DPP八项EN标准已全部由CEN-CENELEC发布，但“发布”与“在《欧盟官方公报》获得引用”是两件事。六项标准于2026年7月15日通过实施决定（EU）2026/1736正式列入OJEU；EN 18239（访问权限管理、信息系统安全与商业机密）和EN 18246（数据认证、可靠性与完整性）虽已于2026年9月16日可用，但尚未完成OJEU引用。在易碳科技看来，这个时间差不是程序瑕疵，而是一个清晰信号：DPP最接近“信任”的两项能力——谁有权看、数据凭什么被相信——恰恰是最后落位的。

一、四层架构：前三层决定“能不能扫开”，第四层决定“能不能被采信”

八项标准构成一个自下而上的四层架构。第一层解决标识与载体：EN 18219唯一标识符、EN 18220数据载体。第二层解决交换与互通：EN 18216数据交换协议、EN 18222生命周期管理API、EN 18223系统互操作性。第三层解决存储与持久性：EN 18221要求护照数据至少留存十年且可迁移。

前三层，有IT能力的出口企业可以通过采购或自建完成。真正的分水岭在第四层：EN 18239管访问权限与安全，EN 18246管数据认证与完整性。这两项目前尚未进入OJEU引用序列，但它们决定了DPP是一个“能扫开的二维码”，还是一个“欧盟海关和监管机构愿意采信的合规凭证”。

二、EN 18239：访问控制不是静态账号，而是基于属性的动态判定

EN 18239管的是“谁能看什么”：产品基本环境信息可被公开读取，访问控制仅针对商业机密、个人信息和特定场景数据。标准要求采用基于属性的访问控制模型，系统根据用户身份、使用场景、数据敏感级别动态判定权限，而非一套静态角色列表可以应付。产品生命周期中责任主体变化时的权限转移机制——维修商更新记录、回收企业读取特定字段——也需要在数据层有可承载的规则逻辑。标准虽已发布，但委员会关于受限数据访问的实施法案仍在准备中，公开征求意见稿预计2026年10月或11月出台。企业如果等到实施法案落地再启动权限模型设计，时间会非常被动。

三、EN 18246：数据可信不能靠“平台担保”，要靠签名链条自身承载

EN 18246聚焦数据认证、可靠性与完整性，核心机制是将产品数据与电子签名绑定，使篡改可被检测，同时验证数据来源。标准明确排除系统架构和二维码安全元素，把“可信”的责任锚定在数据交换过程本身。这与ESPR注册系统的逻辑一脉相承：注册时申报须以eIDAS合格电子签名或合格印章签署，信任建立在密码学证明上，而不是平台信用背书上。

四、注册条例（EU）2026/1778：注册完成不等于合规通过

与两项标准形成组合约束的，是2026年7月落地的ESPR注册系统实施条例。条例建立了“认证经济运营商”制度，企业须通过eIDAS框架核验身份方可注册和管理DPP，核验有效期最长三年。但条例同时写明了一条常被忽略的底线：注册触发的自动化检查不构成合规证明。注册系统只存储标识与索引，校验格式结构，不校验数据的实质真实性；真正的审查发生在市场监管和海关环节。

易碳科技在服务电池、钢铁、铝材等出口客户时反复看到同一个误区：把精力压在“把码做出来”，却在“数据凭什么可信”上准备不足。我们的建议是：不要把EN 18239和EN 18246留到最后补。在标准已发布、OJEU引用临近、注册系统已上线的当下，企业应按四层架构同步推进——先让标识与载体、交换与API跑通，同时把权限模型和签名完整性机制设计进系统底层。前两层决定DPP能否上线，后两层决定它能否在海关和市场监管面前站住。