带无线功能的设备要进欧盟，RED 指令（2014/53/EU）早就不是"测个射频、测个电磁兼容"就能收工了。它的网络安全条款（第 3.3 条 d/e/f 项）落地之后，协调标准 EN 18031 就成了绕不开的一关。这套标准的最新更新，主要盯的是设备联网之后的几个薄弱点。
**一是传输安全。** 加密通信的最低版本要求在收紧，比如 TLS 1.3 这类更现代的协议被纳入考量范围，老旧协议已经不被认可，设备固件里如果还停留在过时的加密套件上，会直接被判定不达标。
**二是默认凭据问题。** 出厂默认密码、硬编码口令是重灾区。新标准要求设备不能带着"admin/admin"这类默认凭据上市，要么强制首次使用改密，要么为每台设备生成唯一口令。
**三是安全更新的承诺年限。** 厂家不能只说"支持更新"，得明确给出安全更新的持续周期，并且建立可执行的补丁下发机制。这其实和网络弹性法案（CRA）的"支持周期"要求一脉相承。
**四是针对攻击面的测试项。** DDoS 防护、端口扫描的响应、接口暴露面的收敛，都纳入了评估范围。
这里要特别提醒一个更紧的节点：网络弹性法案（CRA，Regulation (EU) 2024/2847）第 14 条的漏洞上报义务，将在 2026 年 9 月 11 日生效。只要产品含数字元素并销往欧盟，一旦发现被主动利用的漏洞或严重安全事件，就要在 24 小时内向 ENISA 或指定 CSIRT 发早期预警、72 小时内补详细通知，后面还有完整的报告时限。RED 的 EN 18031 是"上市前"的合规门槛，CRA 的漏洞上报是"上市后"的持续义务，两者要一起抓。
另外，如果设备本身属于机械或带数字功能的工业设备，还要同步盯新《机械法规》(EU) 2023/1230——它在 2027 年 1 月 20 日全面适用后，网络安全（EHSR 1.1.9/1.2.1）会正式成为机械类产品评估的一部分。无线网关、带远程监控的控制柜、智能终端这类"跨界"产品，往往同时落在 RED、CRA、机械法规三张网里，得按产品实际功能逐条核对，而不是只办一张证了事。
