英国PSTI法案概览与适用范围详解

概述

2022年12月6日，英国《产品安全和电信基础设施法》（Product Security and Telecommunications Infrastructure Act 2022，简称 PSTI Act 2022）获得皇家批准，标志着英国在消费级物联网产品安全监管领域迈入了新时代。这是全球首个针对消费级可连接产品安全要求的强制性法规，对全球物联网产业产生深远影响。

本文将全面介绍 PSTI 法案的背景、目的、适用范围和核心要求，帮助读者快速了解这一重要法规。

一、立法背景

1.1 物联网产品安全现状

消费级可连接产品（Consumer Connectable Products），俗称”智能家居产品”或”物联网设备”，包括智能手机、智能电视、智能音箱、联网婴儿监视器、智能门锁等。这类产品在 2020 年全球保有量估计已达 129 亿台。

然而，这类产品的安全状况令人担忧：

• 2021年调查：英国家庭平均拥有 9 台消费级可连接产品，其中许多产品缺乏基本的网络安全保护措施
• 2020年UCL研究：调查了 270 款常见消费级可连接产品，发现消费者无法获得关于产品安全更新支持期限的清晰信息
• 安全意识缺失：消费者往往假设在售产品都是安全的，而实际上许多产品存在严重安全漏洞

1.2 典型安全事件

1.3 现有监管不足

虽然消费级可连接产品作为电子产品，受以下法规约束：

• 《消费者保护法 1987》（Consumer Protection Act 1987）
• 《一般产品安全法规 2005》（General Product Safety Regulations 2005）
• 《无线电设备法规 2017》（Radio Equipment Regulations 2017）

但这些法规均未设定最低网络安全要求。

1.4 自愿合规的失败

英国政府于 2018年10月发布了《消费者物联网安全行为准则》（Code of Practice for Consumer IoT Security），提出了 13 项自愿性安全原则。然而：

• 2018年：IoT 安全基金会估计，仅有 9% 的制造商有足够的漏洞披露计划
• 2019年：该比例仅上升至 13%

自愿合规效果不佳，促使政府转向强制性立法。

二、立法目的

PSTI 法案的核心目标是：

2.1 保护消费者

• 防止消费者遭受网络攻击
• 保护消费者隐私和安全
• 减少因安全漏洞造成的经济损失（估计每年超过 10 亿英镑）

2.2 提升网络安全韧性

• 建立”安全即默认”（Secure by Design）的产品安全标准
• 推动制造商在产品设计阶段就考虑安全问题
• 提升英国整体网络安全水平

2.3 促进产业发展

• 为企业提供明确的合规标准
• 增强消费者对物联网产品的信心
• 促进数字经济健康发展

三、法案结构

PSTI 法案共分为三大部分：

1
2
3
4
5
6
7
8
9
10
11
12

PSTI Act 2022
├── Part 1: Product Security (产品安全) - Sections 1-56
│   ├── Chapter 1: Security Requirements (安全要求)
│   ├── Chapter 2: Duties of Relevant Persons (相关方职责)
│   ├── Chapter 3: Enforcement (执法)
│   └── Chapter 4: Supplementary Provision (补充条款)
│
├── Part 2: Telecommunications Infrastructure (电信基础设施) - Sections 57-75
│   └── 电子通信代码修订、设施共享权利等
│
└── Part 3: Final Provisions (附则) - Sections 76-80
    └── 生效条款、过渡安排等

Part 1: 产品安全（核心部分）

这是 PSTI 法案的核心内容，建立了消费级可连接产品安全的监管框架：

四、核心术语解读

准确理解 PSTI 法案的核心术语是合规工作的基础。

4.1 Consumer Connectable Product (消费级可连接产品)

定义（Section 54）:

A product which—
(a) is capable of connecting to the internet, and
(b) is capable of transmitting and receiving digital data.

三要素：

4.2 Relevant Connectable Product (相关可连接产品)

消费级可连接产品中，不属于豁免产品的部分。

4.3 Manufacturer (制造商)

定义（Section 55）:

A person who—
(a) manufactures a relevant connectable product, or
(b) has a relevant connectable product designed or manufactured, and markets that product under their own name or trademark.

两种认定情形：

4.4 Importer (进口商)

定义（Section 56）:

A person who is established in the United Kingdom and who—
(a) places a relevant connectable product on the market in the United Kingdom, and
(b) is not the manufacturer or the manufacturer’s authorised representative.

关键要素：在英国成立 + 从境外采购产品投放英国市场

4.5 Distributor (分销商)

定义（Section 56）:

A person in the supply chain, other than the manufacturer or importer, who makes a relevant connectable product available on the market.

供应链角色对照：

1
2

制造商 → 进口商 → 分销商 → 消费者
(境外)  (英国)   (英国零售商)

五、适用范围详解

5.1 产品范围判断流程

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

产品范围判断流程

步骤1: 产品是否可连接互联网？
├── 是 → 进入步骤2
└── 否 → ❌ 不在范围内

步骤2: 产品是否可传输/接收数字数据？
├── 是 → 进入步骤3
└── 否 → ❌ 不在范围内

步骤3: 产品是否面向消费者？
├── 是 → 进入步骤4
└── 否 → ❌ 不在范围内

步骤4: 产品是否属于豁免类别？
├── 是 → ❌ 不在范围内
└── 否 → ✅ 在范围内

5.2 在范围内的产品类别

智能家居设备

可穿戴设备

个人电子设备

5.3 豁免产品类别

5.4 边界情况分析

间接连接设备

问题：通过网关连接互联网的设备是否在范围内？

答案：是的。例如 Zigbee/Z-Wave 设备通过网关连接互联网，属于”间接连接互联网”，在 PSTI 范围内。

双用途设备

问题：同时面向消费者和企业的设备是否在范围内？

答案：如果产品面向消费者销售，在范围内。

二手设备

问题：二手设备是否在范围内？

答案：不在范围内。PSTI 法规针对首次投放市场的产品。

六、核心安全要求

PSTI 法案授权国务大臣制定具体的安全要求。根据 PSTI Regulations 2023，核心安全要求基于 ETSI EN 303 645 标准，主要包括：

6.1 三项强制性要求

6.2 禁止的密码类型

6.3 允许的密码类型

七、与其他法规对比

7.1 主要法规概览

7.2 安全要求对比

7.3 合规策略建议

多市场策略：采用”最高标准”原则

1
2
3
4
5
6
7

多市场合规策略：

PSTI（3项） + CRA（扩展项） = 全面合规
     ↓              ↓
  英国市场      欧盟市场
     ↓              ↓
        基本覆盖美国市场

八、重要时间节点

九、对中国企业的影响

9.1 直接影响

如果您的企业：

• 向英国市场出口消费级可连接产品
• 作为制造商、进口商或分销商参与供应链

则需要：

1. 评估产品合规性：对照 ETSI EN 303 645 标准进行自检
2. 准备合规声明：制定合规声明文档
3. 建立漏洞披露机制：公开联系方式，接受安全报告
4. 明确更新支持期限：公开产品安全更新支持时间

9.2 间接影响

PSTI 法案作为全球首个消费级物联网安全强制性法规，可能产生示范效应：

• 欧盟：《网络弹性法案》（Cyber Resilience Act）正在立法进程中
• 美国：各州正在推进物联网安全立法
• 其他英联邦国家：澳大利亚、印度已发布类似准则

小结

PSTI 法案是英国在消费级物联网安全领域的重要立法，标志着从”自愿合规”向”强制合规”的转变。核心要点：

1. 适用范围：消费级可连接产品（可联网、可传输数据、面向消费者）
2. 三项要求：禁止默认密码、漏洞披露政策、安全更新期限声明
3. 角色义务：制造商、进口商、分销商各有不同义务
4. 执法有力：最高罚款1000万英镑或全球营业额4%

对于向英国市场出口物联网产品的中国企业，需要高度重视这一法规，尽快开展合规准备工作。

参考资料

• PSTI Act 2022 (legislation.gov.uk)
• PSTI Regulations 2023 (legislation.gov.uk)
• ETSI EN 303 645 Standard
• UK Government PSTI Guidance

本文是 PSTI法案解读系列 的第一篇文章。下一篇：供应商合规义务详解。

PSTI, 产品安全, 物联网安全, 英国法规 — 2026年3月22日

本文阅读量 次