欧盟委员会于2022年发布了RED指令补充授权法案(EU) 2022/30，对无线电设备的网络安全、隐私保护和反欺诈等方面提出了明确要求。该法案将于2025年8月1日正式实施，届时无线电设备必须符合RED指令第3(3)条(d)、(e)和(f)点的网络信息安全要求才能进入欧盟市场销售。
图 法规脉络
01 标准协调性
EN 18031系列标准分为三部分，分别为EN 18031-1、EN 18031-2和EN 18031-3，分别对应RED指令第3(3)条款的(d)、(e)、(f)要求。EN 18031系列标准的部分章节在一些情况下不被认为是协调的，没有协调的情况下产品必须通过指定公告机构（NB）完成认证，方可投入市场。
RED指令相关条款 | 协调标准 | 限制条件 |
| Article 3:Section 3.3(d):无线电设备不会损害网络或其功能，也不会滥用网络资源，从而导致不可接受的服务降级。 | EN 18031-1:2024 Common security requirements for radio equipment - Part 1: Internet connected radio equipment | 要求用户必须设置和使用密码。若允许用户不设置密码，EN 18031-1/2/3标准都将丧失协调性。 |
| Article 3:Section 3.3(e):无线电设备包含保护措施，以确保用户和订户的个人数据和隐私得到保护。 | EN 18031-2:2024 Common security requirements for radio equipment - Part 2: radio equipment processing data, namely Internet connected radio equipment, childcare radio equipment, toys radio equipment and wearable radio equipment | 要求必须确保父母或监护人的访问控制。若采用“自主访问控制”等不兼容模式，EN 18031-2标准将丧失协调性。 |
| Article 3:Section 3.3(f):无线电设备支持某些功能，确保防止欺诈。 | EN 18031-3:2024Common security requirements for radio equipment - Part 3: Internet connected radio equipment processing virtual money or monetary value | 要求通过多重机制实施安全更新。如果单独使用一种方法（如数字签名或访问控制）实施安全更新，不足以满足金融安全需求，EN 18031-3标准将丧失协调性。 |
02 适用范围
根据RED指令补充授权法案(EU) 2022/30的要求，新规适用的产品包含以下三类：
1、直接或间接连接互联网的无线设备；
2、涉及用户隐私数据处理的设备，如儿童看护设备、玩具、穿戴式设备等；
3、互联网货币支付、转账、交易设备。
注意：①RED指令Article 3:Section 3.3(d),(e),(f)的要求不适用于MDR法规范围内的医疗器械设备。②RED指令Article 3:Section 3.3(e),(f)的要求不适用Regulation (EU) 2018/1139、Regulation (EU) 2019/2144和Directive (EU) 2019/520法规范围内的航空或道路交通相关设备。
适用范围内的产品示例 | ||
 |  |  |
| 示例1：路由器 | 示例2：运动手环 | 示例3：POS机 |
03 测试要求
为了确保测试要求能够在三个并列标准（EN 18031-1/2/3）之间保持一致，新标准引入了“资产”这一概念作为主要测试对象，并对“资产”进行分类，各类资产对应着不同的标准测试要求。
标准 | EN 18031-1 | EN 18031-2 | EN 18031-3 |
| RED指令相关条款 | 3.3.(d) | 3.3.(e) | 3.3.(f) |
| Security asset 安全资产 | √ | √ | √ |
Network asset 网络资产 | √ | ||
Privacy asset 隐私资产 | √ | ||
Financial asset 金融资产 | √ |
EN 18031系列标准的测试内容如下表所示，要求对这些测试内容进行“概念评估Conceptual assessment”、“功能完整性评估Functional completeness assessment”和“功能充分性评估Functional sufficiency assessment”。
标准 | 通用要求 | 特殊要求 |
| EN 18031-1 | 访问控制-Access Control 认证验证-Authentication 安全升级-Secure Update 安全存储-Secure Storage 安全通信-Secure Communication 加密算法-Confidential Cryptographic Keys 通用设备能力-General Equipment Capabilities 密码最佳实践- Cryptographic Best Practice | 对于安全和网络资产: 弹性恢复- Resilience 网络监控- Network Monitoring 流量控制- Traffic Control |
| EN 18031-2 | 对于安全和隐私资产: 父母控制 - Parental Control 日志- Logging 删除- Deletion 用户通知- User Notification 对外获取信息- External Sensing Capabilities | |
| EN 18031-3 | 对于安全和金融资产: 日志– Logging 设备完整性- Equipment Integrity (Secure Boot) |
如有相关需求，请联系：
威凯（深圳）检测技术有限公司
兰金成
134 1071 0305
lanjc@cvc.org.cn
深圳市龙华区观澜街道新澜社区观光路1301-16号
关注“广东技术性贸易措施”，获取更多服务。
| 最新动态 | 专题研究 | 法律法规库 | 通报与召回 | 资料室 | 培训及评议 | 关于我们 |
|---|---|---|---|---|---|---|
| 国外资讯 国内资讯 工作动态 预警信息 消费警示 | 广东省检测认证服务内外贸一体化发展平台 国外计量 产品伤害监测 医疗防护用品 贸易摩擦 一带一路 食品接触产品 机电能效法规 绿色双碳 欧盟环保指令 REACH法规资讯 | 美国联邦法规 欧盟法律法规 其他法律法规 | TBT通报 SPS通报 召回与扣留 | 技术性贸易措施信息快讯 TBT通报和欧美召回季度简报 贸易技术壁垒参阅 出口指南 翻译资料 | TBT通报评议会专题培训基础知识普及视频培训案例分析一问一答 | 广东省WTO/TBT通报咨询研究中心 意见反馈 |
粤公网安备 44010602010620号