RED 指令3.3（d）（e）（f）网络安全相关义务，2025 年 8 月 1 日起，对欧盟市场新投放的无线产品正式强制执行。2026 年的核心变化，不在于要不要做网安，而是各成员国监管逐步落地，市场抽查范围持续扩大。产品射频、安规全部通过，如果网络安全缺失或者风险评估不达标，无法出具有效 DoC，也就不能粘贴 CE 标识。
三款条款分别管什么：
·3.3（d）侧重网络防护，避免设备成为网络攻击突破口，弱密码、开放无防护端口都属于风险点。
·3.3（e）管控个人数据与隐私保护，位置、儿童、健康类数据要做好防护，儿童相关设备属于重点监管对象。
·3.3（f）针对金融欺诈防护，支持支付、转账类功能的设备要具备防欺诈能力。
简单判定：联网设备至少满足 d；处理个人数据叠加 e；涉及支付场景再叠加 f。
二、EN 18031 三件套
EN 18031 是欧盟官方公报收录的协调标准，分为三个部分：
‑1 对应（d）网络防护，
‑2 对应（e）隐私保护，
‑3 对应（f）反欺诈。
整套标准覆盖访问控制、身份认证、安全升级、加密通信、日志留存等安全控制点，2024 年 8 月发布，2025 年 1 月纳入官方公报。
企业也可以选用其他技术方案完成等效论证，但无法享受协调标准带来的合规推定，论证工作量大，审核风险高。实际项目绝大多数都会直接采用这套标准。走等效路径，大多还需要公告机构参与，整体成本反而更高。
三、2025/138 限制条款是分水岭
欧盟 2025/138 执行决定列出限制情形，产品一旦触发，对应部分就失去协调标准推定效力，不能做自我声明，必须公告机构介入评估。
1.标准附录仅作为技术参考，合规判定只看正文规范性条款。
2.出厂为空密码、没有强制首次修改密码的产品，必须走公告机构评定。
儿童与金融设备边界：
1.儿童看护、玩具类设备，如果缺少家长管控功能，强制交由公告机构评估；具备完整家长管控，依旧可以走自我声明。
2.支付终端、带支付功能的智能设备适用‑3 部分，没有自我声明通道，全部需要公告机构介入。
触发限制不等于产品违规，调整产品设计就可以解除约束，但会增加项目的周期与成本。
四、2026 年执法在加码
2026 年各成员国加大 EN18031 落地核查力度，针对民用联网无线设备开展市场抽检。网络安全不再是可选项，属于法定强制要求。整车按 UN R155 完成型式批准的车载部件、部分受专项法规管辖的设备，可豁免该部分 RED 网安义务。
注：旧版安规标准 EN 60950‑1、EN 60065 早已废止，新版 EN IEC 62368‑1:2020/A11 为现行协调版本，2023 版暂未进入欧盟公报，不做强制要求。
五、合规路径怎么选
普通消费级无线物联网产品，完成 EN18031 风险评估和自测，制造商就可以做自我声明，不用公告机构。 需要强制公告机构介入的场景：金融支付终端、缺少管控的未成年人智能设备。医疗、工业无线设备优先遵从对应行业法规。
文档是胜负手：安全设计文档、威胁模型、符合性论证、漏洞扫描记录、用户安全指引，资料不全直接卡住审核。相关技术文件至少留存十年。前期同步梳理射频 EMC 与网络安全要求，能够减少后期补证的麻烦。
六、常见新误区
不少企业误以为只是多增加几项测试，实际是一整套完整安全评估体系。也有人觉得自我声明可以通吃全部产品，一旦触发限制条件，就必须走公告机构。还要区分开国内 GB44495 和 EN18031，前者是国内整车国标，后者是欧盟无线设备标准，适用范围不一样。
固件变更做好分级管理：只有改动安全相关逻辑的实质性变更，才需要重新开展评估；普通功能迭代，没有触碰安全控制点，不用复评。只要涉及安全相关固件改动，无论是否重测，都要更新技术文档与变更记录。
七、实操建议
项目立项阶段就把网络安全纳入基础要求，访问控制、身份认证、安全升级、加密通信、日志功能，在硬件软件架构阶段就要规划到位。做好出厂安全配置，禁用弱密码、关闭多余端口，支持安全升级与防篡改。
选对公告机构：
1.确认公告机构具备RED网络安全相关资质，熟悉对应产品品类，不同机构报价、排期差距较大。
2.部分机构支持前期文档预审，签约前把整改轮次明确写进合同。
EN18031 已经成为欧盟无线产品的硬性门槛，前期把文档责任落实到人，能减少很多出海风险。
蓝亚咨询联系人：Benson
手机/Mob：(+86)13632500972
邮箱/E-mail：marketing@cblueasia.com
地址/Add：深圳市宝安区石岩街道北环路107号鸿景达产业园C栋
蓝亚检测不止服务！
