Op 8 januari 2026 hield Plug&Charge op een feature te zijn en werd het een wettelijke verplichting. Elk nieuw geïnstalleerd openbaar laadpunt in de EU moet nu ISO 15118-2 implementeren. Vanaf 1 januari 2027 komt ISO 15118-20 erbij, inclusief private laders.
Het Duitse federale laadpuntenregister telt 31 865 openbare laadlocaties. Daarvan geven er 1 018 Plug&Charge op. Dat is 3.2%.
Voordat je concludeert dat Europa zijn eigen wet negeert: zo eenvoudig ligt het niet. Het is erger. Niemand kan je vertellen waar Plug&Charge daadwerkelijk werkt — de toezichthouder niet, de operators niet, wij niet. En waarom dat zo is, dát is het hele verhaal.
De belofte is die van Tesla, en het is een goede
Steek de kabel in. Loop weg. De auto en de lader regelen wie je bent en wie betaalt, zonder dat iemand een app opent, een pas aanbiedt of een QR-code fotografeert.
Tesla doet dit al sinds 2012, met een propriëtaire handshake op een netwerk dat het van begin tot eind zelf bezit. Twee partijen, één bedrijf, geen onderhandeling. Iedereen anders moet die ervaring zien te reproduceren bij honderden operators en tientallen autofabrikanten die geen bijzondere reden hebben om elkaar te vertrouwen.
Daar is ISO 15118 voor bedoeld. En daar beginnen ook de problemen.
De regelgeving verplicht implementatie. Niet het gebruik.
AFIR, zoals gewijzigd door Gedelegeerde Verordening (EU) 2025/656 van de Commissie, verplicht nieuwe of geüpgradede openbare laders vanaf 2026 ISO 15118-1/2/3/4/5 te implementeren, en vanaf 2027 ISO 15118-20.
Let op het werkwoord. Een lader kan volledig conform zijn en toch nooit één Plug&Charge-sessie afronden. De betaalverplichtingen van AFIR staan in artikel 5, en daaraan wordt voldaan met kaartlezers en QR-codes — de eigen richtsnoeren van de Commissie bevestigen dat Plug&Charge niet relevant is voor ad-hocbetalingen.
De wet garandeert dus dat de leidingen zijn aangelegd. Over het water garandeert zij niets.
Hetzelfde document merkt op dat er helemaal geen certificeringsregeling voor AC-EVSE bestaat, en verwacht dat legacyprotocollen naast elkaar zullen blijven bestaan “tot minstens 2028”.
CharIN — de organisatie die eigenaar is van de CCS-connector en niet bekendstaat om drama — publiceerde op 28 april 2026 een position paper dat leest als een beleefd noodsignaal.
De bevindingen: de regelgeving verplicht de standaard, maar definieert nergens hoe conformiteit wordt aangetoond. Volledig conforme hardware is niet op schaal beschikbaar. Wereldwijd zijn minder dan tien labs geaccrediteerd voor volledige ISO 15118-20-conformiteit, met doorlooptijden van 6 tot 9 maanden. Formele AC-conformiteitstestcases worden pas eind 2027 verwacht — een jaar nadat de verplichting ingaat.
CharIN adviseert de Commissie de deadline van 2027 uit te stellen totdat marktrijpe oplossingen bestaan. De eigen standaardisatieorganisatie van de sector vraagt dus om uitstel van een regel die is geschreven om haar te helpen.
Zeven partijen en een kabel
2. De autofabrikant installeert in de fabriek een OEM-provisioningcertificaat in de auto.
3. De bestuurder sluit een contract af met een mobiliteitsdienstverlener, die een contractcertificaat uitgeeft.
4. Een certificate provisioning service versleutelt dit en levert het aan een pool.
5. De auto haalt het op bij de eerstvolgende compatibele lader.
6. De CPO en zijn managementsysteem moeten dezelfde root vertrouwen en beschikken over een geldig SECC-leafcertificaat.
Elk certificaat moet worden uitgegeven, gedistribueerd, geïnstalleerd, vernieuwd en ingetrokken. Bij allemaal.
Autocharge heeft twee partijen en één identificatiemiddel nodig. Plug&Charge heeft een autofabrikant nodig, een mobility service provider, een certificate provisioning service, een root certificate authority, een certificate pool, een charge point operator en diens managementplatform — die allemaal geldige, actuele en wederzijds vertrouwde credentials moeten hebben op het moment dat de bestuurder inplugt.
Als het werkt, is het onzichtbaar. Als één schakel verouderd is, staat de bestuurder bij een lader die niet wil starten en krijgt hij geen uitleg.
Wie mag de root of trust zijn?
Dit is de commercieel interessante vraag, en precies hierop heeft Hubject een bedrijf gebouwd.
Hubject is een joint venture van BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens en Volkswagen. Het beheert een V2G root CA én het platform dat de partijen verbindt die die nodig hebben. Eric Sidle, engineering SVP bij ChargePoint, noemde ISO 15118 “sterk bevooroordeeld ten gunste van een kleine groep organisaties die die certificaten uitgeven en beheren”, met als argument dat de tussenpartij uiteindelijk de prijsstelling controleert. Marc Mültin, coauteur van de standaard, heeft erkend dat stakeholders Hubject “niet onafhankelijk genoeg” vinden.
Europa is minder unipolair dan het was. Gireve — de Franse roamingoperator, met Thales achter de cryptografie — biedt nu root CA- en pooldiensten aan. CharIN beheert zijn eigen V2G-root, voor CharIN gerund door Irdeto. Penta Security heeft cross-certificering met Hubject. Dat is gezonder. Het betekent ook dat een lader nu meerdere roots moet vertrouwen, en dat het certificaat van een bestuurder bereikbaar moet zijn via de pool die diens autofabrikant toevallig heeft gekozen.
Noord-Amerika pakte het vanaf de andere kant aan. Het EVPKI-consortium van SAE ITC heeft een production-grade Certificate Trust List gelanceerd met zes rootcertificaten, met als uitgesproken doel een “concurrerende PKI-aanbiedersmarkt te creëren die vandaag de dag feitelijk niet bestaat”.
Lees die zin nog eens. Een standaardisatieconsortium spreekt hardop uit wat iedereen al weet.
En Korea koos een volledig derde antwoord: Hyundai Motor Group draagt zijn Plug&Charge-technologie en de certificeringsautoriteit kosteloos over aan de overheid, naast een open alliantie van 12 binnenlandse operators. De staat wordt de root.
Drie continenten, drie antwoorden op “wie vertrouw je”: een joint venture in handen van autofabrikanten, een concurrerende markt met een gedeelde trust list, en een ministerie. Slechts één daarvan is een businessmodel.
Wat het Duitse register weet, en wat het niet weet
Duitsland is de enige grote Europese markt waarvan het officiële laadpuntenregister operators expliciet vraagt of een locatie Plug&Charge ondersteunt. Wij hebben de antwoorden opgevraagd.
Aandeel van de Duitse DC-locaties (50 kW+) per operator dat Plug&Charge opgeeft in het federale laadpuntenregister. Operators met 40 of meer DC-locaties. Bron: Chargalytics, op basis van data van de Bundesnetzagentur, augustus 2026.
Aral pulse geeft 53 van zijn 87 Duitse DC-locaties op. Allego geeft 11 van 68 op. Ionity — dat al jaren ISO 15118-2 Plug&Charge op zijn volledige netwerk draait — geeft één locatie van de 61 op. Tesla geeft geen van de 268 op.
Deze grafiek meet geen Plug&Charge. Hij meet wie het formulier heeft ingevuld.
Dat is de bevinding. In het eerste jaar van een continentale verplichting bestaat er, in de markt met de meeste laadpunten en het meest nauwgezette register van Europa, geen betrouwbaar openbaar overzicht van waar Plug&Charge werkt. Geen enkel ander nationaal register dat wij hebben — Frankrijk, de Nordics, Italië, Nederland — stelt die vraag zelfs maar.
Bestuurders ontdekken het door in te pluggen en te wachten.
Intussen blijft de ruwe variant gewoon werken
Autocharge doet hetzelfde werk zonder al die machinerie. De lader leest het identificatiemiddel uit dat de auto tijdens de DC-handshake uitzendt — meestal het MAC-adres — zoekt dit op bij een account en start. Eén registratie, geen certificaten, geen root of trust, geen pool, geen clearinghouse.
Op papier is het ook onveilig. Een MAC-adres is een identificatiemiddel, geen geheim. Wie er één kan uitlezen, kan het in principe presenteren, en de enige verdediging die een operator heeft is misbruikte adressen op een zwarte lijst zetten. Marc Mültin, die ISO 15118 meeschreef, publiceerde een betoog met de weinig subtiele titel “Autocharge: what it is and why it’s a bad idea”.
Over de beveiliging heeft hij gelijk. Maar hij beschrijft ook iets dat stilletjes door heel Europa draait, terwijl de beveiligde versie op zijn certificaten wacht.
In onze database exploiteren die zes alleen al 5 789 DC-locaties en 32 677 DC-laadpunten verspreid over maximaal acht landen.
Beschouw dit als een steekproef, geen volkstelling. Er bestaat geen register van Autocharge-uitrol, dus dit is een ondergrens die we door het lezen van aankondigingen hebben vastgesteld, geen marktmeting.
Autocharge is onder meer actief bij EnBW, Mer, Electra, Fastned, Powerdot en GRIDSERVE. Powerdot rolde het uit met Miio en vervolgens met Chargemap in Frankrijk, België, Spanje en Polen. Het werkt in auto's die nooit een contractcertificaat zullen ontvangen, op locaties die zich nooit bij een PKI zullen aansluiten.
Zes is een steekproef, geen volkstelling. Niemand publiceert een register van Autocharge-uitrol — en dat is, opnieuw, precies het punt. Ter schaal: onze database bevat ruwweg 135 000 publieke DC-locaties in Europa. Het werkelijke aantal voor Autocharge ligt hoger dan onze steekproef. Niemand kan zeggen hoeveel hoger.
Autocharge is ook niet overal hetzelfde, en dat doet ertoe
De kanttekening, en operators zullen je dat ronduit vertellen: Autocharge inschakelen op een netwerk betekent niet dat het op elke lader in dat netwerk werkt.
Het werkt alleen op DC. De identificatie reist mee in de digitale handshake die DC-laden vereist, en gewoon AC-laden kent zo'n gesprek niet — precies het gat dat ISO 15118 moest dichten. De lader heeft ook OCPP 1.5 of later nodig, plus firmware die de functie ondersteunt, waardoor oudere units in een verder Autocharge-geschikt netwerk het simpelweg niet doen. GRIDSERVE voerde het bijvoorbeeld in met nieuwere hardware, in plaats van het van de ene op de andere dag over het hele netwerk uit te rollen.
Volkswagen Group is ook mede-eigenaar van Hubject.
CHAdeMO-auto's vallen volledig buiten de boot. Verschillende oudere VAG-modellen en sommige Lucids hebben het nooit ondersteund.
Dan is er nog de auto. Het MEB-platform van Volkswagen Group roteert zijn MAC-adres, waardoor Autocharge structureel onmogelijk is op de ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron en Cupra Born. CHAdeMO-voertuigen zijn by design uitgesloten. Een handvol oudere modellen ondersteunde het nooit.
De rijervaring is dus: het werkt, totdat het niet werkt, en je kunt vooraf niet zeggen welke lader of welke auto de uitzondering zal zijn. Precies dezelfde klacht die we zojuist, woord voor woord, over Plug&Charge hebben geuit.
Dat is de eerlijke lezing. Autocharge is geen beter systeem. Het is een slechter systeem dat wel is uitgerold, en uitrollen blijkt bijzonder veel waard te zijn.
De derde weg die niemand in de regelgeving heeft opgenomen
Terwijl de standaardisatieorganen discussiëren, dient zich een stiller antwoord aan: identificeer de auto via zijn eigen dataverbinding en sla het kabelgesprek volledig over.
Ford doet dit al en bouwt een eigen telematica-gebaseerde certificaatlevering in plaats van de standaard provisioning flow te gebruiken. In het voorjaar van 2026 voerden Vattenfall InCharge en WirelessCar een pilot met meer dan 700 bestuurders uit in Zweden, Nederland en Duitsland, waarbij sessies startten zonder kaart, app, certificaat of MAC-adres — alleen doordat de auto de cloud vertelt waar hij is ingeplugd.
Telematica heeft een voor de hand liggend gebrek: het vereist medewerking van de autofabrikant, en het geeft de klantrelatie aan die autofabrikant. Wat misschien precies de reden is waarom autofabrikanten ervan houden.
| Autocharge | Plug & Charge (ISO 15118-2) | |
|---|---|---|
| Identiteit | MAC-adres of VIN | X.509-contractcertificaat |
| Vereiste partijen | 2 (bestuurder, operator) | 7+ in de trust chain |
| Gestandaardiseerd | Nee, operator-specifiek | Ja, ISO 15118-2 en -20 |
| Netwerkoverschrijdend | Alleen waar operators bilateraal afspraken maken | By design, via gedeelde roots |
| Te spoofen | Ja, in principe | Relay attack aangetoond in 2025 |
| Governancekosten | Nul | Root CA, pools, certificaatlevenscyclus |
| AFIR-status | Niet erkend, niet verboden | Implementatie verplicht vanaf 2026 |
| Werkt op AC | Nee, alleen DC-handshake | Ja, dat is precies het punt van -2 |
| Hiaten in voertuigen | VW Group MEB, CHAdeMO, enkele andere | Breed en groeiend |
| Werkt vandaag | 6+ netwerken die we kunnen bevestigen | Ionity, Allego, Aral en een grillige lange staart |
Het veiligheidsargument, serieus genomen
De onderbouwing voor al die machinerie is reëel. Certificaten bieden intrekking, onweerlegbaarheid en een verdediging tegen precies de identifier-spoofing waartoe Autocharge uitnodigt. Als Plug&Charge betalingen moet afhandelen voor miljoenen onbemande transacties, is cryptografie het juiste antwoord.
Toen kwam december 2025.
Grondoorzaak: de Plug&Charge-handtekening bevat geen stationidentiteit, gecombineerd met zwakheden in de manier waarop ISO 15118 TLS-certificaten afhandelt.
Onderzoekers publiceerden een werkende relay attack op ISO 15118 Plug&Charge-betalingen: een neplader, een doorgestuurde handshake en de rekening van iemand anders. Volledige proof-of-concept, geaccepteerd voor USENIX VehicleSec 2026.
Tot oprechte eer van Hubject presenteert de hoofdauteur dit op ICNC26 — op het eigen podium van Hubject, in een sessie met de titel “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”. Zo gaat een serieuze industrie met slecht nieuws om.
Maar zet die twee feiten naast elkaar. Zeven jaar aan certificaatinfrastructuur leverde een systeem op dat nog steeds kwetsbaar was voor relay attacks. Het ding dat het moest vervangen — een MAC-adres in een opzoektabel — draait stilletjes in vier landen. Complexiteit kocht minder veiligheid dan de salesdeck deed vermoeden.
De autofabrikanten zijn klaar. De laders niet.
Aan de voertuigkant is dit bijna opgelost. Porsche Taycan en Mercedes EQS waren er als eerste. Vandaag loopt de lijst via de Volkswagen ID-reeks, Skoda Enyaq, Audi Q4 e-tron en Cupra Born; BMW i4, i5, i7 en iX; Hyundai Ioniq 5 en 6, Kia EV6 en EV9, Genesis GV60; Volvo EX90 en EX60; Polestar vanaf modeljaar 2026.
Volvo schakelde Plug&Charge in juni 2026 in op 35 000 Amerikaanse stations. GM kondigde zijn uitrol in de zomer aan op Empower. De auto's doen, in grote lijnen, wat van hen wordt verwacht.
Twee details verstoren het beeld. Ford bouwde zijn eigen telematica-gebaseerde certificaatlevering in plaats van de standaard provisioning flow te gebruiken, onder verwijzing naar veiligheid. Wanneer een autofabrikant om je ecosysteem heen bouwt om je standaard te bereiken, heeft dat ecosysteem een productprobleem.
En BMW's eigen servicebulletin voor EV's van modeljaar 2025 somt de storingsmodi op die dealers mogen verwachten: het Plug&Charge-menu dat niet verschijnt, contractinstallatie die mislukt, contracten die na installatie verdwijnen, providers die ze simpelweg niet versturen. Dat is de frictie, gedocumenteerd door de fabriek, in een werkplaatshandboek.
Doorlooptijden van 6 tot 9 maanden.
Formele AC-conformiteitstestcases worden niet vóór eind 2027 verwacht.
De verplichting gaat in op 1 januari 2027.
Fabrikanten moeten gecertificeerde hardware leveren ruwweg een jaar voordat de certificering bestaat.
Bij de laadpaalfabrikanten verandert de deadline van 2027 van een beleidsdiscussie in een supplychainprobleem. Alpitronic vermeldt ondersteuning voor ISO 15118-20 met als implementatiedatum “TBC”. Het staat niet alleen.
Hardware die vanaf 2026 voor Europees publiek gebruik wordt besteld, heeft vanaf dag één PLC-compatibele communicatiecontrollers nodig — een firmwarebelofte is niet genoeg. Dat is een bill of materials-beslissing, genomen twee jaar voordat de software die ervan gebruikmaakt klaar is.
Dit hebben we eerder gedaan
In 2015 stond onze oprichter Ole Henrik Hannisdahl op het ICNC-podium in Berlijn en vertelde hij een zaal vol roamingmensen dat roaming de oplossing was voor een probleem dat de industrie zelf had gecreëerd, door het zo moeilijk te maken om simpelweg naar een lader te lopen en die te gebruiken.
Hij is niet meer uitgenodigd.
Het irritante aan dat argument is hoe goed het is verouderd. Roaming werkte, commercieel gezien. Maar het verankerde ook de fragmentatie die het moest verbloemen. Elf jaar later dragen Europese bestuurders nog steeds een portemonnee vol RFID-kaarten en een map vol apps mee, en is de clearinglaag een permanente belasting geworden op een probleem dat nooit de schuld van de bestuurder was.
Het instinct leeft overigens nog volop. In december 2025 richtten Atlante, Electra, Fastned en Ionity ChargeLeague op, zodat bestuurders van elk deelnemend netwerk bij elk ander kunnen laden. Een alliantie om de fragmentatie te repareren die de allianties hebben gecreëerd. We hebben deze film al gezien.
Plug&Charge heeft hetzelfde silhouet als roaming destijds. Een werkelijk uitstekende gebruikerservaring, geleverd via een trust layer die een tussenpersoon vereist, door een tussenpersoon wordt geprijsd en — afgaande op het Duitse register — onzichtbaar is in het openbare register. Het gebruikersprobleem dat het oplost is reëel. De governancestructuur die het nodig heeft, is het deel waar niemand om vroeg.
Het veelzeggende is dat Autocharge, technisch gezien slechter, momenteel een beter product is. Minder partijen, geen certificaten, werkt vandaag, op meer netwerken, in meer landen. Dat zou de mensen die de goede techniek bouwen zorgen moeten baren, in plaats van de mensen die de ruwe versie bouwen gerust te stellen.
Dat alles is geen argument om ISO 15118 los te laten. Het is de juiste standaard, en het veiligheidsargument wordt alleen maar sterker naarmate bidirectioneel laden elke auto tot een netasset maakt. Het is een argument om het ecosysteem saai te maken.
Vier dingen zouden het oplossen: meerdere concurrerende rootcertificaten, die Europa inmiddels heeft. Een gedeelde trustlijst waaraan iedereen kan deelnemen, die Noord-Amerika wel heeft en Europa niet. Certificaatprovisioning waarvoor je nooit een supportticket hoeft in te dienen. En een openbaar register dat daadwerkelijk vermeldt waar het werkt — want een functie die bestuurders niet kunnen vinden, is geen functie.
Europa verplichtte het protocol en sloeg de andere drie over.
Hubject brengt de sector van 1 tot en met 3 september samen op Tempelhof. Op de agenda staan zowel “Plug&Charge: Expanding Possibilities” als de sessie over relay attacks. Interessant om te zien welke zaal volloopt.
Het regelboek beweegt sneller dan de hardware, dus dat volgen we ook. ChargiPedia behandelt AFIR en de rest van de Europese laadregelgeving, en onze landstatistieken bestrijken elke markt op het continent. Start een gratis proefperiode en krijg toegang tot beide.