一、立法背景与核心动因

1.物联网安全危机倒逼法规升级

随着物联网设备（如智能手表、婴儿监护器、联网家电）在欧盟大规模普及，2014年制定的《无线电设备指令》（RED）在网络安全防护上存在明显漏洞。原指令未涵盖网络攻击防护机制，导致DDoS攻击、个人数据泄露、金融诈骗事件频发，对欧盟数字单一市场构成系统性风险。➊➎➌➏➌➏➑➎➎➍➐

2.“安全预设设计”成为新监管哲学

欧盟委员会2021年启动RED修订，核心思路是将网络安全要求整合至设备设计阶段（Secure by Design），而非依赖事后补救。同时引入分级管控原则，针对不同风险设备制定差异化要求：

网络损害防护（如阻断DDoS 攻击）；

隐私保护（端到端加密+ GDPR 衔接）；

金融防欺诈（多因素认证+ 交易保护）。

3.授权法案奠定法律基础

2022年1月，欧盟通过授权法案(EU) 2022/30，在RED指令中新增第3.3(d)(e)(f)条款，明确三类网络安全义务，并设定42个月过渡期（2025年8月1日强制执行）。

二、法规框架与时间线演进

- 2022年1月12日，发布授权法案(EU) 2022/30 ，新增RED 指令 Art 3.3(d)(e)(f) 网络安全条款，2022年2月1日生效；

- 2024年8月，发布EN 18031-1/-2/-3 系列标准，提供RED 网络安全条款的具体技术实施规范；

- 2025年1月30日，通过法规(EU) 2025/138，将EN 18031 正式列为 RED 协调标准（OJEU 公布）；

- 2025年8月1日，EN 18031 强制实施，未合规设备禁止进入欧盟市场。

三、核心要求与适用对象

EN 18031 系列标准分三类，分别对应 RED 指令中不同网络安全条款：

1、EN 18031-1，互联网连接设备，禁用默认密码（强制用户设≥12 位密码）、抗 DDoS 攻击（10万次无效请求下性能降幅≤30%）、强制 TLS 1.3+ 加密 | 手机、路由器、智能家电、车载模块；

2、EN 18031-2，处理个人数据的设备，生物数据AES-256 加密、硬件级家长控制（不可绕过）、数据泄露实时通知，儿童手表、健康手环、婴儿监护器；

3、EN 18031-3，涉及金融交易的设备，安全启动（50ms 内阻断恶意固件）、双因子安全更新（数字签名+动态口令）、交易日志防篡改 | POS 机、加密货币钱包、支付终端。

豁免范围：医疗器械（MDR 管辖）、航空设备（EU 2018/1139）、车载紧急系统（EU 2019/2144）可部分豁免条款，但兼具普通联网功能的设备（如医疗级手环）仍需合规。

四、合规路径与限制条件

制造商需根据产品特性选择合规路径，但存在关键限制：

1、自我声明路径的限制

（1）默认密码禁止：若设备允许用户跳过密码设置（如“免密使用”），则不可采用自我声明，必须通过公告机构（Notified Body, NB）认证。

（2）儿童设备家长控制：玩具或监护设备若未硬件级实现家长权限管理（物理开关/生物锁），必须通过 NB 认证。

（3）金融设备多重防护：仅依赖单一安全更新机制（如仅数字签名）不符合要求，需结合动态口令等双重措施，且强制NB 认证。

2.技术文件有效性边界

EN 18031 标准中的“背景”（rationale）与“指南”（guidance）章节不可作为合规依据，仅具参考价值。

五、认证流程与时间成本

认证周期：通常需6-8周，包括资料提交、样机测试、漏洞扫描及文档整改。

六、总结

(EU) 2025/138 标志着欧盟将物联网安全从“自愿遵循”推向强制性技术立法，通过EN 18031系列标准将 RED 指令的抽象条款转化为可执行的技术规范。

请务必在2025 年 8 月 1 日前完成合规性改造，避免产品被欧盟市场禁止销售。

检测报告示例如下：

华舜检测提供一站式合规解决方案，深度服务亚马逊、TEMU等平台要求，助力您的婴儿背带产品安全高效出海，规避风险，保驾护航。