RED DA (EN 18031) 认证要求：无线产品进入欧盟市场的合规指南

乐鑫科技 Espressif

于 2025-05-13 11:46:34 发布

阅读量734

点赞数 9

文章标签：网络乐鑫科技物联网制造

本文链接：https://blog.csdn.net/espressif/article/details/147918688

版权

本指南旨在帮助基于乐鑫模组开发的无线产品制造商了解 RED DA (EN 18031)网络安全要求，识别自身产品类别，并在进入欧盟市场前明确合规路径。

引言

欧盟《无线电设备指令》(Radio Equipment Directive, RED 2014/53/EU) 旨在确保所有在欧盟市场投放的无线电设备符合基本的安全、健康、电磁兼容性及频谱效率等要求。随着该指令不断更新，欧盟已新增了一项《网络安全授权法案》(Delegated Act, DA)，即 EN 18031，该法案为无线电设备引入了新的网络安全合规要求。

对于所有制造商、系统集成商以及开发者来说，了解并实施这些新要求至关重要，以确保产品持续获得市场准入。本文将为相关企业提供一套清晰的评估框架，协助您判断当前的合规状态，并明确后续认证所需的关键步骤。

什么是 RED DA？

RED DA (EN 18031) 是对欧盟《无线电设备指令》的扩展，新增了对在欧盟市场销售的无线连接产品的强制网络安全要求。此前已符合 RED 要求的产品制造商，需在 2025 年 8 月 1 日前重新评估其产品以满足 RED DA 要求。

RED DA 网络安全要求

根据 RED DA 第 3(3) 条款，新增了三大类网络安全要求：

第 3(3)(d) 条：网络连接安全
要求产品具备安全的网络连接、强身份验证机制，并防止未经授权的访问。
第 3(3)(e) 条：个人数据和隐私保护
要求产品具备数据加密、安全存储及用户授权机制，以保障个人数据与隐私。
第 3(3)(f) 条：防范金融欺诈
要求通过安全支付接口和交易验证机制预防金融欺诈。

EN 18031 作为协调标准

为了帮助终端产品制造商更容易满足 RED DA 法规要求，欧盟发布了三项协调标准 (Harmonised Standards)，将法律要求转化为具体的技术实现指南。当制造商遵循这些标准时，可享有“符合推定” (presumption of conformity) 的优势，即主管部门将自动视为合规。

2025 年 1 月 28 日，欧盟委员会在《欧盟官方公报》中发布了 EN 18031 系列协调标准的引用信息，具体包括：

EN 18031-1:2024：面向联网无线电设备的安全要求
EN 18031-2:2024：面向处理个人数据设备的要求
EN 18031-3:2024：面向具备金融交易能力设备的要求

对产品制造商意味着什么？

如果您计划在欧盟市场销售具备无线功能的产品，必须确保产品符合 RED DA 要求，适用于以下情况：

2025 年 8 月 1 日之后的新产品发布
对现有产品进行安全相关的重要更新
即使使用了预认证无线模组，最终产品也需整体合规

RED DA 合规义务取决于产品在法规生效时的状态：

在 2025 年 8 月 1 日前尚未上市的产品，必须满足 RED DA 要求
在该日期前已出货至分销商或公开销售的产品，视为已投放市场，不需追溯适用
但若在 2025 年 8 月 1 日之后进行安全相关更新，则可能被视为新产品，需重新评估

EN 18031 是针对模组还是整机产品？

EN 18031 的适用对象是具备网络连接能力的完整无线电设备，而非单一模组。尽管乐鑫的模组可作为构建终端产品的重要组件，且可进行独立认证，但单独模组的认证并不代表最终产品符合 RED DA 要求。

最终产品的合规责任归属于整机制造商。即使使用了已认证的安全模组，也必须评估整个系统是否符合 EN 18031 的所有要求。

简而言之，安全模组可以为合规提供支持，但无法替代整机认证。

RED DA 合规流程

制造商可选择以下两种方式来满足 RED DA 网络安全要求：

自我评估流程

制造商可自行进行合规评估，该方法具有以下优点：

成本低，无需支付第三方费用
节省时间，避免冗长的外部审核流程
合规过程更可控

要进行自我评估，制造商需：

完整满足适用的 EN 18031 要求
编制详尽的技术文档，展示各项要求的实现方式
自行签署合格声明 (Declaration of Conformity)

无需额外流程，但在主管机构要求时，需要随时准备提供相关文档。

通知机构评估流程

另一种方式是通过欧盟授权的通知机构 (Notified Body) 完成合规评估。若产品虽参考 EN 18031 标准但对部分要求存在豁免情形，则必须由通知机构介入。

典型需通知机构介入的场景：

若用户可选择不设定密码，尽管标准 EN 18031-1/2/3 (6.2.5.1、6.2.5.2) 中规定了密码管理方式，但产品即视为不合规；
EN 18031-2 (6.1.3 至 6.1.6) 中描述了玩具及儿童产品的访问控制机制，但实际设计不兼容时也不能仅依靠标准满足合规；
EN 18031-3 (6.3.2.4) 中定义了四类安全更新机制，但无法单独解决涉及金融资产的身份验证风险。

通知机构将：

审查技术文档
对产品进行 RED DA 要求的评估
如果需要，将开展额外测试
发放合规认证文件

合规所需文档

为符合 RED DA 要求，制造商需准备并保存以下文件：

产品技术规格书
风险评估及缓解计划
所采用的 EN 18031 标准清单
合格声明
若为自我评估： 由制造商自行签署合格声明
若通过通知机构： 通知机构发放合格声明，制造商提供技术文档支持

终端产品制造商的责任

制造商必须履行以下义务：

在产品上市前准备好全部合规文档
文档保存期限至少为产品上市后 10 年
保证制造过程持续符合合规要求
为合规产品加贴 CE 标志

市场监管机构在产品上市后可随时抽查相关文档。如无法提供，制造商可能面临重新认证、罚款甚至产品召回的风险。

乐鑫模组合规支持

乐鑫的 SoC 已具备实现 RED DA 合规所需的硬件安全能力：

提供详细的《安全指南》，协助制造商落地安全功能
官方固件已启用推荐平台安全特性，满足 RED DA 网络安全要求
某些具体要求需依据最终产品设计实现

RED DA 合规支持对照表

ID¹	安全要求分类	EN 18031-1	EN 18031-2	EN 18031-3	ESP 支持²
ACM	访问控制	✅	✅	✅	✅
AUM	身份验证	✅	✅	✅	✅
SUM	安全更新	✅	✅	✅	✅
SSM	安全存储	✅	✅	✅	✅
SCM	安全通信	✅	✅	✅	✅
CCK	加密材料保密	✅	✅	✅	✅
GEC	通用设备安全能力	✅	✅	✅	✅
CRY	加密算法	✅	✅	✅	✅
DLM	安全删除用户数据	—	✅	—	✅
LGM	日志记录	—	✅	✅	P
RLM	异常场景弹性	✅	—	—	P
NMM	网络监控	✅	—	—	P
TCM	流量控制	✅	—	—	P
UNM	用户安全通知	—	✅	—	P