EN 18031作为欧盟针对无线电设备的强制性网络安全标准，自2025年8月1日起正式生效，成为智能门锁进入欧盟市场的“准入门槛”。该标准并非单一规范，而是由三个子标准构成严密体系：EN 18031-1聚焦联网防护，针对防DDoS攻击、加密通信等联网安全需求；EN 18031-2专注个人数据保护，涉及生物特征、开锁记录等隐私信息的安全处理；EN 18031-3则针对金融交易安全，因智能门锁通常不涉及支付功能，故较少适用。

判断一款智能门锁是否需要认证，核心在于两点：是否属于包含无线通信模块的无线电设备，以及是否涉及联网或隐私数据处理。值得注意的是，纯有线设备或无任何通信模块的机械电子锁，因不在RED指令覆盖范围内，无需进行EN 18031认证。

六类智能门锁的认证要求

类型1：普通锁（无通信模块）

这类门锁仅支持本地密码、指纹或人脸开锁，不含蓝牙、WiFi等无线模块。由于不属于无线电设备，无需任何EN 18031认证。但需注意，若设备存储指纹等生物数据，建议参考EN 18031-2中的加密要求（如采用AES-256加密算法），以增强数据安全性。

类型2：蓝牙锁（分两亚类）

•      手机APP控制型：通过手机蓝牙连接，APP包含用户账户、开锁记录等数据。因APP作为门锁功能延伸，涉及联网数据传输和隐私信息处理，需同时通过EN 18031-1和-2认证。测试重点包括蓝牙通信加密（需符合TLS 1.3标准）、APP权限控制及生物数据本地存储规范。

•      蓝牙遥控器型：仅通过独立遥控器开锁，无APP且不联网。此类设备无需EN 18031-1认证，但如果支持指纹或人脸开锁（涉及隐私数据存储），则需通过EN 18031-2认证。

类型3：WiFi锁与类型4：4G/5G锁

这两类门锁支持远程控制、临时密码分发、视频监控等联网功能，且存储用户生物数据，因此必须同时通过EN 18031-1和-2认证。测试中的高风险项包括：通信安全（需防范中间人攻击，采用TLS 1.3加密）、数据存储（生物特征禁止上传云端，必须本地加密）、固件更新（要求90天内修复已发现漏洞）。

类型5：有线锁（网口直连）

通过网线接入局域网或互联网，无无线模块。由于不属于无线电设备，超出RED指令范围，无需EN 18031认证。但安全专家建议，即使无强制要求，也应按同等安全标准进行防护（如防暴力破解、加密存储），避免成为黑客攻击的跳板。

类型6：Zigbee锁（需网关配合）

依赖Zigbee网关实现联网功能，锁体与网关可分离销售。理想情况下，锁与网关需作为整体系统认证，同时通过EN 18031-1（联网安全）和-2（隐私数据保护）。若仅对锁体单独送检，需搭配网关测试，但报告仅体现锁体合规性，存在隐含风险。因此，强烈建议网关与锁体联合认证，避免因网关漏洞导致锁体被攻破。

高危漏洞与认证防护价值

智能门锁面临三大安全威胁，而EN 18031标准提供了针对性解决方案：

•      弱密码暴力破解：61%的用户习惯用生日等简单信息设密码，此类密码4分钟即可被破解。标准要求强制采用8位以上含大小写字母和数字的组合密码，并设置5次错误尝试后锁定机制。

•      生物数据泄露：部分产品将未加密的指纹模板上传云端，存在被伪造身份的风险。标准规定生物数据必须采用AES-256加密存储，且禁止上传云端。

•      通信劫持：未加密的蓝牙指令可能被截获，7.2分钟即可接管门锁。标准强制要求采用TLS 1.3加密，有效防范中间人攻击。

未通过认证的产品将面临双重风险：法律层面，2025年8月后禁入欧盟市场，已售设备可能被召回并面临年营收4%的罚款；安全层面，97%的市售未认证门锁存在高危漏洞，部分电磁防护缺失的产品甚至可被黑客3秒破解。

厂商认证实施建议

1.   精准分类，避免过度认证：普通锁和有线锁无需EN 18031认证，但需加固本地安全；蓝牙遥控锁仅需EN 18031-2认证；其他联网锁则需通过EN 18031-1和-2双认证。

2.   Zigbee系统合规策略：优先选择锁体与网关联合认证，降低系统风险；同时加强供应链管理，要求网关供应商提供预认证报告。

3.   技术整改优先级：高危项需优先处理，如禁用远程开锁（除非通过NB认证）、部署动态密码；成本优化方面，可采用NXP SE050等预认证安全芯片，减少30%的测试项目。

距离2025年8月强制实施仅剩1个月，厂商应立即启动漏洞扫描与文档预审，确保产品顺利通过认证，避免市场准入受阻。