Απαιτήσεις κυβερνοασφάλειας της Οδηγίας RED: η σειρά EN 18031 πλέον υποχρεωτική

Η Οδηγία Ραδιοεξοπλισμού 2014/53/ΕΕ έφερε επί χρόνια στο κείμενό της τρεις στόχους προστασίας κυβερνοασφάλειας, αλλά δεν εφαρμόζονταν. Ο κατ' εξουσιοδότηση κανονισμός (ΕΕ) 2022/30 της Επιτροπής κατέστησε αυτά τα άρθρα εφαρμοστέα για ορισμένες κατηγορίες ραδιοεξοπλισμού από την 1η Αυγούστου 2025.

Οι τρεις στόχοι που τέθηκαν σε ισχύ είναι: 3.3(δ) προστασία του δικτύου, 3.3(ε) προστασία προσωπικών δεδομένων και ιδιωτικότητας, 3.3(στ) προστασία από απάτη. Και οι τρεις μπορούν να ισχύουν μαζί για το ίδιο προϊόν, και ποιοι ισχύουν καθορίζεται από τη λειτουργία του προϊόντος.

Αυτό σημαίνει ότι προστίθεται νέο τμήμα στον φάκελο συμμόρφωσης των συνδεδεμένων στο διαδίκτυο ραδιοπροϊόντων. Η πλευρά ραδιοφωνίας και EMC δεν αλλάζει· προστίθεται δίπλα της αξιολόγηση κυβερνοασφάλειας.

Ως εναρμονισμένο πρότυπο, το EN 18031-1:2024 ορίζει κοινές απαιτήσεις ασφάλειας για συνδεδεμένο στο διαδίκτυο ραδιοεξοπλισμό. Το EN 18031-2:2024 καλύπτει εξοπλισμό που επεξεργάζεται προσωπικά δεδομένα, δεδομένα κίνησης ή τοποθεσίας, ενώ το EN 18031-3:2024 καλύπτει εξοπλισμό που επεξεργάζεται εικονικό νόμισμα ή χρηματική αξία.

Το γεγονός ότι η σειρά είναι εναρμονισμένη παρέχει στον κατασκευαστή που την εφαρμόζει πλήρως τεκμήριο συμμόρφωσης: θεωρείται ότι πληροί τις απαιτήσεις, και ο φάκελος μπορεί να κλείσει με αυτοδήλωση.

Το τεκμήριο συμμόρφωσης της σειράς δεν είναι άνευ όρων. Αν ένα προϊόν ενεργοποιήσει μία από τις περιορισμένες ρήτρες — για παράδειγμα σχεδιασμός που επιτρέπει στον χρήστη να παραλείψει τον ορισμό κωδικού — δεν προκύπτει αυτόματο τεκμήριο συμμόρφωσης.

Όταν δεν προκύπτει το τεκμήριο, η διαδρομή περνά μέσω κοινοποιημένου οργανισμού. Αυτή είναι μια διαφορά που αλλάζει τόσο το χρονοδιάγραμμα όσο και το κόστος: ένας φάκελος που θα έκλεινε με αυτοδήλωση μετατρέπεται σε αξιολόγηση τρίτου μέρους λόγω μιας μόνο επιλογής σχεδιασμού.

Γι' αυτό η ανάγνωση των περιορισμένων ρητρών του προτύπου στο στάδιο σχεδιασμού είναι πολύ φθηνότερη από την ανάγνωσή τους στο στάδιο δοκιμών. Προεπιλεγμένοι κωδικοί, μια αρχική διαμόρφωση που παραλείπεται και η απουσία μηχανισμού ενημέρωσης είναι οι συχνότεροι παράγοντες.

Η νομοθεσία της ΕΕ γράφει τις βασικές απαιτήσεις, τα πρότυπα δίνουν το τεχνικό τους αντίστοιχο. Όταν μια απαίτηση τεθεί σε ισχύ ενώ το εναρμονισμένο πρότυπο δεν έχει ακόμη δημοσιευθεί, ο κατασκευαστής βρίσκεται σε δύσκολο δρόμο: πρέπει να αποδείξει την τήρηση της βασικής απαίτησης με δικό του τεχνικό φάκελο ή να απευθυνθεί σε κοινοποιημένο οργανισμό.

Όταν δημοσιεύεται το εναρμονισμένο πρότυπο, προκύπτει ΤΕΚΜΗΡΙΟ συμμόρφωσης: ένα προϊόν που συμμορφώνεται με το πρότυπο τεκμαίρεται ότι πληροί τη βασική απαίτηση, και το βάρος απόδειξης αντιστρέφεται. Ο κατασκευαστής μπορεί πλέον να προβεί στη δική του δήλωση.

Γι' αυτό το γεγονός ότι τα άρθρα κυβερνοασφάλειας απέκτησαν εναρμονισμένο πρότυπο έχει σημασία ξεχωριστή από την ίδια την υποχρέωση: η υποχρέωση υπήρχε ήδη, τώρα υπάρχει ένας τυποποιημένος τρόπος εκπλήρωσής της.

Η κατηγορία προστασίας δικτύου απαιτεί το προϊόν να μη βλάπτει το δίκτυο στο οποίο συνδέεται και να μην κάνει κατάχρηση πόρων δικτύου. Αδύναμα προεπιλεγμένα διαπιστευτήρια, περιττές ανοικτές θύρες και μη πιστοποιημένη απομακρυσμένη πρόσβαση είναι τυπικά ευρήματα σε αυτή την κατηγορία.

Η κατηγορία προστασίας προσωπικών δεδομένων απαιτεί το προϊόν να προστατεύει τα προσωπικά δεδομένα που επεξεργάζεται και την ιδιωτικότητα του χρήστη: κρυπτογράφηση μετάδοσης δεδομένων, προστασία τοπικής αποθήκευσης, έλεγχος του χρήστη επί των δεδομένων του.

Η κατηγορία προστασίας από απάτη απαιτεί ακεραιότητα και εξουσιοδότηση συναλλαγής σε προϊόντα με λειτουργία πληρωμής ή μεταφοράς αξίας. Οι τρεις κατηγορίες εφαρμόζονται σε διαφορετικές ομάδες προϊόντων· ποια κατηγορία ισχύει σε ποιο προϊόν είναι θέμα προσδιορισμού πεδίου.

Το αποδεικτικό στοιχείο κυβερνοασφάλειας δεν είναι αποτέλεσμα μέτρησης· αποτελείται από τον κατάλογο εφαρμοσμένων απαιτήσεων, τις καλυπτόμενες διεπαφές, τους ελέγχους που διενεργήθηκαν και την καταγραφή αποκατάστασης ευρημάτων. Μια έκθεση χωρίς δήλωση πεδίου δεν μπορεί να διαβαστεί.

Τα στοιχεία που πρέπει να καταγράφει η έκθεση είναι: ποια έκδοση υλικού, ποια έκδοση λογισμικού, ποιες διεπαφές και ποια διαμόρφωση δοκιμάστηκαν. Ένα αποδεικτικό χωρίς πληροφορίες έκδοσης δεν μπορεί να υπερασπιστεί την εγκυρότητά του μετά την επόμενη ενημέρωση λογισμικού.

Ο φάκελος δεν κλείνει με τη διάθεση στην αγορά: η υποχρέωση ανοικτής παρακολούθησης και ενημέρωσης συνεχίζεται καθ' όλη τη διάρκεια της περιόδου υποστήριξης, και αυτό είναι το ζωντανό μέρος του τεχνικού φακέλου.