PSTI认证全解读｜IoT设备出口英国网络安全合规指南

2024年4月29日，英国《产品安全与电信基础设施法案》（Product Security and Telecommunications Infrastructure Act，简称PSTI法案）正式生效，这是全球首部针对消费级物联网（IoT）设备网络安全的强制性立法。该法案对所有在英国市场销售或供应的可连接产品提出了明确的网络安全底线要求。对于正在或计划开拓英国市场的IoT设备企业而言，PSTI合规已从“可选项”变为“必答题”。本文将全面解读PSTI法案的核心要求、适用范围、合规路径及常见问题，帮助企业快速建立合规认知，抢占英国市场先机。

一、PSTI法案是什么？

1.1 立法背景

物联网设备数量呈爆发式增长，但安全水平却长期滞后。大量设备使用默认密码、缺乏安全更新机制，存在严重的网络安全隐患。英国政府援引2020年全球约42%的IoT设备存在安全漏洞，平均每台家庭IoT设备遭受超过5000次网络攻击尝试。

在此背景下，英国政府于2022年12月正式通过《产品安全与电信基础设施法案》（PSTI Act），并于2024年4月29日起正式强制实施，成为全球首批针对消费级IoT设备网络安全的专项立法。

1.2 PSTI vs 欧盟CE-RED网络安全要求

欧盟早在PSTI之前便已将网络安全要求纳入RED指令（Radio Equipment Directive）的修订案中，要求IoT设备满足ETSI EN 303 645网络安全标准。两者的核心要求高度一致，但适用地区不同：

二、哪些IoT产品需要满足PSTI要求？

2.1 适用范围

PSTI法案适用于在英国市场供应的“消费者可连接产品”（Consumer Connectable Products），即：

能够连接互联网或网络（有线或无线）的消费级产品，且既非完全用于向商业实体提供服务的组件，也非专用于商业服务的设备。

2.2 典型适用产品

强制适用（需要满足PSTI要求）：

· 无线路由器、有线路由器、Mesh网络设备

· 智能摄像头、IP摄像头

· 智能音箱、智能显示器

· 智能门锁、智能家居中控

· 联网电视、媒体流设备

· 智能穿戴设备（手表、手环）

· 联网玩具、儿童监控设备

豁免产品（无需满足PSTI要求）：

· 医疗设备（受其他法规管辖）

· 电动汽车及充电桩

· 仅用于商业服务的IoT组件

· 开放式计算机系统

· 智能电表及智能燃气/水表

· 二手翻新设备（特定条件下）

2.3 无线路由器：PSTI合规的典型高关注产品

无线路由器是PSTI合规中受到广泛关注的产品类别之一。作为家庭和办公网络的核心入口，路由器一旦存在安全漏洞，将可能导致整个局域网内的设备被攻击。根据PSTI法案，所有在英国市场销售的无线路由器均须满足PSTI安全要求，不论其产地是英国、欧盟还是其他地区。

三、PSTI合规路径：制造商、进口商、经销商分别怎么做？

PSTI法案对供应链上的不同主体有不同的合规义务。

3.1 制造商（Manufacturer）

作为产品合规的责任主体，制造商须：

1. 进行PSTI安全评估： 按照PSTI法案的三项基础安全要求，对产品进行安全评估

2. 编制技术文档： 整理产品安全评估报告、安全更新机制说明、漏洞报告渠道信息等技术文档

3. 起草UK Declaration of Conformity（UK DoC）： 签署英国符合性声明

4. 加贴UKCA标志： 在产品本体及包装上加贴UKCA标志（注意：PSTI使用的UKCA标志与一般产品安全的UKCA标志格式不同，需注意区分）

5. 附上合规信息： 在产品及包装中附上安全更新支持期限和漏洞报告渠道信息

3.2 进口商（Importer）

进口商须确保：

· 所进口的产品已满足PSTI要求

· 产品上已正确加贴UKCA标志及合规信息

· 进口商的名称和联系方式已标注在产品或包装上

· 产品附有英文版的使用说明和安全信息

3.3 分销商/经销商（Distributor）

经销商须：

· 核查产品已附有UK DoC声明

· 核查产品已加贴UKCA标志

· 不销售来源不明或无法提供合规证明的产品

· 配合执法机构的调查要求

四、UKCA标志：格式与加贴规则

4.1 PSTI UKCA标志的特别要求

PSTI法案使用的UKCA标志与一般产品安全UKCA标志有重要区别：

注意：如果产品仅自我声明（无公告机构参与），PSTI UKCA标志仍须包含四位编号吗？这是一个在实践中存在争议的问题。根据英国政府指引，建议在所有情况下均包含公告机构编号。

4.2 UKCA标志基本加贴规则

· 须以可见、可读、不可磨灭的方式加贴

· 小高度不小于5mm

· 不得被其他标志或图案遮挡或混淆

· 如因产品特性无法直接加贴，可加贴在包装或随附文件上

五、常见问题解答（FAQ）

Q1：路由器已经在欧盟满足CE-RED网络安全要求，还需要单独做PSTI认证吗？

需要。PSTI是英国的独立法规，与CE-RED属于不同法律体系。两者核心要求高度相似（均基于EN 303 645），但适用地区不同——英国不认可CE标志，企业须单独完成PSTI合规。

Q2：PSTI认证需要由公告机构（Notified Body）发证吗？

不强制。PSTI法案允许制造商通过自我评估（Self-Assessment）的方式声明合规，无需公告机构介入。但若产品含有无线电功能且需要满足RED指令的网络安全要求（EU），则可能需要公告机构参与。英国政府已指定部分机构提供PSTI认证测试服务，制造商可选择自愿参与第三方测试以增强可信度。

Q3：二手或翻新设备是否需要满足PSTI要求？

PSTI法案对二手设备的适用有特定豁免条件。若设备在投放市场时已满足PSTI要求，则在二手转售时享有一定豁免，但二手设备经销商仍须确保产品未经过不当改装，且安全更新机制未被破坏。具体豁免条件较为复杂，建议咨询合规顾问。

Q4：PSTI与UKCA标志的关系是什么？

PSTI合规需要加贴PSTI专用的UKCA标志。PSTI UKCA标志与一般产品安全UKCA标志在格式上有所不同——PSTI UKCA标志通常要求包含公告机构编号（4位数字）。UKCA标志是产品进入英国市场的"通行证"，无UKCA标志的可连接产品不得在英国市场合法销售。