Plug & Charge promite încărcare fără aplicație, card RFID sau terminal: conectezi cablul, mașina se identifică singură, iar sesiunea se facturează pe contractul cu furnizorul. În spate stau ISO 15118 și o infrastructură de certificate digitale. AFIR cere stațiilor publice noi ISO 15118-20 de la 1 ianuarie 2027, dar lasă Plug & Charge la alegerea operatorilor.
Pe scurt
- Plug & Charge autentifică mașina cu certificate digitale schimbate pe cablu, după ISO 15118-2 (2014) sau ISO 15118-20 (2022).
- Stațiile publice instalate sau renovate trebuie să respecte ISO 15118-2 din 8 ianuarie 2026 și ISO 15118-20 din 1 ianuarie 2027; cele cu Plug & Charge, pe amândouă.
- În studiul Oxford pe 325 de stații DC din patru țări europene, doar 12% ofereau TLS; toate rețelele cu Plug & Charge testate foloseau rădăcina Hubject.
- În septembrie 2026 nu am găsit în România o rețea cu Plug & Charge conform ISO 15118; Eldrive oferă Autocharge, mai simplu și mai puțin sigur.
Cum funcționează: contractul stă în mașină
Mașina și stația vorbesc pe cablu, prin modemuri HomePlug Green PHY. În Plug & Charge, mașina prezintă un certificat de contract, pe care stația îl verifică printr-un lanț de încredere. Ghidul de implementare CharIN, asociația industriei din jurul CCS-ului, descrie patru piese:
- Rădăcina V2G. Autoritatea de certificare din vârful lanțului; certificatul ei ancorează încrederea în conexiunea securizată cu stația.
- Certificatul stației. Emis de operator printr-o sub-autoritate a rădăcinii V2G, legat de identificatorul punctului de încărcare.
- Certificatul de provizionare. Instalat în mașină de producător; identificatorul lui, PCID, leagă vehiculul de un contract.
- Certificatul de contract. Emis de furnizorul de mobilitate pentru contractul clientului, cu identificator de 18 caractere (EMAID), livrat în mașină.
Ca autentificarea să încapă în cele 5 secunde cerute de standard, certificatele stau în „bazine” centrale; verificarea revocării prin OCSP e opțională în ISO 15118-2.
ISO 15118-2 și ISO 15118-20: ce s-a schimbat
| Caracteristică | ISO 15118-2 | ISO 15118-20 |
|---|---|---|
| Publicat | 2014 | 2022 |
| TLS (criptarea sesiunii) | opțional, necesar pentru Plug & Charge; TLS 1.2 sau mai nou | obligatoriu, TLS 1.3 |
| TLS reciproc (certificat și pentru mașină) | nu | da |
| Mai multe contracte în mașină | nu | da |
| Încărcare bidirecțională | nu | da |
| Obligatoriu la stațiile publice noi din UE | din 8 ianuarie 2026 | din 1 ianuarie 2027 |
| Stații DC măsurate în 2024 (Oxford) | 70% din cele fabricate în 2023 | 0 din 380 de prize testate |
Regimul TLS și răspândirea măsurată pe teren vin din studiul Universității Oxford de la USENIX Security 2025. Regulamentul delegat (UE) 2025/656 explică de ce UE le cere pe amândouă: după CEN și CENELEC, mașinile de pe piață aveau doar ISO 15118-2, căruia îi lipsesc încărcarea bidirecțională și gestionarea mai multor contracte. Partea bidirecțională e în articolul despre fotovoltaice și V2G.
Cine oferă Plug & Charge în Europa
Pe pagina ADAC actualizată la 20 iulie 2026 apar ca mărci Audi, BMW, Ford, Hyundai, Kia, Mercedes-Benz, Mini, Polestar, Porsche, Renault, Škoda, Volvo și VW, adesea doar de la o anumită generație sau versiune software, iar ca rețele Ionity, Aral pulse, BayWa, ChargePoint, Shell Recharge, Electra, Mer și Allego. ADAC notează și limitele: prețul nu se vede nici în mașină, nici la stație, cei mai mulți acceptă un singur contract, iar ca să plătești altfel funcția se dezactivează dinainte. „Plug & Charge Direct”, prezentată în aprilie 2026 de Hubject, BMW și Mer, plătește cu card salvat în aplicație, la preț ad hoc, deocamdată doar în ecosistemul lor. IONITY oferă Plug & Charge prin serviciile de încărcare ale mărcilor auto; rețeaua avea în septembrie 2026 6487 de puncte în 894 de locații, iar lista ei de 24 de țări nu include România.
Rădăcina de încredere e concentrată. Studiul Oxford a găsit toate rețelele europene cu Plug & Charge testate pe rădăcina Hubject, iar Hubject cerea, după lista de prețuri citată în studiu, 3900 de euro o dată per companie și 0,99 euro pe an per stație. CharIN are propria infrastructură, operată din 2024 de Irdeto, conectată la Hubject după acordul din august 2023, și lucrează în Forumul pentru transport sustenabil al Comisiei la o listă europeană comună de certificate de încredere. Până în 2026, Plug & Charge a fost aproape doar la stațiile DC, recunoaște Hubject, care a anunțat pe 2 septembrie 2026, cu chargecloud, activarea lui la stațiile AC ale clienților platformei.
Ce cere AFIR
Regulamentul AFIR cere, la articolul 5, încărcare ad hoc, fără contract, la orice punct public; iar unde operatorul oferă autentificare automată, utilizatorul poate refuza și plăti ad hoc sau cu alt contract. Regulamentul delegat 2025/656, aplicabil din 8 ianuarie 2026, adaugă:
- Din 8 ianuarie 2026. Punctele publice AC și DC instalate sau renovate respectă ISO 15118, părțile 1–5, deci și partea 2.
- Din 1 ianuarie 2027. Aceleași puncte respectă și ISO 15118-20; cele cu Plug & Charge, ambele versiuni; punctele private Mode 3 și Mode 4 noi, ISO 15118-20.
- Voluntar. Operatorii decid dacă oferă Plug & Charge; punctele existente cu altă autentificare automată o pot păstra până la tranziția completă a pieței.
Ultima prevedere lasă loc Autocharge, recunoașterea după MAC-ul mașinii. În contribuția la revizuirea AFIR, publicată pe 4 mai 2026, Hubject scrie că regulamentul nu clarifică relația dintre cele două și că mulți în industrie cred Autocharge posibil și după ianuarie 2027.
Securitate: ce apără certificatele și ce nu
Autocharge e la fel de comod, dar cercetătorii Oxford amintesc probleme cunoscute: un atacator se poate da drept victimă și poate încărca pe contul ei. Plug & Charge adaugă criptografie, însă măsurătorile lor pe 325 de stații de la 26 de producători, din Marea Britanie, Elveția, Croația și Ungaria, arată cât de rar e folosită: toate acceptau sesiuni fără TLS, 12% ofereau TLS, 6% conform standardului, niciuna TLS reciproc.
Tot ei descriu o slăbiciune de proiect: mașina nu știe la ce stație se conectează, deci acceptă orice certificat de stație valid de sub aceeași rădăcină, iar ISO 15118-2 nu cere verificarea revocării certificatului final. Un certificat extras dintr-o stație ar permite interceptarea sesiunilor TLS de sub aceeași rădăcină până la expirare sau revocare. Cheile private din mașină cer module hardware de securitate, de aceea la unele modele Plug & Charge depinde de data fabricației.
În avertizarea ICSA-25-303-01 din 30 octombrie 2025, actualizată pe 17 martie 2026, agenția americană CISA arată că vulnerabilitatea CVE-2025-12357, scor CVSS 6,3, permite manipularea procesului SLAC de asociere mașină-stație și un atac „om la mijloc” fără fir, de la mică distanță, prin inducție electromagnetică. Nu era raportată exploatare publică, iar recomandarea ISO e TLS pentru toate comunicațiile, conform ISO 15118-20.
Ce înseamnă pentru România
AFIR se aplică direct, deci stațiile publice noi din România intră sub aceleași termene; rețelele și tarifele sunt în articolul despre încărcarea publică în România. Pe paginile de încărcare Eldrive, MOL Plugee, OMV Petrom și PPC blue, Plug & Charge lipsea în septembrie 2026. Eldrive oferă Autocharge la toate stațiile DC cu CCS: după o primă încărcare, identificatorul vehiculului se înregistrează și funcția se activează din aplicație, pentru fiecare mașină. Un contract Plug & Charge al mărcii se folosește mai ales în străinătate, de exemplu la IONITY în Ungaria și Austria.
Pentru wallbox-ul de acasă, Bitdefender recomanda pe 1 aprilie 2026, pornind de la aceeași vulnerabilitate SLAC, actualizarea firmware-ului și izolarea încărcătorului într-o rețea separată.
Cum se activează
- Se verifică dacă modelul și versiunea de software au Plug & Charge.
- Se încheie un contract cu un furnizor care îl oferă, de regulă serviciul mărcii, și se leagă mașina de cont.
- Se activează funcția în meniul de încărcare; manualul Polestar 2 arată că la un furnizor terț se folosește PCID-ul afișat de mașină.
- La prima conectare la o stație compatibilă, certificatul de contract se instalează prin cablu; la Polestar rămâne activ doar cel mai recent contract.
- După o vizită în service, certificatul poate fi șters și pașii se reiau; plata ad hoc rămâne alternativa.
De urmărit. Termenul de 1 ianuarie 2027 pentru ISO 15118-20 la stațiile publice noi, lista europeană de certificate de încredere pregătită în Forumul pentru transport sustenabil și revizuirea AFIR, care va decide dacă Autocharge mai are loc lângă Plug & Charge.
Surse
- CharIN Implementation Guide to Plug and Charge in the context of ISO 15118, v1.2 (PDF) — CharIN e.V., 29 martie 2022
- Current Affairs: A Security Measurement Study of CCS EV Charging Deployments (PDF) — Marcell Szakály, Sebastian Köhler, Ivan Martinovic, Universitatea Oxford, USENIX Security 2025, arXiv v2 din 3 februarie 2025
- Commission Delegated Regulation (EU) 2025/656 amending Regulation (EU) 2023/1804 as regards standards for wireless recharging, electric road system, vehicle-to-grid communication and hydrogen supply — Jurnalul Oficial al UE, 18 iunie 2025
- Plug & Charge: So funktioniert das E-Auto-Laden ohne Karte — ADAC (Jochen Wieler), 20 iulie 2026
- Access & Payment — IONITY, accesat la 16 septembrie 2026
- Network — IONITY, accesat la 16 septembrie 2026
- Plug & Charge at CharIN — CharIN e.V., accesat la 16 septembrie 2026
- Hubject and CharIN collaborate to connect CharIN PKI in Hubject Plug & Charge Ecosystem — CharIN e.V., 8 august 2023
- Plug&Charge: chargecloud and Hubject Bring Automatic Vehicle Authentication to AC Charging Points — Hubject, 2 septembrie 2026
- Regulation (EU) 2023/1804 on the deployment of alternative fuels infrastructure (AFIR) — Jurnalul Oficial al UE, L 234, 22 septembrie 2023
- Hubject’s feedback to the European Commission’s Call for evidence for the AFIR review — Hubject, 4 mai 2026
- ICSA-25-303-01: International Standards Organization ISO 15118-2 (Update A) — CISA, publicat la 30 octombrie 2025 și actualizat la 17 martie 2026
- Activate Plug & Charge – Polestar 2 manual (2026) — Polestar, accesat la 16 septembrie 2026
- Eldrive Romania: Hassle-Free EV Charging (Autocharge) — Eldrive România, accesat la 16 septembrie 2026
- Securizarea wallbox-ului de acasă împotriva exploit-urilor PLC — Bitdefender, 1 aprilie 2026
