一、什么是 EN 180311. 官方全称与法律地位EN 18031 系列无线电设备网络安全协调标准是欧盟RED 无线设备指令 2014/53/EU强制网络安全条款的唯一合规标准配套授权法规 **(EU) 2022/30**。强制生效时间2025 年 8 月 1 日起全面强制执行销往欧盟 / EEA 无线联网设备必须满足否则无法贴 CE、禁止清关、可召回并处全球年营收最高 4% 罚款。替代旧标准取代之前物联网安全标准 EN 303645是目前欧盟无线设备网络安全唯一采信标准。标准分 3 个独立子部分对应三类风险产品EN 18031-1基础网络安全所有联网无线设备必做EN 18031-2个人隐私数据保护采集 / 存储隐私的设备加测EN 18031-3金融交易防欺诈支付、数字货币终端加测2. 核心作用管控带无线通信、可联网设备的网络攻击风险、用户隐私泄露、支付欺诈三大安全问题是 CE-RED 认证必备安全模块射频、EMC、LVD 之外新增强制安全评估项。二、哪些产品必须做 EN 18031适用前提同时满足 2 条具备无线射频功能Wi‑Fi、蓝牙、ZigBee、4G/5G、NFC、LoRa、无线射频遥控等可直接 / 间接接入互联网能走 IP 网络。全品类清单1消费电子 穿戴必做 18031-1带隐私数据加 - 2手机、平板、笔记本、智能手表、手环、蓝牙耳机、VR / 游戏机、无线摄像头、智能音箱、联网儿童玩具、无人机、电子书。2智能家居 IoT12智能门锁、温控器、联网空调 / 冰箱 / 洗衣机、无线烟雾报警器、婴儿监护仪、智能照明、网关路由器。3金融支付终端123 全套无线 POS 机、mPOS、NFC 读卡器、加密硬件钱包、自助收银终端、数字货币硬件设备。4工业 车载物联网1采集数据加 2工业无线采集模块、联网智能电表水表、车载 T-BOX、车载中控、无线安防门禁。5医疗穿戴设备12无线心电监测、血糖手环、家用联网医疗检测仪。豁免产品不用做仅本地无线、完全无法接入互联网的设备纯蓝牙遥控器、无联网蓝牙耳机仅本地音频、不上网、单向无线遥控玩具无 IP 联网、仅本地对讲对讲机。三、三大子标准核心测试项目测试分为三层评估文档概念评估→功能完整性测试→实操渗透充分性测试模拟黑客攻击验证。一EN 18031-1 基础网络安全所有联网无线设备强制访问控制 ACM分级权限管理、禁止越权操作、闲置自动锁屏、后台管理端口权限隔离。身份认证 AUM高频不合格项禁止出厂默认通用密码首次开机强制修改密码复杂度、防暴力破解输错多次锁定蓝牙 / WiFi 配对安全认证禁止无鉴权开放接入。安全 OTA 升级 SUM固件签名校验、防篡改、防回滚降级、升级传输加密、升级失败自动回滚、漏洞长期维护承诺文档。安全通信 SCM全网通信强制 TLS1.2/TLS1.3禁止明文传输防中间人劫持、重放攻击、端口扫描防护闲置端口默认关闭。安全存储 SSM密钥、配置加密存储Flash / 内存敏感数据擦除不裸存账号密码。加密密钥管理 CRY强制合规加密算法AES-256、ECC、RSA 安全长度、密钥隔离、密钥轮换机制。网络抗攻击 RLMDDoS 限流防护、异常流量监控、设备不会沦为僵尸网络攻击外网安全日志留存审计。二EN 18031-2 隐私数据保护处理个人信息设备加测数据最小化采集不强制收集无关隐私位置、人脸、生物信息用户授权、一键删除个人数据、匿名化处理生物识别数据本地加密存储不上传明文儿童设备强制家长管控功能GDPR 配套隐私声明、数据泄露上报机制本地 / 云端隐私传输全程端到端加密。三EN 18031-3 金融防欺诈支付 / 货币设备全套加测交易多因素认证PIN 生物识别 / 硬件密钥硬件防篡改开盖自动销毁密钥、防侧信道攻击全链路交易加密、交易日志永久可审计追溯异常交易识别、防交易劫持、篡改支付金额支付密钥独立安全硬件隔离禁止明文导出。四、补充关键合规要点认证路径EN18031 属于 CE-RED 项下评估有两种方式高风险产品支付终端、儿童联网玩具必须公告机构 NB 发证不能自我声明普通消费 IoT可技术文件自我声明 DoC但实验室需出具 EN18031 测试报告留存备查。和 CRA欧盟网络安全法案区分EN18031 是无线设备入市强制门槛CRA 是大型 IoT 平台、高风险设备的欧盟网络安全认证二者并行不冲突。模块不能直接继承即使无线模块宣称满足 EN18031整机仍需重新整机测试整机固件、后台服务会新增安全风险。