8. tammikuuta 2026 Plug&Charge lakkasi olemasta ominaisuus ja muuttui lakisääteiseksi vaatimukseksi. Jokaisen EU:ssa vastedes asennettavan julkisen latauspisteen on nyt toteutettava ISO 15118-2. 1. tammikuuta 2027 alkaen rinnalle tulee ISO 15118-20, myös yksityislatureissa.
Saksan liittovaltion latauspisterekisterissä on 31 865 julkista latauskohdetta. Niistä 1 018 ilmoittaa tukevansa Plug&Chargea. Se on 3.2%.
Ennen kuin päätellään, että Eurooppa jättää oman lakinsa huomiotta: asia ei ole aivan niin. Se on pahempi. Kukaan ei osaa kertoa, missä Plug&Charge oikeasti toimii — ei sääntelijä, ei operaattorit, emme mekään. Ja syy siihen on koko tarina.
Lupaus on Teslan, ja se on hyvä
Kytke kaapeli. Kävele pois. Auto ja laturi selvittävät, kuka olet ja kuka maksaa, eikä kenenkään tarvitse avata sovellusta, napauttaa korttia tai kuvata QR-koodia.
Tesla on tehnyt tätä vuodesta 2012 lähtien omalla kättelyprotokollallaan verkostossa, jonka se omistaa päästä päähän. Kaksi osapuolta, yksi yhtiö, ei neuvottelua. Kaikkien muiden on tuotettava sama kokemus satojen operaattoreiden ja kymmenien autonvalmistajien välillä, joilla ei ole erityistä syytä luottaa toisiinsa.
Siihen ISO 15118 on tarkoitettu. Ja siitä ongelmatkin alkavat.
Sääntely edellyttää toteutusta. Se ei edellytä käyttöä.
AFIR, sellaisena kuin sitä on muutettu komission delegoidulla asetuksella (EU) 2025/656, edellyttää uusien tai parannettujen julkisten laturien toteuttavan ISO 15118-1/2/3/4/5 -standardit vuodesta 2026 alkaen ja ISO 15118-20 -standardin vuodesta 2027 alkaen.
Huomaa verbi. Laturi voi olla täysin vaatimustenmukainen eikä silti koskaan toteuttaa ainuttakaan Plug&Charge-latausta. AFIRin maksuvelvoitteet ovat 5 artiklassa, ja ne täyttyvät kortinlukijoilla ja QR-koodeilla — komission omat ohjeet vahvistavat, ettei Plug&Charge ole merkityksellinen ad hoc -maksamiselle.
Laki siis takaa, että putkisto on asennettu. Se ei takaa mitään vedestä.
Samassa asiakirjassa todetaan, ettei AC EVSE:lle ole lainkaan sertifiointijärjestelmää, ja ennakoidaan vanhojen protokollien elävän rinnakkain “ainakin vuoteen 2028 asti”.
CharIN — CCS-liittimen omistava taho, joka ei tunnetusti dramatisoi — julkaisi kannanoton 28. huhtikuuta 2026. Se kuulostaa kohteliaalta hätäsoihdulta.
Sen havainnot: sääntely määrää standardin, mutta ei koskaan määrittele, miten vaatimustenmukaisuus osoitetaan. Täysin vaatimustenmukaista laitteistoa ei ole saatavilla mittakaavassa. Maailmanlaajuisesti alle kymmenen laboratoriota on akkreditoitu täyteen ISO 15118-20 -vaatimustenmukaisuuteen, ja jonotusajat ovat 6–9 kuukautta. Virallisia AC-vaatimustenmukaisuuden testitapauksia ei odoteta ennen loppuvuotta 2027 — vuosi sen jälkeen, kun velvoite astuu voimaan.
CharIN suosittelee komissiolle vuoden 2027 määräajan siirtämistä, kunnes markkinavalmiita ratkaisuja on olemassa. Alan oma standardointielin pyytää lykkäystä säännölle, joka kirjoitettiin auttamaan sitä.
Seitsemän osapuolta ja kaapeli
2. Autonvalmistaja asentaa autoon tehtaalla OEM-provisioning-sertifikaatin.
3. Kuljettaja tekee sopimuksen liikkuvuuspalveluntarjoajan kanssa, joka myöntää sopimussertifikaatin.
4. Sertifikaattien provisionointipalvelu salaa sen ja toimittaa pooliin.
5. Auto noutaa sen seuraavalta yhteensopivalta laturilta.
6. CPO:n ja sen hallintajärjestelmän on luotettava samaan juureen ja niillä on oltava voimassa oleva SECC-lehtisertifikaatti.
Jokainen sertifikaatti on myönnettävä, jaettava, asennettava, uusittava ja peruutettava. Kaikkien osapuolten välillä.
Autocharge tarvitsee kaksi osapuolta ja yhden tunnisteen. Plug&Charge tarvitsee autonvalmistajan, liikkuvuuspalveluntarjoajan, sertifikaattien provisionointipalvelun, juurivarmentajan, sertifikaattipoolin, latauspisteoperaattorin ja sen hallinta-alustan — ja kaikilla on oltava voimassa olevat, ajantasaiset, keskenään luotetut tunnistetiedot juuri sillä hetkellä, kun kuljettaja kytkee kaapelin.
Kun se toimii, se on näkymätön. Kun yksikin lenkki on vanhentunut, kuljettajalla on laturi, joka ei käynnisty, eikä mitään selitystä.
Kuka saa olla luottamuksen juuri?
Tämä on kaupallisesti kiinnostava kysymys, ja juuri sen varaan Hubject rakensi liiketoimintansa.
Hubject on BMW:n, Boschin, Mercedes-Benzin, EnBW:n, innogyn, Siemensin ja Volkswagenin yhteisyritys. Se ylläpitää V2G root CA:ta ja alustaa, joka yhdistää sitä tarvitsevat osapuolet. ChargePointin teknisestä kehityksestä vastaava SVP Eric Sidle on kutsunut ISO 15118:aa “vahvasti vinoutuneeksi pienen organisaatiojoukon suuntaan, joka jakaa ja hallitsee näitä sertifikaatteja” ja argumentoinut, että välikäsi päätyy hallitsemaan hinnoittelua. Standardin toinen kirjoittaja Marc Mültin on myöntänyt, että sidosryhmät pitävät Hubjectia “liian vähän riippumattomana”.
Eurooppa on vähemmän monopolaarinen kuin ennen. Gireve — ranskalainen roaming-operaattori, jonka kryptografian taustalla on Thales — tarjoaa nyt root CA- ja pool-palveluja. CharIN ylläpitää omaa V2G-juurtaan, jota sille operoi Irdeto. Penta Security ristisertifioi Hubjectin kanssa. Se on terveempää. Se tarkoittaa myös, että laturin on nyt luotettava useisiin juuriin ja kuljettajan sertifikaatin on oltava saavutettavissa sen poolin kautta, jonka heidän autonvalmistajansa sattui valitsemaan.
Pohjois-Amerikka lähestyi asiaa toisesta päästä. SAE ITC:n EVPKI-konsortio on ottanut tuotantokäyttöön Certificate Trust Listin, jossa on kuusi juurisertifikaattia ja jonka ilmoitettuna tavoitteena on luoda “kilpailtu PKI-tarjontamarkkina, jota ei nykyisin käytännössä ole”.
Lue tuo lause uudelleen. Standardointikonsortio sanoo hiljaisen osan mikrofoniin.
Ja Korea valitsi kokonaan kolmannen vastauksen: Hyundai Motor Group luovuttaa Plug&Charge-teknologiansa ja sertifiointiviranomaisen valtiolle maksutta yhdessä 12 kotimaisen operaattorin avoimen allianssin kanssa. Valtiosta tulee juuri.
Kolme mannerta, kolme vastausta kysymykseen “kehen luotat”: autonvalmistajien omistama yhteisyritys, kilpailtu markkina yhteisellä luottamuslistalla ja ministeriö. Vain yksi niistä on liiketoimintamalli.
Mitä Saksan rekisteri tietää — ja mitä se ei tiedä
Saksa on ainoa suuri Euroopan markkina, jonka virallinen latauspisterekisteri kysyy operaattoreilta nimenomaisesti, tukeeko kohde Plug&Chargea. Haettiin vastaukset.
Kunkin operaattorin niiden saksalaisten DC-kohteiden (50 kW+) osuus, joiden ilmoitetaan tukevan Plug&Chargea liittovaltion latauspisterekisterissä. Operaattorit, joilla on vähintään 40 DC-kohdetta. Lähde: Chargalytics, Bundesnetzagenturin tiedot, elokuu 2026.
Aral pulse ilmoittaa 53:sta 87 saksalaisesta DC-kohteestaan. Allego ilmoittaa 11:stä 68:sta. Ionity — joka on käyttänyt ISO 15118-2 Plug&Chargea koko verkostossaan jo vuosia — ilmoittaa yhden kohteen 61:stä. Tesla ei ilmoita yhtäkään 268:sta.
Tämä kaavio ei mittaa Plug&Chargea. Se mittaa sitä, kuka täytti lomakkeen.
Siinä on havainto. Mannertenvälisen velvoitteen ensimmäisenä vuonna, markkinassa jossa on Euroopan eniten latauspisteitä ja tunnollisin rekisteri, ei ole luotettavaa julkista tietoa siitä, missä Plug&Charge toimii. Yksikään muu hallussamme oleva kansallinen rekisteri — Ranskan, Pohjoismaiden, Italian, Alankomaiden — ei edes kysy asiaa.
Kuljettajat saavat tietää kytkemällä kaapelin ja odottamalla.
Sillä välin karumpi versio toimii edelleen
Autocharge tekee saman työn ilman mitään koneistoa. Laturi lukee tunnisteen, jonka auto lähettää DC-kättelyn aikana — yleensä MAC-osoitteen — tarkistaa sen tiliä vasten ja käynnistää latauksen. Yksi rekisteröinti, ei sertifikaatteja, ei luottamusjuurta, ei poolia, ei clearinghousea.
Se on myös paperilla turvaton. MAC-osoite on tunniste, ei salaisuus. Jokainen, joka pystyy lukemaan sen, voi periaatteessa esittää sen, ja operaattorin ainoa käytettävissä oleva puolustus on asettaa väärinkäytetyt osoitteet estolistalle. ISO 15118 -standardin toinen kirjoittaja Marc Mültin on julkaissut kirjoituksen otsikolla, ilman erityistä hienovaraisuutta, “Autocharge: what it is and why it’s a bad idea”.
Hän on oikeassa tietoturvasta. Hän kuvaa myös jotain, joka toimii hiljaisesti eri puolilla Eurooppaa samalla, kun turvallinen versio odottaa sertifikaattejaan.
Tietokannassamme nämä kuusi operoivat yksinään 5 789 DC-sijaintia ja 32 677 DC-latauspaikkaa jopa kahdeksassa maassa.
Pidä tätä otoksena, ei väestönlaskentana. Autocharge-käyttöönotoista ei ole rekisteriä, joten kyse on tiedotteita lukemalla löydetystä alarajasta, ei markkinamittauksesta.
Autocharge on käytössä muun muassa EnBW:llä, Merillä, Electralla, Fastnedillä, Powerdotilla ja GRIDSERVElle. Powerdot otti sen käyttöön Miion kanssa ja sitten Chargemapin kanssa Ranskassa, Belgiassa, Espanjassa ja Puolassa. Se toimii autoissa, jotka eivät koskaan saa sopimussertifikaattia, ja kohteissa, jotka eivät koskaan liity PKI:hin.
Kuusi on otos, ei väestönlaskenta. Kukaan ei julkaise rekisteriä Autocharge-käyttöönotosta — mikä taas kerran on juuri se pointti. Mittakaavan vuoksi tietokannassamme on noin 135 000 julkista DC-sijaintia eri puolilla Eurooppaa. Autochargen todellinen luku on otostamme suurempi. Kukaan ei osaa sanoa, kuinka paljon suurempi.
Autocharge ei myöskään ole yhdenmukainen — ja sillä on väliä
Juju, jonka operaattorit kertovat aivan avoimesti: Autochargen käyttöönotto verkostossa ei tarkoita sen toimivan verkoston jokaisella laturilla.
Se toimii vain DC:llä. Tunniste kulkee DC-latauksen edellyttämässä digitaalisessa kättelyssä, eikä tavallisessa AC-latauksessa käydä vastaavaa keskustelua — juuri tämän aukon ISO 15118 kirjoitettiin paikkaamaan. Laturi tarvitsee myös OCPP 1.5:n tai uudemman sekä ominaisuutta tukevan laiteohjelmiston, joten muuten Autocharge-yhteensopivassa verkostossa olevat vanhemmat yksiköt eivät yksinkertaisesti tue sitä. Esimerkiksi GRIDSERVE toi ominaisuuden käyttöön uudemman laitteiston myötä, ei koko kalustossa yhdessä yössä.
Volkswagen Group on myös Hubjectin osaomistaja.
CHAdeMO-autot jäävät kokonaan ulkopuolelle. Useat vanhemmat VAG-mallit ja jotkin Lucidit eivät koskaan tukeneet sitä.
Sitten on vielä auto. Volkswagen Groupin MEB-alusta vaihtaa MAC-osoitettaan, mikä tekee Autochargesta rakenteellisesti mahdottoman ID.3:ssa, ID.4:ssä, ID.5:ssä, Skoda Enyaqissa, Audi Q4 e-tronissa ja Cupra Bornissa. CHAdeMO-ajoneuvot on suljettu pois jo rakenteensa vuoksi. Hajanaista joukkoa vanhempia malleja se ei koskaan tukenut.
Kuljettajakokemus on siis tämä: se toimii, kunnes ei toimikaan, etkä voi etukäteen tietää, mikä laturi tai auto on poikkeus. Tämä on sanasta sanaan sama valitus, jonka juuri esitämme Plug&Chargea kohtaan.
Se on rehellinen tulkinta. Autocharge ei ole parempi järjestelmä. Se on huonompi järjestelmä, joka saatiin markkinoille — ja markkinoille saaminen osoittautuu hyvin arvokkaaksi.
Kolmas tie, jota kukaan ei kirjannut sääntelyyn
Standardointielinten kiistellessä hiljaisempi vastaus on nousemassa esiin: auto tunnistetaan sen oman datayhteyden kautta ja kaapelin kättely ohitetaan kokonaan.
Ford tekee tätä jo ja rakentaa oman telematiikkaan perustuvan sertifikaattien toimitusratkaisunsa standardin mukaisen käyttöönottohallinnan sijaan. Keväällä 2026 Vattenfall InCharge ja WirelessCar toteuttivat yli 700 kuljettajan pilotin Ruotsissa, Alankomaissa ja Saksassa: lataus aloitettiin ilman korttia, sovellusta, sertifikaattia tai MAC-osoitetta — auto vain kertoo pilvelle, missä se on kytkettynä.
Telematiikassa on ilmeinen heikkous: se vaatii autonvalmistajan yhteistyötä ja luovuttaa asiakassuhteen autonvalmistajalle. Juuri siksi autonvalmistajat saattavatkin pitää siitä.
| Autocharge | Plug & Charge (ISO 15118-2) | |
|---|---|---|
| Tunniste | MAC-osoite tai VIN | X.509-sopimussertifikaatti |
| Vaadittavat osapuolet | 2 (kuljettaja, operaattori) | 7+ luottamusketjussa |
| Standardoitu | Ei, operaattorikohtainen | Kyllä, ISO 15118-2 ja -20 |
| Verkostojen välillä | Vain, jos operaattorit sopivat siitä kahdenvälisesti | Suunniteltu siihen, jaettujen juurivarmenteiden kautta |
| Huijattavissa | Kyllä, periaatteessa | Välityshyökkäys osoitettu 2025 |
| Hallinnointikustannus | Nolla | Juurivarmentaja, poolit, sertifikaattien elinkaari |
| AFIR-status | Ei tunnustettu, ei kielletty | Toteutus pakollinen vuodesta 2026 |
| Toimii AC:llä | Ei, vain DC-kättelyssä | Kyllä, juuri se on -2:n tarkoitus |
| Ajoneuvoaukot | VW Group MEB, CHAdeMO, jotkin muut | Laaja ja kasvava |
| Toimii tänään | 6+ verkostossa, jotka voimme vahvistaa | Ionity, Allego, Aral ja hajanainen pitkä häntä |
Tietoturvaperuste, vakavasti otettuna
Peruste kaikelle tälle koneistolle on todellinen. Sertifikaatit mahdollistavat peruutukset, kiistämättömyyden ja suojan juuri sellaista tunnisteiden väärentämistä vastaan, johon Autocharge kutsuu. Jos Plug&Chargella hoidetaan miljoonien valvomattomien tapahtumien maksuja, kryptografia on oikea vastaus.
Sitten tuli joulukuu 2025.
Juurisyy: Plug&Charge-allekirjoitus ei sisällä latausaseman tunnistetta, yhdistettynä ISO 15118:n TLS-sertifikaattien käsittelyn heikkouksiin.
Tutkijat julkaisivat toimivan välityshyökkäyksen ISO 15118 Plug&Charge -maksua vastaan: väärennetty laturi, välitetty kättely ja jonkun toisen lasku. Täysi proof-of-concept, hyväksytty USENIX VehicleSec 2026:een.
Hubjectin aidoksi ansioksi on luettava, että pääkirjoittaja esittelee sen ICNC26:ssa — Hubjectin omalla lavalla, sessiossa nimeltä “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”. Näin vakavasti otettava toimiala käsittelee huonoja uutisia.
Mutta aseta nämä kaksi tosiasiaa vierekkäin. Seitsemän vuotta sertifikaatti-infrastruktuuria tuotti järjestelmän, joka oli yhä altis välityshyökkäykselle. Se, minkä korvaamiseksi järjestelmä rakennettiin — hakutaulukossa oleva MAC-osoite — pyörii hiljaisesti neljässä maassa. Monimutkaisuus osti vähemmän turvallisuutta kuin myyntiesitys antoi ymmärtää.
Autonvalmistajat ovat valmiita. Laturit eivät.
Ajoneuvojen puolella tämä on lähes ratkaistu. Porsche Taycan ja Mercedes EQS pääsivät maaliin ensimmäisinä. Nyt listalla ovat Volkswagenin ID-mallisto, Skoda Enyaq, Audi Q4 e-tron ja Cupra Born; BMW i4, i5, i7 ja iX; Hyundai Ioniq 5 ja 6, Kia EV6 ja EV9, Genesis GV60; Volvo EX90 ja EX60; sekä Polestar mallivuodesta 2026 alkaen.
Volvo otti Plug&Chargen käyttöön 35 000 latausasemalla Yhdysvalloissa kesäkuussa 2026. GM ilmoitti käyttöönotostaan Empowerissa kesällä. Autot hoitavat yleisesti ottaen oman osuutensa.
Kaksi yksityiskohtaa pilaa kuvaa. Ford rakensi oman telematiikkaan perustuvan sertifikaattien toimitusratkaisunsa standardin mukaisen käyttöönottohallinnan sijaan vedoten tietoturvaan. Kun autonvalmistaja kiertää ekosysteemisi päästäkseen standardiisi, ekosysteemillä on tuoteongelma.
Ja BMW:n oma huoltotiedote mallivuoden 2025 sähköautoille luettelee vikamuodot, joihin sen jälleenmyyjien pitäisi varautua: Plug&Charge-valikko ei näy, sopimuksen asennus epäonnistuu, sopimukset katoavat asennuksen jälkeen tai palveluntarjoajat eivät yksinkertaisesti lähetä niitä. Siinä kitka tehtaan dokumentoimana korjaamokäsikirjassa.
Toimitusajat ovat 6–9 kuukautta.
Virallisia AC-vaatimustenmukaisuustestitapauksia ei odoteta ennen loppuvuotta 2027.
Velvoite alkaa 1 January 2027.
Valmistajien on toimitettava sertifioitu laitteisto noin vuotta ennen kuin sertifiointi on olemassa.
Laturivalmistajien kohdalla vuoden 2027 määräaika lakkaa olemasta politiikkakeskustelu ja muuttuu toimitusketjuongelmaksi. Alpitronic ilmoittaa ISO 15118-20 -tuesta, jonka toteutuspäivä on “TBC”. Se ei ole yksin.
Euroopan julkiseen käyttöön vuodesta 2026 alkaen toimitettavat laitteet tarvitsevat PLC-yhteensopivat tiedonsiirto-ohjaimet heti ensimmäisestä päivästä lähtien — laiteohjelmistolupaus ei riitä. Se on materiaaliluettelopäätös, joka tehdään kaksi vuotta ennen kuin sitä käyttävä ohjelmisto on valmis.
Olemme tehneet tämän ennenkin
Vuonna 2015 perustajamme Ole Henrik Hannisdahl seisoi ICNC:n lavalla Berliinissä ja sanoi huoneelliselle roaming-ihmisiä, että roaming oli ratkaisu ongelmaan, jonka toimiala oli itse luonut tekemällä laturille kävelemisestä ja sen käyttämisestä niin vaikeaa.
Häntä ei ole kutsuttu takaisin.
Ärsyttävää tuossa argumentissa on se, kuinka hyvin se on kestänyt aikaa. Roaming toimi kaupallisesti. Se myös sementoi pirstaloitumisen, jonka peittämiseksi se rakennettiin. Yksitoista vuotta myöhemmin eurooppalaiset kuljettajat kantavat edelleen lompakollista RFID-kortteja ja kansiollista sovelluksia, ja selvityskerros on muuttunut pysyväksi veroksi ongelmasta, joka ei koskaan ollut kuljettajan syytä.
Vaisto voi muuten hyvin. Joulukuussa 2025 Atlante, Electra, Fastned ja Ionity perustivat ChargeLeaguen, jotta minkä tahansa jäsenverkoston kuljettajat voivat ladata missä tahansa toisessa. Liittouma korjaamaan liittoumien synnyttämää pirstaloitumista. Olemme nähneet tämän elokuvan.
Plug&Chargella on sama siluetti kuin roamingilla. Aidosti erinomainen käyttäjäkokemus, joka toimitetaan luottamuskerroksen kautta, vaatii välikäden, hinnoitellaan välikäden toimesta ja — Saksan rekisterin perusteella — on näkymätön julkisissa tiedoissa. Sen ratkaisema käyttäjäongelma on todellinen. Sen vaatima hallintorakenne on se osa, jota kukaan ei pyytänyt.
Paljastavaa on, että Autocharge, joka on huonompaa insinöörityötä, on tällä hetkellä parempi tuote. Vähemmän osapuolia, ei sertifikaatteja, toimii tänään useammassa verkostossa ja useammassa maassa. Sen pitäisi huolestuttaa hyvää insinöörityötä rakentavia, ei rauhoittaa karkean version rakentajia.
Mikään tästä ei ole peruste luopua ISO 15118:sta. Se on oikea standardi, ja tietoturvaperuste vain vahvistuu, kun kaksisuuntainen lataus tekee jokaisesta autosta verkko-omaisuuserän. Tämä on peruste tehdä ekosysteemistä tylsä.
Siihen riittäisi neljä asiaa: useita kilpailevia juurivarmenteita, jotka Euroopalla nyt on. Yhteinen luottamuslista, johon kuka tahansa voi liittyä — sellainen Pohjois-Amerikassa on, Euroopassa ei. Sertifikaattien käyttöönotto ilman, että koskaan tarvitsee tehdä tukipyyntöä. Ja julkinen rekisteri, joka todella kertoo, missä ominaisuus toimii — sillä ominaisuus, jota kuljettajat eivät löydä, ei ole ominaisuus.
Eurooppa määräsi protokollan pakolliseksi ja jätti muut kolme tekemättä.
Hubject kokoaa alan Tempelhofiin 1.–3. syyskuuta. Ohjelmassa ovat sekä “Plug&Charge: Expanding Possibilities” että esitys relay-hyökkäyksistä. Kannattaa huomata, kumpi sali täyttyy.
Sääntökirja liikkuu laitteistoa nopeammin, joten seuraamme myös sitä. ChargiPedia kattaa AFIRin ja muun Euroopan lataussääntelyn, ja maakohtaiset tilastomme kattavat kaikki maanosan markkinat. Aloita maksuton kokeilu, niin saat käyttöösi molemmat.