摄像头出海：射频、隐私、网络安全三道门
先说结论：摄像头不是"做完 FCC / CE 就能卖"的产品。它在射频之外还多了一路图像采集——镜头对着的是人脸、门口、客厅，录下来的东西要存、要传、要能被用户看见和管住。所以这类产品过的从来不是一道门，而是三道：
- 门一，射频与电气安全：FCC ID / CE-RED / UKCA / MIC / KC / SRRC，加上安规与 EMC。交出去的是测试报告和 ID。
- 门二，隐私：采集范围、存储位置、传输方式、告知与说明书。交出去的是产品设计和文本，不是报告。
- 门三，网络安全：默认密码、漏洞披露、更新支持期。英国 PSTI 已于 2024-04-29 强制，欧盟 CRA 分阶段落地，平台审核会照着问。交出去的是流程和声明。
这三道门容易出事的地方，不是技术难度，而是顺序和归属搞错：研发以为认证就是送样跑实验室，业务以为拿到报告就完事，结果货到了英国被问 PSTI、上了平台被要求补 UL/ETL、说明书里连数据存哪儿都没写。实验室那一段只覆盖门一，门二门三的材料是写出来的，不是测出来的。
下面按"哪道门、查什么、证据长什么样"逐条拆。文中周期与费用只是行业常见区间，具体以机构评估为准。
三道门，各管一段：先看这张对照表
| 门 | 管的是什么 | 主要市场落点 | 交出去的证据 |
|---|---|---|---|
| 门一 射频与电气安全 |
WiFi 2.4G/5G、蓝牙、红外 LED、电源适配器、整机电气与 EMC | 美国：FCC ID + FCC SDOC(EMC) + UL/ETL + DOE(适配器) + Prop 65；欧盟：CE-RED + CE-LVD + ERP(适配器) + RoHS/REACH/WEEE；英国：UKCA + UK ERP + UK RoHS/REACH；日本：MIC + PSE(适配器) + VCCI；韩国：KC RF + KC Safety + KEMCO(适配器) + KC RoHS；中国：SRRC + CCC(适配器)；沙特：CST + SABER + SASO 能效 + SASO RoHS | RF/EMC/安规测试报告、FCC ID、符合性声明、能效注册、警示标签 |
| 门二 隐私 |
图像与音频采集、本地/云端存储、传输加密、告知与说明书表述 | 欧盟：GDPR 语境下的产品设计与说明书（本地存储优先、加密传输）；CRA 的数据保护与加密要求；美国、英国：说明书与包装上的数据流向说明（渠道层面常被追问） | 隐私设计说明、说明书条款、符合性声明中的相关表述、包装与 App 提示文本 |
| 门三 网络安全 |
默认密码、漏洞披露机制、安全更新支持期、软件物料清单 | 英国：PSTI（2024-04-29 起强制，OPSS 监管）；欧盟：RED 网络安全条款 / EN 303 645、CRA（2024-12-10 生效、2027-12-11 全面强制） | PSTI 合规声明（Statement of Compliance）、漏洞处理流程、更新期限声明、SBOM |
| 渠道校验 平台审核 |
Listing 可核验性：报告号、标签照片、说明书、能效与警示信息 | Amazon、Walmart、eBay 等：UL/ETL 之类安全认证虽为自愿性，零售渠道近乎强制；无 FCC ID 会被平台下架；Prop 65 警示标签电商平台强制；FCC ID 在 fccid.io 公开可查 | 报告与 ID 截图、铭牌与标签实拍、DoC、盒内说明书、注册记录 |
这张表建议直接存档。它说明一件事：三道门不是同一份报告的三个章节，而是三套互不替代的证据。摄像头整机拆开看是图像传感器 + 处理器 + WiFi/蓝牙模块 + 红外 LED + 电源模块 + SD 卡槽，每一块都会把对应那道门的要求带进来——红外 LED 会把 EMC 的辐射骚扰带进来，SD 卡槽和云存储会把隐私带进来，WiFi 模块和 App 配网会把网络安全带进来。
门一 · 射频：双频摄像头的账，不能按"加一个频段"算
摄像头的无线配置通常分三种：只走 2.4G WiFi、2.4G + 5G 双频、双频再加蓝牙配网。三种配置的测试量差别很大。
- 2.4G 段：美国走 FCC Part 15C，欧盟走 EN 300 328。测的是发射功率、占用带宽、杂散发射、频率稳定度这一类基础项。
- 5G 段：美国走 Part 15E，欧盟走 EN 301 893。除了功率与杂散，多出 DFS（动态频率选择）和 TPC（发射功率控制）——这两项是 5G 段真正的成本来源，也是排期容易排不进去的地方。
- 天线：天线增益与方向图要一起交。很多项目射频指标没问题，卡在天线增益与整机结构不匹配，改结构比改电路贵得多。
双频整机的认证费用通常是单频的 1.5–1.8 倍，不是翻倍，但也别按单频预算报给老板。周期上，FCC ID 常见 2–4 周，FCC SDOC 1–2 周；欧盟 CE-RED 视实验室档期与整改轮次浮动。以机构评估为准，尤其在 Q4 排期紧张的时候。
另外两个容易被忽略的硬件细节：一是美国市场要求当地代理（US Agent），这是流程项，不是测试项，但缺了就是缺了；二是 FCC ID 长期有效（标准不变不需更新），而 UL/ETL 需要每季度工厂审查，这是持续成本，报价时要算进去。
门一 · 安规与 EMC：室外机的 IP 防护经常被低估
安规这块，整机看 IEC 62368-1（美国对应 UL 62368-1），测电气强度、绝缘、温升；带电池的还要看 UL 2054 / UL 1642 这一路。适配器单独走 DOE Level VI 或欧盟 ERP，DOE 还需要注册。这些是常规动作，不多说。
真正拉开差距的是 EMC 和室外机的防护等级：
| 项目 | 摄像头特有的地方 | 容易出问题的地方 |
|---|---|---|
| 辐射骚扰 | 红外 LED 板可能产生额外骚扰，夜视切换是独立工作状态 | 只测白天模式，量产抽检时夜视模式超标 |
| 传导骚扰 | 网口（PoE 机型）和电源口两个路径都要看 | 只做电源口，PoE 网口留白 |
| 静电放电 | 室外机要求更严 | 按室内机等级报，客户现场一测就挂 |
| 浪涌/雷击 | 室外机常需评估防雷击 | 与 IP 防护一起被漏掉 |
| IP 防护 | 室外机通常需 IP65 以上，另有材料耐候（UV 老化）要求 | 结构件换供应商后没重测，防水结构失效 |
室外机和室内机不是"同一个方案加个外壳"。IP 等级、ESD、浪涌三项叠加，测试项目和费用都会往上走；结构件、密封件、外壳材料一变更，前面测过的数据就要重新评估。做产品线规划时，把室外机单独列一条线，不要挂在室内机项目下面。
门二 · 隐私：能拍到人脸的产品，说明书就是合规文件
先把边界划清楚：隐私在多数市场不是一项检测，实验室不会给你出一张"隐私报告"。但它是实打实的市场要求，落点在产品设计和文本上。
以欧盟为例，摄像头面向终端消费者销售、可能涉及视频与音频数据收集时，产品设计和说明中应体现数据保护考虑——来源里给的两个方向很具体：本地存储优先、加密传输。这两条不是口号，一落地就落到硬件和固件上：SD 卡槽要不要留、云存储是不是默认开、出厂的传输通道有没有加密、App 首次配网时有没有把数据流向讲清楚。这些内容不直接对应某个测试项，但说明书和合规声明应当涉及。
同时，欧盟 CRA 把隐私和网络安全在文本层面合流了：它明确要求数据保护（存储与传输加密）和只采集必要数据。也就是说，你在门三写的那些材料，会顺带把门二的一部分答掉——这也是为什么这两道门适合并行推进。
具体到动作，我把行业里常见的几件事列出来，并标注哪些是法规口径、哪些是工程与渠道惯例，别混着用：
- 录制状态指示（工程惯例）：设备在工作时让用户能看出来在录。这不是某条法规明文列的测试项，但买家审厂、平台审核、以及终端用户的投诉都会指向它。
- 首次配网告知（工程惯例 + 文本要求）：App 首次连接时说明采集什么、存在哪里、谁能访问。写法要跟实际固件行为一致。
- 只采集必要数据（CRA 口径）：不采集用不到的数据，不默认长期云存，不常开用不上的端口与权限。
- 存储与传输加密（CRA 口径）：本地存储加密、传输通道加密，说明书写明默认状态。
- 音频功能说明（文本要求）：带麦克风的机型，录音能力必须在说明书里讲清楚，不能只写在参数表。
- 本地/云端选择权（设计取向）：本地存储优先是来源给出的方向，也顺带降低跨境数据流动的解释成本。
门三 · 网络安全：英国已经强制，欧盟在倒计时
这是三道门里变化较快的一段，也是很多摄像头项目真正被卡住的地方。分两个市场看，再加一段工厂端的实操。
英国 PSTI：三项要求，一条不缺
英国《产品安全和电信基础设施法案》（PSTI）2024-04-29 起生效，管的是"能连互联网的消费产品"。摄像头是典型适用对象；不适用的是医疗设备、智能电表（各有独立法规）、企业级 IT 设备，以及纯蓝牙耳机这类不连互联网的产品——这也解释了为什么蓝牙耳机和摄像头虽然都是无线产品，网络安全这道门的重量完全不同。
三项核心要求，按来源原样列：
① 通用默认密码禁令
不允许使用出厂通用密码（如 admin/admin、123456）。每台设备必须使用独立密码，或强制用户首次使用时修改。这条针对的是 Mirai 类僵尸网络——也是 PSTI 立法的直接导火索。
② 漏洞披露机制
制造商必须在官网公开安全漏洞报告渠道：联系邮箱、报告流程、响应承诺时限。不是简单放一个 security@ 邮箱就算，需要有明确的响应承诺时限（SLA）。
③ 安全更新周期声明
产品上市时必须公布该产品将接收安全更新的期限下限（例如"自购买日起至少 3 年"），且上市后必须兑现。声明 3 年却 1 年停更，属于虚假声明，同样受罚。
合规方式比很多人想的轻：不需要第三方认证，制造商自我宣告（Statement of Compliance）即可，保留技术文档备查。常见周期约 1–2 周（文件审核 + 产品检查），无需独立标志，信息体现在产品/包装上即可。监管机构是 OPSS（产品安全与标准办公室）。
但"轻"不等于"松"。不满足的后果是产品下架、召回，罚款上限1,000 万英镑或全球年营业额的 4%（取高者）。对一个出货量正常的摄像头项目，这个量级足够让整条产品线停摆。
技术上，PSTI 基于 ETSI EN 303 645。欧盟 RED 的网络安全要求（EN 303 645）与 PSTI 有重叠但不完全一致。同时出口欧盟和英国，建议按较高标准做——这是省事也省钱的做法，两套材料共用一套底层证据。
欧盟 CRA：时间线比要求更容易被误判
CRA 是《网络弹性法案》，Regulation (EU) 2024/2847，2024-12-10 生效，2027-12-11 全面强制。管的是所有含数字元素的产品（PDEs）——能直接或间接连网、能处理/存储/传输数字数据的软硬件。摄像头属于其中的消费类 IoT。
| 时间 | 事件 | 摄像头项目该做什么 |
|---|---|---|
| 2024-12-10 | CRA 生效 | 了解法规、判定产品等级 |
| 2026-06-11 | 合格评定机构框架 | 关注认证机构名单 |
| 2026-09-11 | 漏洞报告义务生效（已生效） | 建立漏洞接收/上报流程，指定单一联系点 |
| 2026 Q3 | 首批协调标准 | 对照标准核对现有设计 |
| 2026-12-11 | 首批公告机构上线 | 如需第三方，提前规划档期 |
| 2027-12-11 | 全面强制执行 | 完成合规，出符合性声明 + CE 标志 |
等级判定上，摄像头这类消费类 IoT 多数落在默认类，走模块 A 内部生产控制、自我评定，不需要第三方介入——这是好消息。需要第三方的是重要 I 类（浏览器、密码管理器、防病毒、VPN、防火墙）、重要 II 类（通用微处理器、某些防火墙，须模块 B+C 或模块 H）和关键类（关键基础设施核心组件，走 EUCC）。先判等级，再决定预算，别一上来就按第三方报价做测算。
要求分两条线。产品设计侧（Annex I Part I）：无已知漏洞上市、安全默认配置（出厂改初始密码、关闭不必要端口）、支持安全更新（免费、及时）、未授权访问防护（身份验证、权限管理）、数据保护与采集范围限制、限制攻击面（无隐藏后门、无过期依赖库）。漏洞管理侧（Annex I Part II）：SBOM 软件物料清单（机器可读）、及时修复与定期安全测试、公开披露已修复漏洞、协调漏洞披露（CVD）、漏洞报告单一联系点。
制造商义务里，跟摄像头产品线规划直接相关的是这几条：上市前与持续做网络安全风险评估；支持期不少于 5 年、安全更新不少于 10 年；技术文档（Annex VII）保存 10 年；出 CRA 符合性声明（EU DoC）并加 CE 标志；向 ENISA 与 CSIRT 报告漏洞与事故；给用户安全信息说明（Annex II）。罚款上限是 1,500 万欧元或全球年营业额 2.5%（核心义务），提供虚假信息或阻碍监管为 500 万欧元或 1%，责任扩展与市场监督条款为 1,000 万欧元或 2%。
工厂端：这份要求会顺着合同传导下来
CRA 里的"制造商"指把产品投放欧盟市场的人，通常是品牌方，不是代工厂。但现实中品牌方不会自己扛，会把要求通过合同传导下来。工厂端要准备的是四样东西：固件源码可追溯、第三方组件清单（SBOM）、安全测试记录、漏洞处理流程。
这四样有个共同点：都不是两星期能凑出来的。SBOM 要跟着固件版本走，漏洞流程要有承诺时限和联系人，安全测试要有可复现的记录。真正的风险场景很朴素——欧洲客户某天发邮件要 CRA 资料，工厂三天内交不出，订单转到下一家。这类事在 GDPR 那几年已经演过一轮。
平台审核：Listing 上被点开的那几个位置
货出了关，还有渠道这一关。平台审核不看你的合规叙事，只看能不能核验。来源里给了几个明确的锚点：
- 安全认证是"自愿但近乎强制"：UL / ETL 法律上是自愿性的，但 Amazon、Walmart 这类零售商几乎都要求。ETL 与 UL 法律效力相同，品牌认知和价格不同，按预算选。
- FCC ID 是公开可查的：fccid.io 上能查到。没有 FCC ID 的后果很具体——海关可扣押货物、FCC 罚款、电商平台强制下架、竞争对手投诉。
- Prop 65 在电商平台是硬要求：需要警示标签，缺标签比缺报告更常见。
- PSTI 的信息体现在产品/包装上：没有独立标志，所以包装与说明书上的表述就是审核对象。
把这些拼起来，一份能过平台审核的材料包大概长这样：报告与 ID 的可核验信息、铭牌与标签实拍（FCC ID、CE、UKCA、警告语、Prop 65）、符合性声明、盒内说明书、适配器能效注册记录（DOE / KEMCO / SASO 按市场）、以及 Listing 文案里那句"支持更新几年"——这句必须和 PSTI 声明里的年限一致，不一致就是虚假声明。
多国打包：哪些数据能复用，哪些一次都用不了
摄像头产品线通常一次要覆盖五六个市场，能不能打包决定了成本结构。经验上的分界是这样的：
| 类别 | 复用程度 | 说明 |
|---|---|---|
| 安规基础数据 | 较高 | IEC 62368-1 与 UL 62368-1 同源，电气强度、绝缘、温升的数据可支撑多国申报 |
| EMC 基础数据 | 较高 | 辐射/传导骚扰、ESD 的测试状态可共用，但限值与判定要按目标市场对齐 |
| RF 数据 | 中等 | 标准对齐时可部分复用；频段、功率限值、DFS 要求各国不同 |
| 网络安全文档 | 较高 | EN 303 645 一套底层证据可同时支撑 PSTI 与 RED 网络安全条款 |
| 注册与代理 | 不可复用 | US Agent、DOE 注册、KEMCO、SASO 能效，各市场各办 |
| 标识 | 不可复用 | CE 与 UKCA 分开，警示语按市场语言与法规版本 |
排期上有个顺序值得照着走：先定频段配置和目标市场清单，再开实验室档期，同时启动门二门三的文档。原因很实在——门二门三不占实验室，是纯文本和流程工作，跟门一并行不冲突。反过来做，等报告出来才想起写 PSTI 声明和说明书条款，就会在出货前两周卡住。
坑与清单：七个容易踩的地方，一份按周排的动作
七个一踩就疼的坑
- 以为 FCC / CE 做完就能上架。门一只解决"能不能合法发射"，PSTI 和 CRA 是另外两条法规线，报告里不会提。
- 5G 段按 2.4G 的预算报。DFS 与 TPC 是独立工作量，双频整机通常是单频的 1.5–1.8 倍，报价阶段就要说清。
- 室外机按室内机报 IP 等级。IP65 以上、ESD 加严、浪涌/雷击、UV 老化，全是额外项；结构件一换就可能要重测。
- 出厂留通用密码，或首次配网不强制改。PSTI 的通用默认密码禁令是明文条款，这条踩了没有解释空间。
- 更新年限随口写在包装上。声明几年就得给几年，PSTI 把虚假声明也算进处罚范围。
- 说明书不写数据存哪儿、传哪儿。门二不是检测项，但说明书和合规声明缺了这块，等于这道门空着。
- 用已认证模块就当整机免测。整机 EMC、天线影响、整机 ID 通常仍要做。
- 把 CRA 等到 2027 才动。2026-09-11 的漏洞报告义务已经生效，24/72 小时/14 天三个时限不会等人。
行动清单：按周排，别按心情排
本周就能定的（不用等实验室）：
- 列出目标市场清单，按"美国 / 欧盟 / 英国 / 日本 / 韩国 / 中国 / 沙特"逐项对齐门一的认证组合。
- 判定 CRA 等级：摄像头多数落默认类，走模块 A 自我评定；确认没有落到重要类的情形。
- 查三件事：出厂是否还有通用密码、官网有没有漏洞报告渠道、包装上有没有写更新年限。这三项决定 PSTI 是"补"还是"改"。
30 天内要落地的：
- 把 SBOM 建起来，跟着固件版本走，而不是跟着项目走。
- 写漏洞处理流程：接收渠道、响应承诺时限、修复与披露路径、单一联系点。
- 定更新支持期，写进包装、说明书和 Listing，三处口径一致。
- 说明书补三块内容：采集什么、存哪里、怎么加密；带麦克风的机型写明录音能力。
上市前必须齐的：
- 门一：RF/EMC/安规报告、FCC ID、符合性声明、US Agent、能效注册、警示标签。
- 门二：隐私设计说明、说明书条款、符合性声明中的相关表述。
- 门三：Statement of Compliance、更新声明、SBOM、漏洞流程记录。
- 渠道：报告与 ID 的可核验截图、铭牌与标签实拍、盒内说明书样张。
摄像头这个品类，过去十年的竞争点在清晰度、夜视、云服务；接下来几年的分水岭会在证据链上——同样一款机器，谁能把三道门的材料一次交齐，谁就能上架、能留在架上、能接下欧洲客户的下一张单。反过来，射频做得再漂亮，卡在默认密码或者更新声明上，一样出不了海。
我们每天做的事，就是帮客户把这三道门拆成一张可执行的清单：哪些要送样、哪些要写文档、哪些现在做就来得及、哪些已经过期了。周期和费用因产品配置（单频/双频、室内/室外、带不带电池）和目标市场数量差异很大，以机构评估为准，别拿别人的报价单套自己的产品。
▍如果这款摄像头正在规划出海，把配置和目标市场发我，我们按三道门给你排一版路径，标出哪一步会卡。
▍一句话价值主张：帮你搞定出口认证，顺利通关。
普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 声明：本文为合规科普参考，非法律意见；具体以各市场官方现行文本、协调标准与主管机构要求为准。PSTI 与 CRA 均分阶段实施，实际要求以产品类别与销售时点为准，我们会持续跟踪更新。延伸阅读：摄像机/安防全球认证方案 · 英国 PSTI 三项要求解读 · 欧盟 CRA 时间线与等级判定 · 美国 FCC/UL 认证指南 · 英国 UKCA/PSTI 百科 · 欧盟 CE/RED 百科 · 认证速查工具