欧州はPlug&Chargeを義務化した。だが、どこで使えるのか誰にもわからない。

2026年1月8日、Plug&Chargeは機能ではなく法的要件になった。EUで新設されるすべての公共充電ポイントは、ISO 15118-2を実装しなければならない。2027年1月1日からは、民間用充電器も含めてISO 15118-20が加わる。

ドイツ連邦の充電ポイント登録簿には、公共充電サイトが31 865件掲載されている。このうち、Plug&Chargeを申告しているのは1 018件。3.2%だ。

欧州が自らの法律を無視している、という結論を急ぐ前に：話はそこまで単純ではない。もっと悪い。Plug&Chargeが実際にどこで使えるのか、誰にも言えない――規制当局にも、事業者にも、私たちにも。そして、その理由こそがこの話のすべてだ。

売り文句はTeslaのものだ。そして、これは良い売り文句だ

ケーブルを挿す。立ち去る。車と充電器が本人確認と支払い元を決め、アプリを開くことも、カードをかざすことも、QRコードを撮影することもない。

Teslaは2012年からこれを実現してきた。自社がエンドツーエンドで保有するネットワーク上で、独自のハンドシェイクを用いて。二者、一社、交渉は不要だ。他のすべての企業は、互いを特に信頼する理由のない数百の事業者と数十の自動車メーカーをまたいで、その体験を再現しなければならない。

そのためにISO 15118がある。そして、そこから厄介ごとが始まる。

規制が義務づけるのは実装であって、利用ではない。

委員会委任規則（EU）2025/656により改正されたAFIRは、新設または改修される公共充電器に対し、2026年からISO 15118-1/2/3/4/5を、2027年からISO 15118-20を実装するよう求めている。

動詞に注目してほしい。充電器は完全に準拠していても、Plug&Chargeセッションを一度も完了させないことができる。AFIRの支払い義務は第5条にあり、カードリーダーとQRコードで満たせる――委員会自身のガイダンスも、Plug&Chargeはアドホック決済と無関係だと確認している。

つまり法律が保証するのは配管の設置だ。水が流れることは何も保証しない。

CCSコネクタを管理し、ドラマを好む組織でもないCharINは、2026年4月28日にポジションペーパーを公表した。それは丁寧な非常信号のように読める。

その結論はこうだ。規制は規格を義務づけるが、適合性をどう証明するかは定めていない。完全準拠のハードウェアは大規模には入手できない。ISO 15118-20の完全適合性について認定を受けたラボは世界で10未満、リードタイムは6〜9か月。正式なAC適合性試験ケースは、義務化の発効後1年に当たる2027年後半まで見込まれていない。

CharINが欧州委員会に勧告しているのは、市場投入可能なソリューションが存在するまで2027年の期限を延期することだ。業界自身の標準化団体が、業界を助けるために書かれたルールの延期を求めている。

7つの当事者と1本のケーブル

Autochargeに必要なのは2者と1つの識別子だ。Plug&Chargeには、自動車メーカー、モビリティサービスプロバイダー、証明書プロビジョニングサービス、ルート認証局、証明書プール、充電ポイント事業者、その管理プラットフォームが必要になる――ドライバーが接続するその瞬間に、全員が有効かつ最新で、相互に信頼された認証情報を持っていなければならない。

動くときは見えない。どれか1つのリンクが古くなれば、ドライバーの前には始動しない充電器と、何の説明も残らない。

誰が信頼の起点になるのか？

これは商業的に興味深い問いであり、Hubjectがビジネスを築いた問いでもある。

HubjectはBMW、Bosch、Mercedes-Benz、EnBW、innogy、Siemens、Volkswagenの合弁会社だ。V2GルートCAと、それを必要とする当事者をつなぐプラットフォームを運営している。ChargePointのエンジニアリング担当SVP、Eric SidleはISO 15118を、“証明書を配布・管理する少数の組織に極めて偏っている”と呼び、中間業者が結局は価格を支配することになると論じた。規格の共同執筆者であるMarc Mültinも、ステークホルダーがHubjectを“十分に独立していない”と見なしていることを認めている。

欧州は以前ほど一極的ではない。暗号技術をThalesが支えるフランスのローミング事業者Gireveは、現在ルートCAとプールのサービスを提供している。CharINは独自のV2Gルートを運営しており、Irdetoがその運用を担う。Penta SecurityはHubjectとクロス認証している。これはより健全だ。だが同時に、充電器は複数のルートを信頼する必要があり、ドライバーの証明書は、自動車メーカーがたまたま選んだプールを通じて到達可能でなければならないことも意味する。

北米は反対側から取り組んだ。SAE ITCのEVPKIコンソーシアムは、6つのルート証明書を搭載する本番用のCertificate Trust Listを立ち上げた。その公表された狙いは、“今日、実質的に存在していない競争的なPKI供給市場を創出すること”だ。

もう一度、その一文を読んでほしい。標準化コンソーシアムが、皆が口にしない本音をマイクに向かって言っている。

そして韓国は、まったく第三の答えを選んだ。Hyundai Motor Groupは、国内12事業者によるオープンアライアンスとともに、Plug&Charge技術と認証局を政府へ無償提供している。国家がルートになる。

3つの大陸、“誰を信頼するか”への3つの答え：自動車メーカー所有の合弁会社、共有トラストリストを備えた競争市場、そして省庁。このうちビジネスモデルなのは1つだけだ。

ドイツの登録簿が知っていること、知らないこと

ドイツは、公式の充電ポイント登録簿において、サイトがPlug&Chargeに対応するかを事業者へ明示的に尋ねている唯一の欧州主要市場だ。私たちはその回答を取得した。

Aral pulseはドイツのDCサイト87件中53件を申告している。Allegoは68件中11件。Ionityは、ネットワーク全体でISO 15118-2 Plug&Chargeを何年も運用しているにもかかわらず、61件中1件を申告している。Teslaは268件中ゼロだ。

このチャートが測っているのはPlug&Chargeではない。誰がフォームを記入したかだ。

これが調査結果だ。大陸規模の義務化から最初の1年、欧州で最も多くの充電ポイントを持ち、最も入念な登録簿を備える市場においても、Plug&Chargeがどこで使えるかを示す信頼できる公開記録はない。私たちが保有する他のすべての国別登録簿――フランス、北欧、イタリア、オランダ――は、そもそもこの質問すらしていない。

ドライバーは接続して、待つことで知る。

その間も、粗削りな版は動き続けている

Autochargeは、あらゆる仕組みなしに同じ仕事をする。充電器がDCハンドシェイク中に車両がブロードキャストする識別子――通常はMACアドレス――を読み取り、アカウントと照合して開始する。登録は1回、証明書なし、信頼の起点なし、プールなし、クリアリングハウスなし。

そして、書面上は安全ではない。MACアドレスは識別子であり、秘密ではない。読み取れる者は誰でも原理的にはそれを提示でき、事業者に可能な唯一の防御は、不正利用されたものをブラックリスト化することだ。ISO 15118の共同執筆者であるMarc Mültinは、遠回しな表現など一切なく、“Autocharge: what it is and why it’s a bad idea”という論考を公表している。

セキュリティについて彼が正しい。それでも彼が説明しているのは、安全な版が証明書を待つあいだ、欧州全域で静かに稼働しているものだ。

Autochargeは、EnBW、Mer、Electra、Fastned、Powerdot、GRIDSERVEなどで稼働しています。PowerdotはMiioとの連携に続き、Chargemapとの連携によってフランス、ベルギー、スペイン、ポーランドへ展開しました。契約証明書を受け取ることのない車両でも、PKIに参加することのない拠点でも機能します。

6社はサンプルであって、全数ではありません。Autocharge導入の登録簿を公表している組織はない――そして、そこにこそ改めて要点があります。規模感として、当社データベースには欧州全域でおよそ135 000 public DC sitesが収録されています。実際のAutocharge導入数は、当社サンプルを上回ります。どれほど上回るかは、誰にも分かりません。

Autochargeも一様ではない――そして、それは重要です

落とし穴があり、事業者も率直に認めています。ネットワークでAutochargeを有効化しても、そのネットワーク内のすべての充電器で使えるようになるわけではありません。

使えるのはDCだけです。識別子はDC充電で必須となるデジタル・ハンドシェイクに乗って届き、通常のAC充電にはそうした会話自体がありません――まさにその隔たりを埋めるためにISO 15118は策定されました。充電器側にもOCPP 1.5以降と、この機能をサポートするファームウェアが必要です。そのため、Autocharge対応ネットワーク内にある旧型機は、単純に対応しません。たとえばGRIDSERVEは、既存設備全体を一夜で対応させたのではなく、新しいハードウェアとともに導入しました。

そして車両側の問題もあります。Volkswagen GroupのMEBプラットフォームはMAC addressをローテーションするため、ID.3、ID.4、ID.5、Skoda Enyaq、Audi Q4 e-tron、Cupra BornではAutochargeが構造的に不可能です。CHAdeMO車は設計上、対象外です。旧型モデルの一部も対応したことがありません。

つまりドライバー体験はこうです。使える、使えなくなるまで。そして、どの充電器やどの車両が例外になるのか、事前には分からない。これは、つい先ほどPlug&Chargeについて述べた不満と、一語一句同じです。

これが正直な見立てです。Autochargeは、より良いシステムではありません。先に世に出た、より劣るシステムです。そして実際、出荷されていることには途方もない価値があると分かりました。

規制に書かれなかった第三の道

標準化団体が議論を続ける一方で、もっと静かな答えが浮かび上がっています。車両自身のデータ接続を通じて車を識別し、ケーブル上の会話そのものを完全に省くという方法です。

Fordはすでにこれを実践しており、標準のプロビジョニングフローを使わず、テレマティクスベースの独自の証明書配信を構築しています。2026年春には、Vattenfall InChargeとWirelessCarがスウェーデン、オランダ、ドイツで700人超のドライバーによるパイロットを実施しました。カードもアプリも証明書もMAC addressも不要。車がクラウドに、どこへ接続されているかを伝えるだけで充電セッションを開始します。

テレマティクスには明白な欠点があります。自動車メーカーの協力を必要とし、顧客との関係を自動車メーカーに渡すことになる点です。だからこそ自動車メーカーは好むのかもしれません。

セキュリティ論を本気で受け止めるなら

あれだけの仕組みには、確かな根拠があります。証明書は失効、否認防止、そしてAutochargeが招き入れる識別子なりすましへの防御を提供します。Plug&Chargeが何百万件もの無人取引の決済を担うなら、暗号技術は正しい答えです。

そして2025年12月が訪れました。

研究者らは、ISO 15118 Plug&Charge決済に対する実用的なリレー攻撃を公表しました。偽の充電器、中継されたハンドシェイク、そして他人に届く請求書です。完全なproof-of-conceptであり、USENIX VehicleSec 2026への採択も決まっています。

Hubjectを正当に評価するなら、筆頭著者はICNC26でこの研究を発表します――しかもHubject自身のステージで、「Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities」と題したセッションです。悪い知らせに真剣な業界がどう向き合うか、その手本です。

ただし、この二つの事実を並べて見てください。7年にわたる証明書インフラが生み出したシステムは、なおリレー攻撃を受け得ました。それが置き換えるために作られたもの――ルックアップテーブル上のMAC address――は、4か国で静かに稼働しています。複雑さがもたらした安全性は、営業資料が示唆したほど大きくありませんでした。

自動車メーカーは準備できている。充電器はそうではない。

車両側では、これはほぼ解決済みです。Porsche TaycanとMercedes EQSが先行しました。現在では、Volkswagen IDシリーズ、Skoda Enyaq、Audi Q4 e-tron、Cupra Born、BMW i4、i5、i7、iX、Hyundai Ioniq 5と6、Kia EV6とEV9、Genesis GV60、Volvo EX90とEX60、そして2026年モデル以降のPolestarへとリストが続きます。

Volvoは2026年6月、米国の35 000 stationsでPlug&Chargeを有効化しました。GMは夏にEmpowerで展開を発表しました。概して、車両側は自らの役割を果たしています。

ただし、二つの細部がこの絵を崩します。Fordはセキュリティを理由に、標準のプロビジョニングフローを使わず、テレマティクスベースの独自の証明書配信を構築しました。自動車メーカーが、あなたの標準に到達するためにあなたのエコシステムを迂回するなら、そのエコシステムにはプロダクトの問題があります。

さらに、2025年モデルのEV向けBMW自身のサービスブリテンには、ディーラーが想定すべき障害モードが列挙されています。Plug&Chargeメニューが表示されない、契約のインストールに失敗する、インストール後に契約が消える、プロバイダーがそもそも契約を送ってこない。工場が整備マニュアルに記録した、これがフリクションです。

充電器メーカーこそ、2027年の期限が政策論争からサプライチェーン問題へと変わる場所です。AlpitronicはISO 15118-20対応について、実装時期を「TBC」と記載しています。同社だけではありません。

2026年以降に欧州の公共利用向けとして導入されるハードウェアには、初日からPLC対応の通信コントローラーが必要です――ファームウェアで対応するという約束だけでは足りません。これは、そのソフトウェアが完成する2年前に下す部品表の判断です。

私たちは以前にも、これをやってきた

2015年、当社創業者のOle Henrik HannisdahlはベルリンのICNCステージに立ち、ローミング関係者で埋まった会場にこう語りました。ローミングとは、充電器に行ってただ使うことを業界自身があまりに難しくした結果、業界が自分で作り出した問題への解決策なのだ、と。

彼はそれ以来、招かれていません。

その主張の腹立たしいところは、あまりにもよく時を経ていることです。ローミングは商業的には機能しました。しかし同時に、それが覆い隠すために作られた分断を固定化しました。11年後の今も、欧州のドライバーはRFIDカードで膨らんだ財布とアプリだらけのフォルダを抱え、清算レイヤーは、そもそもドライバーの責任ではなかった問題に対する恒久的な税金になっています。

ちなみに、その本能はいまも健在です。2025年12月、Atlante、Electra、Fastned、IonityはChargeLeagueを設立しました。加盟ネットワークのドライバーが、ほかの加盟ネットワークでも充電できるようにするためです。アライアンスが生み出した分断を直すためのアライアンス。見覚えのある映画です。

Plug&Chargeは、かつてのローミングと同じ輪郭を持っています。本当に優れたユーザー体験が、仲介者を必要とし、仲介者によって価格付けされ、そして――ドイツの登録簿を見る限り――公的記録からは見えない信頼レイヤーを通じて提供される。解決するユーザー問題は現実のものです。それに必要なガバナンス構造こそ、誰も求めていなかった部分です。

示唆的なのは、劣るエンジニアリングであるAutochargeが、現時点ではより良いプロダクトだということです。関係者は少なく、証明書は不要で、今日動いており、より多くのネットワークで、より多くの国で使えます。この事実は、粗いバージョンを作っている人々を安心させるのではなく、優れたエンジニアリングを構築している人々を不安にさせるべきです。

だからといって、ISO 15118を放棄すべきだという話ではありません。それは正しい標準であり、双方向充電によってすべての車がグリッド資産へ変わるにつれ、セキュリティの根拠はますます強くなります。これは、エコシステムを退屈なものにしようという主張です。

必要なのは4つだ。欧州にもある、複数の競合ルート。北米にはあって欧州にはない、誰でも参加できる共通のトラストリスト。サポートチケットを一度も必要としない証明書プロビジョニング。そして、その仕組みが実際にどこで使えるのかを明示する公開レジストリ――ドライバーが見つけられない機能は、機能ではない。

欧州はプロトコルを義務化し、残る3つを飛ばした。

Hubjectは9月1日から3日までTempelhofに業界関係者を集める。アジェンダには“Plug&Charge: Expanding Possibilities”と、リレー攻撃に関するセッションの両方がある。どちらの会場が埋まるか、注目に値する。