认证咨询热线（微信同号）
13728911712
18123927567
认证咨询热线（微信同号）
13728911712
18123927567
微信：13728911712
微信：18123927567
邮箱：jenny@usai.org.cn
邮箱：devin.huang@usai.org.cn
地址：深圳市宝安区福永街道怀德社区立新南路宝德工业中心锦城商务大厦2楼2009
2025年8月1日起，RED第3.3(d)(e)(f)条的三项网络安全要求对进入欧盟的无线设备强制生效。一年多过去，市场上真正卡住中国企业的不是要不要做，而是做了却仍然贴不上CE——问题多出在EN 18031的限制条款上。
规则底座是Delegated Regulation (EU) 2022/30，它激活了RED的三项要求：(d)网络保护、(e)个人数据与隐私保护、(f)防金融欺诈。对应协调标准为EN 18031-1/-2/-3:2024，2025年1月28日由Commission Implementing Decision (EU) 2025/138在欧盟官方公报援引，但附了限制条件。
三类关闭自我声明的情形
按(EU) 2025/138，触发以下限制即失去符合协调标准即推定合规的效力，必须由公告机构（NB）做型式审查，不能再自我声明。一是密码：设备允许用户不设置、不使用任何密码（对应标准6.2.5.1、6.2.5.2条），或出厂空密码且不强制首次改密。二是儿童与看护类设备：EN 18031-2覆盖的儿童玩具、婴儿监视器等，未按6.1.3至6.1.6条实现家长访问控制。三是金融类：EN 18031-3涉及的联网支付、虚拟货币设备，仅靠单一安全更新方式（如只有数字签名，见6.3.2.4条）不足以防范欺诈。
实验室反馈的高频不合格点
从实际项目看，问题集中在五处：出厂默认密码或空密码可直接登录，且没有强制改密流程，这是最高频的一条；产品处理个人数据却只做了EN 18031-1，漏做-2；儿童设备写了家长控制功能，但没有实际生效的权限边界；技术文件里的风险评估是模板，未逐条对应标准正文的规范性条款——附录里的Rationale和Guidance没有合规效力，拿它辩解无效；固件升级后未同步更新技术文件与符合性声明，DoC上的版本与实际出货不一致。
路径怎么选、成本差多少
未触发限制的产品可自我声明，周期与费用可控；触发限制则必须找具备RED网络安全资质的NB，周期通常多出6至10周，且要预留整改轮次。UN R155下已做型式批准的车载部件、以及部分受行业专门法规管辖的设备，可能不适用这套要求，但需要有明确的豁免依据，不能自行认定。技术文件与DoC按RED要求至少保存10年。
企业该做什么
一，出货配置自查：是否强制首次改密、是否永久关闭空密码通道、是否有硬件密钥或配对密钥体系替代账号密码。二，产品分类自查：是否处理个人数据、是否儿童或看护类、是否涉及支付。三，把网络安全纳入DoC与技术文件，而不是只交一份射频报告。四，固件变更分级管理，触及安全逻辑的变更必须重新评估并留痕。五，选NB前确认其RED网络安全授权范围与同类产品经验，把文件预审和整改轮次写进合同。