IT/AV终端检测认证事业部

澳洲ACSC更新智能设备安全指南：默认密码禁止与补丁时间线两项硬要求

出口澳洲的厂商注意：澳洲网络安全中心（ACSC）在10月网络安全行动月更新了智能设备安全指南。这不是一般性行业建议——它背后是2026年3月4日已生效的强制法规。法规生效半年后官方再发指南，意味着监管正从"立法"转向"落实"阶段。

法律基础与关键时间线

• 2026年3月4日：规则正式生效（此前设有12个月过渡期）
• 安全标准适用于2026年3月4日及之后制造的在范围内产品
• 3月4日之前制造的产品不追溯——库存老货不受影响，但新生产的产品必须合规
• 供应商不得供应不合规产品的义务，同样自该日起执行

提示：法规今年上半年已落地，ACSC这轮更新是在提醒——新产品线现在就要按澳洲标准执行。等到产线跑起来再整改，返工成本会明显上升。

ACSC 10月指南重申的三项要求

1. 禁止默认密码：不允许出厂使用一套通用密码
2. 要求可验证的软件补丁时间线：厂商必须说明安全更新如何提供、提供到何时
3. 附加建议：将智能设备网段与企业核心网络隔离，避免单台智能设备被攻破后影响整个内网环境

核心三条原则：对标EN 303 645与英国PSTI

1. 禁止通用默认密码

密码必须每台产品唯一，或由用户自行设定（出厂默认状态除外，且软件为产品预期用途所需时）。

2. 制造商必须公布漏洞报告渠道

让安全研究人员和用户能够把安全问题报给厂家，并且厂家要对处理进展给出状态更新。

3. 制造商必须公布安全支持期限

明确告知消费者：产品会获得安全更新到什么时候，包括结束日期。做过英国PSTI的厂商对这三条会比较熟悉——澳洲标准与英国框架同源。

适用范围与豁免清单

适用条件三条：

• 属于"相关可连接产品"定义
• 会被澳洲消费者获取（或合理预期会被获取）
• 制造商预期用于个人/家庭用途

明确豁免：台式电脑、笔记本、平板、智能手机、医疗治疗用品、道路车辆及其部件。

注意：豁免清单里没有监控摄像头、路由器、门锁这类设备——只要不在点名豁免范围内，默认都在监管范围内。

合规声明义务与执法链条

合规声明义务：

• 制造商：如果知道（或合理预期）产品会被澳洲消费者买到，必须提供合规声明
• 供应商（进口商/贸易商）：供应产品时必须附带合规声明
• 合规声明需保留5年
• 官方提供声明模板，可在Home Affairs网站下载

1. 合规通知：提醒整改
2. 停止通知：禁止继续供应
3. 召回通知：召回已售产品
4. 拒不执行召回：产品身份、不合规细节、风险全部公布在官方网站（公开点名）

中间还可能要求专家检验产品或合规声明、直接要求提交声明。对出口厂影响较大的是第4步——被监管机构官网公开点名，渠道商和买家都会看到，影响范围不限于单次处罚。

出口厂商三步行动建议

1. 先查产品是否在范围内

不在豁免清单（手机/笔记本/平板/车辆/医疗器械）里的联网消费产品，默认在监管范围内。

2. 对照三件套自查

• 默认密码：是否每台唯一/强制用户设置
• 漏洞报告：是否有公开渠道+处理状态更新机制
• 支持期：是否公开"安全更新到哪天"

这三条都是产品设计+文档层面的要求，现阶段整改仍有时间窗口。

3. 准备合规声明模板

按Home Affairs模板出具声明，随货附给供应商，留存5年。做检测认证时，可将EN 303 645 / AS ETSI EN 303 645的测试评估一并完成——澳洲认可这套标准，英国PSTI同样认可，一次测试评估可同时满足两地要求。

一句话总结：澳洲智能设备网安法规已于2026年3月4日强制生效，ACSC 10月更新指南是在推动落地——三件套要求与英国PSTI、欧盟EN 303 645同源。出口澳洲的产品线现在就应按澳洲标准整改，早做认证、早出声明。