- Directive 2014/53/EU — Radio Equipment
- Delegated Regulation (EU) 2022/30 — cybersecurity
- Regulation (EU) 2024/2847 — CRA
- Regulation (EU) 2016/679 — GDPR
- Regulation (EU) 2023/988 — GPSR for the mechanical parts
누가 지정해야 하는가
연합 외부의 제조업체가 EU 시장에 연결된 잠금장치, 경보 및 접근 제어를 배치합니다. 접근 로그는 누가 언제 들어갔는지를 식별하며, 이는 개인 데이터이며, 비디오 인터콤은 이미지를 처리하므로 데이터 의무는 제품 의무만큼 중요합니다.
기준과 면제
없음. 제품 및 데이터 의무는 EU 사용자에게 판매된 첫 번째 유닛부터 적용됩니다.
라벨에 표시할 사항
CE 마킹, 제조업체 및 EU 대리인 세부정보, 모델 및 일련 번호, 무선 매개변수, 배터리 표기, 2027년 12월부터 CRA 지원 기간 및 취약점 연락처. 개인정보 보호 고지는 제27조 대리인을 명시해야 합니다.
마켓플레이스 항목
시장에서는 EU 책임자가 필요하며, 2025년 8월부터 사이버 보안 요구 사항이 충족되었음을 증명해야 합니다. 기본 자격 증명이 약하거나 암호화되지 않은 블루투스 페어링을 가진 잠금장치는 공개적으로 해킹되어 목록에서 제외되었습니다.
보관해야 할 문서
EU 적합성 선언, 기술 파일, 무선 및 안전 테스트 보고서, EN 18031 사이버 보안 문서, 2026년부터 CRA 취약점 처리 프로세스 및 SBOM. 데이터 측면에서는 제30조 기록, 제27조 지정, 접근 로그 및 비디오에 대한 보존 규칙, 전송 메커니즘.
표준과 시험
무선 및 EMC 테스트, 사이버 보안 요구 사항에 대한 EN 18031, 잠금장치 자체에 대한 EN 1303 또는 EN 12209에 따른 기계적 보안 테스트, 배터리 테스트. 침투 테스트는 보안 요구 사항에 대한 실질적인 증거입니다.
언어 요건
국가 언어로 된 지침 및 경고, 사용자 언어로 된 개인정보 보호 정보.
언제부터 적용되는가
시장에 배치하기 전에 제품 문서, 2025년 8월부터 적용되는 사이버 보안 요구 사항, 2026년 9월부터 CRA 보고, EU 사용자의 데이터가 처리되기 전에 GDPR 대리인.
문서 보관 기간
기술 문서에 대해 10년 또는 지원 기간이 더 긴 경우. 접근 로그 및 비디오는 필요한 기간 동안만 보관하며, 무기한 기본값이 아닌 정의된 보존 기간을 가져야 합니다.
미준수 시 결과
제품 철수 및 시장에서 제거, 그리고 별도로 데이터 보호 벌금 최대 €2000만 또는 4%. 펌웨어 오류로 인해 잠금장치가 열리는 경우 또는 접근 로그를 노출하는 클라우드 침해는 두 가지 규제를 동시에 적용합니다.
집행 기관
시장 감시 당국 및 무선 규제 기관, CRA 보고를 위한 CSIRT, 데이터 보호 당국.
경계선
기계적 보안 등급과 사이버 보안은 별개입니다: 잠금장치는 높은 기계 등급을 유지할 수 있지만 블루투스를 통해 쉽게 우회될 수 있습니다. 보험사들은 점점 더 두 가지 모두를 요구하며, CRA는 소프트웨어 측면을 시장 기대가 아닌 법적 요구 사항으로 만들 것입니다.
자주 받는 질문
- 접근 로그는 개인 데이터인가요?
- 네. 누가 언제 들어갔는지를 기록하며, 이는 개인을 식별하고 보존은 제한적이고 정당화되어야 합니다.
- 클라우드가 다운되면 어떻게 되나요?
- 그에 맞게 설계하세요: 클라우드 없이는 열 수 없는 잠금장치는 안전 문제를 제기하며, 당국은 사용자가 자신의 집에 대한 접근을 잃는 설계를 비판했습니다.