Importere smarthjem-produkter fra Kina : RED og cybersikkerhet 2025

En smarthjem-enhet er, i europeisk retts forstand, radioutstyr så snart det sender eller mottar bølger for å kommunisere med en annen enhet eller et nettverk. En fjernstyrbar stikkontakt, et overvåkningskamera, en bevegelses- eller røyksensor, en termostat, en pære eller en robotstøvsuger tilkoblet via Wi-Fi, Bluetooth, Zigbee eller Thread faller alle under denne definisjonen, uansett husholdningsfunksjon.

Denne klassifiseringen utløser et presist rammeverk : produktet må oppfylle RED-direktivet før det bringes på det europeiske markedet, og siden 1. august 2025 gjelder et ekstra lag med cybersikkerhetskrav for tilkoblede forbrukerenheter.

RED-direktivet, Radio Equipment Directive 2014/53/EU, regulerer markedsføring av alt radioutstyr i EU. Det har vært i kraft siden 13. juni 2016 og erstattet R&TTE-direktivet 1999/5/EF. Det opprinnelige formålet dekker tre områder : brukernes sikkerhet og helse, effektiv bruk av radiospekteret, og enhetens elektromagnetiske kompatibilitet.

Allerede før cybersikkerheten må en tilkoblet enhet oppfylle disse grunnkravene for å bære CE-merket. Produsenten, eller importøren som opptrer som sådan når ingen produsent etablert i EU påtar seg denne rollen, må utarbeide en EU-samsvarserklæring og en teknisk dokumentasjon tilgjengelig for myndighetene.

Den delegerte forordningen (EU) 2022/30 legger til tre grunnleggende krav i artikkel 3 nr. 3 bokstav d, e og f i RED-direktivet. De trådte i kraft 1. august 2025 for tilkoblede forbrukerenheter, bærbar teknologi, tilkoblede leker og babymonitorer.

Disse tre kravene kommer i tillegg til, uten å erstatte, det eksisterende RED-rammeverket. Et produkt som ikke oppfyller dem, kan ikke bære CE-merket, selv om det for øvrig oppfyller de klassiske radio- og elkravene.

Standardserien EN 18031, publisert i EUs offisielle tidende 30. januar 2025, omsetter de tre kravene ovenfor til verifiserbare tekniske kriterier : EN 18031-1 for nettverk, EN 18031-2 for data og personvern, EN 18031-3 for sikkerhetsmekanismer mot svindel. Siden 1. august 2025 gir samsvar med denne en formodning om samsvar med delegert forordning 2022/30.

I de fleste tilfeller gjør oppfyllelse av EN 18031 det mulig med egenerklæring : produsenten utfører selv vurderingen, etablerer den tekniske dokumentasjonen og signerer EU-samsvarserklæringen, uten teknisk kontrollorgan. Et teknisk kontrollorgan blir nødvendig dersom produktet avviker fra en begrensende klausul i standarden, for eksempel dersom det tillater å ikke sette et passord : formodningen faller da bort automatisk, og en EU-typeprøving blir påkrevd.

For en tilkoblet enhet med en radiofunksjon, for eksempel Wi-Fi eller Bluetooth, dekkes den elektromagnetiske kompatibiliteten av selve RED-direktivet. For et elektrisk apparat uten radiofunksjon er det EMC-direktivet 2014/30/EU som gjelder separat for utslipp og immunitet.

En tilkoblet enhet koblet til strømnettet er for øvrig underlagt lavspenningsdirektivet 2014/35/EU for elektriske risikoer, samt RoHS- og WEEE-direktivene om farlige stoffer og produktets levetid, som ethvert elektronisk produkt. Disse regelverkene kommer i tillegg til RED, de erstatter det ikke.

I Frankrike overvåker ANFR markedet for radioutstyr : bot på inntil 1 500 euro for en fysisk person, 7 500 euro for en juridisk person, i tillegg til mulige strafferettslige sanksjoner. Cyber Resilience Act fastsetter et eget regime, på inntil 15 millioner euro eller 2,5 % av den globale omsetningen.

Cyber Resilience Act, forordning (EU) 2024/2847 om produkter med digitale elementer, trådte i kraft 10. desember 2024. To milepæler er viktige for sourcing av smarthjem-produkter : fra 11. september 2026, plikt til å melde aktivt utnyttede sårbarheter og alvorlige hendelser til ENISA eller den nasjonale CSIRT-en ; fra 11. desember 2027, full anvendelse av de grunnleggende kravene, samsvarsvurderingen, CE-merkingen og den tekniske dokumentasjonen i CRA.

Den delegerte forordningen 2022/30, som i dag utgjør cybersikkerhetsdelen av RED, oppheves 11. desember 2027 og absorberes av CRA. Et produkt som allerede er brakt på markedet før denne datoen, forblir under RED-regimet så lenge det ikke gjennomgår vesentlige endringer etter 11. desember 2027 ; meldeplikten gjelder derimot allerede fra 11. september 2026, uansett når produktet ble brakt på markedet.

En fabrikk som allerede produserer tilkoblede enheter for europeiske merker, har normalt fått sine artikler testet av et akkreditert laboratorium og har EN 18031-rapporter som kan gjenbrukes eller tilpasses. En fabrikk som først oppdager disse kravene når din bestilling kommer inn, representerer en høyere risiko for forsinkelse og manglende samsvar.

Oppdateringspolicyen for fastvaren fortjener spesiell oppmerksomhet : å beskytte nettverket forutsetter at enheten kan motta sikkerhetsoppdateringer etter at den er brakt på markedet. Få fabrikken til å presisere skriftlig hvor lenge den forplikter seg til å levere disse oppdateringene.

Sorva er et megler- og handelshus mellom Europa og Kina, med et kinesisktalende team i Guangzhou og et kontor i Paris. Vår regulatoriske samsvarsstudie kontrollerer produktets RED-klassifisering, den gjeldende EN 18031-formodningen og regelverkene som kommer i tillegg, EMC, lavspenning, RoHS, før noen produksjonsforpliktelse inngås. Et teknisk produktdokument samler deretter dokumentene myndighetene forventer : testrapporter, samsvarserklæring, radioteknisk datablad.

I de fleste tilfeller betaler du ikke honorar på selve varen : du åpner en sak, vi forhandler kjøpet for deg hos fabrikken, og vi tar en provisjon av verdien fra fabrikk. Samsvarsstudien og det tekniske dokumentet forblir egne tjenester, nyttige allerede fra valget av leverandør.