2026年7月，全国网络安全标准化技术委员会（TC260）组织制定的《网络安全技术 消费类智能联网设备分级要求》征求意见稿进入公开征求意见阶段，计划号20260948-T-469，牵头单位为相关电子标准化研究机构。这是国内首份针对消费类IoT设备的网络安全分级国家标准征求意见稿，对应欧盟ETSI EN 303 645、美国NIST IR 8425与ISO/IEC 27404的国内映射版本。本文按"框架结构---适用边界---跨境对标---合规准备"四条主线梳理要点。
一、标准的框架结构
征求意见稿设置"五维度×三等级"的核心结构：
| 安全维度 | 评估范围 |
|---|---|
| 物理与硬件安全 | 设备拆解、接口防护、调试端口、固件读取防护 |
| 系统与软件安全 | OS与固件完整性、应用沙箱、权限控制、漏洞管理 |
| 网络与通信安全 | 通信链路加密、身份鉴别、网络服务暴露面 |
| 数据与信息安全 | 个人信息处理、存储加密、数据生命周期 |
| 安全保障 | 流程、文档、责任、应急响应机制 |
三等级由低到高：
- 一级（基础安全）：入门级安全能力，对应产品最基本的安全底线
- 二级（增强安全）：在一级基础上进一步提升安全能力
- 三级（最高安全）：涉及芯片安全、密码安全等高阶要求
企业按产品定位、成本、应用场景自行选择对标等级，并非强制全部达到三级。
二、适用产品范围
征求意见稿面向的是消费类智能联网设备，覆盖范围包括：
- 智能摄像头
- 智能门锁
- 家用路由器
- 智能穿戴设备
- 扫地机器人
- 智能家电
征求意见稿的适用边界以"面向消费者销售、可联网、可更新软件/固件"为基本判定条件。纯工业设备、专业医疗设备、纯机械产品不在本标准覆盖范围内。
三、跨境框架对标
征求意见稿编制说明中明确了对标国际主流框架的思路：
| 区域/组织 | 对标框架与标准 |
|---|---|
| 欧盟 | CRA + ETSI EN 303 645（消费者IoT安全基线） |
| 美国 | NIST IR 8425 + 14028号行政令下的消费品标签计划 |
| ISO | ISO/IEC 27404（消费者IoT网络安全标识框架） |
编制说明中提到，对标目的"为打通国际和国内相关测试和认证提供技术支持"。该表述的实践意义在于：产品通过国内分级检测后，可部分减少与EN 303 645或NIST IR 8425的重复测试工作量，对同时面向国内与出口市场的企业构成可量化的合规成本节约。
#mermaid-svg-L2yIsGFcxe58m1l8{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-L2yIsGFcxe58m1l8 .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-L2yIsGFcxe58m1l8 .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-L2yIsGFcxe58m1l8 .error-icon{fill:#552222;}#mermaid-svg-L2yIsGFcxe58m1l8 .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-L2yIsGFcxe58m1l8 .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-L2yIsGFcxe58m1l8 .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-L2yIsGFcxe58m1l8 .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-L2yIsGFcxe58m1l8 .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-L2yIsGFcxe58m1l8 .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-L2yIsGFcxe58m1l8 .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-L2yIsGFcxe58m1l8 .marker{fill:#333333;stroke:#333333;}#mermaid-svg-L2yIsGFcxe58m1l8 .marker.cross{stroke:#333333;}#mermaid-svg-L2yIsGFcxe58m1l8 svg{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-L2yIsGFcxe58m1l8 p{margin:0;}#mermaid-svg-L2yIsGFcxe58m1l8 .label{font-family:"trebuchet ms",verdana,arial,sans-serif;color:#333;}#mermaid-svg-L2yIsGFcxe58m1l8 .cluster-label text{fill:#333;}#mermaid-svg-L2yIsGFcxe58m1l8 .cluster-label span{color:#333;}#mermaid-svg-L2yIsGFcxe58m1l8 .cluster-label span p{background-color:transparent;}#mermaid-svg-L2yIsGFcxe58m1l8 .label text,#mermaid-svg-L2yIsGFcxe58m1l8 span{fill:#333;color:#333;}#mermaid-svg-L2yIsGFcxe58m1l8 .node rect,#mermaid-svg-L2yIsGFcxe58m1l8 .node circle,#mermaid-svg-L2yIsGFcxe58m1l8 .node ellipse,#mermaid-svg-L2yIsGFcxe58m1l8 .node polygon,#mermaid-svg-L2yIsGFcxe58m1l8 .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-L2yIsGFcxe58m1l8 .rough-node .label text,#mermaid-svg-L2yIsGFcxe58m1l8 .node .label text,#mermaid-svg-L2yIsGFcxe58m1l8 .image-shape .label,#mermaid-svg-L2yIsGFcxe58m1l8 .icon-shape .label{text-anchor:middle;}#mermaid-svg-L2yIsGFcxe58m1l8 .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-L2yIsGFcxe58m1l8 .rough-node .label,#mermaid-svg-L2yIsGFcxe58m1l8 .node .label,#mermaid-svg-L2yIsGFcxe58m1l8 .image-shape .label,#mermaid-svg-L2yIsGFcxe58m1l8 .icon-shape .label{text-align:center;}#mermaid-svg-L2yIsGFcxe58m1l8 .node.clickable{cursor:pointer;}#mermaid-svg-L2yIsGFcxe58m1l8 .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-L2yIsGFcxe58m1l8 .arrowheadPath{fill:#333333;}#mermaid-svg-L2yIsGFcxe58m1l8 .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-L2yIsGFcxe58m1l8 .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-L2yIsGFcxe58m1l8 .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-L2yIsGFcxe58m1l8 .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-L2yIsGFcxe58m1l8 .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-L2yIsGFcxe58m1l8 .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-L2yIsGFcxe58m1l8 .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-L2yIsGFcxe58m1l8 .cluster text{fill:#333;}#mermaid-svg-L2yIsGFcxe58m1l8 .cluster span{color:#333;}#mermaid-svg-L2yIsGFcxe58m1l8 div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-L2yIsGFcxe58m1l8 .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-L2yIsGFcxe58m1l8 rect.text{fill:none;stroke-width:0;}#mermaid-svg-L2yIsGFcxe58m1l8 .icon-shape,#mermaid-svg-L2yIsGFcxe58m1l8 .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-L2yIsGFcxe58m1l8 .icon-shape p,#mermaid-svg-L2yIsGFcxe58m1l8 .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-L2yIsGFcxe58m1l8 .icon-shape .label rect,#mermaid-svg-L2yIsGFcxe58m1l8 .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-L2yIsGFcxe58m1l8 .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-L2yIsGFcxe58m1l8 .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-L2yIsGFcxe58m1l8 :root{--mermaid-font-family:"trebuchet ms",verdana,arial,sans-serif;} 对标
对标
参考
消费IoT产品
国内分级国标
欧盟 CRA/EN 303 645
美国 NIST IR 8425
ISO IEC 27404
四、与已有CRA/NIST框架的差异点
国内分级国标征求意见稿与已落地的国际框架相比，存在几个差异：
| 维度 | 欧盟CRA/EN 303 645 | 美国NIST IR 8425 | 国内分级国标（征求意见稿） |
|---|---|---|---|
| 法律性质 | 法规强制 | 行政令+自愿标签 | 推荐性国家标准（征求意见阶段） |
| 等级体系 | Class I/II 合格评定分级 | 基线+产品标签 | 一/二/三级三档 |
| 第三方评定 | 公告机构 | FCC/CSRIC | 待标准正式发布后明确 |
| 公开时间线 | 2027年9月强制 | 已生效 | 征求意见阶段 |
从性质看，国内分级国标目前是推荐性标准，征求意见稿阶段的性质与企业对标方式以标准正式发布文本为准。
五、过渡期与时间安排
编制说明中提及"标准正式发布后给予约6个月的过渡安排"，即企业有约半年时间完成产品安全能力调整。需特别说明的是：
- 6个月过渡期目前为编制说明中的建议，最终以标准正式发布文本为准
- 距离标准正式发布仍有数月窗口
- 距离实施日期还有大半年时间
- 完成一轮产品安全能力盘点的时间相对充裕
六、企业可开展的准备工作
在标准征求意见窗口与正式发布之间，企业可开展三件事：
- 征求意见反馈：标准处于公开征求意见窗口，征集意见的渠道按TC260公开信息执行。如产品品类、安全成本或检测流程存在实际痛点，此时反馈比发布后再调整更有效率
- 按三级框架自评：对照征求意见稿的五个安全维度与三个等级条款，对现有产品做一次自评，重点关注芯片安全、通信加密、固件更新、漏洞管理等高频项
- 文档与流程准备：提前规划产品安全能力盘点的文档结构，把过渡期的时间前置使用
七、常见问题（FAQ）
Q1：这份国标征求意见稿由谁组织制定？
由全国网络安全标准化技术委员会（TC260）组织制定，征求意见阶段面向社会公开。
Q2：标准分为几级几个维度？
三等级：一级（基础）、二级（增强）、三级（最高）。五维度：物理与硬件、系统与软件、网络与通信、数据与信息、安全保障。
Q3：标准覆盖哪些产品？
面向消费者销售、可联网、可更新软件/固件的智能设备，包括智能摄像头、智能门锁、家用路由器、智能穿戴、扫地机器人、智能家电等。
Q4：是否强制所有产品必须达到三级？
否。企业按产品定位、成本、应用场景自行选择对标等级。征求意见稿并非强制全部达到三级。
Q5：与欧盟CRA、ETSI EN 303 645是什么关系？
编制说明中明确对标欧盟CRA与ETSI EN 303 645。两者构成"国际框架---国内映射"关系，企业在两套标准下的测试可部分复用。
Q6：6个月过渡期从何时起算？
从标准正式发布之日起算，过渡期建议时长为6个月，但最终以标准正式发布文本为准。
Q7：征求意见阶段企业能做什么？
在公开征求意见窗口期，可通过TC260公开渠道提交反馈；同时开展产品自评与文档准备工作。
八、小结
消费类智能联网设备安全分级国标征求意见稿是国内首份针对消费IoT的网络安全分级国家标准，核心结构为"五维度×三等级"。编制说明中明确对标欧盟CRA、美国NIST IR 8425、ISO/IEC 27404，对同时面向国内与出口市场的企业构成合规成本节约空间。6个月过渡期建议目前仍为编制说明的表述，最终以标准正式发布文本为准。征求意见窗口与正式发布之间的时间，是企业开展产品自评、文档准备与意见反馈的有效期。
数据来源
本文依据TC260公开征求意见信息、相关国标编制说明与对应国际公开标准文本整理，相关内容如有更新以官方发布版本为准。