欧盟无线电设备指令 (RED)网络安全新规
欧盟委员会已通过《无线电设备指令》(RED) 2014/53/EU 的授权条例 (EU) 2022/30 启动了新的强制性网络安全要求。这些规定旨在解决物联网 (IoT) 设备的日益普及所带来的系统性网络安全风险，这些设备可能被滥用以损害通信网络、侵犯个人隐私或促成金融欺诈。
▶ 1. 强制要求
授权条例 (EU) 2022/30 激活了 RED 第 3(3) 条中的三个具体条款，使其成为投放欧盟市场的无线电设备的强制性基本要求：
- RED 第 3(3)(d) 条：保护网络完整性和弹性。 本条款旨在确保“无线电设备不得损害网络或其功能，也不得滥用网络资源，从而导致服务质量不可接受的下降”。其核心是防止设备被利用形成僵尸网络，用于发起分布式拒绝服务 (DDoS) 攻击或破坏关键互联网基础设施。合规措施包括安全的默认配置、访问控制、应对资源耗尽的弹性以及软件和固件完整性。
- RED 第 3(3)(e) 条：保护个人数据和隐私。 本条款规定“无线电设备应采取安全措施，确保用户和订户的个人数据和隐私受到保护” 。这将 GDPR 的“设计隐私”和“默认隐私”原则融入设备本身的设计中。要求包括数据机密性（传输中和静态数据加密）、数据最小化、强身份验证、访问控制以及用户对数据的透明度和控制。
- RED 第 3(3)(f) 条：防止货币和电子欺诈。 本条款要求“无线电设备支持某些确保免遭欺诈的功能” 。它专门针对通过无线电设备进行的金融交易的完整性，旨在防止支付凭证被窃取或欺诈性交易。合规措施包括安全软件完整性、强身份验证（例如多因素认证）、安全通信协议以及凭证的安全存储。
这三个条款相互关联，共同构成了一个分层的安全策略。例如，薄弱的身份验证机制（未能满足 (e) 和 (f)）可能导致设备被控制，进而损害网络 (d)，泄露个人数据 (e) 或实施欺诈 (f)。因此，制造商必须采用整体的安全架构。
▶ 2. 适用范围
▶ 3. 协调标准EN18031
为提供清晰的合规途径，欧盟委员会委托欧洲标准化组织 CEN 和 CENELEC 制定了专门的技术标准：EN 18031 系列。该系列标准分为三个部分，分别对应 RED 的三项网络安全要求：
- EN 18031-1:2024： 对应 RED 第 3(3)(d) 条 (网络完整性)。它规定了所有互联网连接无线电设备的基础网络安全要求，包括访问控制、安全通信、弹性以及网络监控和流量控制。
- EN 18031-2:2024： 对应 RED 第 3(3)(e) 条 (数据隐私)。其范围更具针对性，适用于处理个人数据的联网设备、儿童保育设备、玩具和可穿戴设备。它侧重于“隐私设计”的技术实现，涵盖数据加密、强身份验证、访问控制和用户数据管理。
- EN 18031-3:2024： 对应 RED 第 3(3)(f) 条 (欺诈保护)。这是最专业的标准部分，针对支持金融交易的联网设备。它规定了安全交易协议、欺诈检测机制和支付系统保护。
▶ 4. 合规途径
EN18031的核心概念是简化合规流程，通过完全应用这些标准来获得“符合性推定”，并允许制造商通过自我声明 (Module A) 途径进行合规评估，无需强制性的第三方公告机构干预。
如果制造商的产品设计或实施触发以下任何限制条件，则必须强制性地聘请公告机构进行合规评估：
- 密码策略限制 (适用于 EN 18031-1、-2 和 -3)： 如果制造商的实施“允许用户不设置和使用任何密码”，则符合性推定失效。
- 家长控制限制 (适用于 EN 18031-2)： 对于儿童保育或玩具指令范围内的无线电设备，如果实施“不能确保父母或监护人的访问控制”，则符合性推定失效。
- 安全更新限制 (适用于 EN 18031-3)： 对于处理金融交易的设备，涉及安全软件更新机制的评估标准不提供符合性推定。此领域需要公告机构评估。
无论选择上述哪种合规途径，制造商都对产品的合规性负有最终责任，并通过以下两个关键文件正式履行：
- 网络安全风险评估： 这是任何可信合规评估的基础。制造商必须系统地识别、分析和评估产品相关的潜在威胁和漏洞，并全面记录此过程。评估必须考虑所有预期操作条件和可能的配置，旨在识别产品可能被滥用以损害网络 (d)、暴露个人数据 (e) 或促成欺诈 (f) 的方式。
- 技术文件： 这是证明产品符合 RED 网络安全要求的全面证据。它必须在设计和开发阶段编制，并保留10年以供市场监督机构检查。内容包括产品描述、网络安全风险评估、已应用标准清单、安全解决方案描述、合规性证据（例如测试报告、渗透测试结果）。如果使用公告机构途径，还包括欧盟型式检验证书。
- 欧盟符合性声明 (DoC)： 这是具有法律约束力的文件，制造商在此文件中声明产品符合所有适用的欧盟立法。对于新的网络安全要求，DoC 必须明确指出产品符合 RED 第 3(3)(d)、(e) 和/或 (f) 条，并列出用于证明合规性的具体标准或技术规范。DoC必须由制造商公司的负责人签署，并随产品一起提供或通过在线链接提供。
▶ 5. 战略建议
遵守 RED 网络安全新规是进入欧盟市场的强制性先决条件，最终产品制造商始终对整个产品的合规性负全部责任。这需要产品制造商在产品生命周期的每个阶段，都将网络安全作为核心考量，包括联网设备的选型和后续安全固件的更新。
深圳惠志科技的4G路由器和网关产品，目前已经能够符合RED网络安全新规的要求。同时公司不断完善监控流程以监测新的网络安全风险，并及时为产品制造商提供安全固件更新。