英國網絡安全PSTI法案具體標準及要求是什么?根據英國在2023年4月29日頒布的《產品安全和電信基礎設施法案2023》,英國將在2024年4月29日起開始強制執行聯網消費設備的網絡安全要求,適用于英格蘭、蘇格蘭、威爾士、北愛爾蘭。截止目前,距離現在只有短短幾天時間了,各大出口英國市場的制造廠商需要盡快完成PSTI認證,以確保順利進入英國市場。
英國消費者可連接產品安全制度將于2024年4月29日生效并強制執行。從該日期起,法律將要求英國消費者可連接產品的制造商遵守最低安全要求。這些最低安全要求基于英國消費者物聯網安全實踐準則、全球領先的消費者物聯網安全標準ETSI EN 303 645.以及英國網絡威脅技術權威機構國家網絡安全中心的建議。該制度還將確保這些產品供應鏈中的其他企業發揮作用,防止不安全的消費品出售給英國消費者和企業。
·PSTI管控產品范圍:
包括互聯網連接的產品,但不僅限于互聯網連接的產品,典型的產品包括:智能電視、IP攝像機、路由器、智能照明和家用產品等等。
·不在PSTI管控范圍的產品Schedule 3 Excepted connectable products:
包括計算機(a) 臺式電腦;(b) 筆記本電腦;(c) 不具備連接蜂窩網絡能力的平板電腦(根據制造商的預期用途,專為14歲以下兒童設計的,不屬于例外產品)、醫療產品、智能電表產品、電動汽車充電器,及藍牙一對一連接產品。請注意,這些產品也可能有網絡安全要求,但不在PSTI法案管控范圍,而是可能由其它法案管控。
如果不做 PSTI 認證有何懲罰?
違規企業最高將被處以 1000 萬英鎊或其全球營業額 4% 的罰款。此外,違規產品也將被召回,并將違規信息公開。
一、PSTI法案對網絡安全的要求主要分為三個方面:
1.通用默認密碼安全
2.弱點報告管理與執行
3.軟件更新
這些要求可以根據PSTI法案直接進行評估,也可以通過引用消費者物聯網產品的網絡安全標準ETSI EN 303 645進行評估來證明產品符合PSTI法案。也就是說,滿足ETSI EN 303 645 標準的三個章節和項目的要求就等同于符合英國PSTI法案的要求。
二、ETSI EN 303 645針對物聯網產品安全及隱私的標準,含如下13類要求:
1)通用默認密碼安全
2)弱點報告管理與執行
3)軟件更新
4)機敏安全參數保存
5)通訊安全
6)減少暴露攻擊面
7)保護個人資料
8)軟件完整性
9)系統抗中斷能力
10)檢查系統遙測數據
11)方便使用者刪除個人資料
12)簡化設備安裝和維護
13)驗證輸入數據
最低要求是滿足PSTI法案關于密碼、軟件維護周期和漏洞報告的三個要求,并對這些要求提供評估報告等技術文件,同時進行符合性自我聲明。我們建議采用ETSI EN 303 645進行英國PSTI法案的評估。這也是同時在為滿足歐盟CE RED指令的網絡安全要求將于2025年8月1日開始強制執行最好鋪墊作用!
在強制日期到來之前,制造商要確保設計的產品符合標準要求后再投入生產從而進入市場,信恒檢測建議相關廠家在產品開發過程中盡早了解相關法律法規,以便更好地規劃產品設計、生產和出海,確保產品符合安全標準。