【摩尔资讯】英国网络安全PSTI合规必看， 违规最高罚1000万英镑+产品下架

英国网络安全PSTI法案（全称《产品安全与电信基础设施法案》PSTI全称是Product Security and Telecommunications Infrastructure）于2024年4月29日正式生效，旨在提升消费类联网设备的网络安全标准，保护用户数据和隐私。以下是该法案的核心内容及合规要求：

核心网络安全要求：

法案聚焦三个关键领域，并参考国际标准ETSI EN 303 645进行具体实施：

50. 禁止默认密码：设备不得使用通用或易猜测的默认密码，必须为每个设备分配唯一密码，或要求用户首次使用时设置强密码。（依据标准ETSI EN 303 645中的条款5.1-1和5.1-2） ；
50. 漏洞报告机制：制造商需公开联系方式，允许用户和安全研究人员报告安全漏洞，并提供修复方案。(依据标准ETSI EN 303 645中的条款5.2-1以及ISO/IEC 29147)；
50. 安全更新周期：明确披露设备接收安全更新的最短期限（通常至少5年），确保消费者知情。(依据标准ETSI EN 303 645中的条款5.3-13)。

此外，符合ETSI EN 303 645标准中关于上述三项要求的章节（5.1-1、5.1-2、5.2-1、5.3-13等），即视为满足PSTI法案。该标准还包含其他安全条款（如数据加密、系统完整性等），但法案仅强制要求前三项。

适用范围：

50. 适用产品：所有直接或间接连接互联网的消费类设备，包括智能手机、路由器、智能家电、摄像头、可穿戴设备等。
50. 豁免产品：台式电脑、笔记本电脑（无蜂窝网络功能）、医疗设备、电动汽车充电桩、智能电表等。
50. 责任主体：制造商、进口商、分销商，无论其是否在英国境内设立，均需遵守法案。

管控范围及使用产品示例：

1、首先需要产品属于消费类电子产品;

2、产品可以直接或者间接联网，或者 产品可以同时连接两个或以上设备；

3、产品不落在 PSTI 豁免范围内，例如台式机&笔记本电脑（不具备连接蜂窝网络能力的平板电脑：根据制造商的预期用途，专为 14 岁以下儿童设计的，不属于 PSTI 豁免范围）。

合规流程：

自我声明为主：企业需自行评估产品合规性，并附上“符合性声明书”（Statement of Compliance）。

第三方认证可选：虽非强制，但第三方认证（如ETSI EN 303 645评估）可增强市场信任度。

文档要求：需提供技术文件，包括安全设计说明、测试报告、漏洞管理流程等。

违规处罚：

50. 罚款：最高1000万英镑或全球年营业额的4%（以较高者为准）。
50. 其他措施：产品下架、召回、公开违规信息，甚至追究企业高管责任。

动态调整机制

法案要求定期审查条款有效性：

50. 2026年10月：进行中期审查
50. 2029年4月：发布首份全面评估报告，此后每五年更新一次

全球影响

英国PSTI法案与欧盟《网络弹性法案》（2025年生效）、美国FCC网络安全标志等形成呼应，推动全球物联网安全标准趋严。企业需结合国际规范调整产品设计，避免市场准入风险。

综上，PSTI法案通过强制性的最低安全标准，将网络安全责任贯穿产品全生命周期，为消费者构建更安全的数字环境，同时也对企业合规能力提出了更高要求。

摩尔实验室已完成多个英国PSTI法案要求测试项目，积累了丰富的评估测试经验，可为企业提供完整评估方案。