EN 18031网络安全：为什么你的射频报告全过，CE还是贴不上去

射频报告全过，CE还是贴不上去，大概率是因为你的产品触发了 EN 18031 的限制条款，自我声明通道已经失效。

你的射频（RED）和安规（LVD）测试确实都通过了，但欧盟无线电设备指令（RED）在 2025 年 8 月 1 日之后，新增了三项强制性的网络安全要求（第 3.3(d)(e)(f) 条）。EN 18031 就是用来证明你满足这些要求的标准。

问题出在：EN 18031 虽然被列入了协调标准清单，但欧盟附加了限制条款。一旦触发这些条款，EN 18031 就不再享有“符合标准即推定合规”的效力，你不能走自我声明（Self-Assessment）路径，必须找欧盟公告机构（Notified Body）做第三方评估，才能出具有效的 DoC 并加贴 CE 标志。

一、你的产品触发了哪条限制

根据 (EU) 2025/138 决定，以下三种场景会直接关闭自我声明通道：

场景一：出厂允许“空密码”或跳过首次改密

如果你的设备出厂后，用户可以不设置密码、或者跳过首次登录强制改密就能正常使用，就触发了 EN 18031-1/2/3 中关于默认密码的限制条款。这是实验室反馈中最高频的不合格项，很多产品就是因为这一条直接挂掉。

只有出厂强制要求首次登录修改密码、并永久关闭空白登录通道的设备，才能保留自我声明资格。靠硬件密钥或蓝牙配对密钥完成认证、根本不走账号密码体系的设备，不受这条约束。

场景二：儿童玩具或看护设备缺少家长控制

适用 EN 18031-2 的儿童玩具、婴儿监视器等产品，如果没有完整实现家长或监护人的访问控制条款，强制走公告机构评估。

场景三：金融支付或虚拟货币设备

涉及联网支付、虚拟货币转移的设备（如支付终端），仅靠单一的安全更新方式（如只有数字签名）不足以防范欺诈，必须结合多重防护机制并交由公告机构审核，没有自我声明通道。

二、关键提醒：附录内容救不了你

EN 18031 标准正文中的 Rationale（理由）和 Guidance（指南）章节仅作参考，没有合规价值。差距分析和公告机构审核只认正文的规范性条款。拿着附录里的解释去跟审核机构辩解是无效的。

三、你的合规路径判定

如果你中招了，不需要重做射频和安规测试，但需要委托公告机构对网络安全部分进行第三方评估，并将评估结果纳入技术文件，重新签署符合性声明。

四、企业行动清单

立即启动四项核心工作：

1. 检查出厂配置：确认设备是否强制要求首次登录修改密码、是否永久关闭空白登录通道

2. 确认产品类别：确认产品是否属于儿童设备、看护设备或金融支付设备

3. 判定合规路径：未触发限制条款的产品可继续走自我声明；触发限制条款的产品须委托公告机构进行第三方评估

4. 准备技术文件：包括风险评估报告、网络安全设计文档、测试报告等，确保评估顺利通过

五、常见误区

六、风险提示

• 自我声明失效风险：触发限制条款的产品，自我声明无效，须重新走公告机构评估

• 周期与成本风险：公告机构评估周期更长、成本更高，须提前规划

• 设计阶段决策风险：空密码登录、家长控制等功能的设计决策必须在产品开发早期完成，后期整改难度大

• 标准更新风险：EN 18031标准及(EU) 2025/138决定持续更新，企业须关注最新版本要求

结语

EN 18031 网络安全要求自 2025 年 8 月 1 日起已强制实施。空密码登录设备、缺少家长控制的儿童设备、金融支付设备三类产品失去了自我声明的资格，必须走欧盟公告机构的第三方评估路径。

相关企业立即启动三项核心工作：检查设备出厂配置是否强制首次改密；确认产品是否属于儿童设备或支付设备；根据判定结果选择合规路径并准备完整技术文件。触发限制不等于产品违规，但决策必须在设计阶段做出——事后改固件默认配置往往来不及。