PSTI执法机制与合规验证详解

概述

PSTI 法案建立了完整的执法框架，赋予执法机构广泛的调查和处罚权力。本文详细解读 PSTI 法案的执法机制、ETSI EN 303 645 标准框架，以及常见问题解答，帮助企业了解违规后果和合规验证方法。

一、执法机构与权力

1.1 执法主体

主要执法机构：Secretary of State（国务大臣）

实际执行部门：Department for Digital, Culture, Media and Sport (DCMS)

职权来源：Section 26

1.2 调查权力

执法机构的调查权力来源于：

• Consumer Rights Act 2015, Schedule 5（消费者权利法2015年附表5）
• PSTI Act 2022, Section 26（PSTI法案第26条）

1.3 信息提供义务

根据 Section 26(4)，执法机构可要求企业提供信息：

• 无需怀疑违规：即使没有违规嫌疑，也可要求提供信息
• 广泛用途：用于确定是否存在合规失败、评估风险等
• 财务信息：可要求提供财务信息以确定罚款计算基数

二、执法通知类型

2.1 三类通知对照

2.2 通知层级关系

1
2
3
4
5
6
7
8
9
10
11

执法通知层级：

合规通知
    │
    ├── 整改成功 → 通知撤销
    │
    └── 整改失败 → 停止通知
                        │
                        ├── 停止销售成功 → 通知撤销
                        │
                        └── 已售产品风险 → 召回通知

三、合规通知 (Compliance Notice)

3.1 法律依据

Section 28 规定执法机构可发出合规通知。

3.2 适用情形

3.3 通知内容

3.4 程序要求

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

合规通知发出流程：

1. 执法机构发现或被告知合规失败
   │
   ▼
2. 执法机构发出预警通知
   │
   ▼
3. 当事人陈述意见机会（至少10日）
   │
   ▼
4. 执法机构决定是否发出合规通知
   │
   ▼
5. 正式发出合规通知

四、停止通知 (Stop Notice)

4.1 法律依据

Section 29 规定执法机构可发出停止通知。

4.2 适用情形

4.3 通知内容

4.4 紧急程序

Section 29(5) 规定紧急情况下可省略事前通知程序，立即发出停止通知。

紧急情况包括：

• 对用户安全造成紧迫风险
• 可能导致严重损害
• 需要立即采取行动

五、召回通知 (Recall Notice)

5.1 法律依据

Section 30 规定执法机构可发出召回通知。

5.2 适用情形

5.3 通知内容

六、货币罚款

6.1 罚款权力

法律依据：Section 36

核心规定：

The Secretary of State may give a monetary penalty notice to a person if the Secretary of State has reasonable grounds to believe that a compliance failure has occurred.

6.2 罚款金额上限

6.3 罚款金额示例

6.4 罚款决定因素

根据 Section 37，罚款金额需考虑：

6.5 加重与减轻因素

加重因素：

减轻因素：

6.6 罚款程序

七、刑事处罚

7.1 不遵守执法通知

法律依据：Section 32

罪名：不遵守执法通知罪

处罚：罚款

抗辩理由：

• 已采取一切合理步骤遵守通知
• 无法合理预见或避免违规

7.2 冒充执法人员

法律依据：Section 49

处罚：

八、上诉机制

8.1 上诉机构

第一审裁判所（First-tier Tribunal）

8.2 可上诉的决定

8.3 上诉期间效力

暂停执行（Section 33(8)）：

• 上诉期间，执法通知暂停执行
• 裁判所可另行决定

8.4 裁判所权力

九、ETSI EN 303 645 标准框架

9.1 标准背景

ETSI（European Telecommunications Standards Institute）欧洲电信标准化协会：

9.2 标准结构

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

ETSI EN 303 645 V2.1.1
├── 5. Provisions for IoT devices（IoT设备条款）
│   ├── 5.1 No universal default passwords ← PSTI强制
│   ├── 5.2 Implement a vulnerability disclosure policy ← PSTI强制
│   ├── 5.3 Keep software updated ← PSTI强制
│   ├── 5.4 Securely store sensitive security parameters
│   ├── 5.5 Communicate securely
│   ├── 5.6 Minimize exposed attack surfaces
│   ├── 5.7 Ensure software integrity
│   ├── 5.8 Ensure that personal data is secure
│   ├── 5.9 Make systems resilient to outages
│   ├── 5.10 Examine system telemetry data
│   ├── 5.11 Make it easy for users to delete user data
│   ├── 5.12 Make installation and maintenance easy
│   └── 5.13 Validate input data
│
└── 6. Provisions for IoT services（IoT服务条款）
    ├── 6.1 Keep user data secure
    ├── 6.2 Control access to services
    ├── 6.3 Keep service software updated
    ├── 6.4 Protect services from outages
    ├── 6.5 Protect telemetry data
    ├── 6.6 Delete user data
    └── 6.7 Make service easy to use

9.3 设备安全条款一览

9.4 合规建议

十、收到执法通知的应对

10.1 一般应对流程

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

收到执法通知应对流程：

1. 收到通知
   │
   ▼
2. 仔细阅读通知内容
   │
   ▼
3. 评估违规事实
   │
   ├── 同意违规事实 ──→ 5
   │
   └── 不同意违规事实 ──→ 4
       │
       ▼
   4. 准备申诉材料
       │
       ▼
   5. 制定整改方案
       │
       ▼
   6. 执行整改
       │
       ▼
   7. 向执法机构报告
       │
       ▼
   8. 通知相关方

10.2 各类通知应对要点

合规通知

停止通知

召回通知

十一、常见问题解答

Q1: 哪些产品在 PSTI 范围内？

答：满足以下三个条件的产品在 PSTI 范围内：

Q2: 通过网关连接的设备是否在范围内？

答：是的。例如 Zigbee/Z-Wave 设备通过网关连接互联网，属于”间接连接互联网”，在 PSTI 范围内。

Q3: 如何实现”禁止默认密码”？

答：以下方案任选其一：

Q4: 安全更新支持期限最少多久？

答：法规未规定最短期限，但建议：

Q5: 合规声明必须用英文吗？

答：是的，必须使用英语。其他语言可作为补充。

Q6: 合规声明可以只提供电子版吗？

答：可以，但必须确保消费者可以方便获取：

• 通过二维码链接
• 通过网址链接
• 产品包装上说明获取方式

Q7: 需要第三方认证吗？

答：PSTI 法规 不强制 要求第三方认证，但企业可选择：

• 自我声明合规
• 第三方测试认证（增强可信度）

Q8: 违规会有什么处罚？

答：可能的处罚包括：

Q9: 可以申诉吗？

答：可以。在收到通知后 28日内 向第一审裁判所（First-tier Tribunal）提起申诉。

Q10: 合规准备需要多长时间？

答：建议至少提前 6 个月启动合规准备：

十二、合规验证要点

12.1 功能测试

12.2 文档验证

12.3 记录保存

小结

PSTI 执法机制与合规验证要点：

1. 执法机构：国务大臣（DCMS）拥有广泛调查权
2. 三类通知：合规通知 → 停止通知 → 召回通知（逐级升级）
3. 货币罚款：最高1000万英镑或全球营业额4%
4. 申诉权利：28日内向裁判所申诉
5. ETSI标准：13项设备安全条款，PSTI强制前三项
6. 预防为主：建立合规体系，避免触犯法规

参考资料

• PSTI Act 2022, Chapter 3: Enforcement
• Consumer Rights Act 2015, Schedule 5
• ETSI EN 303 645
• UK Government PSTI Guidance

本文是 PSTI法案解读系列 的第三篇文章。上一篇：供应商合规义务详解。

ETSI EN 303 645, PSTI, 合规验证, 执法机制 — 2026年3月22日

本文阅读量 次