2026-11-01 02:05:52 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

美国版\"EN 303 645\"开始定规矩：标签双语、三年一续、每年抽检3%

原创

GTG-Hardy
GTG-Hardy

GTG网络安全实验室

2026年10月29日 10:04
广东

去阅读

出口美国的联网智能设备，注意了——美国自己的 IoT 安全标签（Cyber Trust Mark）运营细则，10 月 27 日正式公开征求意见。

这不是又一份\"参考性指引\"。它是 FCC 在 2024 年立法设立的美国 IoT 网络安全标签计划的落地规则，对标英国 PSTI、欧盟 EN 303 645 那一路。细则里已经写死了：标签怎么印、多久续一次、每年查你几回、样品要留几年。出口美国的厂，现在看明白，比客户拿订单来问再补，省的不是一点半点。

先搞清这是什么

美国 Cyber Trust Mark（US Cyber Trust Mark），可以理解成美国版的\"安全认证标签\"：WiFi 类消费 IoT 产品自愿申请，通过第三方机构检测后，包装上可以贴一个带盾牌标志的标签，扫二维码就能看到这款产品的安全信息。

它是自愿的，但别天真。当初欧盟 CE 里加安全要求，最初也是\"自愿\"的味道，现在呢？

美国零售商、采购商一旦把\"带不带这个标\"写进采购条件，没有就是商机损失。而且这次负责运营计划的，是今年 4 月刚上位的ioXt 联盟（原来的牵头方 UL Solutions 已被换下）——联盟背景的组织执行力，比政府机构快得多。

这次征求意见，三个点跟制造商直接相关

1. 标签规格：小到 1×2 英寸，大到\"双语营养标签\"

包装上的实体标签最小 1×2 英寸，必须含盾牌标志 + 可扫描的 QR 码；包装太小的，可以用 1×1 英寸、5/8×5/8 英寸，或者 logo+网址替代。
扫 QR 码跳转政府托管的注册页，显示分层的\"网络安全营养标签\"——英文、西班牙文双语。
第一层给消费者看：你有没有维护 HBOM/SBOM（硬件/软件物料清单）、设备采集哪些传感器数据（摄像头、麦克风、定位）、默认密码能不能改、承诺的支持服务期多长。
第二层给技术买家和研究者看，更细。

关键一句：这个 FCC IoT 标签，必须同时出现在实体包装和线上产品文档里。 也就是说，你的说明书 PDF、电商详情页，都得带上它。

2. 认证三年一续，还要配\"安全专员\"

FCC 否了行业建议的五年一续，直接定三年。理由很实在：安全威胁变得太快，五年太长了。
续期流程：到期前至少 90 天提交申请，认证机构 90 天内完成评估。
续期测什么：所有新增/修订的规则全测 + 原有技术要求的至少 70% 重测；一旦查出任何一项不合规，直接扩到 100% 全测。

还有一个新东西：制造商必须指定一名员工当\"USCTM Qualified Professional\"（合规专员），通过官方认可的培训考试，每三年复考；这个岗位空缺，6 个月内必须补上。这是把\"有没有人盯着产品合规\"写进规则了。

3. 市场后监管：每年抽 3%，样品留一年以上

认证机构每年要对上一年认证/续期的产品，抽至少 3% 做市场后检测（往后追溯两年）。
制造商必须保留生产样品：产品停产后至少 1 年，或支持期结束（哪个长算哪个），机构要样品，30 天内必须交，交不出来可能直接撤标。
检测只能在认证机构实验室或认可的第三方 CyberLAB 做，制造商自己的实验室一律不准用。
如果行业发生大规模 IoT 安全事件，FCC 可以要求 30 天内组织临时专项审计。

跟出口制造的关系，直说

检测外包是强制的：续期重测、市场后抽检都不能用自己的实验室——第三方检测机构的单子，从认证到每年抽检，是长期刚需。
供应链文档要提前备：SBOM/HBOM、传感器数据清单、默认密码机制、支持期承诺，这些\"营养标签\"要公开的信息，现在就要把文档体系建起来，不是贴标时才补。
内部要有专职人手：安全合规专员不是\"挂个名\"，要考试、要复考、要盯产品变更。
时间窗口：这次是征求意见——评论期联邦公报发布后 30 天、回复评论 45 天。你想让规则对制造商更友好，现在提意见还来得及；不发声，那就按 FCC 的版本执行。