认证咨询热线（微信同号）
13728911712
18123927567
认证咨询热线（微信同号）
13728911712
18123927567
微信：13728911712
微信：18123927567
邮箱：jenny@usai.org.cn
邮箱：devin.huang@usai.org.cn
地址：深圳市宝安区福永街道怀德社区立新南路宝德工业中心锦城商务大厦2楼2009
2024 年 4 月 29 日，英国《产品安全和电信基础设施法案》（PSTI）相关要求强制实施。所有向英国消费者提供物联网产品的制造商、进口商和分销商，届时均需提交相关合规证据。违反规定的企业可能面临最高 1000 万英镑，或其全球营业额 4% 的罚款。
罚款设计值得注意：取两者中较高的一项，而不是固定金额。对大型厂商，全球营业额 4% 远高于 1000 万英镑，这条罚则的威慑力是按企业规模放大的。
PSTI 覆盖可连接互联网的消费类产品，典型品类包括智能家居与语音助手、智能手机、网络摄像头、可穿戴设备、物联网基站与集线器、居家自动化设备、智能门铃和报警系统。
判断标准是有没有联网能力，而不是有没有屏幕或算力。一个能连 Wi-Fi 的智能插座与一台智能电视，在法案眼里属于同一类监管对象。
第一项是通用弱密码。产品不得设置普遍、易于猜测的默认密码，如 admin、123456 或按型号统一的初始口令。允许的做法是为每台设备生成唯一密码，或要求首次使用时由用户设定。
第二项是软件维护周期。制造商须公开说明产品将获得安全更新的最短期限，并在期限内持续提供。这一条把「卖完就不管」的模式排除在外。
第三项是漏洞报告。制造商须提供公开渠道，供安全研究人员报告漏洞，并对报告作出响应。三项要求都不涉及具体技术实现，考的是企业有没有建立流程。
法案要求提供评估报告等技术文件，并在产品中附带符合性声明。符合性声明是自我声明，但需可追溯：谁签的、依据什么评估、覆盖哪些型号。
实操中容易出问题的是型号覆盖。同一系列产品共用一个固件基线时，符合性声明可以覆盖多型号，但前提是这些型号的安全特性一致。如果某个型号因成本原因用了不同模组，声明就需分开。
三项要求的技术难度都不高，真正难的是组织能力。软件维护周期一旦公开，就等于对客户做出长期承诺，产品线越多、出货越久，履约压力越大。很多企业的短板不在研发，而在没有专职团队跟进已停售产品的安全更新。
对进口商和分销商，法案把责任延伸到了流通环节，不能只看制造商有没有证书，还要判断证据是否真实。建议在采购合同中加入安全更新义务与漏洞响应条款，把法案要求传导到上游，而不是自己承担全部风险。