Passeport numérique : les normes de sécurité glissent à novembre 2026

Il manque deux normes sur huit

Le passeport numérique repose sur huit normes européennes préparées par le comité technique CEN-CENELEC JTC 24. La décision d'exécution (UE) 2026/1736, adoptée le 14 juillet 2026 et publiée au Journal officiel le lendemain, en cite six.

Les deux dernières ne sont pas des projets. Elles sont approuvées et publiées, EN 18246 a été approuvée par le CEN le 17 août 2026. Ce qui leur manque n'est pas la qualité technique, c'est la citation au Journal officiel.

Pourquoi la publication d'une norme ne suffit pas

Le droit européen distingue deux moments. Le CEN publie la norme, puis la Commission publie sa référence au Journal officiel. C'est le second geste qui déclenche la présomption de conformité.

La décision 2026/1736 le rappelle dans son premier considérant : un passeport conforme aux normes harmonisées dont les références ont été publiées au Journal officiel est présumé conforme aux exigences des articles 10 et 11 du règlement (UE) 2024/1781, dans les limites couvertes par ces normes. La décision est entrée en vigueur le jour de sa publication, le 15 juillet 2026, et c'est cette date qui compte pour les six premières.

Pour les deux autres, le mécanisme n'est pas encore armé. Une entreprise peut appliquer EN 18239 et EN 18246 dès aujourd'hui, c'est même recommandé, mais elle ne peut pas s'appuyer dessus pour dire qu'elle est conforme. Si un contrôle porte sur la sécurité des accès ou sur l'intégrité des données, la charge de la démonstration reste chez elle, sans le filet de la présomption.

Ce que ces deux normes demandent vraiment

Elles ne sont pas des documents administratifs. Elles décrivent des mécanismes que toute plateforme de passeports devra avoir.

EN 18239, les droits d'accès. La norme sépare les données publiques des données contrôlées, et rattache les droits à l'élément de données, pas au document entier. Deux personnes peuvent donc lire le même passeport et ne pas voir les mêmes champs. Elle exige que chaque acteur du système porte un identifiant d'opérateur globalement unique, que les accès soient authentifiés et autorisés, que les décisions d'accès soient traçables, et que les rôles puissent être accordés, modifiés, suspendus, renouvelés ou révoqués. Elle demande aussi des mesures contre l'aspiration massive des données et contre les discriminations fondées sur la localisation.

EN 18246, l'authenticité. La norme demande que l'intégrité et l'authenticité des données soient vérifiables gratuitement, sans limite pour celui qui vérifie, et que les mécanismes utilisés soient indépendants du canal de communication. Chaque création, modification ou suppression doit être rattachée à l'acteur authentifié, avec non-répudiation et journalisation auditable dans le temps. Concrètement, un passeport doit pouvoir montrer qui a changé quoi, quand, et avec quel titre.

Le calendrier officiel, tel qu'il est affiché

Le calendrier indicatif de la Commission, consulté le 30 octobre 2026, place dans cet ordre :

• 1er juillet 2026 : cadre du registre DPP et décision sur les six premières normes.
• 20 juillet 2026 : registre DPP opérationnel.
• Novembre 2026 : décision d'exécution sur les deux dernières normes.
• Quatrième trimestre 2026 : acte délégué pour le fer et l'acier, et acte d'exécution sur les droits d'accès au passeport batterie.
• 18 février 2027 : passeport obligatoire pour certaines batteries, véhicules électriques, moyens de transport légers et batteries industrielles.
• Deuxième trimestre 2027 : produits de construction et prestataires de services de passeport.
• Troisième et quatrième trimestre 2027 : textile, aluminium et pneus.
• 2028 et 2029 : meubles, matelas, contenu recyclé.

La même page rappelle que les opérateurs disposent d'au moins dix-huit mois de transition après l'adoption des actes délégués de l'ESPR. Ce délai ne s'applique pas au passeport batterie, dont la date est fixée par le règlement lui-même.

Ce qu'il faut faire maintenant

1. Ne pas attendre la citation pour se préparer. Les exigences des deux normes sont connues et stables. Un journal d'accès infalsifiable, des signatures vérifiables et des droits au niveau du champ prennent des semaines à concevoir, pas des jours.
2. Ne pas confondre conformité et présomption. Vous pouvez être en avance techniquement et ne pas pouvoir revendiquer la présomption. Dites-le clairement à vos clients, c'est plus solide qu'une affirmation que le premier contrôle démentira.
3. Garder les deux sujets séparés dans votre feuille de route. La sécurité des accès relève de l'architecture produit, la citation au Journal officiel relève du calendrier réglementaire. L'une ne dépend pas de l'autre, et l'une ne bloque pas l'autre.

Pour situer votre produit dans le calendrier, le vérificateur de périmètre DPP donne la date et la base juridique applicables en trois questions. Pour les données exigées côté batteries, la page dédiée détaille les échéances.

Sources

• Commission européenne, Digital Product Passport, page officielle et calendrier indicatif, consulté le 30 octobre 2026
• Décision d'exécution (UE) 2026/1736 du 14 juillet 2026 sur les normes harmonisées pour les passeports numériques de produit, JO L, 2026/1736, 15.7.2026, considérant 1 et annexe
• CEN-CENELEC JTC 24, EN 18239:2026, Digital product passport, Access rights management, information system security, and business confidentiality
• CEN-CENELEC JTC 24, EN 18246:2026, Digital product passport, Data authentication, reliability and integrity, approuvée par le CEN le 17 août 2026
• Règlement (UE) 2024/1781, articles 10 et 11