Import af smart home-produkter fra Kina: RED og cybersikkerhed 2025

Et smart home-produkt er, i EU-rettens forstand, radioudstyr, så snart det udsender eller modtager bølger for at kommunikere med en anden enhed eller et netværk. En fjernstyret stikkontakt, et overvågningskamera, en bevægelses- eller røgsensor, en termostat, en pære eller en robotstøvsuger tilsluttet via Wi-Fi, Bluetooth, Zigbee eller Thread hører alle under denne definition, uanset deres funktion i hjemmet.

Denne klassificering udløser en præcis ramme: produktet skal overholde RED-direktivet, før det bringes på det europæiske marked, og siden den 1. august 2025 gælder et ekstra lag af cybersikkerhedskrav for tilsluttede forbrugerprodukter.

RED-direktivet, Radio Equipment Directive 2014/53/EU, regulerer markedsføringen af alt radioudstyr i EU. Det har været gældende siden den 13. juni 2016 og erstattede R&TTE-direktivet 1999/5/EF. Dets oprindelige formål dækker tre områder: brugernes sikkerhed og sundhed, effektiv brug af radiospektret, og enhedens elektromagnetiske kompatibilitet.

Allerede før cybersikkerheden skal en tilsluttet enhed opfylde disse grundkrav for at bære CE-mærkningen. Producenten, eller den importør der handler som sådan, når ingen producent etableret i EU påtager sig denne rolle, skal udarbejde en EU-overensstemmelseserklæring og et teknisk dossier tilgængeligt for myndighederne.

Den delegerede forordning (EU) 2022/30 tilføjer tre væsentlige krav til artikel 3, stk. 3, litra d, e og f i RED-direktivet. De trådte i kraft den 1. august 2025 for tilsluttede forbrugerprodukter, wearables, tilsluttet legetøj og babyalarmer.

Disse tre krav lægger sig oven på, uden at erstatte, RED-direktivets eksisterende ramme. Et produkt, der ikke opfylder dem, kan ikke bære CE-mærkningen, selv om det i øvrigt opfylder de klassiske radio- og elkrav.

Den harmoniserede standardserie EN 18031, offentliggjort i EU-Tidende den 30. januar 2025, udmønter de tre ovenstående krav i verificerbare tekniske kriterier: EN 18031-1 for netværket, EN 18031-2 for data og privatliv, EN 18031-3 for sikkerhedsforanstaltninger mod svindel. Siden den 1. august 2025 giver overholdelse heraf en formodning om overensstemmelse med den delegerede forordning 2022/30.

I de fleste tilfælde giver overholdelse af EN 18031 mulighed for en selverklæring: producenten foretager selv vurderingen, udarbejder det tekniske dossier og underskriver EU-overensstemmelseserklæringen, uden et bemyndiget organ. Et bemyndiget organ bliver nødvendigt, hvis produktet afviger fra en begrænsende klausul i standarden, for eksempel hvis det tillader, at der ikke defineres en adgangskode: den automatiske formodning bortfalder da, og en EU-typeafprøvning bliver nødvendig.

For en tilsluttet enhed med en radiofunktion, for eksempel Wi-Fi eller Bluetooth, dækkes den elektromagnetiske kompatibilitet af RED-direktivet selv. For et elektrisk apparat uden radiofunktion er det EMC-direktivet 2014/30/EU, der gælder separat for emissioner og immunitet.

En tilsluttet enhed, der drives fra lysnettet, forbliver desuden underlagt lavspændingsdirektivet 2014/35/EU for de elektriske risici, samt RoHS- og WEEE-direktiverne om farlige stoffer og bortskaffelse, som ethvert elektronisk produkt. Disse retsakter kumuleres med RED, de erstatter den ikke.

I Frankrig fører ANFR tilsyn med markedet for radioudstyr: bøde på op til 1.500 euro for en fysisk person, 7.500 euro for en juridisk person, plus mulige strafferetlige sanktioner. Cyber Resilience Act fastsætter en separat ordning, op til 15 millioner euro eller 2,5 % af den globale omsætning.

Cyber Resilience Act, forordning (EU) 2024/2847 om produkter med digitale elementer, trådte i kraft den 10. december 2024. To milepæle er vigtige for sourcing af smart home-produkter: allerede fra den 11. september 2026, pligt til at indberette aktivt udnyttede sårbarheder og alvorlige hændelser til ENISA eller det nationale CSIRT; fra den 11. december 2027, fuld anvendelse af de væsentlige krav, overensstemmelsesvurderingen, CE-mærkningen og den tekniske dokumentation i CRA.

Den delegerede forordning 2022/30, der i dag bærer RED-direktivets cybersikkerhed, ophæves den 11. december 2027 og opsluges af CRA. Et produkt, der allerede er bragt på markedet før denne dato, forbliver under RED-ordningen, så længe det ikke gennemgår en væsentlig ændring efter den 11. december 2027; indberetningspligten gælder derimod allerede fra den 11. september 2026, uanset dato for markedsføring.

En fabrik, der allerede producerer tilsluttede enheder for europæiske mærker, har normalt fået sine produkter testet af et akkrediteret laboratorium og har EN 18031-rapporter, der kan genbruges eller tilpasses. En fabrik, der først opdager disse krav ved din ordre, udgør en højere risiko for forsinkelse og manglende overensstemmelse.

Politikken for firmwareopdateringer fortjener særlig opmærksomhed: at beskytte netværket forudsætter, at enheden kan modtage sikkerhedsrettelser efter markedsføringen. Få skriftligt fastsat, hvor længe fabrikken forpligter sig til at levere disse opdateringer.

Sorva er et mægler- og handelshus mellem Europa og Kina, med et kinesisktalende team i Guangzhou og et kontor i Paris. Vores compliance-studie kontrollerer produktets RED-klassificering, den gældende EN 18031-formodning og de retsakter der kumuleres, EMC, lavspænding, RoHS, inden nogen produktionsforpligtelse. Et teknisk produktdossier samler derefter de dokumenter, myndighederne forventer: testrapporter, overensstemmelseserklæring, radioark.

I de fleste tilfælde betaler du ikke honorar på selve varen: du åbner en sag, vi forhandler indkøbet for dig hos fabrikken, og vi tager en kommission af dens værdi ab fabrik. Compliance-studiet og det tekniske dossier forbliver separate ydelser, nyttige allerede ved valg af leverandør.