Europa påla Plug&Charge. Ingen kan si hvor det virker.

8. januar 2026 sluttet Plug&Charge å være en funksjon og ble et lovkrav. Alle nyinstallerte offentlige ladepunkter i EU må nå implementere ISO 15118-2. Fra 1. januar 2027 kommer ISO 15118-20 i tillegg, også for private ladere.

Tysklands føderale register for ladepunkter viser 31 865 offentlige ladesteder. 1 018 av dem oppgir Plug&Charge. Det er 3.2%.

Før du konkluderer med at Europa ignorerer sin egen lov: Det er ikke helt slik. Det er verre. Ingen kan fortelle deg hvor Plug&Charge faktisk fungerer — ikke tilsynsmyndigheten, ikke operatørene, ikke vi. Og årsaken til det er hele historien.

Løftet er Teslas, og det er et godt et

Koble til kabelen. Gå videre. Bilen og laderen avklarer hvem du er og hvem som betaler, uten at noen åpner en app, tæpper et kort eller fotograferer en QR-kode.

Tesla har gjort dette siden 2012, med en proprietær håndtrykksprotokoll i et nettverk selskapet eier ende til ende. To parter, ett selskap, ingen forhandling. Alle andre må gjenskape den opplevelsen på tvers av hundrevis av operatører og dusinvis av bilprodusenter som ikke har noen særlig grunn til å stole på hverandre.

Det er dette ISO 15118 er til for. Det er også her problemene begynner.

Regelverket pålegger implementering. Det pålegger ikke bruk.

AFIR, slik den er endret ved Kommisjonens delegerte forordning (EU) 2025/656, krever at nye eller oppgraderte offentlige ladere implementerer ISO 15118-1/2/3/4/5 fra 2026, og ISO 15118-20 fra 2027.

Merk verbet. En lader kan være fullt ut kompatibel og aldri gjennomføre én eneste Plug&Charge-økt. AFIRs betalingsforpliktelser ligger i artikkel 5, og de oppfylles med kortlesere og QR-koder — Kommisjonens egen veiledning bekrefter at Plug&Charge ikke er relevant for ad hoc-betaling.

Så loven garanterer at røropplegget er installert. Den garanterer ingenting om vannet.

CharIN — organet som eier CCS-kontakten, og ingen organisasjon som har for vane å overdrive — publiserte et posisjonsnotat 28. april 2026 som leses som et høflig nødbluss.

Funnene: Regelverket pålegger standarden, men definerer aldri hvordan samsvar skal bevises. Fullt kompatibel maskinvare er ikke tilgjengelig i skala. Færre enn ti laboratorier globalt er akkreditert for full ISO 15118-20-samsvarstesting, med 6 til 9 måneders ledetid. Formelle testtilfeller for AC-samsvar forventes ikke før sent i 2027 — ett år etter at kravet trer i kraft.

CharIN anbefaler Kommisjonen å utsette fristen i 2027 til markedsklare løsninger finnes. Det er bransjens eget standardiseringsorgan som ber om utsettelse av en regel skrevet for å hjelpe det.

Sju parter og en kabel

Autocharge trenger to parter og én identifikator. Plug&Charge trenger en bilprodusent, en mobilitetstjenesteleverandør, en sertifikatutstedelsestjeneste, en rotsertifikatmyndighet, en sertifikatpool, en ladepunktoperatør og driftsplattformen deres — alle med gyldige, oppdaterte og gjensidig betrodde legitimasjoner i øyeblikket føreren kobler til.

Når det fungerer, er det usynlig. Når ett eneste ledd er utdatert, står føreren med en lader som ikke vil starte og ingen forklaring.

Hvem får være tillitens rot?

Dette er det kommersielt interessante spørsmålet, og det Hubject bygget en forretning på.

Hubject er et joint venture mellom BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens og Volkswagen. Selskapet drifter en V2G root CA og plattformen som kobler sammen partene som trenger den. ChargePoints engineering SVP Eric Sidle har omtalt ISO 15118 som “svært skjevfordelt mot en liten gruppe organisasjoner som utsteder og kontrollerer disse sertifikatene”, og argumentert for at mellomleddet ender opp med å kontrollere prisingen. Marc Mültin, en av standardens medforfattere, har innrømmet at interessenter mener Hubject er “ikke uavhengig nok”.

Europa er mindre monopolært enn før. Gireve — den franske roamingoperatøren, med Thales bak kryptografien — tilbyr nå root CA- og pool-tjenester. CharIN drifter sin egen V2G-rot, forvaltet på deres vegne av Irdeto. Penta Security kryss-sertifiserer med Hubject. Det er sunnere. Det betyr også at en lader nå må stole på flere røtter, og at førerens sertifikat må være tilgjengelig gjennom den poolen bilprodusenten tilfeldigvis har valgt.

Nord-Amerika gikk løs på det fra motsatt ende. SAE ITCs EVPKI-konsortium har lansert en Certificate Trust List i produksjon med seks rotsertifikater, med det uttalte målet å skape “et konkurranseutsatt PKI-leverandørmarked som i praksis ikke eksisterer i dag”.

Les den setningen én gang til. Det er et standardiseringskonsortium som sier den usagte delen rett inn i mikrofonen.

Og Korea valgte et helt tredje svar: Hyundai Motor Group overleverer Plug&Charge-teknologien sin og sertifikatmyndigheten til myndighetene, gratis, sammen med en åpen allianse av 12 innenlandske operatører. Staten blir roten.

Tre kontinenter, tre svar på “hvem stoler du på”: et joint venture eid av bilprodusenter, et konkurransemarked med en felles tillitsliste og et departement. Bare én av dem er en forretningsmodell.

Hva det tyske registeret vet, og hva det ikke vet

Tyskland er det eneste store europeiske markedet der det offisielle ladepunktregisteret eksplisitt spør operatørene om et anlegg støtter Plug&Charge. Vi hentet svarene.

Aral pulse oppgir 53 av sine 87 tyske DC-lokasjoner. Allego oppgir 11 av 68. Ionity — som har kjørt ISO 15118-2 Plug&Charge i hele nettverket sitt i årevis — oppgir én lokasjon av 61. Tesla oppgir ingen av 268.

Dette diagrammet måler ikke Plug&Charge. Det måler hvem som fylte ut skjemaet.

Det er funnet. I det første året med et kontinentalt påbud, i markedet med flest ladepunkter og Europas mest samvittighetsfulle register, finnes det ingen pålitelig offentlig oversikt over hvor Plug&Charge fungerer. Ingen av de andre nasjonale registrene vi har — Frankrike, Norden, Italia, Nederland — stiller engang spørsmålet.

Førerne finner det ut ved å koble til og vente.

I mellomtiden fortsetter den primitive varianten å fungere

Autocharge gjør den samme jobben uten noe av maskineriet. Laderen leser identifikatoren bilen kringkaster under DC-håndtrykket — vanligvis MAC-adressen — slår den opp mot en konto og starter. Én registrering, ingen sertifikater, ingen tillitsrot, ingen pool, ingen avregningssentral.

På papiret er det også usikkert. En MAC-adresse er en identifikator, ikke en hemmelighet. Alle som kan lese en, kan i prinsippet presentere den, og det eneste forsvaret en operatør har, er å svarteliste dem som blir misbrukt. Marc Mültin, som var med på å skrive ISO 15118, har publisert et argument med tittelen, uten særlig subtilitet, “Autocharge: hva det er og hvorfor det er en dårlig idé”.

Han har rett om sikkerheten. Han beskriver også noe som stille og rolig kjører på tvers av Europa mens den sikre versjonen venter på sertifikatene sine.

Autocharge er i drift hos blant andre EnBW, Mer, Electra, Fastned, Powerdot og GRIDSERVE. Powerdot rullet det ut med Miio og deretter med Chargemap i Frankrike, Belgia, Spania og Polen. Det fungerer på biler som aldri vil få et kontraktssertifikat, på lokasjoner som aldri vil bli med i en PKI.

Seks er et utvalg, ikke en fullstendig opptelling. Ingen publiserer et register over Autocharge-utrullinger — og det er, nok en gang, nettopp poenget. For å sette skalaen i perspektiv: Databasen vår inneholder rundt 135 000 offentlige DC-lokasjoner i Europa. Det reelle Autocharge-tallet er høyere enn utvalget vårt. Ingen kan fortelle deg hvor mye høyere.

Autocharge er heller ikke ensartet, og det betyr noe

Haken, og operatørene sier dette helt åpent: Å aktivere Autocharge i et nettverk betyr ikke at det aktiveres på hver lader i nettverket.

Det fungerer bare på DC. Identifikatoren følger den digitale håndtrykkprosessen som DC-lading krever, og vanlig AC-lading har ingen slik samtale — som er nettopp gapet ISO 15118 ble skrevet for å lukke. Laderen trenger også OCPP 1.5 eller nyere og firmware som støtter funksjonen, så eldre enheter i et ellers Autocharge-aktivert nettverk gjør det rett og slett ikke. GRIDSERVE introduserte det for eksempel med nyere maskinvare, fremfor å rulle det ut i hele porteføljen over natten.

Så er det bilen. Volkswagen Groups MEB-plattform roterer MAC-adressen sin, noe som gjør Autocharge strukturelt umulig på ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron og Cupra Born. CHAdeMO-biler er utelukket av design. En håndfull eldre modeller støttet det aldri.

Så føreropplevelsen er: Det fungerer, helt til det ikke gjør det, og du kan ikke vite på forhånd hvilken lader eller hvilken bil som blir unntaket. Det er, ord for ord, den samme klagen vi nettopp har rettet mot Plug&Charge.

Det er den ærlige vurderingen. Autocharge er ikke et bedre system. Det er et dårligere system som faktisk ble lansert, og det viser seg at å få noe ut i markedet er verdt svært mye.

Den tredje veien ingen tok med i regelverket

Mens standardiseringsorganene diskuterer, vokser et stillere svar frem: Identifiser bilen gjennom dens egen datatilkobling, og hopp helt over samtalen i kabelen.

Ford gjør allerede dette, ved å bygge sin egen telematikkbaserte sertifikatutlevering fremfor å bruke den standardiserte provisjoneringsflyten. Våren 2026 gjennomførte Vattenfall InCharge og WirelessCar en pilot med mer enn 700 førere i Sverige, Nederland og Tyskland, der lading startet uten kort, app, sertifikat eller MAC-adresse — bare ved at bilen forteller skyen hvor den er koblet til.

Telematikk har en åpenbar svakhet: Den krever samarbeid fra bilprodusenten, og den gir bilprodusenten kundeforholdet. Noe som kanskje er nettopp grunnen til at bilprodusentene liker det.

Sikkerhetsargumentet, tatt på alvor

Argumentet for alt dette maskineriet er reelt. Sertifikater gir tilbakekalling, uavviselighet og et vern mot akkurat den identitetsforfalskningen Autocharge åpner for. Hvis Plug&Charge skal håndtere betaling for millioner av ubetjente transaksjoner, er kryptografi det riktige svaret.

Så kom desember 2025.

Forskere publiserte et fungerende reléangrep mot ISO 15118 Plug&Charge-betaling: en falsk lader, et videresendt håndtrykk og noen andres regning. Full proof-of-concept, akseptert til USENIX VehicleSec 2026.

Til Hubjects ære skal det sies at hovedforfatteren presenterer det på ICNC26 — på Hubjects egen scene, i en sesjon med tittelen “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”. Slik håndterer en seriøs bransje dårlige nyheter.

Men hold de to faktaene ved siden av hverandre. Sju år med sertifikatinfrastruktur ga et system som fortsatt var sårbart for reléangrep. Det det ble bygget for å erstatte — en MAC-adresse i en oppslagstabell — kjører stille og rolig i fire land. Kompleksiteten kjøpte mindre sikkerhet enn salgspresentasjonen antydet.

Bilprodusentene er klare. Laderne er det ikke.

På bilsiden er dette nær ved å være løst. Porsche Taycan og Mercedes EQS var først ute. I dag omfatter listen Volkswagen ID-serien, Skoda Enyaq, Audi Q4 e-tron og Cupra Born; BMW i4, i5, i7 og iX; Hyundai Ioniq 5 og 6, Kia EV6 og EV9, Genesis GV60; Volvo EX90 og EX60; Polestar fra modellår 2026.

Volvo aktiverte Plug&Charge på tvers av 35 000 amerikanske stasjoner i juni 2026. GM annonserte sin utrulling på Empower om sommeren. Bilene gjør, stort sett, sin del av jobben.

To detaljer ødelegger bildet. Ford bygget sin egen telematikkbaserte sertifikatutlevering fremfor å bruke den standardiserte provisjoneringsflyten, med henvisning til sikkerhet. Når en bilprodusent går rundt økosystemet ditt for å nå standarden din, har økosystemet et produktproblem.

Og BMWs egen servicebulletin for elbiler av modellår 2025 ramser opp feilmodusene forhandlerne bør vente seg: Plug&Charge-menyen vises ikke, kontraktsinstallasjonen mislykkes, kontrakter forsvinner etter installasjon, leverandører sender dem rett og slett ikke. Det er friksjonen, dokumentert av fabrikken, i en verkstedhåndbok.

Laderprodusentene er der 2027-fristen slutter å være en politisk debatt og blir et forsyningskjedeproblem. Alpitronic oppgir ISO 15118-20-støtte med implementeringsdato “TBC”. De er ikke alene.

Maskinvare som bestilles for offentlig bruk i Europa fra 2026, trenger PLC-kompatible kommunikasjonskontrollere fra første dag — et firmwareløfte er ikke nok. Det er en stykklistedecisjon, tatt to år før programvaren som skal bruke den er ferdig.

Vi har gjort dette før

I 2015 sto grunnleggeren vår, Ole Henrik Hannisdahl, på ICNC-scenen i Berlin og sa til et rom fullt av roamingfolk at roaming var løsningen på et problem bransjen hadde skapt for seg selv, ved å gjøre det så vanskelig å bare kjøre opp til en lader og bruke den.

Han har ikke blitt invitert tilbake.

Det irriterende med det argumentet er hvor godt det har eldet. Roaming fungerte, kommersielt. Det befestet også fragmenteringen det var bygget for å skjule. Elleve år senere bærer europeiske førere fortsatt på en lommebok full av RFID-kort og en mappe full av apper, og avregningslaget har blitt en permanent skatt på et problem som aldri var førerens feil.

Instinktet lever i beste velgående, for øvrig. I desember 2025 grunnla Atlante, Electra, Fastned og Ionity ChargeLeague, slik at førere fra ethvert medlemsnettverk kan lade i alle de andre. En allianse for å fikse fragmenteringen som alliansene skapte. Vi har sett denne filmen før.

Plug&Charge har samme silhuett som roaming hadde. En genuint utmerket brukeropplevelse, levert gjennom et tillitslag som krever en mellommann, prises av en mellommann, og — ifølge det tyske registeret — er usynlig i offentligheten. Brukerproblemet det løser er reelt. Styringsstrukturen det trenger er delen ingen ba om.

Avsløringen ligger i at Autocharge, som er dårligere ingeniørarbeid, for tiden er et bedre produkt. Færre parter, ingen sertifikater, fungerer i dag, på flere nettverk, i flere land. Det burde bekymre dem som bygger det gode ingeniørarbeidet, snarere enn å berolige dem som bygger den primitive versjonen.

Ingenting av dette er et argument for å forlate ISO 15118. Det er den riktige standarden, og sikkerhetsargumentet vil bare bli sterkere når toveis lading gjør hver bil til en ressurs i strømnettet. Det er et argument for å gjøre økosystemet kjedelig.

Fire ting måtte til: flere konkurrerende rotsertifikater, noe Europa nå har. En felles tillitsliste som alle kan slutte seg til, noe Nord-Amerika har og Europa mangler. Sertifikatutstedelse som aldri krever en supportsak. Og et offentlig register som faktisk forteller hvor løsningen fungerer — for en funksjon sjåførene ikke finner, er ingen funksjon.

Europa påla protokollen og hoppet over de tre andre.

Hubject samler bransjen på Tempelhof fra 1. til 3. september. På agendaen står både “Plug&Charge: Expanding Possibilities” og foredraget om relay-angrep. Det er verdt å merke seg hvilket rom som fylles opp.