3、物联网安全法规全景：GDPR、CCPA、等保2.0、欧盟网络安全法案、各国物联网安全法规对比

做物联网安全合规，最头疼的是什么？

我个人觉得，不是技术有多难，而是法规太多、太杂、太乱。你想想看，一个智能灯泡卖到欧洲要管GDPR，卖到加州要管CCPA，在国内还得过等保2.0。稍不留神，罚款就来了。

这一章，我带你把全球主流的物联网安全法规捋一遍。不搞虚的，直接说清楚每部法规到底管什么、怎么管、跟你手里的产品有什么关系。

3.1 GDPR：欧洲的“数据铁拳”

GDPR全称是《通用数据保护条例》。2018年生效，到现在快7年了，但它依然是全球最严的数据保护法规，没有之一。

为什么说它严？罚款上限是2000万欧元或全球年营收的4%，取高的那个。我在项目里见过一家做智能家居的创业公司，因为用户位置数据没加密被投诉，最后罚了120万欧元。嗯，那家公司后来直接关门了。

这里有个坑，我提醒你注意。GDPR管的不只是数据本身，还包括设备固件里的数据处理逻辑。我曾经帮客户审过一个智能门锁的固件，发现它把开锁记录明文存在本地，然后定期上传到云端。这违反了GDPR的“设计与默认数据保护”原则。后来我们重新设计了存储架构，开锁记录在本地加密，云端只存脱敏后的统计信息。

3.2 CCPA/CPRA：加州的“数据权利法案”

CCPA是《加州消费者隐私法案》，2020年生效。CPRA是它的加强版，2023年全面执行。

CCPA跟GDPR最大的区别是什么？我总结一下：GDPR强调“同意”，CCPA强调“选择退出”。也就是说，在加州，用户默认允许你收集数据，但用户有权随时说“不”。

对比项	GDPR	CCPA/CPRA
适用范围	处理欧盟居民数据的任何组织	年营收超2500万美元或处理超10万加州居民数据的公司
同意机制	主动选择加入（Opt-in）	默认允许，但用户可选择退出（Opt-out）
罚款上限	2000万欧元或全球营收4%	每次违规2500美元，故意违规7500美元
数据删除权	有（被遗忘权）	有（但有限制，如完成交易所需的数据可不删）
敏感数据	特殊类别数据有额外保护	CPRA新增了敏感数据类别，如精确地理位置、种族等

做物联网产品时，CCPA有个细节容易被忽略：它要求企业在收集个人信息后的30天内，在隐私政策中明确告知用户收集了哪些数据、用途是什么、第三方共享情况。我见过不少智能硬件厂商，隐私政策写得像天书，用户根本看不懂。这其实是个合规风险。

3.3 等保2.0：中国的“安全基线”

等保2.0全称是《网络安全等级保护制度2.0》，2019年12月正式实施。它跟GDPR、CCPA最大的不同是：等保2.0不只看数据，还看系统本身的安全能力。

说白了，等保2.0给你的物联网系统定了个“安全等级”。从第一级到第五级，级别越高要求越严。大部分物联网系统落在第二级或第三级。

我记得有个做智慧农业的项目，客户觉得等保2.0就是走个过场。结果测评机构来了，发现他们的传感器节点没有身份认证，任何人都能往网关发假数据。最后整改花了两个月，比一开始就做好贵了三倍。所以我的建议是：等保2.0不是终点，而是安全基线的起点。

3.4 欧盟网络安全法案（EU CSA）与EN 303 645

欧盟网络安全法案（EU Cybersecurity Act）2019年生效，核心是建立了欧洲网络安全认证框架（EUCC）。它不直接管具体产品，而是给物联网设备定了个“安全认证”的等级标准。

跟它配套的，是EN 303 645标准。这个标准专门针对消费类物联网设备，比如智能摄像头、智能音箱、智能门锁。它规定了13条安全要求，我挑几条重点的说：

• 没有默认密码：每个设备出厂时必须使用唯一密码，或者强制用户首次使用时设置密码。
• 漏洞报告机制：厂商必须公开一个漏洞报告渠道，并在发现漏洞后及时修复。
• 软件更新：设备应支持自动更新，且更新过程必须验证签名。
• 安全存储：敏感凭据（如密码、密钥）必须在设备内安全存储。

这里有个实战经验。EN 303 645要求“没有默认密码”，但很多厂商理解成“把默认密码写在说明书里”。这不对。正确的做法是：设备第一次上电时，强制用户通过App或Web界面设置一个新密码，否则设备无法正常工作。我在一个智能摄像头项目里就是这么做的，虽然增加了用户操作步骤，但合规上完全没问题。

3.5 各国物联网安全法规对比

除了上面几个，全球还有不少国家在推物联网安全法规。我整理了一个对比表，方便你快速了解。

国家/地区	法规/标准	核心要求	适用对象	罚款/处罚
欧盟	GDPR + EN 303 645	数据保护 + 设备安全基线	所有处理个人数据的物联网设备	最高2000万欧元或4%营收
美国（加州）	CCPA/CPRA + SB-327	消费者数据权利 + 设备安全功能	面向加州消费者的物联网设备	每次违规2500-7500美元
中国	等保2.0 + 《个人信息保护法》	系统安全等级 + 个人信息保护	所有在中国运营的物联网系统	最高5000万元或5%营收
英国	PSTI法案（2024年生效）	禁止默认密码、漏洞报告、更新支持期	面向英国消费者的物联网设备	最高1000万英镑或4%营收
新加坡	IoT网络安全标签计划	自愿性安全认证，分四个等级	消费类物联网设备	无罚款，但无标签产品竞争力下降
日本	《物联网安全综合对策》	设备安全指南 + 漏洞应对	所有物联网设备	行政指导，无直接罚款

你看，各国法规虽然细节不同，但核心逻辑是相通的：设备要有唯一身份、数据要加密、漏洞要修、用户要有控制权。你只要把这四点做到位，大部分法规都能覆盖。

3.6 法规全景图：一张图看懂全局

下面这张图，我把全球主流物联网安全法规按“数据保护”和“设备安全”两个维度做了分类。你可以用它快速定位你的产品需要满足哪些法规。

从这张图你能看出来，GDPR和CCPA偏重数据保护，设备安全要求相对弱一些。而等保2.0和EN 303 645更强调设备本身的安全能力。如果你的产品要同时进入多个市场，建议以EN 303 645为设备安全基线，以GDPR为数据保护基线，这样基本能覆盖大部分法规。