随着全球数字化交易的快速发展，欧盟对无线电设备的网络安全要求正经历一场根本性变革。根据欧盟官方文件，具备可联网能力并能完成金融交易的设备将面临更为严格的市场准入要求。
这一变化背后，是欧盟无线电设备指令授权法案（EU 2022/30 Radio Equipment Directive Delegated Act）将于2025年8月1日正式生效的合规新规。
01 法规背景与生效时间
根据欧盟官方时间表，RED指令第3.3(d)、(e)和(f)项的合规要求将于2025年8月1日起强制执行。这项法规旨在确保联网设备在整个生命周期内能够抵御网络安全威胁。
为支持这一法规实施，欧盟标准化机构于2024年8月发布了EN 18031系列测试标准，其中EN 18031-3专门对应RED指令第3.3(f)条，主要针对具备金融交易功能的无线电设备的网络安全要求。
该标准已自2025年1月28日起被列入欧盟官方公报（OJEU），成为正式的可协调标准，为制造商提供了明确的合规路径。
02 适用产品范围
EN 18031-3标准适用于同时具备可联网能力和金融交易功能的设备，这类设备因其处理敏感金融数据的能力而受到特别关注。
具体包括但不限于：POS机、自助支付终端、自动售货机、联网ATM机以及支持数字货币交易的智能设备。
这些设备由于直接处理资金转移或价值交换，一旦遭受网络攻击，不仅可能导致直接经济损失，还可能破坏整个支付系统的信任基础。
03 通用评估要求
EN 18031-3标准要求对设备的安全资产和金融资产进行全面保护，涵盖四大核心安全机制。访问控制机制是基础防线，要求设备建立适当的权限管理系统，确保只有授权实体能够访问敏感资产。
具体实现手段包括设备存储保护、物理接触限制、用户角色权限管理、加密通信、密码保护和证书校验等多层防护。
安全通信机制强调设备间及设备与云服务间的数据传输安全，要求采用TLS 1.2或更高版本的安全协议，防止中间人攻击和重放攻击，保障通信的完整性、真实性和机密性。
04 金融功能专项要求
针对金融交易功能，EN 18031-3标准制定了更为严格的安全评估要求。设备必须对所有通过机器接口访问的金融或安全功能实施强化的身份验证机制，确保仅授权用户能够执行相关操作。
设备还需具备有效的日志记录能力，详细记录与金融资产相关的所有关键事件，为后续追踪、分析和审计提供可靠依据。
这一要求特别强调设备中处理金融或安全资产的软件，必须在启动时通过硬件信任根进行完整性校验，确保其来源可信且未被篡改。
05 安全更新与存储机制
EN 18031-3标准对设备更新机制提出了明确要求。设备必须至少配备一种可靠的软件更新方式，如通过配套应用程序、Web管理界面或本地接口实现。
更新过程必须确保安全性，包括通过数字签名验证固件包的完整性和真实性，并禁用未加密的HTTP通信通道，防止更新过程中的中间人攻击。
安全存储机制要求设备对本地存储的敏感数据实施访问权限控制或数据加密，评估将验证加密算法的强度和密钥管理的安全性，防止未授权访问或数据篡改。
06 第三方评估的必要性
根据欧盟官方公报的特殊规定，EN 18031-3标准中的安全更新评估条款不具备合规性推定效力。这意味着无论产品设计如何先进，制造商都无法自我声明合规。
欧盟当局认为，对于处理金融资产的设备，单一评估方法无法有效应对所有认证风险，因此必须进行第三方独立评估。
这一要求表明，适用于RED 3.3(f)条款的金融类产品必须接受独立第三方的合规性评估，以确保符合EN 18031-3标准的所有要求，这是进入欧盟市场的强制性步骤。
RED新规下的设备供应链正在发生根本性变化。制造商必须在产品设计初期就融入这些网络安全要求，而不仅仅是作为附加功能。从硬件信任根到端到端加密，从安全启动到完整日志记录，每一层防护都在重新定义“合规设备”的内涵。
这意味着欧洲市场对所有具备金融交易功能的联网设备关闭了自我认证的大门。
扫一扫微信交流