أجهزة الدفع، أجهزة نقاط البيع وأجهزة الخدمة الذاتية

• Directive 2014/53/EU — Radio Equipment
• Directive 2014/35/EU — Low Voltage
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR
• Directive (EU) 2015/2366 — PSD2 for the payment service itself

من يجب أن يعيّن

المصنعون خارج الاتحاد الذين يضعون أجهزة الدفع، أجهزة الخدمة الذاتية أو أجهزة قراءة البطاقة في سوق الاتحاد الأوروبي. تقع التزامات الأجهزة على عاتق المصنع؛ بينما تقع التزامات خدمات الدفع على المؤسسة المالية، وهي كيان منظم منفصل، وغالبًا ما يخلط البائعون بين الاثنين.

الحدود والإعفاءات

لا شيء بالنسبة للأجهزة. تنطبق موافقة PSD2 على مزود خدمة الدفع بدلاً من صانع الجهاز، ما لم يكن البائع أيضًا يتعامل مع الأموال أو الوصول إلى الحساب.

ما يجب أن يظهر على الملصق

علامة CE، تفاصيل الشركة المصنعة وممثل الاتحاد الأوروبي، النموذج ورقم السلسلة، معلمات الراديو حيثما كان ذلك لاسلكيًا، ومن ديسمبر 2027 فترة دعم CRA ونقطة الاتصال الخاصة بالثغرات.

حقول المنصات

يفرض المشترون ومخططات الدفع موافقة PCI PIN Transaction Security كشرط تجاري مسبق، وهو متطلب مخطط بدلاً من قانون الاتحاد الأوروبي ولكنه حاسم في الممارسة: لا يمكن نشر جهاز غير معتمد بغض النظر عن علامة CE.

المستندات الواجب الاحتفاظ بها

إعلان الامتثال للاتحاد الأوروبي، الملف الفني، تقارير اختبار الراديو والسلامة، وثائق الأمن السيبراني بموجب EN 18031 ومن 2026، عملية التعامل مع الثغرات بموجب CRA وSBOM. حيثما يعمل البائع على سحابة إدارة، سجل المادة 30، تعيين المادة 27 وآلية النقل.

المعايير والاختبارات

EN IEC 62368-1 للسلامة، المعايير الراديوية المعمول بها، EN 55032 وEN 55035 للامتثال الكهرومغناطيسي، EN 18031 لمتطلبات الأمن السيبراني RED، وتقييم PCI PTS بشكل منفصل لجهاز إدخال الرقم السري.

المتطلبات اللغوية

تعليمات ووثائق موجهة للتجار بلغة كل دولة عضو من دول النشر.

متى ينطبق

وثائق الأجهزة قبل وضعها في السوق. تقارير الثغرات بموجب CRA من 11 سبتمبر 2026 والنظام الكامل من 11 ديسمبر 2027، مما يعني أن الأجهزة ذات دورات النشر الطويلة يجب أن تخطط لفترة الدعم الآن.

مدة حفظ المستندات

عشر سنوات لوثائق التقنية، أو فترة دعم CRA إذا كانت أطول، والتي بالنسبة للأجهزة المدفوعة عادة ما تكون فترة النشر الكاملة.

عند عدم الامتثال

سحب ورفض الجمارك للأجهزة. بموجب CRA، تصل إلى 15 مليون يورو أو 2.5% من العائدات. بشكل منفصل، تعتبر الثغرة في الأجهزة المنشورة حدثًا سمعة وتعاقديًا مع المشترين وغالبًا ما تتجاوز التكلفة التنظيمية.

من ينفّذ

سلطات مراقبة السوق ومنظمي الراديو، CSIRTs لتقارير CRA، سلطات حماية البيانات حيث يتم معالجة البيانات الشخصية، والسلطات الوطنية المختصة لجانب خدمة الدفع.

أين يقع الحد الفاصل

إن الحصول على علامة CE وموافقة PCI لا يجعل البائع مؤسسة دفع، وعلى العكس فإن الحصول على ترخيص PSD2 لا يعفي الأجهزة من الامتثال للمنتجات. تجعل دورات النشر الطويلة فترة دعم CRA الالتزام الأصعب في هذه الفئة، لأن الأجهزة تبقى في الميدان لعقد من الزمن.

أسئلة تُطرح علينا

هل موافقة PCI متطلب قانوني في الاتحاد الأوروبي؟

لا، إنها متطلب مخطط يفرضه شبكات البطاقات والمشترين. إنها حاسمة تجاريًا ولكنها لا تحل محل علامة CE أو التزامات CRA.

من يقوم بالإبلاغ عن ثغرة في الأجهزة المنشورة؟

المصنع، بموجب المادة 14 من CRA اعتبارًا من سبتمبر 2026، خلال 24 ساعة من علمه بأنه يتم استغلالها.