美国联邦通讯委员会(FCC)于 4 月 13 日正式宣布,任命非营利组织 ioXt Alliance 为 U.S. Cyber Trust Mark 计划首席管理者(Lead Administrator),接替去年底退出的 UL Solutions。这项决定为历经半年空窗期的美国消费性 IoT 资安标章计划重新注入动能,但对全球 IoT 供应商而言,真正的关键问题仍是:这个标章究竟何时会正式开放产品申请?技术要求的最终版本又会是什么样貌?

本文将从计划整体发展脉络、最新时程进度、法规实施预期时点,以及 NIST IR 8425 所定义的关键技术要求,提供供应商评估合规投入所需的完整信息。

一、计划整体发展脉络:从白纸到落地的三年历程

U.S. Cyber Trust Mark 是 FCC 主导的自愿性消费性 IoT 产品资安认证与标章计划,对标能源之星(Energy Star)的成功模式。

主要发展里程碑如下:

二、法规何时实施?关键时程预估

目前官方立场

FCC 官方页面明确指出:「当计划准备好接受产品标章申请时,FCC 将另行公告。」换言之,目前尚未开放制造商为其产品申请 Cyber Trust Mark。

 FCC 同时表示,仍在审查对「进一步拟议规则制定通知」(Further Notice of Proposed Rulemaking, FNPRM) 的公众回应,该通知涉及与国家安全相关的额外揭露要求。这是左右最终规则的重要变量。

剩余必要步骤

在产品申请正式开放前,以下工作必须完成:

 1、ioXt 提交技术标准与测试程序建议:作为首席管理者,ioXt 必须识别或开发 IoT 专属标准与测试程序,并建议 FCC 核准;UL Solutions 虽已于 2025 年 6 月提交初步建议,但 ioXt 预计将进行调整与重新提交。

2、FCC 核准标章设计与放置方式。

3、FCC 完成国家安全揭露条款的最终规则制定。

4、ioXt 与 CLA 建立营运基础设施:包含测试实验室(CyberLAB)认证机制、申请审核流程、公开产品注册数据库等。

5、消费者教育宣传计划启动。

三、关键技术要求:NIST IR 8425 十大核心准则

Cyber Trust Mark 的技术基础建构于 NIST IR 8425:消费性 IoT 产品核心基准配置档(Profile of the IoT Core Baseline for Consumer IoT Products)。供应商必须理解,标准适用于整个 IoT 产品系统,涵盖装置本体、闸道硬件、行动应用程序、云端服务、资料处理与储存元件,而非仅针对装置本身。

NIST IR 8425 将要求分为两大类共 10 项核心准则:

▶ 技术能力要求(1–6 项)

1. 资产识别(Asset Identification)

• 装置必须具有唯一识别码,可供使用者识别

• 维护所有元件的详细清单(含软件物料清单 SBOM)

2. 产品配置(Product Configuration)

• 授权使用者可透过一个或多个装置元件变更配置设定

• 支援安全预设值还原(restore to secure defaults)

3. 资料保护(Data Protection)

• 装置元件必须保护储存资料的安全

• 使用者可删除敏感信息或使其不可存取

• 装置、元件与网络之间的资料传输必须加密

4. 界面存取控制(Interface Access Control)

• 装置元件限制界面存取,仅限授权使用者

• 所有界面限制存取与配置变更权限

• 禁用预设弱密码

5. 软件更新(Software Update)

• 装置元件能下载、验证并套用经过验证的软件更新

• 所有元件定期更新机上软件

• 支援更新完整性验证与回滚机制

6. 网络安全状态感知(Cybersecurity State Awareness)

• 装置撷取元件漏洞信息,以侦测潜在网络安全风险

• 识别与记录异常行为

▶ 非技术实践要求(7–10 项)

7. 文件记录(Documentation)

• 制造商建立并维护所有与产品安全相关的信息文件

8. 信息与查询接收(Information and Query Reception)

• 提供漏洞通报管道(CVD,Coordinated Vulnerability Disclosure)

• 接收来自使用者、研究人员的安全查询

9. 信息传播(Information Dissemination)

• 向使用者传达安全更新、已知漏洞与缓解措施

• 明确揭露产品最低安全更新支援期限

10. 产品教育与认知(Product Education and Awareness)

• 对使用者进行产品资安相关教育

• 提供安全组态指南与最佳实践

▶ 标章呈现要求(QR Code 揭露信息)

 通过认证的产品除了显示盾形标章外,还必须伴随 QR Code,扫描后应揭露下列信息:

• 产品名称、制造商、认证日期

• 产品最低支援期限结束日期,或明确声明制造商不提供安全更新(此项为消费者辨识风险的关键栏位)

• 支援的安全功能清单

• 漏洞揭露政策连结

• 软件更新政策

▶ 特定产品类别的延伸要求

NIST 已针对高风险产品类别发布专属配置档:

• NIST IR 8425A:消费性路由器专属资安要求,补强无线路由器因流量枢纽地位所需的额外防护。

• 预期未来将针对智慧家庭控制中枢、婴儿监视器、智慧门锁等类别陆续发布延伸配置档。

四、与国际标准的整合:ETSI EN 303 645 的桥接价值

对全球供应商而言,NIST IR 8425 与欧盟 ETSI EN 303 645 具有高度重叠,特别是在密码管理、软件更新、资料保护与漏洞揭露等核心领域。建立涵盖两套标准的整合验证计划,可让制造商通过单一批次的合规测试后,同时取得进入美国与欧盟市场的资格,这对降低合规成本具有实质意义。

此外,欧盟《网络韧性法》(Cyber Resilience Act, CRA)于 2027 年 12 月全面生效后,两大经济体的 IoT 资安要求将形成全球事实标准。供应链若能以 NIST IR 8425 + ETSI EN 303 645 为基础建立内部合规架构,将取得显著竞争优势。

五、对全球 IoT 供应商的评估建议

Cyber Trust Mark 虽为自愿性计划,但考量以下因素,实质上将成为美国市场的必要条件:

• 通路压力：Amazon、Best Buy、Google、LG、Samsung、Logitech 等主要零售商与品牌已表态支持,未来可能将标章列为上架优先条件。

• 企业采购驱动：联邦政府采购与大型企业 IT 部门可能将标章列为供应商评估要素。

• 消费者意识提升：QR Code 揭露产品支援期限,将直接影响消费者购买决策。

• 国安揭露条款潜在影响：若最终规则要求揭露制造地、零组件来源、软件开发地等信息,供应链透明度将成为能否取得标章的隐藏门槛。

建议供应商立即着手的评估项目