EN 18031，2025 年 8 月 1 日生效。
别急着慌。这玩意只管新投放欧盟、头回上市的产品。仓库里堆着的老库存，不追溯。
还有一重边界。只看联网无线电设备。纯接收机、压根没网络连接能力的无线玩意，不在这套标准的射程里。
RED 指令第 3.3 条，挂了十几年，法律效力一直摆在那。不是 "没人执行"。是之前没协调标准，厂商拿不出能被市场监管认可的测试证据。执法部门想查，也没法查。2025 年 EN 18031 进官方公报，3.3 条从纸上谈兵变真刀真枪。
1. EN 18031-1 通用安全
包含 14 组安全目标。网络接入控制、身份认证、软件完整性、安全更新、最小化攻击面，全在这。
2. EN 18031-2 个人数据保护
摄像头、智能音箱、可穿戴，采集存储传输了用户信息，-2 跑不掉。
3. EN 18031-3 金融安全要求
别盯着 POS 机和支付手环，格局小了。无线设备集成支付模组、具备金融交易处理能力，全在 - 3 射程里。车载内置支付模组，Tier1 漏项重灾区。
二、14 组安全目标豁免规则
1. 不是每条都强制测试
没 OTA 功能，软件更新安全目标直接不适用。只有本地物理接口、没网络端口，网络接入控制可以简化。
2. 豁免自己说了不算
拍到脑袋就说 "这条不适用"，工厂里天天这么干。实验室不吃这套。豁免得在测试计划里做适用性论证，出具书面判定，实验室审核认可，才准剔除。随便写个理由就想免项，行不通。
三、出厂默认密码与 Module A 路径
这是行业里传得最离谱的一个误区。很多客户被代理商吓唬，"你设备有出厂默认密码，Module A 没戏，必须约 NB"。
给我听好。EN 18031 是协调标准。你完完整整满足全部适用条款，管它有没有默认密码，Module A 自声明这条路依旧开放。只有设备实在达不到 EN18031 要求、没法依靠协调标准推定合规，才轮到 NB 介入评估。默认密码本身不会直接封死 Module A 路径。
1. 跟 RED Module A 的关系
EN 18031 纳入协调标准以后，满足要求的无线设备，依然可以走 Module A，不需要强制找 NB。流程跟做 EMC、射频测试一致。委托实验室完成 EN18031 评估、出具报告、整合进 TCF 技术文件、签署 DoC。
2. 重大隐藏大坑：部分条款无协调标准效力
这事到现在绝大部分厂商不知情。欧盟官方公报明确标注，EN 18031 部分子条款不具备协调标准推定合规效力。对应的安全目标，无法依靠标准实现合规推定，需要 NB 介入评估。产品功能刚好落在这类条款范围内，Module A 路径无法使用。送测前，对照产品功能与具备协调效力条款逐条核对。避免方案敲定后，临时变更合规路径、追加预算，耽误项目进度。
四、TLS 协议与加密相关要求
1. TLS 版本规范
TLS 协议选用当前公认安全的加密套件。** 1.3，兼容场景允许降到 1.2。TLS 1.1 属于弱加密方案，主流实验室评估结论不予接受。注意措辞。标准条文没有明文 "禁止 TLS 1.1"，是实操评估层面不认可。引用标准表述时务必精准。
2. 自研加密协议要求
预共享密钥长度不低于 128 位。证书体系要求证书链完整、可验证、根证书来源可信。自主开发加密协议，制造商需要证明安全强度不低于当前公认安全基线，不能简单等同于 TLS 1.2。渗透测试属于实验室评估手段，标准并未强制绑定，不要被第三方机构诱导额外增加测试项目。
3. 密码策略规范
标准不对密码长度设置硬性规定。但防暴力**机制属于强制要求，需要具备登录锁定、访问延时等防护手段。
五、EN18031 不要和 CRA 法案混淆
两码事。EN 18031 是 RED 3.3 条配套协调标准，仅管辖无线电联网设备，2025 年 8 月 1 日生效。CRA 属于全品类网络安全法规，有线、无线所有联网数字化产品统一管控，覆盖产品全生命周期。CRA 正式生效时间为 2027 年 12 月 11 日，当前处于过渡期，不要混淆过渡期与强制实施日期。
六、模组评估报告复用边界
无线模组完成 EN18031 评估，整机集成之后不能直接复用模组报告。整机需要独立开展全套适用性论证评估。大量项目案例中，厂商误以为模组通过评估，整机可以免检，最终 TCF 技术文件审查受阻，重新补充评估，造成项目延期。
七、EN18031 测试落地实操
1. 测试模式特点
EN18031 测试和传统 EMC 射频测试完全不同。不是仪器自动跑脚本，属于系统性安全评估。工程师需要人工审查固件安全设计文档、代码**机制、密码策略、端口管控、安全日志能力，逐项开展评估。
低功耗 IoT 传感器评估周期较短；车载 T-Box、工业路由器这类复杂设备周期更长。评估费用高于普通 EMC、安规项目，文档审查 + 人工渗透评估人力成本更高。
制造商需要提前筹备资料：安全架构设计文档、威胁模型分析报告、密码策略说明书、安全开发生命周期文件。硬件企业首次筹备这类文档，普遍耗费大量时间。
2. EN18031 与渗透测试的区别
EN18031 属于结构化安全能力评估，具备明确测试项、统一判定标准。渗透测试属于开放式攻击模拟，无固定测试清单。EN18031 测试通过，不代表产品可以抵御全部网络攻击，仅证明满足 RED 3.3 条法定最低安全底线。市场监管机构仍可依据通用网络安全法规提出更高要求。运营商、金融行业大客户招标，通常会在 EN18031 基础上额外要求深度渗透测试、源代码审计。EN18031 是合规底线，不是安全天花板。
3. 适用性论证文件归档要求
整套适用性论证文件，必须纳入 RED 技术文件 TCF，不能仅仅存放于测试报告内部。海关、欧盟市场监管机构抽查时调取完整 TCF 档案，而非单一测试报告。避免监管抽查时出现文件缺失、归档位置错误的问题。
针对EN18031 欧盟无线设备网络安全标准，有疑问可联系蓝亚技术检测认证机构顾问 13632500972（Benson）
