你的产品适用哪些物联网安全法规？
欧盟《网络弹性法案》、英国 PSTI 制度、美国网络信任标志和 ETSI EN 303 645 分别对联网产品提出了哪些要求，彼此之间又是什么关系。
图片： paws and prints / Unsplash
读完本文，你将能够：
- 说明 ETSI EN 303 645、PSTI、《网络弹性法案》和网络信任标志各有哪些要求
- 分清强制性制度和自愿性标签，并了解各自适用于谁
- 确定产品团队首先要做什么，从支持期到 SBOM 和漏洞披露
借助 AI 根据一手资料起草 · 由另一个独立的 AI 智能体核查 · 编辑部抽查 · 我们如何核查（英文）
二十年来，联网产品安不安全，全看厂商自己怎么定；市场奖励的是速度和价格，而不是及时打补丁。随之而来的是一波波僵尸网络，以及接连被发现使用硬编码密码的摄像头、路由器和玩具，监管机构的想法由此改变。如今，在欧盟、英国或美国销售的产品都要承担安全义务：要么是法律强制，要么在商业上很难置之不理。
对物联网（IoT）团队来说，最重要的框架有四个：欧盟《网络弹性法案》（CRA）、英国《产品安全和电信基础设施法案》（PSTI）确立的监管制度、美国网络信任标志（U.S. Cyber Trust Mark），以及另外三者都依托的基线标准 ETSI EN 303 645。本指南逐一说明它们要求什么、适用于谁，以及产品团队应该怎么做。这是一篇工程层面的概述，不构成法律意见。
ETSI EN 303 645 有哪些要求？
先从这项标准说起，因为几部法律都引用它。ETSI EN 303 645 于 2020年首次发布，目前为第 3.1.3 版（2024年9月），为消费级物联网安全设定了一条基线，条款分为 13 类。最主要的几项是：
- 不使用通用的默认凭据：每台设备都有唯一密码，或者由用户自行设置，而且密码必须能抵御暴力破解。
- 公开漏洞报告渠道，并及时处理，也就是正式的漏洞披露流程。
- 软件更新：安全分发，安装前先校验，并在明示的支持期内持续提供，买家在购买前就能看到这个支持期。
- 安全存储密钥和凭据，通信安全，尽量缩小攻击面（不留闲置端口，不运行多余服务，调试接口要加固）。
- 软件完整性校验（如安全启动）、网络中断时的韧性、输入校验，以及让用户能方便地删除自己的数据。
配套规范 ETSI TS 103 701 规定了测试实验室如何依据这些条款评估产品。这项标准是为消费级设备编写的，但也被广泛用于商用产品。如果你的产品符合 EN 303 645，下面几部法律要求的技术工作大部分就已经完成了。
英国 PSTI 制度有哪些要求？
英国《2022年产品安全和电信基础设施法案》及其自 2024年4月29日起施行的配套条例，把 EN 303 645 中的一部分条款变成了法定义务，适用于在英国销售的消费级可联网产品。具体有三项要求：
- 不得使用通用默认密码。
- 公布安全问题的报告联系人和报告政策。
- 公布产品接收安全更新的最短期限。
制造商必须出具合规声明，进口商和分销商不得销售没有合规声明的产品。执法机构是英国产品安全与标准办公室（Office for Product Safety and Standards），罚款最高可达 1000 万英镑或全球营业额的 4%，以较高者为准。这套制度有意只管很窄的范围，但只要产品卖到英国消费者手里，不论在世界哪里生产，都必须遵守。
欧盟《网络弹性法案》有哪些要求？
CRA 是四者中覆盖面最广的。它是一部横向法规，适用于“具有数字元素的产品”（products with digital elements），几乎涵盖所有联网的硬件和软件，不分消费级还是工业级，从智能灯泡、PLC（可编程逻辑控制器）到商业销售的软件库都在其列。条例 (EU) 2024/2847 于 2024年12月10日生效；其中的漏洞和事件报告义务已于 2026年9月11日开始适用，全部要求从 2027年12月11日起适用。
它的核心思路，是把安全规则和无线电规则中早已为人熟知的 CE 标志模式延伸到网络安全领域。制造商要加贴 CE 标志，必须做到：
- 按照网络安全基本要求设计产品：默认安全，发布时不存在已知的可被利用漏洞，具备唯一身份和访问控制，在适当情况下加密传输中和存储中的数据，尽量缩小攻击面，并具备韧性。
- 在支持期内持续处理漏洞。支持期应与产品的预期使用寿命相符，一般不少于五年。这包括维护一份至少涵盖顶层依赖项的软件物料清单（SBOM），免费提供安全更新，并公布已修复的漏洞。
- 向指定主管机构报告正被积极利用的漏洞和严重事件：24 小时内发出早期预警，72 小时内提交更完整的通报。
- 完成合格评定。大多数产品可以自我评估。“重要”类和“关键”类产品则要走更严格的路径，需要依据协调标准或接受第三方评估；这两类包括操作系统、路由器、防火墙、门锁和摄像头等智能家居安防产品、安全微控制器，以及智能电表网关。
CRA 还对进口商和分销商规定了义务。在商业活动中投放市场的开源软件受 CRA 约束，非商业性质的开源软件则不在其适用范围内；开源软件管理者（steward，例如支持商用自由软件的基金会）适用较轻的制度，且不会被处以罚款。能提供合格推定的协调标准，目前仍在按欧盟委员会的标准化请求制定之中，而且只有在《欧盟官方公报》上引用的标准才具有这种推定效力。在此之前，EN 303 645 可以作为消费级设备的实用参考，但不具备这种法律效力。
美国网络信任标志是什么？
美国走的是自愿标签路线，而不是强制规定。美国联邦通信委员会（FCC）于 2024年3月批准了网络信任标志计划：消费产品依据一套标准通过测试后，就可以使用这枚盾形标志。这套标准源自 NIST（美国国家标准与技术研究院）的 IR 8425，即 NIST 为消费级物联网产品制定的基准要求。标志旁附有二维码，扫码可进入登记页面，查看支持期、更新政策及相关信息。
技术标准涵盖的都是熟悉的内容：资产识别、产品配置、数据保护、接口访问控制、软件更新和网络安全状态感知，另外还要求厂商履行文档和信息披露义务。测试由经认可的实验室负责。推进一直很慢：首个首席管理方（Lead Administrator）UL Solutions 于 2025年12月退出；FCC 在 2026年4月指定 ioXt Alliance 为首席管理方；2026年10月27日，FCC 就标志设计、认证续期和上市后监督发起意见征询；目前主导该计划的 FCC 委员在 2026年10月28日表示，希望贴有标志的产品能在未来一年内上架。由于这一标志是自愿的，它的约束力来自零售商和政府采购对贴标产品的青睐。此外，美国多个州也有自己的物联网安全法律，其中最知名的是加利福尼亚州禁止默认密码的规定。
工业产品适用哪些规定？
消费类框架并不是全部。工业设备和关键基础设施设备要依据 IEC 62443 评估。这一系列标准为组件、系统，以及开发和运营这些组件、系统的组织定义了安全等级。受欧盟 NIS2 指令约束的运营者，越来越多地要求供应商提供符合 62443 的组件。因此，向工厂、公用事业或楼宇领域销售设备的厂商，除了证明符合 CRA，还应准备好出示 62443-4-1（安全开发流程）和 62443-4-2（组件要求）的证明材料。
产品团队该怎么做？
这些制度高度重叠，一套计划就能覆盖其中大部分：
- 按 EN 303 645 开发产品；工业产品还要满足 IEC 62443-4-2。这样就能覆盖英国的要求和 CRA 的大部分基本要求。
- 上市前确定并公布支持期，并为在整个支持期内提供 OTA 升级预留工程投入。这个决定直接影响 PSTI、CRA 和网络信任标志三方面的合规。
- 从第一次构建起就维护 SBOM。产品出货后再补做，会非常痛苦。
- 制定漏洞披露政策，设立有专人监看的联系渠道，并建立一套流程，在 CRA 规定的时限内完成漏洞分级处理和报告。
- 尽早按 CRA 确定产品类别。默认类、重要类和关键类在评估路径和文档负担上差别很大，足以影响项目进度。
- 把合格证据、测试报告和技术文件整理有序；监管机构和大客户都会来要。
这些都不是什么高深的工程。它就是物联网安全基础里讲过的那套规范，只不过现在有了截止日期。
延伸阅读
- 《物联网安全基础》介绍这些规则要应对的威胁。
- 《物联网设备身份、证书与 PKI》讲解唯一身份要求在实践中如何落实。
- 《设备管理与 OTA 升级》讲的是上述每项制度都默认你已经具备的能力。
- 《能买一台人形机器人回家吗？》把 CE 标志和欧盟规则套用到一台从欧盟境外订购的联网机器人上。
- 《儿童智能手表和联网玩具》列出了送人之前要检查的事项。
- 《安全支持期》解释设备能获得多长时间的更新，以及去哪里查看。
- 《智能设备停止支持之后》说明哪些功能会失效，以及用户能做些什么。
- 2026年11月8日：更正关于开源软件的表述：非商业性质的开源软件不在 CRA 适用范围内；较轻且不设罚款的制度适用于开源软件管理者（第 24 条），而不是“非商业性质的管理者”
- 2026年11月4日：根据 FCC 2026年10月27日发起的意见征询，以及主导该计划的委员 2026年10月28日给出的时间预期，更新网络信任标志的进展
- 2026年10月22日：新增示意图
- 2026年10月17日：更正《网络弹性法案》的日期（报告义务自 2026年9月11日起适用，2027年12月11日起全面适用）；写明 PSTI 罚则（最高 1000 万英镑或全球营业额的 4%）；补充网络信任标志首席管理方（Lead Administrator）的变更；ETSI EN 303 645 更新为 3.1.3 版；添加来源链接
- 2026年10月22日：将 ETSI EN 303 645 表述为 13 类条款（而非 13 项条款）；更正关于 CRA 协调标准的句子：EN 303 645 在 CRA 下不提供合格推定
更正的处理方式：编辑方针（英文）。
主题：法规、网络弹性法案、PSTI、网络信任标志、ETSI EN 303 645、合规