Çin'den akıllı ev ürünleri ithalatı: RED ve 2025 siber güvenliği

Avrupa hukuku anlamında bir akıllı ev ürünü, başka bir cihazla veya bir ağla iletişim kurmak için dalga yayan veya alan her radyo ekipmanıdır. Uzaktan kumandalı bir priz, bir güvenlik kamerası, bir hareket veya duman sensörü, bir termostat, Wi-Fi, Bluetooth, Zigbee veya Thread üzerinden bağlanan bir ampul veya robot süpürge, evdeki işlevi ne olursa olsun bu tanıma girer.

Bu nitelendirme kesin bir çerçeveyi devreye sokar: ürün, Avrupa pazarına sürülmeden önce RED direktifine uygun olmalıdır ve 1 Ağustos 2025'ten itibaren, tüketiciye yönelik bağlantılı ürünlere ek bir siber güvenlik gereklilikleri katmanı uygulanır.

RED direktifi, Radio Equipment Directive 2014/53/AB, Avrupa Birliği'nde her türlü radyo ekipmanının piyasaya sürülmesini düzenler. 13 Haziran 2016'dan beri yürürlüktedir ve R&TTE 1999/5/EC direktifinin yerini almıştır. Başlangıçtaki amacı üç bileşeni kapsar: kullanıcıların güvenliği ve sağlığı, radyo spektrumunun verimli kullanımı ve cihazın elektromanyetik uyumluluğu.

Siber güvenlik gündeme gelmeden önce bile, bağlantılı bir ürünün CE işareti taşıyabilmesi için zaten bu temel gerekliliklere uyması gerekir. AB'de yerleşik bir üreticinin bu rolü üstlenmediği durumlarda üretici gibi hareket eden ithalatçı, bir AB uygunluk beyanı ve makamların erişimine açık bir teknik dosya hazırlamalıdır.

Delege tüzük (AB) 2022/30, RED direktifinin 3. maddesinin 3. fıkrasının d, e ve f bentlerine üç temel gereklilik eklemektedir. Bu gereklilikler, tüketiciye yönelik bağlantılı ürünler, giyilebilir teknolojiler, bağlantılı oyuncaklar ve bebek monitörleri için 1 Ağustos 2025'te yürürlüğe girmiştir.

Bu üç gereklilik, RED'in mevcut çerçevesini değiştirmeden ona eklenir. Bunlara uymayan bir ürün, klasik radyo ve elektrik gerekliliklerini başka açılardan karşılasa bile CE işareti taşıyamaz.

30 Ocak 2025'te Avrupa Birliği Resmi Gazetesi'nde yayımlanan uyumlaştırılmış EN 18031 standart serisi, yukarıdaki üç gerekliliği doğrulanabilir teknik kriterlere dönüştürür: ağ için EN 18031-1, veri ve mahremiyet için EN 18031-2, dolandırıcılığa karşı güvenceler için EN 18031-3. 1 Ağustos 2025'ten beri, bu standartlara uymak, delege tüzük 2022/30'a uygunluk karinesi doğurur.

Çoğu durumda, EN 18031'e uyum bir öz beyanı mümkün kılar: üretici değerlendirmeyi kendisi yapar, teknik dosyayı oluşturur ve onaylanmış bir kuruluş olmadan AB uygunluk beyanını imzalar. Ürün standardın kısıtlayıcı bir maddesinden saparsa, örneğin şifre belirlenmemesine izin veriyorsa, onaylanmış bir kuruluşun devreye girmesi gerekli hale gelir: otomatik karine o zaman geçersiz kalır ve bir AB tip incelemesi zorunlu olur.

Örneğin radyo, Wi-Fi veya Bluetooth işlevi olan bağlantılı bir ürün için elektromanyetik uyumluluk RED direktifinin kendisi tarafından kapsanır. Radyo işlevi olmayan elektrikli bir cihaz için ise emisyonlar ve bağışıklık açısından ayrı olarak EMC direktifi 2014/30/AB uygulanır.

Şebekeden beslenen bağlantılı bir ürün, ayrıca elektrik riskleri için Alçak Gerilim direktifi 2014/35/AB'ye, tıpkı her elektronik ürün gibi tehlikeli maddeler ve ömür sonu için RoHS ve DEEE direktiflerine de tabidir. Bu metinler RED'e eklenir, onun yerine geçmez.

Fransa'da ANFR, radyo ekipmanları piyasasını denetler: gerçek kişi için 1.500 avro, tüzel kişi için 7.500 avro tavanlı para cezası, ayrıca olası cezai yaptırımlar. Siber Dayanıklılık Yasası ise ayrı bir rejim öngörür: 15 milyon avroya veya küresel cironun yüzde 2,5'ine kadar.

Dijital unsurlu ürünlere ilişkin Siber Dayanıklılık Yasası, tüzük (AB) 2024/2847, 10 Aralık 2024'te yürürlüğe girmiştir. Akıllı ev sourcing'i için iki tarih önemlidir: 11 Eylül 2026'dan itibaren, aktif olarak istismar edilen güvenlik açıklarının ve ciddi olayların ENISA'ya veya ulusal CSIRT'e bildirilmesi zorunluluğu; 11 Aralık 2027'den itibaren, CRA'nın temel gerekliliklerinin, uygunluk değerlendirmesinin, CE işaretinin ve teknik dokümantasyonun tam olarak uygulanması.

Bugün RED'in siber güvenliğini taşıyan delege tüzük 2022/30, 11 Aralık 2027'de yürürlükten kalkacak ve CRA tarafından devralınacaktır. Bu tarihten önce piyasaya sürülmüş bir ürün, 11 Aralık 2027'den sonra önemli bir değişikliğe uğramadığı sürece RED rejimine tabi kalır; bildirim yükümlülüğü ise piyasaya sürülme tarihi ne olursa olsun 11 Eylül 2026'dan itibaren geçerlidir.

Avrupalı markalar için zaten bağlantılı ürün üreten bir fabrika, referanslarını akredite bir laboratuvara normalde test ettirmiştir ve yeniden kullanılabilir veya uyarlanabilir EN 18031 raporlarına sahiptir. Bu gereklilikleri sizin siparişinizle birlikte keşfeden bir fabrika, daha yüksek bir gecikme ve uygunsuzluk riski taşır.

Ürün yazılımı güncelleme politikası özel bir dikkat gerektirir: ağı korumak, cihazın piyasaya sürülmesinden sonra güvenlik yamaları alabilmesini gerektirir. Fabrikanın bu güncellemeleri hangi süre boyunca sağlamayı taahhüt ettiğini yazılı olarak belirtmesini isteyin.

Sorva, Guangzhou'da Çince konuşan bir ekibi ve Paris'te bir ofisi olan, Avrupa ile Çin arasında bir aracılık ve ticaret firmasıdır. Mevzuat uygunluk çalışmamız, herhangi bir üretim taahhüdünden önce ürünün RED sınıflandırmasını, geçerli EN 18031 karinesini ve eklenen metinleri, EMC, alçak gerilim, RoHS'yi doğrular. Bir teknik ürün dosyası, ardından makamların beklediği belgeleri toplar: test raporları, uygunluk beyanı, radyo föyü.

Çoğu durumda malın kendisi üzerinden bir ücret ödemezsiniz: bir dosya açarsınız, sizin için fabrikayla satın alma pazarlığını biz yaparız ve fabrika çıkış değeri üzerinden bir komisyon alırız. Uygunluk çalışması ve teknik dosya ise, tedarikçi seçiminden itibaren faydalı, ayrı hizmetler olarak kalır.