无线电设备指令（RED directive 2014/35/EU，下称”RED指令”）是无线电设备能够合法地进入欧盟国家销售的一项准入性要求。随着近年来物联网技术和市场的发展，全球范围内无线电产品的需求和数量显著增加，尤其是联网无线电设备、玩具和育儿设备及可穿戴式设备。但大多数设备缺乏足够的网络、信息安全保障措施来保护设备和个人数据，容易受到攻击或被窃取个人数据。另一方面，欧盟委员会和各国的相关研究确定了越来越多的无线电设备所构成的网络安全风险。例如：监视儿童行为或对话的玩具风险；存储在设备中的未加密个人数据，包括与支付相关的数据，可轻松访问；滥用网络资源从而降低设备的功能、服务。

指令最新动态

近日，欧盟委员会正式通过一项RED指令的补充授权草案，该草案旨在确保所有无线电设备在欧盟市场上销售之前具备相适应的安全措施。该草案为网络安全保障规定了新的法律要求，即制造商在相关产品的设计和生产中必须考虑网络安全相关的要求。草案将更好地加强对个人数据和消费者隐私的保护，降低货币欺诈风险，并确保通信网络具备更好的弹性。

该草案主要涉及RED指令中第3(3)(d)、(e)以及(f)条：

(d) radio equipment does not harm the network or its functioning nor misuse network resources, thereby causing an unacceptable degradation of service.

(e) radio equipment incorporates safeguards to ensure that the personal data and privacy of the user and of the subscriber are protected.

(f) radio equipment supports certain features ensuring protection from fraud.

该草案适用范围将涵盖大部分可接入网络的无线电终端设备，包括但不限于智能家电、智能门锁、智能安防、可穿戴设备、网络摄像头、玩具和儿童看护类设备等。

该草案规定了3(3)(d)、(e)、(f)三个条款的适用范围：

第3(3) (d)条款要求适用于能够通过互联网进行通信的任何无线电设备，无论是直接通信还是通过任何其他设备进行通信。（连接互联网的无线电设备）

第3(3) (e)条款要求适用于以下具备处理个人数据、流量数据、位置数据(*)能力的任何无线电设备：

(a) 专门为儿童看护设计的无线电设备；

(b) 涵盖在指令2009/48/EC（玩具安全指令）范围内的无线电设备；

(c) 设计或计划（无论是否专用于）佩戴、捆绑或悬挂在以下任意一个部位的无线电设备：

   1) 人体的任何部位，包括头部、颈部、躯干、手臂、手掌、腿和脚；

   2) 穿着的任何衣物，包括头饰、手饰和鞋类。

(d)除以上(a)(b)(c)点提及的设备外的连接互联网的无线电设备。

备注：

(*)“处理”及“个人数据”定义详见GDPR(通用数据保护条例)(EU)2016/679中第 4(2)条及第4(1)条；

“流量数据”及“位置数据”定义详见Directive 2002/58/EC(privacy and electronic communications)中第二条第(b)、(c)点。

第3(3)(f)条款的要求适用于允许无线电设备向所有人或用户转移资金、货币价值或虚拟货币(*)的任何无线电设备。

备注：(*)“虚拟货币”定义见指令(EU)2019/713第二条第(d)点。

同时，草案也注明其适用范围不包括特定指令监管的无线电设备，其中，机动车辆、电子道路收费系统、远程控制无人机的设备以及可能安装在飞机上的非机载特定无线电设备不受第3(3)(e)条关于保护个人数据和第3(3)(f)条防止欺诈的要求。此外，第3(3)(d)、(e)、(f)条均不适用于医疗和体外医疗器械设备。

未来动向

如欧盟理事会和议会都没有提出任何反对意见，草案将在为期两个月的审查期后生效（欧盟委员会已于2021年10月29日通过本草案）。

待草案正式生效后，预计制造商将有30个月的过渡期来开始遵守新的法律要求。这将为行业提供足够的时间在新要求生效之前适配相关产品，预计到2024年中期。

未来欧盟委员会将要求欧洲标准化组织制定相关标准，以支持制造商遵守新要求。或者，制造商还可通过相关公告机构对其产品进行测试评估的方式，来证明其产品的符合性。