2025年8月1日，EN 18031-3:2023将正式成为欧盟强制协调标准，所有带无线功能且处理货币/虚拟货币价值的设备（如POS机、加密货币硬件钱包），需通过该标准认证才能进入欧盟及欧洲经济区30国市场。
EN 18031-3:2023是欧盟《无线电设备指令》（RED 2014/53/EU）第3(3)(f)条“防欺诈保护”的专属技术规范，其强制力源于授权法案(EU)2022/30，2025年8月1日后将成为金融类无线设备入欧的“硬性门槛”。
它的核心定义很明确：针对“利用无线电设备漏洞实施的货币价值欺诈”，而非通用网络安全风险。这一点与EN 18031-1（基础网络安全）有本质区别：
-EN 18031-1关注“设备不被攻击”（如防DDoS、禁用默认密码）；
-EN 18031-3聚焦“交易不被篡改、资金不被窃取”（如支付指令验证、私钥保护）。
简单说，EN 18031-1是“设备安全的防盗门”，EN 18031-3是“金融交易的保险柜”。2025年欧盟监管将采用“主动抽查+市场举报”双机制，不合规产品不仅会被禁售，企业还可能被纳入欧盟“安全门”黑名单，影响其他产品准入。
二、EN 18031-3认证适用产品：
判断是否需要做EN 18031-3认证，只需满足两个核心条件：具备无线通信功能（Wi-Fi/蓝牙/4G/5G等）、处理或影响货币/虚拟货币价值（存储、传输、交易）。结合公告机构最新审核口径，具体适用设备及豁免范围如下：
1.强制认证设备清单：
-传统金融终端：带无线功能的POS机（手持款、智能款、手机外接模块）、ATM机、超市自助收银设备、银行自助转账终端；
-虚拟货币相关设备：支持无线同步的加密货币硬件钱包/冷钱包、虚拟货币交易专用POS终端；
-支付类穿戴设备：支持NFC支付的智能手表、手环等可穿戴设备；
-其他涉货币价值设备：带无线充值功能的公交卡终端、游戏币充值设备。
2.明确豁免设备：
-纯机械POS机（无电子联网功能）、仅显示账户信息不执行交易的查询屏；
-不涉及货币价值转移的纯积分**终端（无无线功能）。
3.关联地区特殊要求：
除欧盟27国外，冰岛、挪威、列支敦士登3个欧洲经济区国家已同步实施该标准。土耳其因关税同盟协议，不仅要求产品合规，还需在包装标注土语安全提示，并指定本土授权代表对接合规事务。
三、EN 18031-3认证核心强制要求：
EN 18031-3:2023的要求需通过“固件实测+物理检测+文档核查”三重验证，以下4项是公告机构审核的核心，任何一项不满足直接驳回：
1.安全启动与固件保护：
设备必须启用安全启动机制，仅允许运行经数字**验证的合法固件，杜绝恶意篡改。固件更新需同时满足“数字**+访问控制+时间戳”三重防护，高风险漏洞需48小时内响应、7天内推送修复，且需承诺设备生命周期内（至少2年）提供安全补丁。
2.物理防篡改与数据隔离：
关键部件（如安全元件SE、加密芯片）需具备防拆设计（如导电胶、微动开关），非法拆解时需触发敏感数据（私钥、交易记录）自毁且不可恢复。敏感数据需与普通数据分区存储，采用AES-256加密，防止物理读取或逻辑泄露。
3.交易完整性与身份认证：
所有交易指令（金额、账户、时间戳）需通过数字**确保完整性，传输过程必须使用TLS 1.2及以上加密协议。执行交易时需启用多因素认证（如密码+生物识别+动态令牌），大额交易需额外增加硬件密钥验证，禁止单一密码授权。
4.日志留存与可追溯性：
交易日志需加密存储且不可篡改，至少包含交易双方身份标识、终端位置信息、认证方式等关键字段，留存期限不少于5年，且需符合欧盟《反洗钱指令》（6AMLD）格式要求，方便监管追溯。
四、2025实操坑点与合规策略：
1.高频踩雷点（基于公告机构审核案例）：
-混淆合规路径：误以为金融设备可走“自我声明”，实际需通过公告机构（NB）第三方认证，自我声明仅适用于低风险非金融设备；
-文档缺失：未提供第三方组件合规声明或漏洞扫描报告，导致审核延期；
-忽视持续合规：证书有效期为5年，但需每年接受监督审核，未及时更新安全补丁会导致证书失效；
-日志格式不合规：缺失关键字段或留存时间不足，需重新整改文档和固件。
2.合规3步走策略：
-第一步（1-2个月）：合规评估与差距分析。对照标准条款和关联法规，梳理设备在硬件防篡改、固件保护、日志留存等方面的短板，明确整改优先级；
-第二步（3-4个月）：技术整改与文档准备。聚焦核心条款完成硬件改造和软件优化，同步整理安全设计文档、SBOM清单、合规声明等关键材料；
-第三步（2-3个月）：认证申请与测试整改。选择具备RED指令和EN 18031双重资质的公告机构（如TÜV莱茵、SGS），提交申请后根据测试反馈快速整改，高风险设备需提前预留工厂审核时间。
3.认证成本与周期参考：
-认证费用：基础金融设备（如普通POS机）1.5-3万欧元，复杂设备（如加密货币硬件钱包）5万欧元以上，工厂审核费约5000-1万欧元/次；
-认证周期：常规6-8个月（含测试、整改、工厂审核），低风险设备可缩短至3-4个月，建议提前6个月启动，避开2025年过渡期拥堵。
EN 18031-3:2023的强制实施，本质是欧盟用技术标准筛选具备安全竞争力的企业。对企业而言，合规不是“成本负担”，而是产品出海的“核心竞争力”，早对标、早整改，才能在欧盟市场站稳脚跟。蓝亚技术：13632500972，将为您提供专业的认证咨询服务。
