Avrupa Plug&Charge'ı zorunlu kıldı. Nerede çalıştığını kimse söyleyemiyor.

8 Ocak 2026'da Plug&Charge bir özellik olmaktan çıktı, yasal bir gereklilik haline geldi. AB'de yeni kurulan her halka açık şarj noktası artık ISO 15118-2'yi uygulamak zorunda. 1 Ocak 2027'den itibaren özel şarj cihazları da dahil olmak üzere ISO 15118-20 de buna katılıyor.

Almanya'nın federal şarj noktası sicilinde 31 865 halka açık şarj lokasyonu listeleniyor. Bunların 1 018'i Plug&Charge beyan ediyor. Bu, %3.2 demek.

Avrupa'nın kendi yasasını görmezden geldiği sonucuna varmadan önce: durum tam olarak bu değil. Daha kötü. Plug&Charge'ın gerçekte nerede çalıştığını kimse söyleyemiyor — ne düzenleyici, ne operatörler, ne de biz. Ve nedeniyse hikâyenin tamamı.

Vaat Tesla'nın vaadi; üstelik iyi bir vaat

Kabloyu takın. Uzaklaşın. Araç ve şarj cihazı kim olduğunuzu ve ödemeyi kimin yapacağını kendi aralarında halleder; kimse uygulama açmaz, kart okutmaz ya da QR kodun fotoğrafını çekmez.

Tesla bunu 2012'den beri, uçtan uca sahibi olduğu bir ağ üzerinde tescilli bir el sıkışma yöntemiyle yapıyor. İki taraf, tek şirket, sıfır müzakere. Geri kalan herkes, birbirine güvenmek için özel bir nedeni olmayan yüzlerce operatör ve düzinelerce otomobil üreticisi arasında bu deneyimi yeniden üretmek zorunda.

ISO 15118 tam olarak bunun için var. Sorun da tam burada başlıyor.

Düzenleme uygulamayı zorunlu kılıyor. Kullanımı değil.

Komisyon Yetki Devri Tüzüğü (AB) 2025/656 ile değiştirilen AFIR, yeni veya iyileştirilmiş halka açık şarj cihazlarının 2026'dan itibaren ISO 15118-1/2/3/4/5'i, 2027'den itibaren de ISO 15118-20'yi uygulamasını gerektiriyor.

Fiile dikkat edin. Bir şarj cihazı tamamen uyumlu olabilir ve tek bir Plug&Charge oturumunu bile hiçbir zaman tamamlamayabilir. AFIR'ın ödeme yükümlülükleri Madde 5'te yer alıyor ve kart okuyucularla QR kodlar bu yükümlülükleri karşılıyor — Komisyon'un kendi rehberi, Plug&Charge'ın anlık ödeme açısından ilgili olmadığını doğruluyor.

Yani yasa tesisatın döşendiğini garanti ediyor. Suyun akacağını ise hiç garanti etmiyor.

CCS konnektörünün sahibi olan ve drama eğilimiyle tanınmayan CharIN, 28 Nisan 2026'da nazikçe atılmış bir acil durum işareti gibi okunan bir pozisyon belgesi yayımladı.

Bulguları şu: düzenleme standardı zorunlu tutuyor ama uyumluluğun nasıl kanıtlanacağını hiç tanımlamıyor. Tam uyumlu donanım ölçekte mevcut değil. Dünya genelinde tam ISO 15118-20 uygunluğu için akredite laboratuvar sayısı onu geçmiyor ve bekleme süreleri 6 ila 9 ay. Resmî AC uygunluk test senaryolarının 2027 sonlarından önce hazır olması beklenmiyor — yani zorunluluğun yürürlüğe girmesinden bir yıl sonra.

CharIN'in Komisyon'a tavsiyesi, piyasaya hazır çözümler mevcut olana kadar 2027 son tarihinin ertelenmesi. Bu, sektörün kendi standart kuruluşunun, kendisine yardımcı olmak için yazılmış bir kuralın ertelenmesini istemesi demek.

Yedi taraf ve bir kablo

Autocharge iki taraf ve tek bir tanımlayıcı gerektirir. Plug&Charge ise bir otomobil üreticisi, mobilite hizmet sağlayıcısı, sertifika sağlama hizmeti, kök sertifika otoritesi, sertifika havuzu, şarj noktası operatörü ve onun yönetim platformunu gerektirir — sürücünün fişi taktığı anda hepsinin geçerli, güncel ve karşılıklı güvenilen kimlik bilgilerine sahip olması gerekir.

Çalıştığında görünmezdir. Zincirdeki tek bir halka güncel değilse sürücünün karşısında başlamayan bir şarj cihazı ve hiçbir açıklama kalır.

Güvenin kökü kim olacak?

Ticari açıdan ilginç soru bu; Hubject de işini bunun üzerine kurdu.

Hubject; BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens ve Volkswagen'in ortak girişimi. Bir V2G kök CA'sını ve buna ihtiyaç duyan tarafları birbirine bağlayan platformu işletiyor. ChargePoint'in mühendislikten sorumlu kıdemli başkan yardımcısı Eric Sidle, ISO 15118'i, aracı kurumun nihayetinde fiyatlandırmayı kontrol ettiğini savunarak, “bu sertifikaları dağıtan ve kontrol eden küçük bir kuruluş grubuna fazlasıyla taraflı” diye nitelendirdi. Standardın ortak yazarlarından Marc Mültin ise paydaşların Hubject'i “yeterince bağımsız bulmadığını” kabul etti.

Avrupa eskisi kadar tek kutuplu değil. Kriptografi tarafında Thales'in yer aldığı Fransız roaming operatörü Gireve, artık kök CA ve havuz hizmetleri sunuyor. CharIN, kendisi için Irdeto tarafından işletilen kendi V2G kökünü yönetiyor. Penta Security, Hubject ile çapraz sertifikasyon yapıyor. Bu daha sağlıklı. Ancak artık bir şarj cihazının birkaç kök otoriteye güvenmesi, sürücünün sertifikasına da otomobil üreticisinin seçtiği havuz üzerinden erişilebilmesi gerekiyor.

Kuzey Amerika meseleye diğer uçtan yaklaştı. SAE ITC'nin EVPKI konsorsiyumu, altı kök sertifika taşıyan ve bugün anlamlı ölçüde mevcut olmayan “rekabetçi bir PKI tedarik pazarı yaratma” hedefini açıkça ortaya koyan üretim ortamında bir Sertifika Güven Listesi başlattı.

O cümleyi yeniden okuyun. Bir standart konsorsiyumu, normalde söylenmeyeni mikrofona söylüyor.

Kore ise bambaşka bir üçüncü yanıt seçti: Hyundai Motor Group, 12 yerli operatörden oluşan açık bir ittifakla birlikte, Plug&Charge teknolojisini ve sertifika otoritesini hükümete ücretsiz devrediyor. Kök otorite devlet oluyor.

Üç kıta, “kime güvenirsiniz?” sorusuna üç yanıt: otomobil üreticilerinin sahip olduğu bir ortak girişim, ortak güven listesine sahip rekabetçi bir pazar ve bir bakanlık. Bunlardan yalnızca biri iş modeli.

Alman sicilinin bildikleri ve bilmedikleri

Almanya, resmî şarj noktası sicilinde operatörlere bir lokasyonun Plug&Charge destekleyip desteklemediğini açıkça soran tek büyük Avrupa pazarı. Yanıtları aldık.

Aral pulse, 87 Alman DC lokasyonunun 53'ünü beyan ediyor. Allego 68 lokasyonun 11'ini beyan ediyor. Yıllardır tüm ağı genelinde ISO 15118-2 Plug&Charge sunan Ionity ise 61 lokasyondan yalnızca birini beyan ediyor. Tesla, 268 lokasyonun hiçbirini beyan etmiyor.

Bu grafik Plug&Charge'ı ölçmüyor. Formu kimin doldurduğunu ölçüyor.

Bulgumuz bu. Kıta çapındaki bir zorunluluğun ilk yılında, Avrupa'nın en fazla şarj noktasına ve en titiz siciline sahip pazarında, Plug&Charge'ın nerede çalıştığına ilişkin güvenilir bir kamu kaydı yok. Elimizdeki diğer tüm ulusal siciller — Fransa, Nordik ülkeler, İtalya, Hollanda — bu soruyu bile sormuyor.

Sürücüler bunu fişi takıp bekleyerek öğreniyor.

Bu arada, kaba versiyon çalışmaya devam ediyor

Autocharge, tüm bu mekanizmaya ihtiyaç duymadan aynı işi yapıyor. Şarj cihazı, aracın DC el sıkışması sırasında yayınladığı tanımlayıcıyı — genellikle MAC adresini — okuyor, bir hesapla eşleştiriyor ve şarjı başlatıyor. Tek kayıt, sertifika yok, güven kökü yok, havuz yok, takas merkezi yok.

Kâğıt üzerinde de güvensiz. MAC adresi bir tanımlayıcıdır, sır değildir. Bir adresi okuyabilen herkes prensipte onu kullanarak kendini tanıtabilir; bir operatörün elindeki tek savunma ise kötüye kullanılan adresleri kara listeye almaktır. ISO 15118'in ortak yazarlarından Marc Mültin, hiç de ince bir başlık sayılmayacak şekilde “Autocharge: nedir ve neden kötü bir fikir” başlıklı bir değerlendirme yayımladı.

Güvenlik konusunda haklı. Ancak güvenli sürüm sertifikalarını beklerken, Avrupa genelinde sessizce çalışmakta olan bir şeyi tarif ediyor.

Autocharge; EnBW, Mer, Electra, Fastned, Powerdot ve GRIDSERVE'de, diğerlerinin yanı sıra, aktif. Powerdot bunu önce Miio ile, ardından Chargemap ile Fransa, Belçika, İspanya ve Polonya genelinde devreye aldı. Sözleşme sertifikası hiç almayacak otomobillerde, PKI'a asla katılmayacak sahalarda çalışıyor.

Altı, sayım değil örneklem. Kimse Autocharge kurulumlarının kaydını yayımlamıyor — ki mesele yine tam olarak bu. Ölçek için, veritabanımız Avrupa'da yaklaşık 135 000 halka açık DC saha içeriyor. Gerçek Autocharge sayısı örneklemimizden daha yüksek. Ne kadar daha yüksek olduğunu kimse söyleyemez.

Autocharge da tek tip değil; ve bu önemli

İşin püf noktası şu ve operatörler bunu açıkça söylüyor: bir ağda Autocharge'ı etkinleştirmek, o ağdaki her şarj cihazında etkinleştirmek anlamına gelmiyor.

Yalnızca DC'de çalışır. Tanımlayıcı, DC şarjın gerektirdiği dijital el sıkışma üzerinden iletilir; sıradan AC şarjda böyle bir konuşma yoktur — ISO 15118'in kapatmak üzere yazıldığı boşluk tam da budur. Şarj cihazının ayrıca OCPP 1.5 veya sonrası ile özelliği destekleyen bir firmware'e ihtiyacı vardır; bu yüzden Autocharge etkin bir ağdaki eski üniteler bunu basitçe yapmaz. Örneğin GRIDSERVE, bunu bir gecede tüm ağına yaymak yerine daha yeni donanımla devreye aldı.

Bir de otomobil var. Volkswagen Group'un MEB platformu MAC adresini değiştiriyor; bu da Autocharge'ı ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron ve Cupra Born için yapısal olarak imkânsız kılıyor. CHAdeMO araçlar tasarım gereği hariç tutuluyor. Dağınık haldeki bazı eski modeller bunu hiç desteklemedi.

Dolayısıyla sürücü deneyimi şu: çalışır, ta ki çalışmayana kadar; hangi şarj cihazının ya da hangi otomobilin istisna olacağını önceden bilemezsiniz. Bu da kelimesi kelimesine Plug&Charge hakkında az önce dile getirdiğimiz şikâyetin aynısı.

Büyüme yolunun bir de son kullanma tarihi var. Delege düzenlemenin ekindeki 2.1.2 maddesi, otomatik kimlik doğrulama sunan — Autocharge buna dahildir — halka açık her şarj noktasının 1 January 2027 tarihinden itibaren kurulması veya yenilenmesi halinde hem ISO 15118-2'yi hem de -20'yi uygulamasını zorunlu kılıyor. Mevcut sahalar devam edebilir: 25. gerekçe, plug-and-charge dışı bir çözüm kullanan noktaların “tam piyasa geçişi sağlanana kadar” sürmesini açıkça mümkün kılıyor.

Yani Autocharge yasaklanmıyor. Mevcut kurulumlar korunuyor — farklı ve daha yavaş bir son biçimi; yeni kurulum rotasını kapatırken mevcut altyapıyı kendi haline bırakıyor.

Dürüst yorum bu. Autocharge daha iyi bir sistem değil. Sahaya çıkmış daha kötü bir sistem; ve sahaya çıkmış olmanın hayli yüksek bir değeri olduğu ortaya çıkıyor.

Düzenlemeye kimsenin koymadığı üçüncü yol

Standart kuruluşları tartışırken daha sessiz bir yanıt ortaya çıkıyor: otomobili kendi veri bağlantısı üzerinden tanımlamak ve kablo üzerindeki konuşmayı tamamen atlamak.

Ford bunu şimdiden yapıyor; standart provizyon akışını kullanmak yerine telematik tabanlı kendi sertifika teslim sistemini kuruyor. 2026 ilkbaharında Vattenfall InCharge ve WirelessCar, İsveç, Hollanda ve Almanya'da 700'den fazla sürücüyle bir pilot çalışma yürüttü; kart yok, uygulama yok, sertifika yok, MAC adresi yok — yalnızca otomobilin buluta nereye takılı olduğunu söylemesiyle oturumlar başlatıldı.

Telematiğin bariz bir kusuru var: otomobil üreticisinin iş birliğine ihtiyaç duyar ve müşteri ilişkisini otomobil üreticisine verir. Bu da otomobil üreticilerinin onu sevmesinin tam nedeni olabilir.

Güvenlik argümanı, ciddiyetle ele alındığında

Tüm bu mekanizmanın gerekçesi gerçek. Sertifikalar iptal edilebilirlik, inkâr edememe ve Autocharge'ın davet çıkardığı tam da bu tanımlayıcı sahteciliğine karşı bir savunma sağlar. Plug&Charge milyonlarca gözetimsiz işlemde ödemeyi taşıyacaksa, doğru yanıt kriptografidir.

Sonra December 2025 yaşandı.

Araştırmacılar ISO 15118 Plug&Charge ödemesine yönelik çalışan bir röle saldırısı yayımladı: sahte bir şarj cihazı, aktarılan bir el sıkışma ve başkasının faturası. Tam teşekküllü bir kavram kanıtı; USENIX VehicleSec 2026'ya kabul edildi.

Hubject'in hanesine gerçek bir artı olarak yazmak gerekir ki baş yazar bunu ICNC26'da — Hubject'in kendi sahnesinde, “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities” başlıklı oturumda — sunuyor. Ciddi bir sektör kötü haberi böyle karşılar.

Ama iki gerçeği yan yana koyun. Yedi yıllık sertifika altyapısı, hâlâ röle saldırısına açık bir sistem üretti. Yerine geçmek üzere inşa edildiği şey — bir arama tablosundaki MAC adresi — dört ülkede sessizce çalışıyor. Karmaşıklık, satış sunumunun vaat ettiğinden daha az güvenlik satın aldı.

Otomobil üreticileri hazır. Şarj cihazları değil.

Araç tarafında bu mesele çözüme çok yakın. Porsche Taycan ve Mercedes EQS ilk ulaşanlar oldu. Bugün liste Volkswagen ID serisi, Skoda Enyaq, Audi Q4 e-tron ve Cupra Born; BMW i4, i5, i7 ve iX; Hyundai Ioniq 5 ve 6, Kia EV6 ve EV9, Genesis GV60; Volvo EX90 ve EX60; 2026 model yılından itibaren Polestar ile devam ediyor.

Volvo, June 2026'da ABD'deki 35 000 istasyonda Plug&Charge'ı devreye aldı. GM, yaz aylarında Empower'da kendi yayılımını duyurdu. Otomobiller, genel olarak, üzerlerine düşeni yapıyor.

İki ayrıntı bu tabloyu bozuyor. Ford, güvenliği gerekçe göstererek standart provizyon akışını kullanmak yerine kendi telematik tabanlı sertifika teslim sistemini kurdu. Bir otomobil üreticisi standardınıza ulaşmak için ekosisteminizin etrafından dolaşıyorsa, ekosistemin bir ürün sorunu var demektir.

BMW'nin 2025 model yılı EV'leri için kendi servis bülteni ise bayilerinin karşılaşmasını beklemesi gereken arıza türlerini sıralıyor: Plug&Charge menüsünün görünmemesi, sözleşme kurulumunun başarısız olması, sözleşmelerin kurulumdan sonra kaybolması, sağlayıcıların onları basitçe göndermemesi. Fabrikanın bir atölye kılavuzunda belgelendirdiği sürtünme budur.

Şarj cihazı üreticileri, 2027 son tarihinin politika tartışması olmaktan çıkıp tedarik zinciri sorununa dönüştüğü yer. Alpitronic, ISO 15118-20 desteğini “TBC” uygulama tarihiyle listeliyor. Yalnız değil.

2026'dan itibaren Avrupa'da halka açık kullanım için devreye alınan donanımın ilk günden PLC özellikli iletişim kontrolörlerine ihtiyacı var — bir firmware vaadi yeterli değil. Bu, onu kullanacak yazılım tamamlanmadan iki yıl önce verilen bir malzeme listesi kararıdır.

Bunu daha önce yaptık

2015'te kurucumuz Ole Henrik Hannisdahl, Berlin'deki ICNC sahnesinde roaming dünyasından insanlarla dolu bir salona şunu söyledi: roaming, insanların bir şarj cihazına gidip onu basitçe kullanmasını bu kadar zorlaştırarak sektörün kendi yarattığı bir sorunun çözümüydü.

Bir daha davet edilmedi.

Bu argümanın can sıkıcı yanı, ne kadar iyi yaşlanmış olması. Roaming ticari olarak çalıştı. Ancak aynı zamanda, üzerini örtmek için tasarlandığı parçalanmayı da kalıcılaştırdı. On bir yıl sonra Avrupa'daki sürücüler hâlâ RFID kartlarıyla dolu bir cüzdan ve uygulamalarla dolu bir klasör taşıyor; mutabakat katmanı ise asla sürücünün hatası olmayan bir sorunun kalıcı vergisine dönüştü.

Bu içgüdü, bu arada, hâlâ canlı ve güçlü. December 2025'te Atlante, Electra, Fastned ve Ionity, herhangi bir üye ağın sürücülerinin diğerlerinde de şarj edebilmesi için ChargeLeague'i kurdu. İttifakların yarattığı parçalanmayı düzeltmek için bir ittifak. Bu filmi daha önce gördük.

Plug&Charge, roaming'in silüetiyle aynı. Gerçekten mükemmel bir kullanıcı deneyimi; bir aracı gerektiren, bir aracı tarafından fiyatlandırılan ve — Alman sicilinin gösterdiği kadarıyla — kamu kayıtlarında görünmez olan bir güven katmanı üzerinden sunuluyor. Çözdüğü kullanıcı sorunu gerçek. İhtiyaç duyduğu yönetişim yapısı ise kimsenin istemediği kısım.

İşin ironisi şu: Daha zayıf bir mühendislik çözümü olan Autocharge, bugün daha iyi bir ürün. Daha az taraf, sertifika yok; bugün çalışıyor, daha fazla ağda ve daha fazla ülkede. Bu durum, ham versiyonu geliştirenleri rahatlatmaktan ziyade, iyi mühendisliği inşa edenleri endişelendirmeli.

Bunların hiçbiri ISO 15118'den vazgeçmek için bir gerekçe değil. Doğru standart bu ve çift yönlü şarj her aracı bir şebeke varlığına dönüştürdükçe güvenlik argümanı daha da güçlenecek. Bu, ekosistemi sıradanlaştırmak için bir argüman.

Bunu dört şey başarırdı: Avrupa'nın artık sahip olduğu, birden fazla rekabetçi kök. Herkesin katılabileceği ortak bir güven listesi; Kuzey Amerika'da var, Avrupa'da yok. Hiçbir zaman destek talebi gerektirmeyen sertifika provizyonu. Ve bu şeyin gerçekten nerede çalıştığını gösteren herkese açık bir kayıt — çünkü sürücülerin bulamadığı bir özellik, özellik değildir.

Avrupa protokolü zorunlu kıldı, diğer üçünü ise atladı.

Hubject, sektörü 1-3 Eylül tarihleri arasında Tempelhof'ta bir araya getiriyor. Gündemde hem “Plug&Charge: Olasılıkları Genişletmek” hem de röle saldırısı oturumu var. Hangi salonun dolduğunu not etmeye değer.