EN 18031 属于 RED 指令下网络安全相关协调标准，从 2025 年 8 月开始，对具备联网无线功能的产品强制执行。该标准属于基础 CE‑RED 要求之外的附加评估项，整体费用会跟随产品适用范围、合规路径、评估深度产生浮动。下面把评估相关的费用组成做拆解，同时梳理档位划分以及询价时需要留意的要点。
（1）评估形成的相关结论，需要并入 CE‑RED 整套技术文件，由制造商签署符合性声明，整体依旧沿用 RED 的合规路径，不存在单独的网络安全证书。
（2）射频、EMC 属于传统 RED 基础评估项目，网络安全相关评估为单独计费模块。企业在询价阶段，建议确认两项服务的报价是否分开罗列，方便后续内部对账核算。
（1）EN 18031‑1 针对通用网络安全要求，绝大多数联网无线电设备都需要满足；EN 18031‑2 聚焦个人隐私数据处理，育儿设备、穿戴类设备、玩具类产品会落到这个子标准范畴；EN 18031‑3 面向涉及金融价值传输场景，支付终端类产品适用本条。
（2）产品实际需要覆盖哪几个子标准，直接决定评估范围以及费用基数。这里有一个比较容易混淆的知识点：basic、substantial、high 风险分级出自 ETSI EN 303645 物联网安全标准，EN 18031 本身并没有设置这套风险分级，此项评估只判定满足或者不满足标准要求，市场上出现的分级收费大多属于服务商自定义的服务套餐。
先依据标准配套的决策树完成产品适配判定，明确标准条款对本产品是否适用，输出差距分析清单，梳理产品设计层面存在的缺口，判断后续整改涉及硬件还是软件调整。
市面上部分服务商会把这一项单独报价，也有服务商将其打包进整套评估服务。这份清单输出质量，会直接影响后续测试工作量。企业在启动评估之前，尽量整理清楚产品无线接口数量、账号权限体系、是否配置显示屏等产品信息，便于评估工作顺利推进。
整套评估分为三层工作：文档层面的概念评估，核查条款有无缺项的功能完整性评估，验证实际落地效果的功能充分性评估。端口扫描、弱口令检测属于基础测试内容；固件逆向、调试口排查、硬编码密钥检查、加密强度核验、APP 以及云端接口校验属于深度评估内容。
评估深度不同，对应的工作量会出现数倍差距。如果一味压缩深度评估相关工作，产品后续落地、整改返工的成本，有可能高于前期完整开展评估的投入。
对比传统 RED 的文档，EN 18031 对文档的要求更加繁琐，需要准备风险分析文档、安全架构与信任边界说明、标准条款映射材料、逐条机制评估报告、漏洞处置以及持续维护计划、面向使用者的安全说明等材料。
企业内部拥有安全团队的情况下，可以自行完成文档编制，仅采购测试和文档审核服务；内部没有对应能力，则需要同步采购文档支撑服务。文档相关投入属于容易被忽略的成本，只关注测试单价，很容易造成整体预算预估偏低。
参照欧盟执行决议 (EU) 2025/138，标准中 6.2.5.1、6.2.5.2 免密使用相关条款，属于会丧失合规推定效力的受限条款。当产品使用到这两条受限条款，就需要走公告机构型式检验路径。
公告机构产生的费用包含文件审核、样机复核以及工厂相关核查。多数消费类无线电子产品，满足标准全部条款、不触碰受限条款时，可以采用自我声明路径。企业拿到报价材料之后，要确认公告机构介入的判定依据，依据需要来自官方执行决议附录，不能只参考服务商内部规则。
补充：部分产品同时归属 MDR 医疗器械法规管辖，这类产品不在 EN 18031 的约束范围内，不需要开展此项网络安全评估。
产品出现无线硬件重大改动、固件实质性版本迭代、新增无线功能这类实质性变更，属于欧盟法规定义的新投放市场，需要重新开展对应评估；在强制生效日期之前已经投放欧盟市场的存量产品，法规不做追溯要求。
漏洞处置属于持续性的工作投入，企业在做预算规划的时候，建议把首次评估费用和后续变更产生的费用分开统计，预算测算会更加准确。
简单的联网传感器一般仅适用‑1 子标准；会处理个人隐私数据的产品叠加‑2 子标准；涉及货币交易功能，则‑1、‑2、‑3 全部需要覆盖。无线医疗产品如果落入 MDR 医疗器械管控范畴，则豁免 EN18031 评估。
完整应用整套标准，并且没有触发 (EU) 2025/138 写明的受限条款，可选择自我声明路径；一旦触发受限条款，则需要启用公告机构介入的路径。产品在设计阶段，就把初始密码策略、儿童监护权限、安全更新机制确定下来，能够给到合规路径更多选择空间，也会影响整体投入。
注意：仅仅只是部分引用标准条款，不等于直接强制公告机构介入，需要结合受限条款的触**况综合判断。
产品同时搭载蓝牙、Wi‑Fi、蜂窝等多套无线接口，攻击面会随之扩大，对应的测试组合也会增加。企业在做询价对比的时候，优先对齐整套服务的工作清单：差距分析、文档支撑、公告机构审核、变更复测等模块逐项核对，再综合评估整套服务适配度。
各项变量梳理完成后，可以向服务商索要受限条款的书面判定，判定依据需要引用官方执行决议附录，不采信机构内部**规则。对适用范围拿不准的，建议在差距分析阶段输出书面判定结论。
1.适用子标准确认：‑1 作为基础项，‑2 依据是否处理隐私数据判定，‑3 依据是否具备金融交易功能判定，确认产品子标准归属。
2.受限条款排查：重点核查 6.2.5.1、6.2.5.2 免密相关条款，确认初始密码策略、密码修改要求、儿童监护权限、安全更新机制，排查是否触发受限条款。
3.接口盘点：梳理全部无线接口，完整统计产品攻击面。
4.文档盘点：梳理风险分析、安全架构图、条款映射表、漏洞处置维护计划，确认现有文档缺口。
5.报价材料核对：确认 RED 射频 EMC 项目与 EN18031 网络安全评估分项列示；拿到受限条款是否触发的书面判定依据。
整体成本浮动，主要来源于评估适用范围和评估深度。提前理清各模块工作内容，确定合规路径，对齐全部服务内容，更有利于企业做好预算规划。
蓝亚咨询联系人：Benson
手机/Mob：(+86)13632500972
邮箱/E-mail：marketing@cblueasia.com
地址/Add：深圳市宝安区石岩街道北环路107号鸿景达产业园C栋
蓝亚检测不止服务！
