UL Solutions 的 RED 網路安全認證解決方案

無線電設備指令 (RED) 2014/53/EU 概覽

RED 的主要規定 

歐盟委員會 (EC) 的《無線電設備指令 2014/53/EU》(RED) 為無線電設備建立了一套監管框架，旨針對安全和健康、電磁相容性 (EMC) 及無線電頻譜效率規定基本要求。該指令第 3.3 條則納 入與無線電設備特定類別有關的裝置要求，範疇從公共介面及至網路安全等方面。

符合性認證時間表

在 2022 年 1 月 12 日，歐盟官方期刊《Office Journal》發布了通過授權的 2022/30/EU 字號法規，強制要求援用 RED 第 3.3 (d)、(e) 和 (f) 條文進行符合性認證。此法規意在為於歐盟市場中販售的適用無線設備，提供網路安全、個人資料保護、隱私和詐欺保護 (見圖)。這項要求在 2022 年 2 月 1 日生效，並於 2025 年 8 月 1 日強制執行 ── 此允以相關的設備製造商 42 個月過渡期。    

RED 3.3 網路安全要求的詳述

RED 3.3 網路安全要求

3.3 (d) 條文下的網路保護

本條文目的在於改善網路保護 ── 設備製造商必須在產品中置入可避免損害通訊網路及可讓產品免於干擾的保護功能之設計。

3.3 (e) 條文下的個人資料和隱私要求

本條文目的在於加強個人資料和隱私的保護 ── 設備製造商，舉例來說，必須針對消費者個資免於遭受未經授權存取或傳輸，採取相應保護措施。

3.3 (f) 條文下的防詐騙措施

本條文目的在於降低詐騙風險 ── 設備製造商必須納入諸如強化使用者認證控制等功能，以最大程度減少電子支付和資金轉帳中的詐欺行為。

RED 網路安全要求的範圍與影響

新法規涵蓋的裝置

這次發布的新法規主要納入可透過連網通訊的設備，不管連線是直接或經由其他設備；而有洩漏個人敏感資料之虞的無線電設備也在監管範圍內。例如：

• 行動電話、平板電腦及筆記型電腦
• 無線玩具和兒童安全設備，如嬰兒監視器
• 穿戴裝置，如智慧手錶和健身追蹤器

簡而言之，3.3 (d) 條文適用於與網路保護有關的設備；3.3 (e) 條適用於處理個人、流量或位置等隱私資料的設備 (有關資料定義詳情，請參閱歐盟法規 2016/679 第 4 (1) 和 4 (2) 條文及指令 2002/58/EC) 第 2 (b) 和 (c) 條文)。

至於 3.3 (f) 條則適用於能讓持有人或使用者轉移資金、貨幣價值或歐盟指令 2019/713 第 2 (d) 條文定義之虛擬貨幣的無線電設備。其相應的網路安全措施應考量電子支付產業中的新興犯罪趨勢，例如騎劫挖礦、勒索軟體、近場通訊相關的詐騙和生物特徵認證篡改等。

豁免和特殊情況

已納入歐盟法規 2019/21446 (車輛型式檢驗)、2018/11397 (民用航空) 或指令 2019/520 (電子道路收費系統) 範圍內且具有類似安全要求的裝置，不適用新的 3.3 (e) 和 (f) 條，但須符合 3.3 (d) 條的要求。

為什麼選擇 UL Solutions 進行 RED 網路安全符合性認證？

網路安全與認證的專業知識

RED 影響所有在歐盟市場銷售無線電設備的製造商。

在設備的整個生命週期内，製造商將對其網路安全負責。UL Solutions 可透過諮詢服務，協助您朝 RED 符合性認證的目標邁進，並點出其中差距及提供教育性指導，助您完成目標。

從策略到實施階段的全面支援

無論您現階段的開發為何，UL Solutions 皆能為您提供支援。針對仍處於早期階段的開發專案，我們可以協助您瞭解如何導入「設計內建資安」，並將安全置入您的治理和流程中。而為了達到這個目的，我們會由安全專家主導系列的教育訓練和工作坊，使您的團隊備有成功落實產品所需的知識。

對於進入後期開發階段的專案，我們則能協助您進行差距分析或全面的認證評估，以符合 EN 18031-1/EN 18031-2/EN 18031-3、EN 303 645 和 IEC 62443-4-2 標準，幫助您提升產品的安全性。前述的後兩項標準要求與 RED 的基本要求有所重疊，而此將格外有助於您為 RED 做好準備。

符合規範的諮詢和教育訓練服務

RED DA 和歐盟法規環境工作坊

這套工作坊方案旨在概述歐盟網路安全法規環境，能夠為深入理解 RED DA 第 3.3 (d)、(e) 和 (f) 條文及針對強化與網路連接之產品的安全與隱私方面等能力，並為《網路韌性法案》的未來影響奠定基礎。

諮詢服務

我們為客戶在邁向 RED 認證目標的整個旅程提供訓練服務。

• 基礎 ── 階段 1：開展

  基礎性諮詢服務主要是設計用於為甫開啟 RED DA 旅程的製造商提供協助，有賴專家助其識別在邁向未來的符合性認證目標時的主要差距。

• 實質 ── 階段 2：發展

  實質性諮詢服務主要設計用於為已開始著手 RED DA 符合性認證工作、且對網路安全認證有過經驗的製造商提供支援。

• 進階 ── 階段 3：定義

  這部分的服務主要是設計用於為在邁向 RED DA 認證旅程中步入軌道、且試圖尋求專家予以評估的製造商提供援助。

符合性評估服務

在某些情況下，製造商必須透過 NB 的評估來證明其產品的符合性。身為 NB，UL Solutions 可提供以 RED 第 3.3 (d)、(e) 和 (f) 條文為本的評估服務 ── 此將允以製造商在 2025 年 8 月 1 日的強制執行日期前確定產品符合要求，亦有助於助製造商避開產品測試的高峰期。

另外，為幫助製造商順利進入全球市場，我們尚可根據以下法規提供評估、測試和認證服務：  

• EN 303 645：消費性物聯網的網路安全
• 網路韌性法案 (CRA)
• ISA/IEC 62443：工業自動化與控制系統的安全性
• 英國產品安全與電信基礎設施法案 (PSTI)
• US NISTIR 8259A：物聯網裝置網路安全能力核心基準
• US NISTIR 8425：消費性物聯網產品物聯網核心基準簡介
• 加州物聯網安全法案 SB 327
• 新加坡網路安全標籤計畫 (CLS)
• UL 物聯網裝置安全評等檢測驗證 (MCV 1376)
• ISO 27001：資訊安全、網路安全及隱私保護 ── 資訊安全管理系統
• FIPS 140-3
• 安全評估共通準則 (CC)

RED 網路安全認證摘要 

無線電設備指令 (RED) 2014/53/EU 針對連接網路的裝置和處理個人敏感資料的設備，訂出了關鍵的網路安全要求。而製造商可運用可行的解決方案和技術規格，努力滿足這些要求。根據規定，製造商必須在 2025 年 8 月 1 日前確定符合相關規範。我們 ── UL Solutions 能夠提供全面性的 RED 符合認證支援，包括諮詢服務、差距分析及符合性評估。我們的專業知識涵蓋產品開發工作的各階段需求，包括從早期的安全設計實踐，一直到後期的符合性評估，一應俱全。有鑑於新法規的複雜程度以及強制實施日期的步步逼近，我們鼓勵製造商即刻與我們聯絡，取得與 RED 認證計畫相關的指導與支援，以確保產品符合進入歐盟市場必要的網路安全標準要求。