2024年4月29日起英國即將強制執行網絡安全PSTI法案：

根據英國在2023年4月29日頒布的《產品安全和電信基礎設施法案2023》，英國將在2024年4月29日起開始強制執行聯網消費設備的網絡安全要求，適用于英格蘭、蘇格蘭、威爾士、北愛爾蘭。截止目前，距離現在只有短短3個多月時間了，各大出口英國市場的制造廠商需要盡快完成PSTI認證，以確保順利進入英國市場。

 

PSTI法案詳細介紹如下：

英國消費者可連接產品安全制度將于 2024 年 4 月 29 日生效并強制執行。從該日期起，法律將要求英國消費者可連接產品的制造商遵守最低安全要求。這些最低安全要求基于英國消費者物聯網安全實踐準則、全球領先的消費者物聯網安全標準ETSI EN 303 645，以及英國網絡威脅技術權威機構國家網絡安全中心的建議。該制度還將確保這些產品供應鏈中的其他企業發揮作用，防止不安全的消費品出售給英國消費者和企業。

該制度包括兩項立法：

● 2022 年產品安全和電信基礎設施 ( PSTI ) 法案第 1 部分；

● 2023 年產品安全和電信基礎設施（相關可連接產品的安全要求）法案。

 

PSTI法案發布和執行時間軸:

PSTI法案于 2022 年 12 月獲得批準。政府于 2023 年 4 月發布了PSTI （相關可連接產品的安全要求）法案的完整草案，這些法案于2023年 9 月 14 日簽署成為法律。消費者可連接產品安全制度將于 2024 年 4 月 29 日生效。

 

PSTI法案文件：

1. 英國產品安全和電信基礎設施（產品安全）PSTI法案 The UK Product Security and Telecommunications Infrastructure (Product Security) regime.

https://www.gov.uk/government/publications/the-uk-product-security-and-telecommunications-infrastructure-product-security-regime

 

2. 2022 年產品安全和電信基礎設施法案 Product Security and Telecommunications Infrastructure Act 2022

https://www.legislation.gov.uk/ukpga/2022/46/part/1/enacted

 

3. 2023 年產品安全和電信基礎設施（相關可連接產品的安全要求）法案 The Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023

https://www.legislation.gov.uk/uksi/2023/1007/contents/made

 

英國PSTI法案覆蓋產品范圍：

PSTI管控產品范圍：

包括互聯網連接的產品，但不僅限于互聯網連接的產品，典型的產品包括：智能電視、IP攝像機、路由器、智能照明和家用產品等等。

不在PSTI管控范圍的產品Schedule 3 Excepted connectable products：

包括計算機（a) 臺式電腦；(b) 筆記本電腦；(c) 不具備連接蜂窩網絡能力的平板電腦（根據制造商的預期用途，專為14歲以下兒童設計的，不屬于例外產品）、醫療產品、智能電表產品、電動汽車充電器，及藍牙一對一連接產品。請注意，這些產品也可能有網絡安全要求，但不在PSTI法案管控范圍，而是可能由其它法案管控。

 

英國PSTI法案具體要求：

PSTI法案對網絡安全的要求主要分為三個方面：

1. 通用默認密碼安全

2. 弱點報告管理與執行

3. 軟件更新

這些要求可以根據PSTI法案直接進行評估，也可以通過引用消費者物聯網產品的網絡安全標準ETSI EN 303 645進行評估來證明產品符合PSTI法案。也就是說，滿足ETSI EN 303 645 標準的三個章節和項目的要求就等同于符合英國PSTI法案的要求。

 

ETSI EN 303 645針對物聯網產品安全及隱私的標準，含如下13類要求：

1. 通用默認密碼安全

2. 弱點報告管理與執行

3. 軟件更新

4. 機敏安全參數保存

5. 通訊安全

6. 減少暴露攻擊面

7. 保護個人資料

8. 軟件完整性

9. 系統抗中斷能力

10. 檢查系統遙測數據

11. 方便使用者刪除個人資料

12. 簡化設備安裝和維護

13. 驗證輸入數據

 

PSTI法案和 ETSI EN 303 645測試流程:

 

如何證明符合英國PSTI法案要求?

最低要求是滿足PSTI法案關于密碼、軟件維護周期和漏洞報告的三個要求，并對這些要求提供評估報告等技術文件，同時進行符合性自我聲明。我們建議采用ETSI EN 303 645進行英國PSTI法案的評估。這也是同時在為滿足歐盟CE RED指令的網絡安全要求將于2025年8月1日開始強制執行最好鋪墊作用！