先界定具体产品及销售配置
智能门锁进入欧盟市场，并不是取得一张“CE证书”就完成了。电池供电的蓝牙门锁可能同时属于无线电设备、电子电气设备、数字安防产品和门体部件。必须以最终销售型号、无线通信路径、软件服务和预期安装的门为对象进行评估，不能仅依赖蓝牙模块供应商的文件。
先界定具体产品及销售配置
按每个SKU、固件基线及销售套装记录下列事实。锁体、选配网关、手机应用、电源适配器及单独销售的机械锁芯，适用的法规可能不同。
- 无线功能：蓝牙低功耗、Wi‑Fi、Thread/Zigbee、NFC等；频段、功率、天线、各国限制及随附网关。
- 联网路径：锁本身能否直接或经手机／网关交换互联网数据；区分远程开锁与纯本地控制。
- 数据与访问：姓名、访客钥匙、开门日志、生物识别、云存储、保存期限和数据责任方。
- 安装条件：加装式旋钮还是完整机电锁；防火／疏散门、断电状态及手动开锁方式。
- 销售组成：电池、充电器、包装、品牌持有人、首次销售欧盟国家及进口商。
无无线电功能的型号：电子密码门锁不会仅因存在手机应用或独立附件就受RED管辖。应核查适用的2014/30/EU电磁兼容指令；2014/35/EU低电压指令仅针对额定电压在交流50—1000伏或直流75—1500伏范围内、且不属于排除范围的电气设备。对最终成品无线电门锁，RED本身涵盖电气安全及电磁兼容目标，不能自动对同一设备重复套用相同评估路径。
欧盟智能门锁法规适用性决策矩阵
| 法规及触发条件 | 对门锁的影响 | 需要的证据或判断 |
|---|---|---|
| RED 2014/53/EU：无线电设备 | 有意发射或接收无线电波的成品锁通常受其约束，涵盖电气安全、电磁兼容及频谱；RED安全目标不设最低电压门槛。 | 最终射频方案、射频／EMC／安全测试、欧盟官方公报所列协调标准、符合性声明及CE标志。 |
| RED网络安全：联网／数据／支付 | 自2025年8月1日起，2022/30对联网无线设备启用第3(3)(d)项；处理指定数据时涉及(e)项，允许货币或价值转移时涉及(f)项。并非所有无线设备自动适用。 | 联网及数据流程图、远程钥匙威胁模型、EN 18031适用分析及例外。 |
| RoHS 2011/65/EU：电子电气设备 | 适用范围内的电子门锁通常需限制特定有害物质，并核查产品类别和豁免。 | 最终产品的材料、零件声明及风险导向的物质证据。 |
| WEEE 2012/19/EU：电子废弃物 | 可能涉及成员国生产者注册、回收资金义务和带叉垃圾桶标志；并非另一项CE认证。 | WEEE类别、销售国生产者延伸责任分工及废弃标识。 |
| 电池法规2023/1542：随附电池 | 核查电池类型及主体义务；第11条便携式电池可拆卸和更换要求自2027年2月18日起适用，存在法定例外。 | 电池规格、废弃处理路径、用户说明以及未来设计复核。 |
| GDPR 2016/679：个人数据 | 账户、数字钥匙、生物识别信息和可关联个人的出入记录，须分析处理角色、法律依据、透明度及安全性；GDPR不是CE标志。 | 数据流、控制者／处理者、隐私告知、权限、保存期限和协议。 |
| CRA 2024/2847：数字安防产品 | 《网络韧性法案》（CRA）附件III将具备安全功能的智能家居产品（包括智能门锁）列为I类重要产品，但并非所有电子锁都自动属于该类。实施条例2025/2392第17类所指的是保护住宅环境中消费者人身安全、且可由其他系统远程控制或管理的数字产品，同时包括集中控制这些产品的软硬件。仅供酒店使用或不具备此类管理方式的锁，不能仅凭产品名称认定为第17类；还须核查整体产品和CRA其他类别。主要义务原则上自2027年12月11日起适用；第14条报告义务自2026年9月11日起适用，包括此前已投放市场而属于CRA适用范围的产品（第69条第3款）。 | 记录住宅或专业用途、远程管理结构、核心功能、按2025/2392确定的类别、漏洞报告机制和未来符合性评估路径。 |
| 建筑／疏散及GPSR 2023/988 | 声称用于防火门、疏散通道或特殊门组件时，需另行判断建筑产品、五金和安装要求。GPSR针对部门法规未覆盖的消费者风险发挥补充作用。 | 门型声明、EN 14846及疏散五金适用性、故障模式与安装限制。 |
| 包装法规2025/40 | 包装及包装废弃物法规原则上自2026年8月12日起分阶段适用；包装义务和各国生产者责任须独立于RED评估。 | 包装材料及供应商记录、成员国生产者责任、分阶段标签要求。 |
必须区分两项判断：CRA第17类考察住宅消费者实体安全产品能否由另一系统远程控制或管理；与RED的网络安全联网判断不同，这一定义未要求接入互联网。因此，即使蓝牙门锁仅由手机在本地控制、按照RED 2022/30不属于联网无线电设备，也仍可能需要评估其是否属于CRA第I类第17项。仅凭“智能门锁”的名称不能得出结论。
分别判断联网、个人数据及支付功能
存在手机应用不必然意味着该锁在2022/30意义上属于“联网无线电设备”。应依据实际设备和通信协议判断：锁本身能否直接或经中间设备交换互联网数据。 第2026/339号授权条例规定，自2027年12月11日CRA主要义务适用时废止2022/30网络安全授权规则；对2025年8月1日至2027年12月10日期间按旧规则投放的相关无线设备，市场监督仍然保留。
| 产品配置 | RED第3(3)条关键问题 | 下一步核查 |
|---|---|---|
| 纯本地蓝牙，应用不上传门锁数据 | 仍适用RED基本要求；手机具备互联网功能并不能自动证明门锁联网。 | 证明离线架构，并检查其他受管控设备类别。 |
| 云网关，远程开锁与访客数字钥匙 | 互联网连接使(d)项成为重点；处理受覆盖的个人／通信／位置数据时还需判断(e)项。 | 追踪锁－网关－云端通信、身份验证、更新、钥匙撤销和日志安全。 |
| 指纹模板仅存于本地 | 涉及数据保护及人身安全问题，但不会自动将本地锁归为联网设备。 | 核查生物识别数据处理、责任方、备用开锁以及其他RED(e)类别。 |
| 通过锁执行付费访问或价值转移 | (f)项取决于联网无线设备是否允许转移金钱或价值；在独立网站缴纳订阅费并不一定触发。 | 记录交易机制、EN 18031-3以及官方公报限制。 |
门锁五金、紧急疏散和机械风险
宣称“防盗”不等于可以安装在防火门或紧急出口。EN 14846针对特定机电锁及锁扣，并非所有加装电机的通用许可。应检查该配置是否属于建筑产品监管范围，以及是否需要完整门组件的测试证明。重点核查门内逃生、机械应急开锁、电池耗尽、锁舌卡滞、火警联动及适配性。没有针对实际门组件与安装条件的证据，不应宣称适用于疏散出口。
智能门锁技术证据清单
| 证据／责任部门 | 应证明的事项 |
|---|---|
| 成品定义－制造商 | 型号、适配门型、电源、频段、网关、应用、软件版本及附件。 |
| 法规适用记录－合规负责人 | 对RED、网络安全、RoHS、电池、废弃物、包装、GDPR、CRA、门型的逐项有日期判断。 |
| 射频／EMC／安全报告－测试方 | 最终天线、外壳、供电配置的结果，风险评估与选用协调标准。 |
| 网络威胁模型－安全负责人 | 设备配对、访客钥匙失效和撤销、远程开锁滥用、OTA真实性、云故障及密码。 |
| 机械故障与门体测试－工程部门 | 断电、卡锁或火灾时逃生，安装限制及机械试验。 |
| 供应链文件－采购部门 | RoHS声明、电池信息与部件变更；无线模块的CE材料不能替代整机证明。 |
| 欧盟声明与标签－制造商／进口商 | 涵盖适用CE法规的签署声明、型号标识、CE／RED信息及当地语言说明。 |
| 售后管理－责任主体 | 漏洞报告渠道、修复和召回、支持周期、软件版本以及生产者责任注册。 |
谁承担合规责任以及何时需要公告机构
以自有品牌销售成品锁的一方通常承担制造商责任，即使生产交由第三方。受相关欧盟协调法规约束的产品需要适当的欧盟境内责任经济运营者，进口商还有独立的核验与追溯义务。根据RED，制造商须在产品投放市场后保存技术文件和欧盟符合性声明十年。
CE标志应在完成符合性评估后使用；不存在欧盟机构签发的统一“CE证书”。RED第17条允许对第3(1)条要求采用内部生产控制；对于频谱及适用的第3(2)/(3)条网络安全要求，是否完整应用官方公报引用的协调标准，会影响能否采用内部程序或必须由公告机构参与。2025/138号决定引用EN 18031时附有限制；未来CRA I类产品的评估途径应单独确认。
对于CRA第I类重要产品，根据第32条第2款，只有完整采用适用的协调标准、共同规范或合格的网络安全认证方案，才可采用内部控制程序。缺少这些依据或仅部分采用时，相关要求须通过第三方B+C或H程序。RED项下公告机构的结论不能替代CRA的独立评估。
标签及上市前核查
- 锁定销售套装：锁体、网关、电池、适配器、固件以及云端功能。
- 签署声明前完成法规分类，并确定是否需要公告机构。
- 确认射频、EMC、安全、化学物质、网络安全和机械报告对应同一成品版本。
- 核查CE、型号、制造商与进口商、频段功率、RED说明书及声明信息。
- 按照每个销售成员国的要求提供当地语言操作和安全警示。
- 分别检查WEEE、电池、包装标志、生产者责任注册及当前PPWR实施阶段。
- 验证手机遗失、离线开锁与关键漏洞修复；没有证明不得宣传防火／疏散适用。
三种典型配置的上市放行条件
| 典型型号 | 初步路径 | 何时暂停上市 |
|---|---|---|
| 纯本地蓝牙加装锁，可更换电池 | RED及通常的RoHS；另查电池、WEEE、包装与剩余风险。证明互联网触发条件是否不存在。 | 射频证据、离线架构或安全手动开启方式缺失。 |
| 带云端和访客钥匙的Wi‑Fi锁 | RED及2022/30相关条款、GDPR、RoHS、废弃物／包装和CRA准备工作。 | 钥匙撤销、更新、EN 18031限制或数据流尚未验证。 |
| 面向酒店疏散出口的机电锁 | 上述路径外还需门五金、紧急逃生、安装和门组件判断。 | 未证明逃生操作或门组件兼容性，却宣称防火或疏散等级。 |
上市后的变更控制
将证据与硬件、固件版本绑定。出现以下变化，下一批产品前应重新评估：
- 更换无线芯片、天线、电源或外壳 → 复核射频、EMC、安全及RED。
- 新增云网关、远程开锁或付款 → 重新判断2022/30及安全控制。
- 新增生物识别、分析功能或境外云托管 → 重新检查GDPR及数据保护。
- 更改门型、锁体、疏散声明或电池化学体系 → 重新检查机械风险及环境资料。
欧盟官方法律及指导资料
以下为原始官方法规与指南。协调标准只在适用条款及欧盟官方公报所列限制范围内提供符合性推定。
智能门锁合规常见问题
蓝牙模块带CE标志就等于整把锁合规吗？
不等于。成品的天线、外壳、电源及软件配置仍需独立评估和制造商声明。
没有Wi‑Fi的蓝牙锁一定不受RED网络安全要求约束吗？
不一定。须检查锁能否通过手机／网关交换互联网数据，以及其他设备类别。
每一把智能门锁都必须由欧盟公告机构认证吗？
不是。取决于适用RED条款和协调标准的完整使用；CRA分类另行判断。
普通智能锁能否宣传用于紧急出口？
必须先验证具体门体、门锁五金和疏散规则；无线测试不能替代门体证据。
GDPR与欧盟产品网络安全法规相同吗？
不同。RED／CRA涉及产品安全；GDPR涉及个人数据处理依据、责任角色和当事人权利。
所有电子门锁，包括酒店专用门锁，都自动属于CRA第I类吗？
不是。附件III须结合实施条例2025/2392第17类阅读：住宅环境中的消费者安全保护，以及由其他系统远程控制或管理，是关键条件。纯专业用途或隔离式设备需要单独分类；不属于第17类也不意味着必然不适用CRA。