自2026年4月1日起，印度只允许销售通过安全认证的非模拟CCTV摄像机，截至3月25日已有507款型号获得认证

自2026年4月1日起，不符合印度安全要求的CCTV摄像机，不能在印度境内合法销售。电子和信息技术部（MeitY）2026年1月16日的一份办公备忘录称，自该日起“不得销售任何不符合MeitY所公告ER的CCTV摄像机”。ER即《CCTV安全基本要求》（Essential Requirements for Security of CCTV），是MeitY于2024年4月9日刊登在《印度政府公报》上的一份测试清单。2026年3月25日提交人民院、由印度新闻信息局发布的一份答复称，有507款摄像机型号被认证为合规。

规则说了什么，适用于谁

1月16日的备忘录终结了一项宽限。2025年5月21日，MeitY曾允许2025年4月9日之前进口或在印度制造的摄像机作为旧库存售出。新备忘录援引“已经过了足够的时间”这句话，自2026年4月1日起撤销这项放宽。备忘录发给了印度标准局（BIS）局长和各行业协会。

它的法律依据是2024年4月9日的一项命令，编号S.O. 1652(E)。该命令把CCTV摄像机列入《2021年电子和信息技术产品（强制注册要求）命令》附表的第41项，该命令依据的是《2016年印度标准局法》。依照这项命令，制造商使用标准标志需要BIS许可证，而BIS认可实验室的测试报告是获得许可证的前提。因此，一台摄像机既要符合较早的电气安全标准IS 13252 (Part 1): 2010，也要符合2024年增加的安全要求。

就条文而言，这条规则是一项适用于所有品牌和所有原产国的标准。有一类摄像机在它之外。BIS 2025年4月1日的一份通告称，MeitY在2025年3月12日澄清，模拟摄像机不需要按安全要求测试。其他任何类型的摄像机都需要。

一台摄像机如何获得认证

制造商向BIS提交测试报告，对应BIS门户网站所称的ER: 01。MeitY下属的标准化测试与质量认证局STQC指定一个实验室和一名验证人，实验室测试摄像机，STQC把报告送交BIS，BIS签发证书。合规摄像机的包装上可以印有这样一句话：“本CCTV摄像机符合安全基本要求。”

第二条路径服务于政府采购方。MeitY在2024年3月6日发出、3月7日刊登在公报上的一项通知，把视频监控系统纳入《公共采购（优先印度制造）命令》，安全要求相同。STQC依据其物联网系统认证计划为这条路径签发证书，证书有效期为三年。MeitY 2026年2月4日的一份通告称，两条路径使用相同的要求，因此自该日起，STQC依据BIS命令签发一份统一的安全测试报告，也可用于公共采购。

据BIS在2024年10月发出的系列指南，同一系列的摄像机必须使用相同的芯片、相同布局的安全相关电路，以及哈希值一致的相同固件。每份证书都列出芯片组及其原产国、固件版本和哈希值。一个例子是STQC证书ER/009，于2024年10月8日颁发给Prama India Private Limited，涵盖三款网络摄像机型号。它根据制造商提交的文件，记录芯片为Novatek NT98525，原产国为台湾，有效期至2027年10月7日。按证书自己的措辞，它不是任何政府机构对产品的背书。

实验室测试什么

STQC 2024年5月21日的P01程序，把检查分成四组。

在硬件方面，USB、UART、JTAG和SWD等调试端口必须被禁用，或用复杂密码保护，实验室会检查制造商的出厂流程，确认摄像机初始化时这些端口已经关闭。每台设备必须有自己的密码密钥和证书，摄像机必须具备防篡改或篡改检测能力，并且必须在加载启动镜像之前检查它的签名。敏感数据和密钥要存放在安全元件、可信平台模块或可信执行环境中，这些是芯片上或芯片旁受保护的区域，否则就要用强加密加以保护。

在固件方面，实验室核实内存保护已开启，传输中的数据使用强加密，摄像机会验证它所连接服务器的数字签名。实验室检查有风险的C语言函数是否已换成安全的函数，固件是否带有软件物料清单，即列出每个第三方组件及其版本和已知漏洞的清单。固件更新必须签名，并在安装前检查，摄像机必须拒绝回退到旧版本。

源代码也要审查。P01程序要求用有许可证的静态分析工具进行自动加人工的代码审查，并要求检查所有代码，包括第三方二进制文件和库，是否存在硬编码凭据，文件把这类凭据称为后门。供应商提供固件二进制文件及其内部审查报告。文件列出了几种审查方式，从供应商把代码带到实验室，到实验室远程访问供应商自己的系统。使用专有网络协议的摄像机，必须交出该协议的完整实现细节和源代码。

在供应链方面，供应商要提交关键硬件部件的物料清单，细到电路板和芯片级的设计文件，供应链风险与连续性计划，以及证明包装前做过恶意软件扫描的证据。实验室被告知，安全关键的部件是芯片、固件、电路板、网络接口和物理端口。

芯片组条款，以及文件点了谁的名

来源核查是最受关注的部分。STQC给测试实验室的指导说明要求它们利用发票、技术资料和其他佐证文件，核实芯片和固件“不是源自与印度共享陆地边界的国家”。实验室还必须追溯芯片和固件，从采购一直到成品，说明还称自行研发的部件不需要发票。

这里引用的文件都没有点出某个国家或某家公司的名字。公报附件和P01程序都讲的是可信来源和受管理的物料清单，陆地边界的措辞出现在指导说明中。这个短语描述的是与印度共享陆地边界的国家。

媒体的报道比文件走得更远。MediaNama援引《经济时报》的一篇报道，把这一措施描述为对中国视频监控企业的限制，并说主管部门拒绝认证使用中国芯片组或固件的产品，但没有说明这一做法的来源。The News Minute点名海康威视（Hikvision）、大华（Dahua）和TP-Link受到直接影响，同样没有引用文件。路透社在2025年5月报道，小米说印度的实验室向它位于中国的代工厂商索要了额外文件，并援引针对与印度共享陆地边界国家的企业的“内部指导方针”。据路透社，中国外交部敦促印度为中国企业提供非歧视的环境。官方记录显示的是一套认证制度，其文件中没有一份列出被拒绝的品牌。

政府给出的理由

MeitY 2024年3月11日的通告把数据安全、隐私泄露、黑客攻击和网络攻击列为CCTV系统日益增长的风险，并说已有因摄像机安全缺陷引发的事件报告。通告建议政府机构避开有安全泄露和数据外泄历史的品牌，并把政府机构和公共场所CCTV的数据保存在印度境内。STQC的指导说明给出了它自己的理由：泄露的录像落入未经授权者之手。

印度新闻信息局在2026年3月25日的发布中，把CCTV规则列为政府安全措施之一，与2021年要求电信网络只使用可信来源设备的指令并列。它说，政府部门被限制购买不符合标准的CCTV设备。路透社引述一位未具名的高级官员的话说“中国是担忧的一部分”，并报道官员们提到需要保护国家监控基础设施。一份Recorded Future关于印度电力部门遭受攻击的报告描述了攻击者通过被攻陷的DVR和IP摄像机转发指令，这给供应链方面的担忧提供了一个技术上的例子。

2024年至2026年的日期

• 2024年3月6日：MeitY公告政府采购的安全要求，3月7日刊登在公报上。MeitY的一份通告称，这些要求于2024年6月7日生效。
• 2024年4月9日：S.O. 1652(E)把CCTV摄像机列入强制注册命令，自公布起六个月后适用。
• 2024年5月21日：STQC发布P01程序。
• 2024年10月22日：BIS把2025年4月9日定为实施日期，并说不合规的型号届时将从许可证中移除。
• 2025年3月12日：MeitY把模拟摄像机排除在外。
• 2025年4月9日：该要求在BIS命令下生效。
• 2025年5月21日：MeitY允许销售2025年4月9日之前进口或制造的库存。
• 2026年1月16日：MeitY撤销这一许可，自2026年4月1日起生效。

供应商面临的变化

路透社2025年5月28日报道，STQC有15个实验室，可同时处理28份申请，而申请数量超过了这一能力。报道说，官员们在2025年4月3日的一次会议上告诉17家公司的高管，这项政策将毫无例外地执行，截至2025年5月28日有342份申请待处理，只有一个外国品牌获批。路透社称，韩华南亚区主管通过电子邮件警告该部，“行业将损失数百万美元”。该报道称印度CCTV市场在2023年为35亿美元，约80%的零部件仍来自中国。

到2026年4月，报道的重点转向了谁是受益者。The News Minute援引Counterpoint Research的数据称，截至2026年2月，印度企业占据超过80%的市场。它列出CP Plus、Qubo、Prama、Matrix和Sparsh正在扩张，并说它们已转向台湾芯片组和本地编写的固件，但这一部分没有引用来源。它还报道称博世和霍尼韦尔在高端市场表现强劲。

2026年3月25日，官方统计的认证型号为507款，这里引用的政府文件都没有按品牌给出这些型号的分布。