Ustalenie granic produktu przed wyborem badań
Wprowadzenie inteligentnego zamka na rynek UE nie sprowadza się do uzyskania jednego „certyfikatu CE”. Zamek Bluetooth na baterie może być jednocześnie urządzeniem radiowym, sprzętem elektronicznym, cyfrowym produktem zabezpieczającym i elementem drzwi. Ocena dotyczy gotowego modelu, łączności, oprogramowania oraz przeznaczenia drzwi, a nie tylko deklaracji modułu Bluetooth.
Ustalenie granic produktu przed wyborem badań
Zapisz parametry każdego modelu, wersji oprogramowania i sprzedawanego zestawu. Zamek, dodatkowa bramka, aplikacja, zasilacz oraz osobno sprzedawana wkładka mogą podlegać różnym przepisom.
- Radio: BLE, Wi‑Fi, Thread/Zigbee, NFC, częstotliwości, moc, antena, ograniczenia krajowe i bramka.
- Łączność: czy sam zamek wymienia dane internetowe bezpośrednio lub przez telefon/koncentrator? Oddziel zdalne od lokalnego otwierania.
- Dane: tożsamości, klucze gości, logi wejść, biometria, chmura, retencja i administrator.
- Montaż: napęd nakładany czy kompletny zamek elektromechaniczny; drzwi pożarowe/ewakuacyjne, rozładowanie baterii i otwarcie ręczne.
- Zestaw handlowy: baterie, ładowarka, opakowanie, właściciel marki, pierwszy kraj sprzedaży UE oraz importer.
Wariant bez radia: elektroniczny zamek z klawiaturą nie podlega RED tylko dlatego, że istnieje aplikacja lub osobne akcesorium. Dla aparatury elektronicznej należy ocenić dyrektywę EMC 2014/30/UE; dyrektywa niskonapięciowa 2014/35/UE dotyczy wyłącznie objętego nią sprzętu o napięciu znamionowym 50–1000 V AC albo 75–1500 V DC, z uwzględnieniem wyłączeń. W gotowym urządzeniu radiowym cele bezpieczeństwa elektrycznego i EMC obejmuje sama RED; nie wolno automatycznie dublować tych procedur dla tego samego urządzenia.
Macierz przepisów UE dla inteligentnego zamka
| Przepis / przesłanka | Znaczenie dla zamka | Dowód / decyzja |
|---|---|---|
| RED 2014/53/UE – urządzenie radiowe | Zasadniczo obejmuje gotowy zamek celowo nadający/odbierający fale radiowe: bezpieczeństwo, EMC i widmo. Cele bezpieczeństwa RED obowiązują bez dolnego progu napięcia. | Architektura radiowa, badania RF/EMC/bezpieczeństwa, normy opublikowane w Dz.U., deklaracja UE i CE. |
| Cyberbezpieczeństwo RED – internet/dane/płatności | Od 1 sierpnia 2025 r. akt 2022/30 uruchamia art. 3 ust. 3 lit. d dla radia połączonego z internetem, e w zależności od danych oraz f przy transferze pieniędzy/wartości. Nie każde urządzenie bezprzewodowe automatycznie. | Schemat połączeń, analiza zdalnych kluczy, EN 18031 i wyjątki. |
| RoHS 2011/65/UE – elektronika | Zwykle dotyczy zamków elektronicznych objętych dyrektywą; ogranicza substancje niebezpieczne z uwzględnieniem kategorii i wyłączeń. | Oświadczenia materiałowe i dowody dla wyrobu końcowego. |
| WEEE 2012/19/UE – zużyty sprzęt | Możliwy krajowy wpis producenta, finansowanie zbiórki i znak przekreślonego kosza; nie jest to druga certyfikacja CE. | Kategoria ZSEE, obowiązki ROP w krajach i znak odbioru odpadów. |
| Baterie 2023/1542 – ogniwa w zestawie | Ustal rodzaj ogniw i obowiązki; usuwalność i wymienialność baterii przenośnych zgodnie z art. 11 od 18 lutego 2027 r., z wyjątkami. | Specyfikacja baterii, odpady, instrukcja i przegląd projektu. |
| RODO 2016/679 – dane osobowe | Konta, klucze cyfrowe, biometria i powiązane z osobami logi dostępu wymagają analizy podstaw, ról, informacji i zabezpieczeń; RODO to nie znak CE. | Przepływy, administrator/procesor, informacja, dostęp, retencja, umowy. |
| CRA 2024/2847 – cyfrowy produkt ochronny | Załącznik III zalicza produkty zabezpieczeń inteligentnego domu, w tym inteligentne zamki, do ważnych produktów klasy I, jednak nie jest to klasyfikacja automatyczna. Rozporządzenie wykonawcze 2025/2392 (kategoria 17) obejmuje produkty cyfrowe chroniące bezpieczeństwo fizyczne konsumentów w warunkach mieszkalnych, które mogą być zdalnie sterowane lub zarządzane przez inne systemy, a także centralne systemy sterujące. Zamek przeznaczony wyłącznie do hotelu lub bez takiego sterowania nie jest automatycznie kategorią 17; należy ocenić cały produkt i pozostałe kategorie CRA. Główne obowiązki co do zasady od 11 grudnia 2027 r.; zgłoszenia na podstawie art. 14 od 11 września 2026 r., także dla wcześniejszych produktów objętych CRA (art. 69 ust. 3). | Udokumentować zastosowanie mieszkaniowe lub profesjonalne, zdalne zarządzanie, główną funkcję, kategorię wg 2025/2392, zgłoszenia i przyszłą ocenę zgodności. |
| Wyroby budowlane/ewakuacja i GPSR 2023/988 | W przypadku drzwi przeciwpożarowych lub ewakuacyjnych osobno oceń regulacje budowlane, okucia i montaż. GPSR uzupełnia ryzyka konsumenckie nieobjęte prawem szczególnym. | Deklarowane zastosowanie, EN 14846/okucia wyjść, scenariusze awarii i ograniczenia montażu. |
| Opakowania 2025/40 | PPWR stosuje się etapowo, zasadniczo od 12 sierpnia 2026 r.; opakowania i krajowe obowiązki ROP analizuje się poza dokumentacją RED. | Materiały, dane dostawców, krajowa ROP i terminy oznakowania. |
Nie należy łączyć dwóch testów: kategoria 17 CRA dotyczy sterowania lub zarządzania z innego systemu produktami chroniącymi bezpieczeństwo fizyczne konsumentów w domach. W odróżnieniu od przesłanki cyber RED opis ten nie wymaga połączenia z internetem. Dlatego zamek BLE sterowany lokalnie z telefonu może wymagać oceny jako CRA klasa I, kategoria 17, nawet jeżeli nie jest urządzeniem połączonym z internetem w rozumieniu RED 2022/30. Sama nazwa „smart” nie przesądza kwalifikacji.
Internet, dane osobowe i płatności: odrębne przesłanki
Sama aplikacja nie dowodzi, że zamek jest „podłączony do internetu” w rozumieniu aktu delegowanego. Trzeba sprawdzić, czy urządzenie radiowe może samo wymieniać dane internetowe bezpośrednio lub za pośrednictwem innego sprzętu, w oparciu o faktyczne protokoły. Rozporządzenie delegowane 2026/339 uchyla przepisy cyber 2022/30 od 11 grudnia 2027 r., gdy zaczynają obowiązywać główne wymogi CRA; zachowano nadzór nad objętym nimi sprzętem wprowadzonym od 1 sierpnia 2025 do 10 grudnia 2027 r.
| Wariant | Pytanie w świetle RED 3(3) | Co ustalić |
|---|---|---|
| Tylko lokalny BLE; aplikacja nie przesyła danych zamka online | Podstawowe RED obowiązuje; internet w telefonie nie oznacza automatycznie połączenia zamka. | Wykazać architekturę offline i zbadać inne kategorie. |
| Bramka z chmurą; zdalne otwieranie i goście | Połączenie może uruchomić lit. d, a lit. e przy odpowiednich danych osobowych/ruchowych/lokalizacyjnych. | Prześledzić zamek–bramka–chmura, logowanie, aktualizacje, unieważnianie i logi. |
| Odciski palców przechowywane lokalnie | Biometria wymaga analizy danych i bezpieczeństwa, lecz nie oznacza sama w sobie połączenia internetowego. | Przetwarzanie biometrii, role, otwarcie awaryjne i inne kategorie RED e. |
| Płatność lub transfer wartości przez zamek | Lit. f dotyczy radia internetowego umożliwiającego transfer pieniędzy/wartości; abonament płatny na osobnej stronie nie wystarcza. | Funkcja transakcji, EN 18031-3 i ograniczenia publikacji norm. |
Okucia, drogi ewakuacyjne i ryzyka mechaniczne
Deklarowana odporność na włamanie nie potwierdza przydatności do drzwi przeciwpożarowych lub ewakuacyjnych. EN 14846 dotyczy określonych zamków i zaczepów elektromechanicznych, nie każdej nakładki. Sprawdź kwalifikację jako wyrób budowlany i wymagane dowody dla całego zestawu drzwiowego. Oceń wyjście od wewnątrz, awaryjne otwarcie mechaniczne, wyczerpanie baterii, zablokowany rygiel, alarm pożarowy i dopasowanie. Nie deklaruj dopuszczenia do ewakuacji bez zweryfikowanych badań konkretnego montażu.
Dokumentacja dowodowa inteligentnego zamka
| Dokument / właściciel | Wymagany zakres dowodu |
|---|---|
| Definicja wyrobu – producent | Warianty, drzwi, zasilanie, pasma, bramka, aplikacja, wersje i akcesoria. |
| Macierz przepisów – compliance | Datowane decyzje dla RED, cyber, RoHS, baterii, ZSEE, opakowań, RODO, CRA i drzwi. |
| Wyniki RF/EMC/bezpieczeństwa – laboratorium | Końcowa antena, obudowa i zasilanie, ryzyka i dobrane normy zharmonizowane. |
| Model zagrożeń – bezpieczeństwo | Parowanie, czas i odwołanie kluczy gości, zdalne otwarcie, aktualizacje OTA, awaria chmury i hasła. |
| Testy drzwi/awarii – konstruktor | Wyjście bez baterii, przy zacięciu i pożarze, warunki montażu oraz badania mechaniczne. |
| Dokumenty dostawców – zakupy | RoHS, dane baterii i zmiany części; CE modułu nie wystarcza dla całego wyrobu. |
| Deklaracja i oznakowanie – producent/importer | Podpisana deklaracja UE, model, CE/RED i instrukcje w wymaganych językach. |
| Nadzór po sprzedaży – odpowiedzialny | Zgłoszenia luk, naprawy/wycofanie, wsparcie, historia wersji i rejestracje ROP. |
Odpowiedzialność za zgodność i udział jednostki notyfikowanej
Podmiot sprzedający gotowy zamek pod własną marką co do zasady jest producentem, nawet gdy montaż zleca innej firmie. Dla objętych regulacjami wyrobów musi istnieć właściwy podmiot gospodarczy z siedzibą w UE; importer ma własne obowiązki weryfikacji i identyfikowalności. RED nakazuje producentowi przechowywać dokumentację techniczną i deklarację UE przez dziesięć lat od wprowadzenia produktu.
CE następuje po ocenie zgodności, a UE nie wydaje uniwersalnego „certyfikatu CE”. Zgodnie z art. 17 RED dla art. 3(1) możliwa jest kontrola wewnętrzna. Dla widma i aktywnych wymagań cyber w art. 3(2)/(3) pełne zastosowanie norm zharmonizowanych z Dz.U. decyduje, czy wystarczy ta droga, czy potrzebna będzie jednostka notyfikowana. EN 18031 ogłoszono decyzją 2025/138 z ograniczeniami. Oddzielnie należy planować przyszłą ocenę CRA klasy I.
Dla ważnego produktu klasy I CRA art. 32 ust. 2 dopuszcza kontrolę wewnętrzną tylko przy pełnym zastosowaniu odpowiednich norm zharmonizowanych, wspólnych specyfikacji lub kwalifikującego systemu certyfikacji cyberbezpieczeństwa. Jeśli ich brak lub zastosowano je częściowo, dla danych wymagań konieczna jest procedura strony trzeciej B+C lub H. Ocena jednostki notyfikowanej na potrzeby RED nie zastępuje odrębnej oceny CRA.
Oznakowanie i kontrola przed sprzedażą
- Zamrozić wersję zestawu: zamek, bramka, baterie, zasilacz, firmware i usługi chmurowe.
- Ustalić wszystkie przepisy oraz udział jednostki notyfikowanej przed deklaracją.
- Przypisać badania RF, EMC, bezpieczeństwa, substancji, cyber i mechaniki do jednej wersji.
- Sprawdzić CE, identyfikację, dane producenta/importera, częstotliwość/moc i dokumentację RED.
- Dodać instrukcje oraz ostrzeżenia w językach wymaganych w krajach sprzedaży.
- Oddzielnie zweryfikować ZSEE, baterie, opakowania, rejestracje ROP i aktualny etap PPWR.
- Zbadać utratę telefonu, dostęp offline i poprawki; bez dowodów nie reklamować funkcji ewakuacyjnej.
Trzy konfiguracje i decyzje o dopuszczeniu do sprzedaży
| Konfiguracja | Wstępna ścieżka | Blokada sprzedaży |
|---|---|---|
| Nakładka BLE tylko lokalna, wymienne baterie | RED, zwykle RoHS; baterie, ZSEE, opakowanie, pozostałe ryzyka. Udowodnić brak ścieżki internetowej. | Brak badań RF, potwierdzenia trybu offline lub bezpiecznego otwarcia ręcznego. |
| Zamek Wi‑Fi z chmurą i kluczami gości | RED z odpowiednimi elementami 2022/30, RODO, RoHS, odpady/opakowania i CRA. | Niezweryfikowane cofanie kluczy, aktualizacje, ograniczenia EN 18031 lub dane. |
| Zamek hotelowy na drzwi ewakuacyjne | Ponadto ocena okuć, wyjścia, montażu i kompletnego zestawu drzwiowego. | Brak dowodu ewakuacji lub kompatybilności, bądź niepoparte badaniami twierdzenia o odporności ogniowej. |
Kontrola zmian po wprowadzeniu na rynek
Dokumenty powiąż z wersją sprzętu i firmware. Przed kolejną partią dokonaj ponownej oceny przy zmianie:
- Układu radiowego, anteny, zasilania lub obudowy → ponownie RF, EMC, bezpieczeństwo i RED.
- Bramki, zdalnego otwarcia lub płatności → ponownie 2022/30 i zabezpieczenia cyber.
- Biometrii, analityki lub hostingu poza UE → RODO i bezpieczeństwo danych.
- Drzwi, kasety zamka, deklaracji ewakuacji lub chemii baterii → ryzyka fizyczne i dokumenty środowiskowe.
Urzędowe przepisy i wytyczne
Podstawą są pierwotne akty prawne. Norma daje domniemanie zgodności jedynie we wskazanym zakresie i z ograniczeniami opublikowanymi w Dzienniku Urzędowym.
- Dyrektywa o urządzeniach radiowych
- Delegowane wymogi cyber dla urządzeń radiowych
- Zmiana daty wymogów cyber
- Normy zharmonizowane z ograniczeniami
- Akt o cyberodporności
- Ograniczenie substancji niebezpiecznych
- Zużyty sprzęt elektryczny
- Baterie i ich odpady
- Ochrona danych osobowych
- Ogólne bezpieczeństwo produktów
- Opakowania i odpady opakowaniowe
- Odpowiedzialne podmioty gospodarcze UE
- Urzędowa procedura oznakowania CE
- Uchylenie wymogów i przejście na CRA
- Oficjalny opis kategorii CRA w rozporządzeniu 2025/2392
- Komisja Europejska: zgłoszenia CRA
- Dyrektywa o kompatybilności elektromagnetycznej (bez radia)
- Dyrektywa niskonapięciowa (zakres napięcia)
Najczęstsze pytania dotyczące zamków inteligentnych
Czy CE modułu Bluetooth certyfikuje cały zamek?
Nie. Gotowy wyrób, antena, obudowa, zasilanie i oprogramowanie wymagają odrębnej oceny i deklaracji.
Czy BLE bez Wi‑Fi zawsze wyłącza obowiązki cyber RED?
Nie. Trzeba zbadać komunikację internetową poprzez telefon/bramkę i inne kategorie.
Czy każdy zamek wymaga jednostki notyfikowanej UE?
Nie. Zależy od wymagań RED i zastosowanych norm opublikowanych w Dz.U.; CRA ma odrębne reguły.
Czy zwykły zamek można reklamować jako ewakuacyjny?
Nie bez dowodów dla konkretnej konstrukcji drzwi i przepisów ewakuacyjnych.
Czy RODO to to samo co przepisy o cyberbezpieczeństwie?
Nie. RED/CRA regulują bezpieczeństwo produktu, a RODO przetwarzanie danych, role i prawa osób.
Czy każdy elektroniczny zamek, także wyłącznie hotelowy, automatycznie podlega klasie I CRA?
Nie. Załącznik III należy czytać łącznie z kategorią 17 rozporządzenia 2025/2392: znaczenie ma bezpieczeństwo konsumentów w budynkach mieszkalnych oraz sterowanie lub zarządzanie z innego systemu. Model profesjonalny lub izolowany wymaga osobnej klasyfikacji; poza kategorią 17 nie oznacza automatycznie poza CRA.