Import produktów inteligentnego domu z Chin: RED i cyberbezpieczeństwo 2025

Produkt inteligentnego domu jest, w rozumieniu prawa europejskiego, urządzeniem radiowym, gdy tylko emituje lub odbiera fale w celu komunikacji z innym urządzeniem lub siecią. Gniazdko sterowane zdalnie, kamera monitorująca, czujnik ruchu lub dymu, termostat, żarówka lub robot sprzątający połączone przez Wi-Fi, Bluetooth, Zigbee lub Thread wchodzą wszystkie w tę definicję, niezależnie od ich funkcji domowej.

Ta kwalifikacja uruchamia precyzyjne ramy: produkt musi spełniać dyrektywę RED przed wprowadzeniem na rynek europejski, a od 1 sierpnia 2025 dodatkowa warstwa wymagań cyberbezpieczeństwa stosuje się do produktów połączonych przeznaczonych dla konsumentów.

Dyrektywa RED, Radio Equipment Directive 2014/53/UE, reguluje wprowadzanie na rynek Unii Europejskiej każdego urządzenia radiowego. Obowiązuje od 13 czerwca 2016 roku i zastąpiła dyrektywę R&TTE 1999/5/WE. Jej pierwotny cel obejmuje trzy filary: bezpieczeństwo i zdrowie użytkowników, efektywne wykorzystanie widma radiowego, oraz kompatybilność elektromagnetyczną urządzenia.

Jeszcze przed cyberbezpieczeństwem produkt połączony musi już spełniać te podstawowe wymagania, aby nosić oznakowanie CE. Producent, lub importer działający w tej roli, gdy żaden producent z siedzibą w Unii jej nie przyjmuje, musi sporządzić unijną deklarację zgodności oraz dokumentację techniczną dostępną dla organów.

Rozporządzenie delegowane (UE) 2022/30 dodaje trzy wymagania zasadnicze do artykułu 3 ustęp 3 punkty d, e i f dyrektywy RED. Weszły one w zastosowanie 1 sierpnia 2025 dla produktów połączonych przeznaczonych dla konsumentów, urządzeń ubieralnych, zabawek połączonych i monitorów niemowlęcych.

Te trzy wymagania dodają się, nie zastępując, do istniejących ram RED. Produkt, który ich nie spełnia, nie może nosić oznakowania CE, nawet jeśli spełnia poza tym klasyczne wymagania radiowe i elektryczne.

Seria norm zharmonizowanych EN 18031, opublikowana w Dzienniku Urzędowym Unii Europejskiej 30 stycznia 2025, przekłada powyższe trzy wymagania na weryfikowalne kryteria techniczne: EN 18031-1 dla sieci, EN 18031-2 dla danych i prywatności, EN 18031-3 dla zabezpieczeń przed oszustwami. Od 1 sierpnia 2025 zastosowanie się do niej sprawia, że domniemywa się zgodność z rozporządzeniem delegowanym 2022/30.

W większości przypadków spełnienie EN 18031 pozwala na samodzielną deklarację: producent przeprowadza sam ocenę, tworzy dokumentację techniczną i podpisuje unijną deklarację zgodności, bez jednostki notyfikowanej. Jednostka notyfikowana staje się konieczna, jeśli produkt odbiega od klauzuli restrykcyjnej normy, na przykład jeśli pozwala nie ustawiać hasła: domniemanie automatyczne wtedy upada, a wymagane staje się badanie typu UE.

Dla produktu połączonego z funkcją radiową, na przykład Wi-Fi lub Bluetooth, kompatybilność elektromagnetyczną obejmuje sama dyrektywa RED. Dla urządzenia elektrycznego bez funkcji radiowej, stosuje się osobno dyrektywę EMC 2014/30/UE dla emisji i odporności.

Produkt połączony zasilany z sieci pozostaje ponadto objęty dyrektywą niskonapięciową 2014/35/UE w zakresie ryzyk elektrycznych, a także dyrektywami RoHS i WEEE dotyczącymi substancji niebezpiecznych i końca życia produktu, jak każdy produkt elektroniczny. Te teksty kumulują się z RED, nie zastępując jej.

We Francji ANFR nadzoruje rynek urządzeń radiowych: grzywna ograniczona do 1500 euro dla osoby fizycznej, 7500 euro dla osoby prawnej, plus możliwe sankcje karne. Cyber Resilience Act przewiduje odrębny reżim, do 15 milionów euro lub 2,5 procent światowego obrotu.

Cyber Resilience Act, rozporządzenie (UE) 2024/2847 w sprawie produktów z elementami cyfrowymi, wszedł w życie 10 grudnia 2024. Dwa terminy liczą się dla sourcingu inteligentnego domu: od 11 września 2026, obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów do ENISA lub krajowego CSIRT; od 11 grudnia 2027, pełne zastosowanie wymagań zasadniczych, oceny zgodności, oznakowania CE i dokumentacji technicznej CRA.

Rozporządzenie delegowane 2022/30, które dziś reguluje cyberbezpieczeństwo w ramach RED, zostanie uchylone 11 grudnia 2027 i wchłonięte przez CRA. Produkt już wprowadzony na rynek przed tą datą pozostaje pod reżimem RED, dopóki nie przejdzie istotnej modyfikacji po 11 grudnia 2027; obowiązek zgłaszania stosuje się natomiast już od 11 września 2026, niezależnie od daty wprowadzenia na rynek.

Fabryka, która już produkuje przedmioty połączone dla europejskich marek, zwykle zleciła przetestowanie swoich pozycji akredytowanemu laboratorium i dysponuje raportami EN 18031 nadającymi się do ponownego wykorzystania lub adaptacji. Fabryka, która odkrywa te wymagania w momencie Twojego zamówienia, stanowi wyższe ryzyko opóźnienia i niezgodności.

Polityka aktualizacji oprogramowania układowego zasługuje na szczególną uwagę: ochrona sieci zakłada, że urządzenie może otrzymywać poprawki bezpieczeństwa po wprowadzeniu na rynek. Zadbaj o pisemne potwierdzenie okresu, przez jaki fabryka zobowiązuje się dostarczać te aktualizacje.

Sorva to dom maklerski i handlowy działający między Europą a Chinami, z mówiącym po chińsku zespołem w Guangzhou i biurem w Paryżu. Nasze studium zgodności regulacyjnej sprawdza klasyfikację RED produktu, mające zastosowanie domniemanie EN 18031 oraz kumulujące się teksty, EMC, niskie napięcie, RoHS, przed jakimkolwiek zaangażowaniem produkcji. Dokumentacja techniczna produktu zestawia następnie dokumenty oczekiwane przez organy: raporty testów, deklarację zgodności, kartę radiową.

W większości przypadków nie płacisz honorarium za sam towar: otwierasz sprawę, my negocjujemy zakup w Twoim imieniu u fabryki i pobieramy prowizję od jego wartości loco fabryka. Studium zgodności i dokumentacja techniczna pozostają odrębnymi usługami, przydatnymi już od wyboru dostawcy.