यूरोप ने Plug&Charge अनिवार्य कर दिया। लेकिन कोई नहीं बता सकता कि यह कहाँ काम करता है।

8 January 2026 को Plug&Charge एक फीचर नहीं रहा, कानूनी अनिवार्यता बन गया। EU में लगाया जाने वाला हर नया सार्वजनिक चार्ज पॉइंट अब ISO 15118-2 लागू करेगा। 1 January 2027 से ISO 15118-20 भी इसमें जुड़ जाएगा, निजी चार्जर भी शामिल होंगे।

जर्मनी की संघीय चार्ज पॉइंट रजिस्ट्री में 31 865 सार्वजनिक चार्जिंग साइट्स सूचीबद्ध हैं। इनमें से 1 018 Plug&Charge घोषित करती हैं। यानी 3.2%।

इससे पहले कि आप निष्कर्ष निकालें कि यूरोप अपने ही कानून को नज़रअंदाज़ कर रहा है: मामला वैसा नहीं है। यह उससे भी बदतर है। कोई नहीं बता सकता कि Plug&Charge वास्तव में कहाँ काम करता है — न नियामक, न ऑपरेटर, न हम। और इसकी वजह ही पूरी कहानी है।

Tesla वाला प्रस्ताव है, और यह अच्छा है

केबल लगाइए। चले जाइए। कार और चार्जर तय कर लेते हैं कि आप कौन हैं और भुगतान कौन करेगा; किसी को ऐप खोलना, कार्ड टैप करना या QR code की तस्वीर लेना नहीं पड़ता।

Tesla यह 2012 से कर रहा है, उस नेटवर्क पर proprietary handshake के साथ जिसका end-to-end मालिक वही है। दो पक्ष, एक कंपनी, कोई बातचीत नहीं। बाकी सभी को यह अनुभव सैकड़ों ऑपरेटरों और दर्जनों कार निर्माताओं के बीच दोहराना है, जिनके पास एक-दूसरे पर भरोसा करने की कोई खास वजह नहीं है।

ISO 15118 इसी के लिए है। और यहीं से परेशानी शुरू होती है।

नियम लागू करना अनिवार्य करता है। इस्तेमाल नहीं।

Commission Delegated Regulation (EU) 2025/656 द्वारा संशोधित AFIR के तहत, नए या अपग्रेड किए गए सार्वजनिक चार्जरों को 2026 से ISO 15118-1/2/3/4/5 और 2027 से ISO 15118-20 लागू करना होगा।

क्रिया पर ध्यान दें। कोई चार्जर पूरी तरह compliant हो सकता है और फिर भी एक भी Plug&Charge session पूरा न करे। AFIR की payment obligations Article 5 में हैं, और वे card readers व QR codes से पूरी हो जाती हैं — Commission की अपनी guidance पुष्टि करती है कि ad hoc payment के लिए Plug&Charge relevant नहीं है।

तो कानून यह सुनिश्चित करता है कि प्लंबिंग लगाई जाए। पानी आने की कोई गारंटी नहीं देता।

CharIN — CCS connector का मालिक निकाय, और नाटकीयता के लिए मशहूर कोई संगठन नहीं — ने 28 April 2026 को एक position paper प्रकाशित किया, जो विनम्र emergency flare जैसा पढ़ता है।

इसके निष्कर्ष: नियम मानक को अनिवार्य करता है, लेकिन यह कभी परिभाषित नहीं करता कि compliance साबित कैसे होगी। पूरी तरह compliant hardware बड़े पैमाने पर उपलब्ध नहीं है। दुनिया भर में दस से कम लैब्स पूर्ण ISO 15118-20 conformance के लिए accredited हैं, जिनकी lead time 6 to 9 month है। औपचारिक AC conformance test cases late 2027 से पहले अपेक्षित नहीं हैं — यानी अनिवार्यता लागू होने के एक साल बाद।

Commission को CharIN की सिफारिश है कि market-ready solutions उपलब्ध होने तक 2027 deadline टाल दी जाए। यह उद्योग का अपना standards body उस नियम में देरी मांग रहा है, जो उसे मदद देने के लिए लिखा गया था।

सात पक्ष और एक केबल

Autocharge को दो पक्ष और एक identifier चाहिए। Plug&Charge को एक कार निर्माता, mobility service provider, certificate provisioning service, root certificate authority, certificate pool, charge point operator और उसका management platform चाहिए — और ड्राइवर के प्लग इन करने के क्षण इन सभी के पास वैध, current और परस्पर विश्वसनीय credentials होने चाहिए।

जब यह काम करता है, तो दिखता नहीं। जब कोई एक कड़ी पुरानी पड़ जाती है, तो ड्राइवर के सामने ऐसा चार्जर होता है जो शुरू नहीं होता और कोई स्पष्टीकरण नहीं मिलता।

भरोसे की जड़ कौन बनेगा?

यही व्यावसायिक रूप से दिलचस्प सवाल है, और इसी पर Hubject ने कारोबार खड़ा किया।

Hubject, BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens और Volkswagen का joint venture है। यह V2G root CA और उन पक्षों को जोड़ने वाला platform चलाता है जिन्हें इसकी जरूरत है। ChargePoint के engineering SVP Eric Sidle ने ISO 15118 को “उन चुनिंदा संगठनों के पक्ष में बहुत झुका हुआ, जो वे certificates जारी और नियंत्रित करते हैं” कहा है; उनका तर्क है कि बीच का खिलाड़ी आखिरकार pricing नियंत्रित करने लगता है। मानक के सह-लेखक Marc Mültin भी स्वीकार कर चुके हैं कि stakeholders को Hubject “पर्याप्त स्वतंत्र नहीं” लगता है।

यूरोप अब पहले जितना monopolar नहीं है। Gireve — French roaming operator, जिसके cryptography के पीछे Thales है — अब root CA और pool services देता है। CharIN अपना V2G root संचालित करता है, जिसे उसके लिए Irdeto चलाता है। Penta Security, Hubject के साथ cross-certify करता है। यह ज्यादा स्वस्थ स्थिति है। इसका मतलब यह भी है कि अब एक चार्जर को कई roots पर भरोसा करना होगा, और ड्राइवर का certificate उस pool के माध्यम से उपलब्ध होना चाहिए जिसे उसके carmaker ने चुना हो।

North America ने इसे दूसरे सिरे से लिया। SAE ITC के EVPKI consortium ने छह root certificates वाली production Certificate Trust List लॉन्च की है, जिसका घोषित उद्देश्य “एक competitive PKI supply market बनाना है, जो आज सार्थक रूप से मौजूद नहीं है”।

उस पंक्ति को फिर पढ़िए। एक standards consortium माइक पर वह बात कह रहा है जो आम तौर पर धीमी आवाज़ में कही जाती है।

और Korea ने बिल्कुल तीसरा रास्ता चुना: Hyundai Motor Group अपनी Plug&Charge technology और certification authority सरकार को, मुफ्त में सौंप रहा है, साथ में 12 घरेलू ऑपरेटरों का एक open alliance भी है। राज्य ही root बनता है।

तीन महाद्वीप, “आप किस पर भरोसा करते हैं” के तीन जवाब: carmaker-owned joint venture, साझा trust list वाला competitive market, और एक ministry। इनमें से केवल एक business model है।

जर्मन रजिस्ट्री क्या जानती है, और क्या नहीं

जर्मनी एकमात्र बड़ा यूरोपीय बाजार है, जिसकी आधिकारिक charge point registry ऑपरेटरों से स्पष्ट रूप से पूछती है कि कोई साइट Plug&Charge support करती है या नहीं। हमने जवाब निकाले।

Aral pulse अपनी 87 जर्मन DC साइट्स में से 53 घोषित करता है। Allego 68 में से 11 घोषित करता है। Ionity — जो वर्षों से अपने पूरे नेटवर्क में ISO 15118-2 Plug&Charge चला रहा है — 61 में से एक साइट घोषित करता है। Tesla अपनी 268 में से कोई नहीं घोषित करता।

यह chart Plug&Charge नहीं मापता। यह मापता है कि form किसने भरा।

यही निष्कर्ष है। महाद्वीप-व्यापी अनिवार्यता के पहले साल में, यूरोप के सबसे अधिक charge points वाले और सबसे सजग registry वाले बाजार में भी यह बताने वाला कोई भरोसेमंद सार्वजनिक रिकॉर्ड नहीं है कि Plug&Charge कहाँ काम करता है। हमारे पास मौजूद बाकी हर राष्ट्रीय registry — France, Nordics, Italy, Netherlands — यह सवाल तक नहीं पूछती।

ड्राइवर प्लग लगाकर और इंतज़ार करके पता करते हैं।

इस बीच, साधारण संस्करण चलता जा रहा है

Autocharge बिना इस पूरी मशीनरी के वही काम करता है। चार्जर DC handshake के दौरान कार द्वारा broadcast किया गया identifier — आम तौर पर उसका MAC address — पढ़ता है, उसे account से मिलाता है और चार्जिंग शुरू कर देता है। एक registration, कोई certificates नहीं, कोई root of trust नहीं, कोई pool नहीं, कोई clearinghouse नहीं।

कागज़ पर यह असुरक्षित भी है। MAC address एक identifier है, secret नहीं। जो भी इसे पढ़ सकता है, सिद्धांततः इसे प्रस्तुत कर सकता है, और ऑपरेटर के पास एकमात्र बचाव यही है कि दुरुपयोग होने वाले addresses को blacklist कर दे। ISO 15118 के सह-लेखक Marc Mültin ने एक तर्क प्रकाशित किया है, जिसका शीर्षक बिना किसी खास सूक्ष्मता के है: “Autocharge: what it is and why it’s a bad idea”।

सुरक्षा के मामले में वे सही हैं। लेकिन वे उस चीज़ का वर्णन भी कर रहे हैं जो पूरे यूरोप में चुपचाप चल रही है, जबकि सुरक्षित संस्करण अपने certificates का इंतज़ार कर रहा है।

EnBW, Mer, Electra, Fastned, Powerdot और GRIDSERVE समेत कई नेटवर्कों पर Autocharge लाइव है। Powerdot ने इसे पहले Miio और फिर Chargemap के साथ France, Belgium, Spain और Poland में रोल आउट किया। यह उन कारों पर भी काम करता है जिन्हें कभी contract certificate नहीं मिलेगा, और उन साइटों पर भी जो कभी PKI से नहीं जुड़ेंगी।

छह एक नमूना है, पूर्ण गणना नहीं। कोई भी Autocharge deployments का रजिस्टर प्रकाशित नहीं करता — और, एक बार फिर, मुद्दा यही है। पैमाने के लिए, हमारे डेटाबेस में Europe भर में लगभग 135 000 public DC sites हैं। Autocharge का वास्तविक आंकड़ा हमारे नमूने से अधिक है। कितना अधिक, यह कोई नहीं बता सकता।

Autocharge भी एकरूप नहीं है, और यह मायने रखता है

पेंच यह है, और ऑपरेटर आपको यह खुलकर बताएंगे: किसी नेटवर्क पर Autocharge सक्षम करने का अर्थ उस नेटवर्क के हर charger पर इसे सक्षम करना नहीं है।

यह सिर्फ DC पर काम करता है। पहचानकर्ता उस डिजिटल handshake के जरिए जाता है जिसकी DC charging को जरूरत होती है, जबकि सामान्य AC charging में ऐसी कोई बातचीत नहीं होती — और ठीक इसी अंतर को भरने के लिए ISO 15118 लिखा गया था। Charger को OCPP 1.5 या बाद के संस्करण और feature को support करने वाले firmware की भी जरूरत होती है, इसलिए अन्यथा Autocharge-enabled नेटवर्क में लगे पुराने units बस यह नहीं कर पाते। उदाहरण के लिए, GRIDSERVE ने इसे पूरे estate में रातोंरात लागू करने के बजाय नए hardware के साथ पेश किया।

फिर कार का सवाल आता है। Volkswagen Group का MEB platform अपना MAC address बदलता रहता है, जिससे ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron और Cupra Born पर Autocharge संरचनात्मक रूप से असंभव हो जाता है। CHAdeMO vehicles design के हिसाब से बाहर हैं। कुछ पुराने models ने इसे कभी support ही नहीं किया।

तो driver experience यह है: यह काम करता है, जब तक नहीं करता; और आप पहले से नहीं बता सकते कि कौन-सा charger या कौन-सी कार अपवाद साबित होगी। और यही, शब्दशः, वह शिकायत है जो हमने अभी Plug&Charge के बारे में की थी।

ईमानदार निष्कर्ष यही है। Autocharge बेहतर system नहीं है। यह एक बदतर system है जो बाजार तक पहुंच गया, और बाजार तक पहुंचना उम्मीद से कहीं अधिक मूल्यवान साबित हुआ।

तीसरा रास्ता, जिसे किसी ने regulation में शामिल नहीं किया

जब standards bodies बहस कर रही हैं, एक शांत जवाब उभर रहा है: कार को उसके अपने data connection से पहचानिए और cable वाली बातचीत को पूरी तरह छोड़ दीजिए।

Ford पहले से यही कर रहा है, standard provisioning flow का उपयोग करने के बजाय अपनी telematics-based certificate delivery बना रहा है। वसंत 2026 में Vattenfall InCharge और WirelessCar ने Sweden, the Netherlands और Germany में 700 से अधिक drivers के साथ एक pilot चलाया, जिसमें कोई card, कोई app, कोई certificate और कोई MAC address नहीं था — बस कार cloud को बता रही थी कि वह कहां plug in है।

Telematics की एक स्पष्ट खामी है: इसे carmaker के सहयोग की जरूरत होती है, और यह customer relationship carmaker को सौंप देता है। शायद ठीक यही वजह है कि carmakers को यह पसंद है।

सुरक्षा का तर्क, गंभीरता से लिया जाए तो

इस पूरी मशीनरी के पक्ष में मामला वास्तविक है। Certificates आपको revocation, non-repudiation और Autocharge द्वारा आमंत्रित identifier-spoofing के खिलाफ सुरक्षा देते हैं। अगर Plug&Charge को लाखों unattended transactions के payments संभालने हैं, तो cryptography ही सही जवाब है।

फिर December 2025 आया।

Researchers ने ISO 15118 Plug&Charge payment पर एक काम करने वाला relay attack प्रकाशित किया: एक fake charger, एक relayed handshake, और बिल किसी और का। पूरा proof-of-concept, USENIX VehicleSec 2026 में स्वीकार किया गया।

Hubject को वास्तविक श्रेय देना होगा कि lead author इसे ICNC26 में — Hubject के अपने मंच पर — “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities” शीर्षक वाले session में प्रस्तुत कर रहे हैं। बुरी खबर से एक गंभीर उद्योग इसी तरह निपटता है।

लेकिन इन दो तथ्यों को साथ रखिए। सात वर्षों की certificate infrastructure ने ऐसा system बनाया, जिस पर अभी भी relay attack हो सकता था। जिस चीज को इसे बदलने के लिए बनाया गया था — lookup table में एक MAC address — वह चुपचाप चार देशों में चल रही है। Complexity ने sales deck के संकेत से कम सुरक्षा खरीदी।

कारनिर्माता तैयार हैं। Chargers नहीं हैं।

Vehicle side पर, यह लगभग हल हो चुका है। Porsche Taycan और Mercedes EQS सबसे पहले वहां पहुंचे। आज सूची Volkswagen ID range, Skoda Enyaq, Audi Q4 e-tron और Cupra Born; BMW i4, i5, i7 और iX; Hyundai Ioniq 5 और 6, Kia EV6 और EV9, Genesis GV60; Volvo EX90 और EX60; तथा model year 2026 से Polestar तक जाती है।

Volvo ने June 2026 में 35 000 US stations पर Plug&Charge चालू कर दिया। GM ने गर्मियों में Empower पर अपना rollout घोषित किया। मोटे तौर पर, कारें अपनी जिम्मेदारी निभा रही हैं।

दो बातें तस्वीर बिगाड़ती हैं। Ford ने security का हवाला देते हुए standard provisioning flow इस्तेमाल करने के बजाय अपनी telematics-based certificate delivery बनाई। जब एक carmaker आपके standard तक पहुंचने के लिए आपके ecosystem को bypass करता है, तो ecosystem में product problem है।

और 2025 model-year EVs के लिए BMW का अपना service bulletin उन failure modes को गिनाता है जिनकी उसके dealers को उम्मीद रखनी चाहिए: Plug&Charge menu का न दिखना, contract installation का fail होना, installation के बाद contracts का गायब हो जाना, providers का बस उन्हें न भेजना। यह factory द्वारा documented friction है, workshop manual में।

Charger manufacturers के लिए 2027 deadline वहीं policy debate नहीं रहती और supply chain problem बन जाती है। Alpitronic, ISO 15118-20 support को “TBC” implementation date के साथ सूचीबद्ध करता है। वह अकेला नहीं है।

2026 से European public use के लिए commissioned hardware को पहले दिन से PLC-capable communication controllers चाहिए — firmware का वादा पर्याप्त नहीं है। यह bill of materials का निर्णय है, उस software के तैयार होने से दो साल पहले लिया गया जो इसका उपयोग करेगा।

हम यह पहले भी कर चुके हैं

2015 में, हमारे founder Ole Henrik Hannisdahl Berlin में ICNC stage पर खड़े हुए और roaming से जुड़े लोगों से भरे कमरे से कहा कि roaming उस समस्या का समाधान है जिसे industry ने खुद पैदा किया था — charger तक जाकर उसे बस इस्तेमाल कर पाना इतना कठिन बनाकर।

उन्हें फिर से नहीं बुलाया गया।

उस तर्क की परेशान करने वाली बात यह है कि वह कितनी अच्छी तरह पुराना हुआ है। Roaming ने व्यावसायिक रूप से काम किया। लेकिन उसने उस fragmentation को भी मजबूत किया जिसे ढकने के लिए उसे बनाया गया था। ग्यारह साल बाद भी European drivers RFID cards से भरा wallet और apps से भरा folder रखते हैं, और clearing layer उस समस्या पर एक स्थायी tax बन चुकी है जो कभी driver की गलती थी ही नहीं।

वैसे, वह प्रवृत्ति पूरी तरह जीवित है। December 2025 में Atlante, Electra, Fastned और Ionity ने ChargeLeague की स्थापना की, ताकि किसी भी member network के drivers किसी भी दूसरे member network पर charge कर सकें। Alliances से पैदा हुए fragmentation को ठीक करने के लिए एक alliance। यह फिल्म हम देख चुके हैं।

Plug&Charge की आकृति roaming जैसी ही है। एक सचमुच उत्कृष्ट user experience, जो ऐसी trust layer के जरिए दिया जाता है जिसे एक middleman चाहिए, जिसकी कीमत middleman तय करता है, और — German registry के प्रमाण के अनुसार — जो public record में अदृश्य है। जिस user problem को यह हल करता है, वह वास्तविक है। इसकी जरूरत वाली governance structure वह हिस्सा है जो किसी ने मांगा नहीं था।

संकेत यह है कि Autocharge, जो engineering के लिहाज से बदतर है, फिलहाल बेहतर product है। कम parties, कोई certificates नहीं, आज काम करता है, अधिक networks पर, अधिक देशों में। इससे अच्छे engineering solution बनाने वाले लोगों को चिंता होनी चाहिए, न कि crude version बनाने वालों को आश्वस्ति।

इनमें से कोई भी बात ISO 15118 को छोड़ देने का तर्क नहीं है। यह सही standard है, और bidirectional charging हर कार को grid asset में बदलते ही security case और मजबूत होगा। तर्क सिर्फ इतना है कि ecosystem को उबाऊ बनाइए।

इसे चार बातें ठीक कर सकती थीं: कई प्रतिस्पर्धी root, जो अब यूरोप में हैं। एक साझा trust list, जिसमें कोई भी शामिल हो सके — जो North America में है, लेकिन यूरोप में नहीं। ऐसा certificate provisioning जिसके लिए कभी support ticket की जरूरत न पड़े। और एक सार्वजनिक register जो सचमुच बताए कि यह चीज़ कहाँ काम करती है — क्योंकि जो feature drivers को मिल ही न सके, वह feature नहीं है।

यूरोप ने protocol अनिवार्य किया और बाकी तीनों को छोड़ दिया।

Hubject 1 से 3 September तक Tempelhof में उद्योग जगत को एकत्र कर रहा है। एजेंडा में “Plug&Charge: Expanding Possibilities” और relay attack पर चर्चा — दोनों शामिल हैं। देखना दिलचस्प होगा कि कौन-सा कमरा भरता है।