- Directive 2014/53/EU — Radio Equipment
- Directive 2014/35/EU — Low Voltage
- Regulation (EU) 2024/2847 — Cyber Resilience Act
- Regulation (EU) 2016/679 — GDPR
- Directive (EU) 2015/2366 — PSD2 for the payment service itself
誰が選任するか
EU市場に決済端末、セルフサービスキオスクまたはカードリーダーを配置する、連合外の製造業者。ハードウェアの義務は製造業者にあり、決済サービスの義務は別の規制されたエンティティである決済機関にあります。ベンダーはしばしばこの二つを混同します。
しきい値と適用除外
ハードウェアにはなし。PSD2の認可は端末メーカーではなく決済サービスプロバイダーに適用されます。ただし、ベンダーが資金またはアカウントアクセスを扱う場合は除きます。
ラベルに必要な記載
CEマーキング、製造業者およびEU代表者の詳細、モデルおよびシリアル番号、無線の場合は無線パラメータ、2027年12月からはCRAサポート期間および脆弱性連絡先。
マーケットプレイスの項目
取得者および決済スキームは、商業的前提条件としてPCI PINトランザクションセキュリティの承認を課します。これはEU法ではなくスキーム要件ですが、実際には決定的です：承認されていない端末はCEマーキングに関わらず展開できません。
保管すべき文書
EU適合宣言、技術ファイル、無線および安全試験報告書、EN 18031に基づくサイバーセキュリティ文書、2026年からはCRA脆弱性処理プロセスおよびSBOM。ベンダーが管理クラウドを運営する場合は、第30条記録、第27条指定および移転メカニズム。
規格と試験
安全性のためのEN IEC 62368-1、適用される無線基準、EMCのためのEN 55032およびEN 55035、REDサイバーセキュリティ要件のためのEN 18031、別途PIN入力デバイスのためのPCI PTS評価。
言語要件
各加盟国の展開言語での指示および商人向け文書。
いつから適用されるか
市場に出す前のハードウェア文書。2026年9月11日からのCRA脆弱性報告および2027年12月11日からの完全な制度。長期展開ライフサイクルを持つ端末の場合、サポート期間は今計画する必要があります。
文書の保管期間
技術文書は10年間、またはCRAサポート期間が長い場合はその期間。決済ハードウェアの場合、通常は完全な展開ライフです。
違反した場合
ハードウェアに対する撤回および税関拒否。CRAの下で最大€1500万または売上の2.5%。別途、展開された端末の脆弱性は、通常規制コストを超える取得者との評判および契約上の事象です。
執行機関
市場監視当局および無線規制当局、CRA報告のためのCSIRT、個人データが処理される場合のデータ保護当局、決済サービス側のための国家の適格当局。
境界線
CEマーキングおよびPCI承認を受けていることはベンダーを決済機関にするものではなく、逆にPSD2ライセンスを保持していることはハードウェアを製品適合から免除しません。長期展開サイクルはCRAサポート期間をこのカテゴリで最も困難なコミットメントにします。なぜなら、端末は10年間フィールドに留まるからです。
よくある質問
- EUにおけるPCI承認は法的要件ですか？
- いいえ、これはカードネットワークおよび取得者によって課せられるスキーム要件です。商業的には決定的ですが、CEマーキングやCRAの義務を置き換えるものではありません。
- 展開された端末の脆弱性を報告するのは誰ですか？
- 製造業者は、2026年9月からCRA第14条の下で、悪用されていることに気づいてから24時間以内に報告します。