认证流程是很多企业决策的关键变量。周期太长影响产品上市时间，流程不清晰容易在中间环节卡住。EN 18031的认证流程和传统CE-RED有继承关系但又有本质区别，这篇就把从零开始到拿到证书的完整过程讲明白。
EN 18031的认证路径分两条：自我声明和公告机构认证。走哪条路，是启动认证之前必须做的第一件事，因为它直接影响后面的一切。
1.能走自我声明的产品，是绝大多数常规联网消费无线设备，比如Wi-Fi插座、蓝牙耳机、智能手环、普通摄像头，满足EN 18031测试和风险评估文档要求后，制造商自己做测试或委托第三方实验室做完测试，整理技术文档，签署符合性声明，就可以贴CE标志出货了。
2.必须走公告机构认证的产品，包括金融支付类设备、高风险儿童智能设备、具备远程启停、压力功率调节、生命参数调控等可造**身或设备重大风险的远程控制设备。普通采集监测类工业医疗无线模块仍可SDoC。NB认证意味着你的技术文档和测试结果要送交欧盟认可的指定公告机构进行独立审核，NB审核通过后出具EU型式检验证书，然后你才能签署符合性声明。
现实情况是，整体项目中约30%到40%为NB强制品类（支付、高风险儿童、高危工业医疗），剩余60%到70%普通消费无线设备适用SDoC自我声明。
二、EN 18031认证完整流程拆解
假设你走的是NB认证路径，完整流程可以分为六个阶段。
第一阶段是产品合规差距评估，周期大概一到两周。
这个阶段就是把你的产品技术方案和EN 18031的标准条款逐一对照，找出差距项。比如你的加密协议用的还是TLS 1.2，那得升级到TLS 1.3。比如你的固件更新没有数字**验证，那得加。比如你的设备有admin/admin这样的默认密码，那得改。差距评估做完，你会拿到一份完整的整改清单，哪些是必须改的、哪些是建议改的、哪些可以写解释说明，一目了然。
第二阶段是技术文档准备，周期两到四周。
技术文档是EN 18031的灵魂，包括产品功能和安全架构描述、数据流图、威胁模型分析（行业通用STRIDE方**，也可选用PASTA等等效成熟威胁建模框架，只要威胁覆盖完整、风险分级合理即可）、风险评估报告、安全开发流程说明、漏洞管理和安全更新策略、用户安全使用说明。文档质量直接决定NB审核的顺利程度。文档写得稀烂，审核员看不懂，反复问询，整个周期就被拖长了。
第三阶段是正式测试，周期三到六周。
根据产品复杂度不同，测试时间差异很大。简单蓝牙设备可能两三周搞定，多模Wi-Fi加蓝牙加蜂窝网的设备可能要六周以上。测试内容按需叠加EN 18031-1/-2/-3三套子标准：网络安全测试（加密、访问控制、协议栈安全、固件更新机制）、隐私保护测试（数据加密、访问控制、同意机制、家长控制），以及如果适用的话金融安全测试（防篡改、交易审计、完整性验证）。这个阶段最容易出问题的点是，产品在实验室环境下跑测试，出现某些指标不达标，需要整改后复测。实验室均单独收取复测工时与设备占用费用，多次整改复测会显著抬高整体预算与周期，而且复测需要重新排期，一来一去往往耽搁一到三周。
第四阶段是NB审核，周期四到八周。
测试报告和技术文档打包提交给公告机构，NB审核员会从头到尾审一遍。这个阶段制造商会收到多轮问询，审核员对某些测试结果的解释、某个技术方案的设计逻辑、某项风险缓解措施的充分性提出质疑，你需要逐一回复。如果前期文档做得足够充分，问询可能就一两轮。如果文档有硬伤，问询做到四五轮也不奇怪。
第五阶段是发证和签署符合性声明，周期一到两周。
NB审核通过之后，公告机构签发EU型式检验证书。拿到证书之后，制造商签署符合性声明，产品就可以贴CE标志出货了。
第六阶段是获证后的持续合规，这是一个长期过程。
EN 18031不是一锤子买卖，获证之后你在产品生命周期内需要维护安全更新机制、漏洞披露流程、定期风险评估。NB发证产品需配合公告机构每年一次监督审核，核查变更、固件更新、风险评估更新和生产一致性；自我声明机型无NB年度审核，但企业必须全程留存全套安全文档、漏洞与固件更新记录，以备市场监管随时抽检调阅。
三、EN 18031认证总周期有多长
从启动到拿证，一个典型的NB认证项目，总周期通常在四到六个月之间。标准机型预评估加测试加文档整理3到4个月可走完，复杂带OTA、多模组、儿童或支付机型的要5到6个月。六个月甚至更长的情况也很常见，一旦出现整改复测或者多轮NB问询，周期就不可控了。
加急通道是存在的但费用不便宜。有些公告机构和实验室提供加急服务，可以把总周期压缩到两到三个月，但通常要额外支付30%到50%的加急费。加急溢价仅能压缩实验室测试和NB排期工时，无法缩短研发整改周期；产品本身存在安全缺陷的话，加急抢出来的时间还不够补缝的。
四、最容易延误的环节
从实操经验来看，有三个环节最容易拖进度。
第一个是文档准备。很多人低估了技术文档的工作量，以为随便写写就行。结果NB审核员一看，数据流图画错了、威胁模型覆盖不全、风险评估缺少缓解措施的定量分析，直接打回来重做。文档返工是最耗时的延误类型。
第二个是加密协议和默认配置的问题。如果你产品设计阶段没考虑EN 18031的要求，到测试阶段才发现TLS版本不对、密码策略不符合要求、固件**验证缺失，那就得回到研发环节改代码。这就不是测试能等几天的事了，而是研发周期级别的延误。
第三个是NB排期。2025年下半年到2026年上半年是EN 18031的申请高峰，各大公告机构的审核排期都很紧张。有些机构要等四到六周才能分配审核员。所以提交申请的时间点要趁早，越往后越难抢到排期。
蓝亚检测在EN 18031全流程上提供一站式服务，从合规差距评估、技术文档编写支持、正式测试到NB审核对接全链路覆盖。蓝亚技术检测认证机构顾问：13632500972（Benson）
