ISO/IEC JTC 5 与 CEN-CENELEC JTC 24：谁在制定哪一层数字产品护照标准

数字产品护照正在演变成一个两层的标准故事。欧洲已经有了一套企业今天就可以据以建设的协调标准。国际层面则刚刚开始组织。搞清楚谁负责什么，可以避免采购沟通中一个常见的误解：ISO 的名号和欧盟的符合性推定并不是一回事。

CEN-CENELEC JTC 24：当下适用的欧洲层面

CEN-CLC/JTC 24 是两大欧洲标准化组织的联合委员会，专为回应欧盟委员会在 ESPR 项下的标准化请求 M/604 而设立。它产出了八项欧洲标准，即我们此前介绍过的 EN 18xxx 系列：

• EN 18216 数据交换协议
• EN 18219 唯一标识符
• EN 18220 数据载体
• EN 18221 数据存储、归档与持久性
• EN 18222 用于护照生命周期管理和可检索性的 API
• EN 18223 系统互操作性
• EN 18239 访问权限管理、信息系统安全与商业保密
• EN 18246 数据认证、可靠性与完整性

八项中有六项于 2026 年 7 月 15 日通过 Commission Implementing Decision (EU) 2026/1736 在《官方公报》上获得引用。符合这些标准的护照，被推定满足 ESPR 第 10 条和第 11 条的相应要求。两项安全标准 EN 18239 和 EN 18246 原定于 2026 年 8 月 17 日批准，最终文本应于 2026 年 9 月 16 日出台，目前尚未获得引用。

ISO/IEC JTC 5：现在启动的国际层面

2026年4月20日，负责 ISO/IEC 相关工作的德国标准化机构 DIN 和 DKE 宣布成立 ISO/IEC 第 5 联合技术委员会（JTC 5），数字产品护照。秘书处由 DIN 承担。该委员会自 2026 年第三季度开始工作，首批成果预计自 2028 年起产出。其既定目标是建立一个从整体视角看待护照的共同框架，使为不同行业和不同系统构建的具体解决方案能够互联互通。

这个时间安排说明了 JTC 5 的定位。它无法影响首批强制性护照，因为电池的义务在 2027年2月18日到期，而首批 ESPR 授权法案将在任何 JTC 5 交付成果面世之前通过。它面向的是第二波：法案自 2027 年起陆续出台的产品组，以及欧洲规范与其他法域所采纳规范之间的协调。

两者如何衔接

CEN-CENELEC 在其 2026 年 7 月的声明中表示，JTC 24 预期与新成立的 ISO/IEC JTC 5 开展富有成效的合作。相应的正式渠道已经存在：CEN 与 ISO 之间的《维也纳协定》以及 CENELEC 与 IEC 之间的《法兰克福协定》，允许欧洲标准与国际标准并行制定，或由一方体系采纳另一方的成果。可能出现的模式是：欧洲的工作成果输入国际草案，而国际成果在适用时再被采纳为 EN ISO/IEC 文本。

对企业而言，实用的解读很简单：

• 符合性：ESPR 的符合性是对照该法规及其授权法案来证明的，已引用的 EN 标准是获得认可的路径。参见标准化机构概览。
• 欧盟以外的互操作性：这正是 JTC 5 将发挥作用之处，对于从亚洲或北美向欧盟销售、且本土市场也在研究自有护照制度的企业尤为如此。
• 采购措辞应区分两者。“符合 EN 18219”在今天是一项可核查的声明。“符合 ISO 的数字产品护照”则不是，因为目前根本不存在 ISO 的数字产品护照标准。

现在该做什么

• 在你的数字产品护照需求文件和招标文件中明确写入已引用的 EN 标准。
• 如果你拥有本国标准化机构的会员资格，可询问参与 JTC 5 对口委员会的事宜。多个国家机构正在设立对口工作组。
• 跟踪 EN 18239 和 EN 18246，它们获得引用后，欧洲的安全层将告完整。

主要来源：DIN 和 DKE 新闻稿，2026年4月20日；CEN-CENELEC，数字产品护照，2026 年 7 月 15 日；ISO/IEC JTC 5 委员会页面。