no hará sino reforzarse a medida que la carga bidireccional convierta cada coche en un activo de la red. Es un argumento para hacer que el ecosistema sea aburrido.
Cuatro cosas lo conseguirían: múltiples raíces en competencia, que Europa ya tiene. Una lista de confianza compartida a la que cualquiera pueda unirse, que Norteamérica tiene y Europa no. Aprovisionamiento de certificados que nunca requiera abrir un ticket de soporte. Y un registro público que diga de verdad dónde funciona esto, porque una funcionalidad que los conductores no pueden encontrar no es una funcionalidad.
Europa hizo obligatorio el protocolo y se saltó las otras tres.
Hubject reúne al sector en Tempelhof del 1 al 3 de septiembre. La agenda incluye tanto “Plug&Charge: Expanding Possibilities” como la charla sobre ataques de retransmisión. Merece la pena ver qué sala se llena.
La normativa avanza más rápido que el hardware, así que también la seguimos. ChargiPedia cubre AFIR y el resto de la regulación europea sobre recarga, y nuestras estadísticas por país cubren todos los mercados del continente. Inicia una prueba gratuita y tendrás acceso a ambas.
Una versión anterior de este artículo indicaba en la tabla comparativa que Autocharge «no está reconocido ni prohibido» por AFIR. Era incompleto. El punto 2.1.2 del anexo del Reglamento Delegado (UE) 2025/656 de la Comisión exige que los puntos de recarga de acceso público instalados o renovados a partir del 1 January 2027 que ofrezcan autenticación automática —incluido Autocharge— cumplan tanto con EN ISO 15118-2:2016 como con EN ISO 15118-20:2022. El considerando 25 permite que las instalaciones existentes que utilicen una solución distinta de plug-and-charge sigan funcionando hasta que se haya logrado una transición completa del mercado. Hemos corregido la tabla, aclarado que AFIR obliga al protocolo, no al caso de uso, y añadido dos párrafos a la sección sobre Autocharge. Gracias al lector que lo señaló en LinkedIn.