Europa gjorde Plug&Charge obligatoriskt. Ingen kan säga var det fungerar.

Den 8 januari 2026 slutade Plug&Charge vara en funktion och blev ett lagkrav. Varje nyinstallerad offentlig laddpunkt i EU måste nu implementera ISO 15118-2. Från 1 januari 2027 tillkommer ISO 15118-20, inklusive privata laddare.

Tysklands federala laddpunktsregister listar 31 865 offentliga laddningsanläggningar. 1 018 av dem uppger Plug&Charge. Det är 3.2%.

Innan du drar slutsatsen att Europa ignorerar sin egen lag: riktigt så är det inte. Det är värre. Ingen kan säga var Plug&Charge faktiskt fungerar — inte tillsynsmyndigheten, inte operatörerna, inte vi. Och skälet till det är hela berättelsen.

Löftet är Teslas, och det är ett bra löfte

Koppla in kabeln. Gå därifrån. Bilen och laddaren kommer överens om vem du är och vem som betalar, utan att någon öppnar en app, blippar ett kort eller fotograferar en QR-kod.

Tesla har gjort detta sedan 2012, med en proprietär handskakning i ett nätverk som bolaget äger från början till slut. Två parter, ett företag, ingen förhandling. Alla andra måste återskapa den upplevelsen över hundratals operatörer och dussintals biltillverkare som inte har någon särskild anledning att lita på varandra.

Det är vad ISO 15118 är till för. Det är också där problemen börjar.

Regleringen kräver implementering. Den kräver inte användning.

AFIR, i sin lydelse enligt kommissionens delegerade förordning (EU) 2025/656, kräver att nya eller uppgraderade offentliga laddare implementerar ISO 15118-1/2/3/4/5 från 2026 och ISO 15118-20 från 2027.

Lägg märke till verbet. En laddare kan vara helt regelkompatibel och ändå aldrig genomföra en enda Plug&Charge-session. AFIR:s betalningskrav finns i artikel 5, och de uppfylls med kortläsare och QR-koder — kommissionens egen vägledning bekräftar att Plug&Charge inte är relevant för ad hoc-betalning.

Lagen garanterar alltså att rören är installerade. Den garanterar ingenting om vattnet.

CharIN — organisationen som äger CCS-kontakten och knappast är känd för dramatik — publicerade en positionsrapport den 28 april 2026 som läser som en artig nödraket.

Slutsatserna: regleringen kräver standarden men definierar aldrig hur efterlevnad ska bevisas. Helt kompatibel hårdvara finns inte tillgänglig i skala. Färre än tio laboratorier i världen är ackrediterade för fullständig ISO 15118-20-överensstämmelse, med ledtider på 6 till 9 månader. Formella testfall för AC-överensstämmelse väntas inte förrän sent 2027 — ett år efter att kravet träder i kraft.

CharIN:s rekommendation till kommissionen är att skjuta upp 2027 års deadline tills marknadsmogna lösningar finns. Det är branschens eget standardiseringsorgan som ber om uppskov för en regel som skrevs för att hjälpa det.

Sju parter och en kabel

Autocharge behöver två parter och en identifierare. Plug&Charge behöver en biltillverkare, en mobilitetstjänsteleverantör, en certifikatprovisioneringstjänst, en rotcertifikatutfärdare, en certifikatpool, en laddpunktsoperatör och dess driftplattform — alla med giltiga, aktuella och ömsesidigt betrodda autentiseringsuppgifter i samma ögonblick som föraren kopplar in.

När det fungerar är det osynligt. När en enda länk är inaktuell får föraren en laddare som inte startar och ingen förklaring.

Vem får vara förtroendets rot?

Det här är den kommersiellt intressanta frågan, och det är den Hubject byggde en affär på.

Hubject är ett joint venture mellan BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens och Volkswagen. Bolaget driver en V2G root CA och plattformen som förbinder parterna som behöver den. ChargePoints engineering SVP Eric Sidle har kallat ISO 15118 “kraftigt vinklad till förmån för en liten grupp organisationer som delar ut och kontrollerar dessa certifikat” och hävdat att mellanhanden därmed får kontroll över prissättningen. Marc Mültin, en av standardens medförfattare, har medgett att intressenter uppfattar Hubject som “inte tillräckligt oberoende”.

Europa är mindre monopolariserat än tidigare. Gireve — den franska roamingoperatören, med Thales bakom kryptografin — erbjuder nu root CA- och pooltjänster. CharIN driver en egen V2G-root, som för organisationens räkning hanteras av Irdeto. Penta Security korscertifierar med Hubject. Det är sundare. Det innebär också att en laddare nu måste lita på flera rötter, och att förarens certifikat måste vara nåbart via den pool som just deras biltillverkare råkade välja.

Nordamerika angrep frågan från andra hållet. SAE ITC:s EVPKI-konsortium har lanserat en produktionssatt Certificate Trust List med sex rotcertifikat, med det uttalade målet att skapa “en konkurrensutsatt PKI-marknad för leverantörer som i praktiken inte existerar i dag”.

Läs den meningen igen. Det är ett standardiseringskonsortium som säger det alla tänker rakt in i en mikrofon.

Och Korea valde ett helt tredje svar: Hyundai Motor Group överlämnar sin Plug&Charge-teknik och certifikatutfärdaren till staten, utan kostnad, tillsammans med en öppen allians av 12 inhemska operatörer. Staten blir roten.

Tre kontinenter, tre svar på “vem litar du på”: ett joint venture ägt av biltillverkare, en konkurrensutsatt marknad med en gemensam trust list och ett departement. Bara ett av dem är en affärsmodell.

Vad det tyska registret vet, och vad det inte vet

Tyskland är den enda stora europeiska marknaden vars officiella laddpunktsregister uttryckligen frågar operatörerna om en anläggning stöder Plug&Charge. Vi hämtade svaren.

Aral pulse uppger 53 av sina 87 tyska DC-anläggningar. Allego uppger 11 av 68. Ionity — som har kört ISO 15118-2 Plug&Charge i hela sitt nätverk i åratal — uppger en anläggning av 61. Tesla uppger ingen av 268.

Det här diagrammet mäter inte Plug&Charge. Det mäter vem som fyllde i formuläret.

Det är slutsatsen. Under det första året med ett kontinentalt krav finns det, på marknaden med flest laddpunkter och Europas mest noggranna register, ingen tillförlitlig offentlig information om var Plug&Charge fungerar. Inget annat nationellt register vi har — Frankrike, Norden, Italien, Nederländerna — ställer ens frågan.

Förarna får veta genom att koppla in och vänta.

Samtidigt fortsätter den grovhuggna versionen att fungera

Autocharge gör samma jobb utan hela maskineriet. Laddaren läser identifieraren som bilen sänder under DC-handskakningen — vanligtvis dess MAC-adress — matchar den mot ett konto och startar. En registrering, inga certifikat, ingen förtroenderot, ingen pool, inget clearinghus.

På papperet är det också osäkert. En MAC-adress är en identifierare, inte en hemlighet. Den som kan läsa en kan i princip också uppge den, och operatörens enda försvar är att svartlista de adresser som missbrukas. Marc Mültin, som var med och skrev ISO 15118, har publicerat en argumentation med den föga subtila titeln “Autocharge: what it is and why it’s a bad idea”.

Han har rätt om säkerheten. Han beskriver också något som i det tysta körs över hela Europa medan den säkra versionen väntar på sina certifikat.

Autocharge är live hos bland andra EnBW, Mer, Electra, Fastned, Powerdot och GRIDSERVE. Powerdot rullade ut det med Miio och därefter med Chargemap i Frankrike, Belgien, Spanien och Polen. Det fungerar i bilar som aldrig kommer att få ett avtalscertifikat, på anläggningar som aldrig kommer att ansluta sig till en PKI.

Sex är ett urval, inte en totalräkning. Ingen publicerar ett register över Autocharge-utrullningar — vilket, återigen, är själva poängen. Som jämförelse innehåller vår databas ungefär 135 000 publika DC-anläggningar i Europa. Det verkliga Autocharge-talet är högre än vårt urval. Ingen kan säga hur mycket högre.

Autocharge är inte heller enhetligt, och det spelar roll

Haken, och det säger operatörerna öppet: att aktivera Autocharge i ett nätverk innebär inte att det aktiveras på varje laddare i nätverket.

Det fungerar bara på DC. Identifieraren färdas med i den digitala handskakning som DC-laddning kräver, och vanlig AC-laddning har inget sådant samtal — vilket är precis det gap ISO 15118 skrevs för att täppa till. Laddaren behöver också OCPP 1.5 eller senare och firmware som stöder funktionen, så äldre enheter i ett i övrigt Autocharge-aktiverat nätverk kan helt enkelt inte göra det. GRIDSERVE införde det till exempel med nyare hårdvara i stället för att rulla ut det över hela beståndet över en natt.

Sedan har vi bilen. Volkswagen Groups MEB-plattform roterar sin MAC-adress, vilket gör Autocharge strukturellt omöjligt på ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron och Cupra Born. CHAdeMO-fordon är exkluderade redan genom sin konstruktion. En spridd skara äldre modeller stödde det aldrig.

Så förarupplevelsen är: det fungerar, tills det inte gör det, och du kan inte i förväg veta vilken laddare eller vilken bil som blir undantaget. Vilket, ord för ord, är samma invändning som vi just riktade mot Plug&Charge.

Det är den ärliga läsningen. Autocharge är inte ett bättre system. Det är ett sämre system som faktiskt lanserades, och det visar sig att det är värt väldigt mycket.

Den tredje vägen som ingen skrev in i regleringen

Medan standardiseringsorganen argumenterar växer ett tystare svar fram: identifiera bilen via dess egen dataanslutning och hoppa över kabelsamtalet helt.

Ford gör redan detta och bygger sin egen telematikbaserade certifikatleverans i stället för att använda standardens provisioneringsflöde. Våren 2026 genomförde Vattenfall InCharge och WirelessCar en pilot med fler än 700 förare i Sverige, Nederländerna och Tyskland, där laddsessioner startade utan kort, app, certifikat eller MAC-adress — bara genom att bilen berättade för molnet var den var inkopplad.

Telematik har en uppenbar svaghet: den kräver biltillverkarens medverkan, och den ger biltillverkaren kundrelationen. Vilket kan vara precis därför biltillverkarna gillar den.

Säkerhetsargumentet, taget på allvar

Argumentet för all den där apparaten är reellt. Certifikat ger återkallelse, oavvislighet och ett skydd mot exakt den identifierarförfalskning som Autocharge öppnar för. Om Plug&Charge ska hantera betalning för miljontals obemannade transaktioner är kryptografi rätt svar.

Sedan kom december 2025.

Forskare publicerade en fungerande relay attack mot ISO 15118 Plug&Charge-betalning: en falsk laddare, en vidarebefordrad handskakning och någon annans faktura. Fullständigt proof-of-concept, accepterat till USENIX VehicleSec 2026.

Hubject till genuin heder ska sägas att huvudförfattaren presenterar det på ICNC26 — på Hubjects egen scen, i en session med titeln “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”. Så hanterar en seriös bransch dåliga nyheter.

Men håll de två fakta bredvid varandra. Sju års certifikatinfrastruktur resulterade i ett system som fortfarande kunde utsättas för relay attacks. Det som det byggdes för att ersätta — en MAC-adress i en uppslagstabell — körs i det tysta i fyra länder. Komplexiteten köpte mindre säkerhet än säljpresentationen antydde.

Biltillverkarna är redo. Laddarna är det inte.

På fordonssidan är detta nära en lösning. Porsche Taycan och Mercedes EQS var först framme. I dag omfattar listan Volkswagen ID-serien, Skoda Enyaq, Audi Q4 e-tron och Cupra Born; BMW i4, i5, i7 och iX; Hyundai Ioniq 5 och 6, Kia EV6 och EV9, Genesis GV60; Volvo EX90 och EX60; Polestar från modellår 2026.

Volvo aktiverade Plug&Charge på 35 000 amerikanska stationer i juni 2026. GM tillkännagav sin utrullning på Empower under sommaren. Bilarna gör i stort sett sin del.

Två detaljer förstör bilden. Ford byggde sin egen telematikbaserade certifikatleverans i stället för att använda standardens provisioneringsflöde, med hänvisning till säkerhet. När en biltillverkare går runt ditt ekosystem för att nå din standard har ekosystemet ett produktproblem.

Och BMW:s egen servicebulletin för 2025 års EV-modeller räknar upp de felmoder som återförsäljarna bör förvänta sig: Plug&Charge-menyn dyker inte upp, kontraktsinstallationen misslyckas, kontrakt försvinner efter installationen, leverantörer skickar dem helt enkelt inte. Där är friktionen, dokumenterad av fabriken, i en verkstadshandbok.

Laddartillverkarna är där 2027-deadlinen slutar vara en policydiskussion och blir ett problem i leveranskedjan. Alpitronic listar stöd för ISO 15118-20 med ett implementeringsdatum “TBC”. Det är inte ensamt.

Hårdvara som tas i drift för europeisk offentlig användning från 2026 behöver kommunikationsstyrenheter med PLC-stöd från dag ett — ett firmware-löfte räcker inte. Det är ett beslut om komponentförteckningen, fattat två år innan programvaran som använder den är klar.

Vi har gjort det här förut

2015 stod vår grundare Ole Henrik Hannisdahl på ICNC-scenen i Berlin och sa till ett rum fullt av roamingfolk att roaming var lösningen på ett problem som branschen själv hade skapat genom att göra det så svårt att bara gå fram till en laddare och använda den.

Han har inte blivit inbjuden tillbaka.

Det irriterande med det argumentet är hur väl det har åldrats. Roaming fungerade, kommersiellt. Men det cementerade också den fragmentering som det byggdes för att dölja. Elva år senare bär europeiska förare fortfarande på en plånbok med RFID-kort och en mapp full av appar, och clearinglagret har blivit en permanent skatt på ett problem som aldrig var förarens fel.

Instinkten lever för övrigt i högsta välmåga. I december 2025 grundade Atlante, Electra, Fastned och Ionity ChargeLeague, så att förare från vilket medlemsnätverk som helst kan ladda i vilket annat som helst. En allians för att fixa den fragmentering som allianserna skapade. Vi har sett den här filmen.

Plug&Charge har samma silhuett som roaming hade. En genuint utmärkt användarupplevelse, levererad genom ett tillitslager som kräver en mellanhand, prissätts av en mellanhand och — enligt det tyska registret — är osynligt i den offentliga dokumentationen. Användarproblemet det löser är verkligt. Styrningsstrukturen det kräver är den del ingen bad om.

Avslöjandet är att Autocharge, som är sämre ingenjörskonst, just nu är en bättre produkt. Färre parter, inga certifikat, fungerar i dag, i fler nätverk, i fler länder. Det borde oroa dem som bygger den goda ingenjörskonsten snarare än lugna dem som bygger den grova versionen.

Inget av detta är ett argument för att överge ISO 15118. Det är rätt standard, och säkerhetsargumentet blir bara starkare när dubbelriktad laddning gör varje bil till en nätresurs. Det är ett argument för att göra ekosystemet tråkigt.

Fyra saker skulle få det att fungera: flera konkurrerande root CA:er, vilket Europa nu har. En gemensam trust list som vem som helst kan ansluta sig till, vilket Nordamerika har och Europa saknar. Certifikatprovisionering som aldrig kräver ett supportärende. Och ett offentligt register som faktiskt visar var lösningen fungerar — för en funktion som förare inte kan hitta är ingen funktion.

Europa gjorde protokollet obligatoriskt och hoppade över de andra tre.

Hubject samlar branschen på Tempelhof den 1 till 3 september. På agendan finns både “Plug&Charge: Expanding Possibilities” och föredraget om relay-attacker. Värt att notera vilket rum som fylls.