Avrupa Plug&Charge'ı zorunlu kıldı. Nerede çalıştığını kimse söyleyemiyor.

8 Ocak 2026'da Plug&Charge bir özellik olmaktan çıktı, yasal zorunluluğa dönüştü. AB'de yeni kurulan her halka açık şarj noktası artık ISO 15118-2'yi uygulamak zorunda. 1 Ocak 2027'den itibaren özel şarj cihazları da dahil olmak üzere ISO 15118-20 buna katılıyor.

Almanya'nın federal şarj noktası sicilinde 31 865 halka açık şarj sahası listeleniyor. Bunların 1 018'i Plug&Charge beyan ediyor. Bu, %3.2 demek.

Avrupa'nın kendi yasasını görmezden geldiği sonucuna varmadan önce: durum tam olarak bu değil. Daha kötü. Plug&Charge'ın gerçekte nerede çalıştığını kimse söyleyemiyor — ne düzenleyici, ne operatörler, ne de biz. Sebebi de hikâyenin tamamı.

Vaat Tesla'nınki, üstelik iyi bir vaat

Kabloyu takın. Uzaklaşın. Araç ve şarj cihazı kim olduğunuzu ve ödemeyi kimin yapacağını kendi aralarında halleder; kimse uygulama açmaz, kart okutmaz ya da QR kodun fotoğrafını çekmez.

Tesla bunu 2012'den beri, uçtan uca sahip olduğu bir ağda tescilli bir el sıkışma yöntemiyle yapıyor. İki taraf, tek şirket, pazarlık yok. Geri kalan herkes ise birbirine güvenmek için özel bir nedeni olmayan yüzlerce operatör ve düzinelerce otomobil üreticisi arasında bu deneyimi yeniden üretmek zorunda.

ISO 15118 bunun için var. Sorunlar da burada başlıyor.

Düzenleme uygulamayı zorunlu kılıyor. Kullanımı değil.

Komisyon Yetkilendirilmiş Tüzüğü (AB) 2025/656 ile değiştirilen AFIR, yeni veya yükseltilmiş halka açık şarj cihazlarının 2026'dan itibaren ISO 15118-1/2/3/4/5'i, 2027'den itibaren de ISO 15118-20'yi uygulamasını gerektiriyor.

Fiile dikkat edin. Bir şarj cihazı tamamen uyumlu olabilir ve tek bir Plug&Charge oturumunu dahi asla tamamlamayabilir. AFIR'ın ödeme yükümlülükleri Madde 5'te yer alıyor ve kart okuyucular ile QR kodlarla karşılanıyor — Komisyonun kendi kılavuzu, Plug&Charge'ın ad hoc ödeme açısından ilgili olmadığını teyit ediyor.

Yani yasa tesisatın döşendiğini garanti ediyor. Suyun akacağına dair ise hiçbir garanti vermiyor.

CCS konnektörünün sahibi olan ve dramatik açıklamalarla tanınmayan CharIN, 28 Nisan 2026'da nazikçe atılmış bir acil durum işareti gibi okunan bir pozisyon belgesi yayımladı.

Tespitleri şu: düzenleme standardı zorunlu tutuyor ama uyumluluğun nasıl kanıtlanacağını hiç tanımlamıyor. Tam uyumlu donanım ölçekte mevcut değil. Dünya genelinde tam ISO 15118-20 uygunluğu için akredite laboratuvar sayısı ondan az ve bekleme süreleri 6 ila 9 ay. Resmî AC uygunluk test senaryolarının 2027 sonlarından önce hazır olması beklenmiyor — yani zorunluluğun devreye girmesinden bir yıl sonra.

CharIN'in Komisyona tavsiyesi, pazara hazır çözümler mevcut olana kadar 2027 son tarihinin ertelenmesi. Bu, sektörün kendi standart kuruluşunun, ona yardımcı olmak üzere yazılmış bir kural için erteleme istemesi demek.

Yedi taraf ve bir kablo

Autocharge iki taraf ve tek bir tanımlayıcı gerektirir. Plug&Charge ise otomobil üreticisi, mobilite hizmet sağlayıcısı, sertifika tedarik hizmeti, kök sertifika otoritesi, sertifika havuzu, şarj noktası operatörü ve yönetim platformunu gerektirir — sürücünün kabloyu taktığı anda hepsinin geçerli, güncel ve karşılıklı güvenilen kimlik bilgilerine sahip olması gerekir.

Çalıştığında görünmezdir. Zincirdeki tek bir halka güncel değilse sürücünün karşısına başlamayan bir şarj cihazı ve hiçbir açıklama çıkar.

Güvenin kökü kim olacak?

Ticari açıdan ilginç soru bu ve Hubject'in üzerine iş kurduğu soru da bu.

Hubject; BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens ve Volkswagen'in ortak girişimi. Bir V2G kök CA'sı ve buna ihtiyaç duyan tarafları birbirine bağlayan platformu işletiyor. ChargePoint mühendislik SVP'si Eric Sidle, ISO 15118'i “bu sertifikaları dağıtan ve kontrol eden küçük bir kuruluş grubunun lehine fazlasıyla yanlı” olarak nitelendirdi; aracı kurumun nihayetinde fiyatlandırmayı kontrol ettiğini savundu. Standardın ortak yazarlarından Marc Mültin ise paydaşların Hubject'i “yeterince bağımsız bulmadığını” kabul etti.

Avrupa eskisine kıyasla daha az tek kutuplu. Kriptografinin arkasında Thales'in bulunduğu Fransız roaming operatörü Gireve, artık kök CA ve havuz hizmetleri sunuyor. CharIN, kendisi için Irdeto tarafından işletilen kendi V2G kökünü çalıştırıyor. Penta Security, Hubject ile çapraz sertifikasyon yapıyor. Bu daha sağlıklı. Ancak artık bir şarj cihazının birden fazla köke güvenmesi ve sürücünün sertifikasına, otomobil üreticisinin seçtiği havuz hangisiyse onun üzerinden erişilebilmesi gerektiği anlamına da geliyor.

Kuzey Amerika meseleye diğer uçtan yaklaştı. SAE ITC'nin EVPKI konsorsiyumu, bugün anlamlı ölçüde var olmayan “rekabetçi bir PKI tedarik pazarı yaratma” hedefiyle altı kök sertifika taşıyan üretim ortamındaki bir Certificate Trust List başlattı.

O cümleyi bir daha okuyun. Bir standartlar konsorsiyumu, herkesin bildiği ama söylemediği şeyi mikrofona söylüyor.

Kore ise bambaşka üçüncü bir yanıt seçti: Hyundai Motor Group, 12 yerel operatörden oluşan açık bir ittifakla birlikte Plug&Charge teknolojisini ve sertifika otoritesini devlete ücretsiz devrediyor. Kök, devlet oluyor.

Üç kıta, “kime güvenirsiniz” sorusuna üç yanıt: otomobil üreticilerinin sahip olduğu ortak girişim, ortak güven listesine sahip rekabetçi bir pazar ve bir bakanlık. Bunlardan yalnızca biri iş modeli.

Alman sicilinin bildikleri ve bilmedikleri

Almanya, resmî şarj noktası sicilinin operatörlere bir sahanın Plug&Charge destekleyip desteklemediğini açıkça sorduğu tek büyük Avrupa pazarı. Yanıtları aldık.

Aral pulse, 87 Alman DC sahasının 53'ünü beyan ediyor. Allego 68 sahanın 11'ini beyan ediyor. Yıllardır tüm ağında ISO 15118-2 Plug&Charge çalıştıran Ionity, 61 sahanın yalnızca birini beyan ediyor. Tesla ise 268 sahanın hiçbirini beyan etmiyor.

Bu grafik Plug&Charge'ı ölçmüyor. Formu kimin doldurduğunu ölçüyor.

Tespit bu. Kıta çapındaki zorunluluğun ilk yılında, Avrupa'da en fazla şarj noktasına ve en titiz sicile sahip pazarda, Plug&Charge'ın nerede çalıştığına dair güvenilir bir kamu kaydı yok. Elimizde bulunan diğer tüm ulusal siciller — Fransa, Nordikler, İtalya, Hollanda — bu soruyu dahi sormuyor.

Sürücüler bunu kabloyu takıp bekleyerek öğreniyor.

Bu arada, kaba versiyon çalışmaya devam ediyor

Autocharge, tüm bu mekanizma olmadan aynı işi yapıyor. Şarj cihazı, aracın DC el sıkışması sırasında yayınladığı tanımlayıcıyı — genellikle MAC adresini — okuyor, bir hesapla eşleştiriyor ve başlatıyor. Tek kayıt, sertifika yok, güven kökü yok, havuz yok, takas merkezi yok.

Kâğıt üzerinde ise güvensiz. MAC adresi bir tanımlayıcıdır, sır değildir. Bir adresi okuyabilen herkes prensipte onu sunabilir; operatörün elindeki tek savunma, kötüye kullanılanları kara listeye almaktır. ISO 15118'in ortak yazarı Marc Mültin, büyük bir incelik göstermeden “Autocharge: nedir ve neden kötü bir fikir” başlıklı bir argüman yayımladı.

Güvenlik konusunda haklı. Ancak güvenli sürüm sertifikalarını beklerken Avrupa genelinde sessizce çalışan bir sistemi de tarif ediyor.

Autocharge; diğerlerinin yanı sıra EnBW, Mer, Electra, Fastned, Powerdot ve GRIDSERVE'de aktif. Powerdot bunu önce Miio, ardından Chargemap ile Fransa, Belçika, İspanya ve Polonya'da devreye aldı. Asla sözleşme sertifikası almayacak otomobillerde, asla bir PKI'a katılmayacak lokasyonlarda çalışıyor.

Altı, sayım değil örneklemdir. Hiç kimse Autocharge kurulumlarının sicilini yayımlamıyor — ki mesele yine tam olarak bu. Ölçek vermek gerekirse, veritabanımız Avrupa genelinde yaklaşık 135 000 halka açık DC lokasyonu içeriyor. Gerçek Autocharge sayısı örneklemimizden daha yüksek. Ne kadar yüksek olduğunu kimse söyleyemez.

Autocharge da tek tip değil ve bu önemli

İşin püf noktası — operatörler bunu açıkça söyler — bir ağda Autocharge'ı etkinleştirmek, o ağdaki her şarj cihazında etkinleştirmek anlamına gelmez.

Yalnızca DC'de çalışır. Kimlik tanımlayıcı, DC şarjın gerektirdiği dijital el sıkışmasıyla iletilir; sıradan AC şarjda ise böyle bir konuşma yoktur — ISO 15118'in kapatmak üzere yazıldığı boşluk da tam olarak budur. Şarj cihazının ayrıca OCPP 1.5 veya üzerini ve özelliği destekleyen bir firmware'i olması gerekir; bu nedenle Autocharge etkin bir ağdaki eski üniteler bunu basitçe yapmaz. Örneğin GRIDSERVE, bunu tüm altyapısına bir gecede yaymak yerine daha yeni donanımla devreye aldı.

Bir de otomobil var. Volkswagen Group'un MEB platformu MAC adresini döndürüyor; bu da ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron ve Cupra Born için Autocharge'ı yapısal olarak imkânsız kılıyor. CHAdeMO araçlar tasarım gereği hariç tutuluyor. Dağınık haldeki bazı eski modeller ise bunu hiç desteklemedi.

Dolayısıyla sürücü deneyimi şu: çalışır, ta ki çalışmayana kadar; hangi şarj cihazının veya hangi otomobilin istisna olacağını önceden bilemezsiniz. Bu da kelimesi kelimesine Plug&Charge hakkında az önce dile getirdiğimiz şikâyetin aynısı.

Dürüst değerlendirme bu. Autocharge daha iyi bir sistem değil. Yayına alınmış daha kötü bir sistem; ve yayına almanın hayli büyük bir değeri olduğu ortaya çıkıyor.

Yönetmeliğe kimsenin koymadığı üçüncü yol

Standart kuruluşları tartışırken daha sessiz bir yanıt ortaya çıkıyor: otomobili kendi veri bağlantısı üzerinden tanımlamak ve kablo üzerinden yürüyen konuşmayı tamamen atlamak.

Ford bunu zaten yapıyor; standart sağlama akışını kullanmak yerine kendi telematik tabanlı sertifika teslim altyapısını kuruyor. 2026 ilkbaharında Vattenfall InCharge ve WirelessCar, İsveç, Hollanda ve Almanya'da 700'den fazla sürücünün katıldığı bir pilot yürüttü: kart yok, uygulama yok, sertifika yok, MAC adresi yok — yalnızca otomobil buluta nerede şarja takılı olduğunu söylüyor.

Telematiğin bariz bir kusuru var: otomobil üreticisinin iş birliğini gerektirir ve müşteri ilişkisini otomobil üreticisine verir. Bu da otomobil üreticilerinin onu tam olarak neden sevdiği olabilir.

Güvenlik argümanı, ciddiyetle ele alındığında

Tüm bu altyapının gerekçesi gerçek. Sertifikalar size iptal imkânı, inkâr edememe ve Autocharge'ın davet ettiği türden kimlik tanımlayıcı sahteciliğine karşı savunma sağlar. Plug&Charge milyonlarca gözetimsiz işlemde ödeme taşıyacaksa, doğru yanıt kriptografidir.

Sonra Aralık 2025 yaşandı.

Araştırmacılar ISO 15118 Plug&Charge ödemesine yönelik çalışan bir röle saldırısı yayımladı: sahte bir şarj cihazı, iletilen bir el sıkışması ve başkasının faturası. Tam proof-of-concept, USENIX VehicleSec 2026'ya kabul edildi.

Hubject'in gerçek anlamda hakkını vermek gerekirse, baş yazar bunu ICNC26'da — Hubject'in kendi sahnesinde, “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities” başlıklı bir oturumda — sunuyor. Ciddi bir sektör kötü haberi böyle ele alır.

Ama bu iki gerçeği yan yana koyun. Yedi yıllık sertifika altyapısı, hâlâ röle saldırısına açık bir sistem üretti. Yerine geçmek üzere tasarlandığı şey — bir arama tablosundaki MAC adresi — dört ülkede sessizce çalışıyor. Karmaşıklık, satış sunumunun ima ettiğinden daha az güvenlik satın aldı.

Otomobil üreticileri hazır. Şarj cihazları değil.

Araç tarafında bu mesele çözülmeye yakın. Porsche Taycan ve Mercedes EQS ilk ulaşanlar oldu. Bugün liste Volkswagen ID serisi, Skoda Enyaq, Audi Q4 e-tron ve Cupra Born; BMW i4, i5, i7 ve iX; Hyundai Ioniq 5 ve 6, Kia EV6 ve EV9, Genesis GV60; Volvo EX90 ve EX60; 2026 model yılından itibaren Polestar ile uzayıp gidiyor.

Volvo, Haziran 2026'da ABD'deki 35 000 istasyonda Plug&Charge'ı devreye aldı. GM, yaz aylarında Empower'da kendi yayılımını duyurdu. Genel hatlarıyla otomobiller üzerine düşeni yapıyor.

İki ayrıntı tabloyu bozuyor. Ford, güvenliği gerekçe göstererek standart sağlama akışını kullanmak yerine kendi telematik tabanlı sertifika teslim sistemini kurdu. Bir otomobil üreticisi standardınıza ulaşmak için ekosisteminizin çevresinden dolaşıyorsa, ekosistemin bir ürün sorunu var demektir.

BMW'nin 2025 model yılı EV'leri için kendi servis bülteni de bayilerinin beklemesi gereken arıza türlerini sıralıyor: Plug&Charge menüsünün görünmemesi, sözleşme kurulumunun başarısız olması, sözleşmelerin kurulumdan sonra kaybolması, sağlayıcıların onları hiç göndermemesi. Bu, fabrikanın belgelediği sürtünme; bir atölye kılavuzunda.

Şarj cihazı üreticileri, 2027 son tarihinin politika tartışması olmaktan çıkıp tedarik zinciri sorununa dönüştüğü yer. Alpitronic, ISO 15118-20 desteğini uygulama tarihi “TBC” olarak listeliyor. Yalnız değil.

2026'dan itibaren Avrupa'da halka açık kullanım için devreye alınan donanımın, ilk günden PLC özellikli iletişim kontrolörlerine ihtiyacı var — firmware vaadi yeterli değil. Bu, onu kullanacak yazılım tamamlanmadan iki yıl önce verilmiş bir malzeme listesi kararıdır.

Bunu daha önce yaptık

2015'te kurucumuz Ole Henrik Hannisdahl, Berlin'deki ICNC sahnesine çıktı ve roaming dünyasından insanlarla dolu bir salona şunu söyledi: roaming, endüstrinin şarj cihazına yürüyüp basitçe kullanmayı bu denli zorlaştırarak kendi kendine yarattığı bir sorunun çözümüydü.

Bir daha davet edilmedi.

Bu argümanın sinir bozucu yanı, ne kadar iyi yaşlanmış olduğu. Roaming ticari olarak işledi. Ama aynı zamanda üzerini örtmek için tasarlandığı parçalanmayı da kalıcılaştırdı. On bir yıl sonra Avrupalı sürücüler hâlâ RFID kartlarıyla dolu bir cüzdan ve uygulamalarla dolu bir klasör taşıyor; mutabakat katmanı ise hiçbir zaman sürücünün hatası olmayan bir sorunun kalıcı vergisine dönüştü.

Bu içgüdü, bu arada, hâlâ capcanlı. Aralık 2025'te Atlante, Electra, Fastned ve Ionity, herhangi bir üye ağın sürücülerinin diğerlerinde de şarj edebilmesi için ChargeLeague'i kurdu. İttifakların yarattığı parçalanmayı düzeltmek için bir ittifak. Bu filmi daha önce gördük.

Plug&Charge, roaming'in sahip olduğu aynı silüete sahip. Gerçekten mükemmel bir kullanıcı deneyimi; aracı gerektiren, bir aracı tarafından fiyatlandırılan ve — Alman sicilindeki kanıtlara göre — kamu kayıtlarında görünmeyen bir güven katmanı üzerinden sunuluyor. Çözdüğü kullanıcı sorunu gerçek. Gerektirdiği yönetişim yapısı ise kimsenin talep etmediği kısım.

İşaret şu ki daha kötü mühendislik olan Autocharge, şu an daha iyi bir ürün. Daha az taraf, sertifika yok, bugün çalışıyor; daha fazla ağda, daha fazla ülkede. Bu, ham sürümü inşa edenleri rahatlatmaktan ziyade iyi mühendisliği inşa edenleri endişelendirmeli.

Bunların hiçbiri ISO 15118'i terk etme argümanı değil. Doğru standart bu ve çift yönlü şarj her otomobili bir şebeke varlığına dönüştürdükçe güvenlik gerekçesi daha da güçlenecek. Bu, ekosistemi sıkıcı hâle getirme argümanı.

Bunu sağlamak için dört şey yeterdi: Avrupa'nın artık sahip olduğu, birden fazla birbiriyle rekabet eden kök; Kuzey Amerika'da bulunan ama Avrupa'da olmayan, herkesin katılabileceği ortak bir güven listesi; asla destek talebi gerektirmeyen sertifika sağlama süreci; ve gerçekten nerede çalıştığını söyleyen herkese açık bir kayıt — çünkü sürücülerin bulamadığı bir özellik, özellik değildir.

Avrupa protokolü zorunlu kıldı ve diğer üçünü es geçti.

Hubject, 1-3 Eylül tarihleri arasında sektörü Tempelhof'ta bir araya getiriyor. Gündemde hem “Plug&Charge: Expanding Possibilities” hem de röle saldırısı oturumu var. Hangi salonun dolduğunu not etmekte fayda var.