RED指令网络安全要求:EN 18031系列现已强制执行

无线电设备指令2014/53/EU的条文多年来一直载有三项网络安全保护目标,但一直未被实施。欧盟委员会授权法规(EU) 2022/30使这些条款自2025年8月1日起对特定类别的无线电设备生效。

生效的三项目标是:3.3(d)网络保护、3.3(e)个人数据和隐私保护、3.3(f)防欺诈保护。三者可同时适用于同一产品,具体适用哪些取决于产品功能。

这意味着联网无线电产品的合规文件中新增了一个部分。无线电和EMC方面不变;旁边新增了网络安全评估。

作为协调标准,EN 18031-1:2024规定了联网无线电设备的通用安全要求。EN 18031-2:2024涵盖处理个人数据、流量数据或位置数据的设备,EN 18031-3:2024涵盖处理虚拟货币或货币价值的设备。

该系列被协调化后,完全采用该标准的制造商可获得符合性推定:被视为满足要求,文件可通过自我声明结案。

该系列的符合性推定并非无条件。若产品触发受限条款之一——例如允许用户跳过设置密码的设计——则不会自动产生符合性推定。

当推定不成立时,路径需通过公告机构。这是一个既改变时间表又改变成本的差异:本可通过自我声明结案的文件,因单一设计选择而转变为第三方评估。

因此,在设计阶段而非测试阶段研读标准的受限条款成本要低得多。默认密码、可跳过的初始设置以及缺乏更新机制是最常见的触发因素。

欧盟立法规定基本要求,标准提供其技术对应内容。当某项要求生效而其协调标准尚未发布时,制造商将陷入困境:必须通过自己的技术文件证明满足基本要求,或求助于公告机构。

当协调标准发布后,便产生符合性推定:符合该标准的产品被推定满足基本要求,举证责任随之倒置。制造商由此可以自行出具声明。

这就是为什么网络安全条款获得协调标准具有独立于该义务本身的意义:该义务原本就存在,现在则有了满足它的标准化途径。

网络保护条款要求产品不得损害其所连接的网络,也不得滥用网络资源。弱默认凭证、不必要的开放端口和未经身份验证的远程访问是该条款下的典型问题。

个人数据保护条款要求产品保护其处理的个人数据及用户隐私:数据传输加密、本地存储保护、用户对数据的控制权。

防欺诈条款要求具有支付或价值转移功能的产品保证交易完整性和授权。这三项条款适用于不同产品类别;哪项条款适用于哪种产品属于范围界定的问题。

网络安全证据不是测量结果;它由已执行要求清单、覆盖的接口、已完成的检查以及问题整改记录组成。没有范围声明的报告是无法解读的。

报告必须记录的内容包括:测试了哪个硬件版本、哪个软件版本、哪些接口以及哪种配置。没有版本信息的证据在下一次软件更新后将无法证明其有效性。

文件不会随产品上市而结案:在支持期内,持续监控和更新的义务一直延续,这是技术文件中持续更新的活跃部分。