Europa gjorde Plug&Charge obligatoriskt. Ingen kan säga var det fungerar.

Den 8 januari 2026 upphörde Plug&Charge att vara en funktion och blev ett lagkrav. Varje nyinstallerad offentlig laddpunkt i EU måste nu implementera ISO 15118-2. Från den 1 januari 2027 tillkommer ISO 15118-20, även för privata laddare.

Tysklands federala laddpunktsregister listar 31 865 offentliga laddplatser. 1 018 av dem uppger Plug&Charge. Det är 3.2%.

Innan du drar slutsatsen att Europa ignorerar sin egen lag: det är inte riktigt så. Det är värre. Ingen kan säga var Plug&Charge faktiskt fungerar — inte tillsynsmyndigheten, inte operatörerna, inte vi. Och skälet till det är hela berättelsen.

Teslas löfte — och det är ett bra löfte

Koppla in kabeln. Gå därifrån. Bilen och laddaren gör upp om vem du är och vem som betalar, utan att någon öppnar en app, blippar ett kort eller fotograferar en QR-kod.

Tesla har gjort detta sedan 2012, med en proprietär handskakning i ett nätverk som bolaget äger från ände till ände. Två parter, ett företag, ingen förhandling. Alla andra måste återskapa upplevelsen över hundratals operatörer och dussintals biltillverkare som inte har någon särskild anledning att lita på varandra.

Det är vad ISO 15118 är till för. Det är också där problemen börjar.

Regleringen kräver implementering. Den kräver inte användning.

AFIR, i dess lydelse enligt kommissionens delegerade förordning (EU) 2025/656, kräver att nya eller uppgraderade offentliga laddare implementerar ISO 15118-1/2/3/4/5 från 2026 och ISO 15118-20 från 2027.

Lägg märke till verbet. En laddare kan vara helt kompatibel och ändå aldrig genomföra en enda Plug&Charge-session. AFIR:s betalningsskyldigheter finns i artikel 5, och de uppfylls med kortläsare och QR-koder — kommissionens egen vägledning bekräftar att Plug&Charge inte är relevant för ad hoc-betalning.

Lagen garanterar alltså att rören är på plats. Den garanterar inget om vattnet.

CharIN — organisationen som äger CCS-kontakten och inte direkt är känd för dramatik — publicerade ett positionspapper den 28 april 2026 som läser som en artig nödraket.

Slutsatserna: regleringen kräver standarden men definierar aldrig hur efterlevnad ska bevisas. Fullt kompatibel hårdvara finns inte tillgänglig i skala. Färre än tio laboratorier globalt är ackrediterade för fullständig ISO 15118-20-överensstämmelse, med ledtider på 6 till 9 månader. Formella testfall för AC-överensstämmelse väntas inte före slutet av 2027 — ett år efter att kravet träder i kraft.

CharIN:s rekommendation till kommissionen är att skjuta upp 2027 års deadline tills marknadsmogna lösningar finns. Det är branschens eget standardiseringsorgan som ber om uppskov för en regel som skrevs för att hjälpa den.

Sju parter och en kabel

Autocharge behöver två parter och en identifierare. Plug&Charge behöver en biltillverkare, en mobilitetstjänsteleverantör, en certifikatprovisioneringstjänst, en rotcertifikatutfärdare, en certifikatpool, en laddpunktsoperatör och dess plattform för drift och styrning — alla med giltiga, aktuella och ömsesidigt betrodda uppgifter i exakt det ögonblick föraren kopplar in.

När det fungerar är det osynligt. När en enda länk är inaktuell får föraren en laddare som inte startar och ingen förklaring.

Vem får vara förtroendets rot?

Det här är den kommersiellt intressanta frågan, och det är den Hubject byggde en affär kring.

Hubject är ett samriskföretag mellan BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens och Volkswagen. Det driver en V2G root CA och plattformen som förbinder parterna som behöver den. ChargePoints engineering SVP Eric Sidle har kallat ISO 15118 “kraftigt vinklad till förmån för en liten grupp organisationer som delar ut och kontrollerar dessa certifikat”, och menar att mellanhanden i slutänden kontrollerar prissättningen. Marc Mültin, en av standardens medförfattare, har medgett att intressenter uppfattar Hubject som “inte tillräckligt oberoende”.

Europa är mindre monopolärt än tidigare. Gireve — den franska roamingoperatören, med Thales bakom kryptografin — erbjuder nu root CA- och pooltjänster. CharIN driver en egen V2G-rot, som för organisationens räkning hanteras av Irdeto. Penta Security korscertifierar med Hubject. Det är sundare. Det innebär också att en laddare nu måste lita på flera rötter, och att förarens certifikat måste vara nåbart via den pool som biltillverkaren råkade välja.

Nordamerika angrep frågan från andra hållet. SAE ITC:s EVPKI-konsortium har lanserat en produktionsklar Certificate Trust List med sex rotcertifikat, med det uttalade målet att skapa “en konkurrensutsatt PKI-leverantörsmarknad som i meningsfull bemärkelse inte finns i dag”.

Läs den meningen igen. Det är ett standardiseringskonsortium som säger det alla tänker rakt in i mikrofonen.

Och Korea valde ett helt tredje svar: Hyundai Motor Group överlämnar sin Plug&Charge-teknik och certifikatutfärdaren till staten, utan kostnad, tillsammans med en öppen allians av 12 inhemska operatörer. Staten blir roten.

Tre kontinenter, tre svar på “vem litar du på”: ett samriskföretag ägt av biltillverkare, en konkurrensmarknad med en gemensam trust list och ett ministerium. Bara ett av dem är en affärsmodell.

Vad det tyska registret vet, och vad det inte vet

Tyskland är den enda stora europeiska marknad vars officiella laddpunktsregister uttryckligen frågar operatörerna om en anläggning stöder Plug&Charge. Vi hämtade svaren.

Aral pulse uppger 53 av sina 87 tyska DC-laddplatser. Allego uppger 11 av 68. Ionity — som har kört ISO 15118-2 Plug&Charge i hela sitt nätverk i flera år — uppger en anläggning av 61. Tesla uppger ingen av 268.

Det här diagrammet mäter inte Plug&Charge. Det mäter vem som fyllde i formuläret.

Det är slutsatsen. Under det första året med ett kontinentalt krav finns det, på marknaden med flest laddpunkter och Europas mest noggranna register, ingen tillförlitlig offentlig redovisning av var Plug&Charge fungerar. Inget annat nationellt register vi har tillgång till — Frankrike, Norden, Italien, Nederländerna — ställer ens frågan.

Förarna får reda på det genom att koppla in och vänta.

Samtidigt fortsätter den grova versionen att fungera

Autocharge gör samma jobb utan hela maskineriet. Laddaren läser identifieraren som bilen sänder under DC-handskakningen — vanligtvis dess MAC-adress — matchar den mot ett konto och startar. En registrering, inga certifikat, ingen förtroenderot, ingen pool, inget clearinghus.

På papperet är det också osäkert. En MAC-adress är en identifierare, inte en hemlighet. Den som kan läsa en kan i princip utge sig för att vara den, och operatörens enda tillgängliga försvar är att svartlista de adresser som missbrukas. Marc Mültin, som var med och skrev ISO 15118, har publicerat en argumentation med den mindre subtila titeln “Autocharge: vad det är och varför det är en dålig idé”.

Han har rätt om säkerheten. Han beskriver också något som i tysthet körs över hela Europa medan den säkra versionen väntar på sina certifikat.

Autocharge är i drift hos bland andra EnBW, Mer, Electra, Fastned, Powerdot och GRIDSERVE. Powerdot rullade ut det med Miio och sedan med Chargemap i Frankrike, Belgien, Spanien och Polen. Det fungerar i bilar som aldrig kommer att få ett avtalscertifikat, på anläggningar som aldrig kommer att ansluta sig till en PKI.

Sex är ett urval, inte en fullständig kartläggning. Ingen publicerar ett register över Autocharge-installationer — vilket återigen är hela poängen. Som jämförelse innehåller vår databas omkring 135 000 publika DC-anläggningar i Europa. Den verkliga siffran för Autocharge är högre än vårt urval. Ingen kan säga hur mycket högre.

Autocharge är inte heller enhetligt, och det spelar roll

Haken, och operatörerna säger det öppet: att aktivera Autocharge i ett nätverk innebär inte att det aktiveras på varje laddare i nätverket.

Det fungerar bara på DC. Identifieraren följer med i den digitala handskakning som DC-laddning kräver, medan vanlig AC-laddning saknar en sådan kommunikation — vilket är precis det gap som ISO 15118 skrevs för att täppa till. Laddaren behöver dessutom OCPP 1.5 eller senare och firmware med stöd för funktionen, så äldre enheter i ett i övrigt Autocharge-aktiverat nätverk klarar det helt enkelt inte. GRIDSERVE införde det exempelvis med nyare hårdvara, snarare än i hela beståndet över en natt.

Sedan har vi bilen. Volkswagen Groups MEB-plattform roterar sin MAC-adress, vilket gör Autocharge strukturellt omöjligt på ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron och Cupra Born. CHAdeMO-fordon är uteslutna av konstruktion. En handfull äldre modeller har aldrig haft stöd för det.

Så förarupplevelsen är: det fungerar, tills det inte gör det, och du kan inte i förväg veta vilken laddare eller vilken bil som blir undantaget. Vilket, ord för ord, är samma invändning som vi just riktade mot Plug&Charge.

Det finns också ett slutdatum för tillväxtvägen. Bilagepunkt 2.1.2 i den delegerade förordningen kräver att varje publikt tillgänglig laddpunkt som installeras eller renoveras från 1 januari 2027 och erbjuder automatisk autentisering — Autocharge räknas in — implementerar både ISO 15118-2 och -20. Befintliga anläggningar kan fortsätta: skäl 25 tillåter uttryckligen att punkter som använder en lösning som inte är plug-and-charge fortsätter “tills en fullständig marknadsövergång har uppnåtts”.

Autocharge förbjuds alltså inte. Det får fortsätta enligt övergångsreglerna — ett annat och långsammare slags slut, som stänger vägen för nybyggnation men lämnar den installerade basen i fred.

Det är den ärliga tolkningen. Autocharge är inte ett bättre system. Det är ett sämre system som hann lanseras, och det visar sig att det är värt väldigt mycket.

Den tredje vägen som ingen skrev in i regleringen

Medan standardiseringsorganen argumenterar växer ett tystare svar fram: identifiera bilen genom dess egen dataanslutning och hoppa över kabelkonversationen helt.

Ford gör redan detta och bygger sin egen telematikbaserade certifikatleverans i stället för att använda det standardiserade provisioneringsflödet. Våren 2026 genomförde Vattenfall InCharge och WirelessCar en pilot med fler än 700 förare i Sverige, Nederländerna och Tyskland, där laddsessioner startades utan kort, app, certifikat eller MAC-adress — bara bilen som berättar för molnet var den är inkopplad.

Telematik har en uppenbar brist: den kräver biltillverkarens medverkan och ger biltillverkaren kundrelationen. Vilket kan vara precis därför biltillverkarna gillar den.

Säkerhetsargumentet, taget på allvar

Argumentet för all denna apparatur är verkligt. Certifikat ger återkallelse, oavvislighet och ett skydd mot just den identifierarförfalskning som Autocharge bjuder in till. Om Plug&Charge ska hantera betalningar för miljontals obevakade transaktioner är kryptografi rätt svar.

Sedan kom december 2025.

Forskare publicerade en fungerande relayattack mot ISO 15118 Plug&Charge-betalning: en falsk laddare, en vidarebefordrad handskakning och någon annans räkning. Fullständig proof-of-concept, accepterad till USENIX VehicleSec 2026.

Hubject ska ha genuin heder för att huvudförfattaren presenterar den på ICNC26 — på Hubjects egen scen, i en session med titeln “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”. Så hanterar en seriös bransch dåliga nyheter.

Men håll de två fakta bredvid varandra. Sju år av certifikatinfrastruktur skapade ett system som fortfarande kunde utsättas för relayattacker. Det som det byggdes för att ersätta — en MAC-adress i en uppslagstabell — körs tyst i fyra länder. Komplexiteten köpte mindre säkerhet än säljpresentationen antydde.

Biltillverkarna är redo. Laddarna är det inte.

På fordonssidan är detta nära nog löst. Porsche Taycan och Mercedes EQS var först framme. I dag omfattar listan Volkswagen ID-serien, Skoda Enyaq, Audi Q4 e-tron och Cupra Born; BMW i4, i5, i7 och iX; Hyundai Ioniq 5 och 6, Kia EV6 och EV9, Genesis GV60; Volvo EX90 och EX60; Polestar från modellår 2026.

Volvo aktiverade Plug&Charge på 35 000 amerikanska stationer i juni 2026. GM tillkännagav sin utrullning på Empower under sommaren. Bilarna gör i stort sett sin del.

Två detaljer förstör bilden. Ford byggde sin egen telematikbaserade certifikatleverans i stället för att använda det standardiserade provisioneringsflödet, med hänvisning till säkerhet. När en biltillverkare rundar ditt ekosystem för att nå din standard har ekosystemet ett produktproblem.

Och BMW:s egen servicebulletin för elbilar av modellår 2025 räknar upp de felmoder som återförsäljarna bör förvänta sig: Plug&Charge-menyn visas inte, avtalsinstallationen misslyckas, avtal försvinner efter installation eller leverantörer skickar dem helt enkelt inte. Det är friktionen, dokumenterad av fabriken, i en verkstadshandbok.

Laddartillverkarna är där 2027-deadlinen slutar vara en policydiskussion och blir ett problem i leveranskedjan. Alpitronic listar stöd för ISO 15118-20 med implementeringsdatum “TBC”. Det är inte ensamma om det.

Hårdvara som tas i bruk för europeisk publik användning från 2026 behöver PLC-kompatibla kommunikationsstyrenheter från första dagen — ett löfte om firmware räcker inte. Det är ett beslut om materiallista, fattat två år innan mjukvaran som ska använda den är klar.

Det här har vi gjort förut

2015 stod vår grundare Ole Henrik Hannisdahl på ICNC-scenen i Berlin och berättade för ett rum fullt av roamingfolk att roaming var lösningen på ett problem som branschen hade skapat åt sig själv genom att göra det så svårt att bara köra fram till en laddare och använda den.

Han har inte blivit inbjuden tillbaka.

Det irriterande med det argumentet är hur väl det har åldrats. Roaming fungerade, kommersiellt. Men det befäste också den fragmentering som det byggdes för att dölja. Elva år senare bär europeiska förare fortfarande en plånbok med RFID-kort och en mapp full av appar, och clearinglagret har blivit en permanent skatt på ett problem som aldrig var förarens fel.

Instinkten lever och frodas, för övrigt. I december 2025 grundade Atlante, Electra, Fastned och Ionity ChargeLeague, så att förare från vilket medlemsnätverk som helst kan ladda i vilket annat som helst. En allians för att lösa den fragmentering som allianserna skapade. Vi har sett den här filmen förut.

Plug&Charge har samma silhuett som roaming hade. En genuint utmärkt användarupplevelse, levererad genom ett förtroendelager som kräver en mellanhand, prissätts av en mellanhand och — enligt det tyska registret — är osynligt i den offentliga dokumentationen. Användarproblemet det löser är verkligt. Styrningsstrukturen det kräver är den del som ingen bad om.

Det avslöjande är att Autocharge, som är sämre ingenjörskonst, just nu är en bättre produkt. Färre parter, inga certifikat, fungerar i dag, på fler nätverk, i fler länder. Det borde oroa dem som bygger den bra ingenjörskonsten snarare än lugna dem som bygger den grovhuggna versionen.

Inget av detta är ett argument för att överge ISO 15118. Det är rätt standard, och säkerhetsargumentet blir bara starkare när dubbelriktad laddning gör varje bil till en nättillgång. Det är ett argument för att göra ekosystemet tråkigt.

Fyra saker skulle räcka: flera konkurrerande root-certifikatutfärdare, vilket Europa nu har. En gemensam trust list som vem som helst kan ansluta sig till, vilket Nordamerika har och Europa saknar. Certifikatprovisionering som aldrig kräver ett supportärende. Och ett offentligt register som faktiskt visar var funktionen fungerar — för en funktion som förare inte kan hitta är ingen funktion.

Europa gjorde protokollet obligatoriskt och hoppade över de övriga tre.

Hubject samlar branschen på Tempelhof den 1–3 september. På agendan finns både “Plug&Charge: Expanding Possibilities” och föredraget om relay-attacker. Värt att notera vilket rum som fylls.