做智能手表出口歐盟的工廠，今年應(yīng)該都被客戶提過一個新要求："EN18031有沒有做？"很多工廠第一反應(yīng)是懵——EN18031是什么？CE認證不是已經(jīng)做了嗎？怎么又冒出來一個新標準？

我認識一個深圳的智能穿戴廠商，年初一批貨發(fā)到德國，客戶驗收時發(fā)現(xiàn)缺少EN18031的網(wǎng)絡(luò)安全評估報告，直接拒收，整批貨在港口壓了兩周才搞定補測。說白了，智能手表想進歐盟市場，EN18031這道新門檻繞不過去。

今天把EN18031這件事講透。它和傳統(tǒng)CE認證有什么關(guān)系、智能手表具體要測什么、對產(chǎn)品設(shè)計有什么影響，都掰開了說清楚。

一、EN18031到底是什么？和CE認證什么關(guān)系

EN18031是歐盟發(fā)布的無線電設(shè)備網(wǎng)絡(luò)安全協(xié)調(diào)標準，是歐盟無線電設(shè)備指令（RED）的網(wǎng)絡(luò)安全補充要求。通俗點說，以前做CE認證只管電磁兼容（EMC）和安全（LVD），現(xiàn)在歐盟覺得不夠了——聯(lián)網(wǎng)設(shè)備還得管網(wǎng)絡(luò)安全。

1.和傳統(tǒng)CE認證的關(guān)系。CE認證是個"大帽子"，下面蓋著EMC指令、LVD指令、RED指令等。EN18031是RED指令下的網(wǎng)絡(luò)安全補充標準，專門管帶數(shù)字元素的無線電設(shè)備。智能手表有藍牙、WiFi等無線功能，屬于無線電設(shè)備，必須滿足RED指令的網(wǎng)絡(luò)安全要求，而EN18031就是滿足這個要求的協(xié)調(diào)標準。

2.和歐盟網(wǎng)絡(luò)彈性法案CRA的關(guān)系。CRA（Cyber ResilienceAct）是歐盟對帶數(shù)字元素產(chǎn)品的網(wǎng)絡(luò)安全法規(guī)，2025年起分階段生效。EN18031是CRA落地的重要技術(shù)依據(jù)之一，兩者管的是同一類問題，但適用范圍和法律效力不同。簡單理解：CRA是法規(guī)，EN18031是標準；CRA管"必須做"，EN 18031管"怎么做"。

3.為什么智能手表必須做。智能手表有藍牙連接功能，部分還有WiFi、蜂窩網(wǎng)絡(luò)（4G/5G），屬于帶數(shù)字元素的無線電設(shè)備。EN18031覆蓋的產(chǎn)品范圍包括所有通過互聯(lián)網(wǎng)直接或間接連接的無線電設(shè)備，智能手表完全在范圍內(nèi)。

二、智能手表EN 18031具體測哪些內(nèi)容

EN18031的測試內(nèi)容和傳統(tǒng)EMC/安規(guī)完全不同，它關(guān)注的是產(chǎn)品的網(wǎng)絡(luò)安全能力。對智能手表來說，核心測試項包括：

1.身份認證與訪問控制。智能手表和手機配對時的身份認證機制是否安全？是否支持安全的藍牙配對協(xié)議？手表上的健康數(shù)據(jù)、支付功能是否有訪問控制？EN18031要求設(shè)備具備適當?shù)纳矸菡J證機制，防止未授權(quán)訪問。

2.安全更新機制。智能手表的固件是否支持安全更新？更新過程是否加密驗證？如果手表不支持安全更新，或者更新通道沒有加密保護，攻擊者可以通過固件更新注入惡意代碼。EN18031要求設(shè)備具備安全的軟件更新能力。

3.數(shù)據(jù)存儲與傳輸安全。智能手表存儲的健康數(shù)據(jù)、位置信息、通訊錄等敏感數(shù)據(jù)，存儲時是否加密？傳輸時是否使用安全協(xié)議（如TLS）？EN18031要求設(shè)備對敏感數(shù)據(jù)實施適當?shù)谋Ｗo措施。

4.密碼學(xué)要求。設(shè)備使用的加密算法是否符合行業(yè)公認標準？密鑰管理是否安全？EN18031要求設(shè)備使用適當?shù)拿艽a學(xué)機制保護通信和數(shù)據(jù)，禁止使用已知不安全的加密算法。

和傳統(tǒng)EMC/安規(guī)測試不同，EN18031的測試更偏向軟件和固件層面。很多硬件出身的工廠對這塊不太熟悉，測試時容易在固件安全配置、加密協(xié)議實現(xiàn)等環(huán)節(jié)出問題。建議在產(chǎn)品固件開發(fā)階段就引入網(wǎng)絡(luò)安全設(shè)計，不要等硬件做好了再補安全。

三、EN 18031和傳統(tǒng)CE認證的測試差異

很多工廠做了多年CE認證，對EMC和安規(guī)測試很熟悉，但EN18031完全是另一個維度的考核：

1.測試對象不同。EMC/安規(guī)測試的是硬件性能（電磁發(fā)射、絕緣耐壓、溫升等），EN18031測試的是軟件和固件的網(wǎng)絡(luò)安全能力。硬件測試可以在實驗室用儀器完成，網(wǎng)絡(luò)安全測試需要對產(chǎn)品的軟件架構(gòu)、通訊協(xié)議、數(shù)據(jù)存儲方式進行深入評估。

2.測試方法不同。EMC/安規(guī)測試有明確的測試流程和通過標準，結(jié)果是定量的（比如發(fā)射功率多少dBm、溫升多少度）。EN18031的測試更偏向定性評估，測試人員會審查產(chǎn)品的安全設(shè)計文檔、進行滲透測試、驗證安全機制是否有效。測試結(jié)果的判定更依賴測試人員的專業(yè)判斷。

3.整改方式不同。EMC不過可以換濾波器、加屏蔽罩，硬件改動相對直觀。EN18031不過需要改固件代碼、調(diào)整安全架構(gòu)、更新加密協(xié)議，整改周期更長、成本更高。這也是為什么建議在產(chǎn)品開發(fā)階段就考慮網(wǎng)絡(luò)安全設(shè)計，而不是等測試不過再改。

EN18031對智能手表出口歐盟的影響是實實在在的。它不只是多一個測試項目，而是要求產(chǎn)品從設(shè)計階段就具備網(wǎng)絡(luò)安全基因。理解這個本質(zhì)區(qū)別，才能在產(chǎn)品開發(fā)中提前布局。

常見問題（FAQ）

Q1：智能手表已經(jīng)做了CE-RED認證，還需要做EN18031嗎？
A：需要。CE-RED認證覆蓋的是電磁兼容和安全要求，EN18031是RED指令下的網(wǎng)絡(luò)安全補充標準，兩者管的是不同維度的合規(guī)要求。只做CE-RED不滿足網(wǎng)絡(luò)安全要求，產(chǎn)品在歐盟市場可能面臨合規(guī)風(fēng)險。

Q2：EN18031認證大概要多久？
A：EN18031的評估周期受產(chǎn)品復(fù)雜度、固件安全設(shè)計成熟度等因素影響。如果產(chǎn)品在開發(fā)階段已經(jīng)考慮了網(wǎng)絡(luò)安全設(shè)計，評估周期相對可控；如果需要后期補安全機制，整改周期會拉長。建議在產(chǎn)品立項階段就啟動網(wǎng)絡(luò)安全合規(guī)規(guī)劃。

Q3：EN18031和美國FCC的網(wǎng)絡(luò)安全要求有什么區(qū)別？
A：兩者管的是不同市場。EN18031是歐盟標準，依據(jù)RED指令和CRA法規(guī)；FCC的網(wǎng)絡(luò)安全要求依據(jù)美國聯(lián)邦通信委員會的規(guī)定。測試內(nèi)容和標準不同，不能互相替代。如果產(chǎn)品同時出口歐盟和美國，兩套合規(guī)都需要做。