Requisitos de ciberseguridad de la Directiva RED: la serie EN 18031 ahora obligatoria

La Directiva RED 2014/53/UE llevaba años recogiendo tres objetivos de protección en materia de ciberseguridad en su texto, pero no se aplicaban. El reglamento delegado (UE) 2022/30 de la Comisión hizo aplicables estos artículos para determinadas clases de equipos radioeléctricos a partir del 1 de agosto de 2025.

Los tres objetivos que entraron en vigor son: 3.3(d) protección de la red, 3.3(e) protección de los datos personales y la privacidad, 3.3(f) protección contra el fraude. Los tres pueden aplicarse juntos al mismo producto, y cuáles se aplican depende de la función del producto.

Esto significa que se añade una nueva sección al expediente de conformidad de los productos radioeléctricos conectados a internet. El lado de radio y CEM no cambia; se añade junto a él una evaluación de ciberseguridad.

Como norma armonizada, la EN 18031-1:2024 define requisitos de seguridad comunes para equipos radioeléctricos conectados a internet. La EN 18031-2:2024 cubre equipos que procesan datos personales, datos de tráfico o de ubicación, mientras que la EN 18031-3:2024 cubre equipos que procesan moneda virtual o valor monetario.

Que la serie esté armonizada otorga al fabricante que la aplica plenamente una presunción de conformidad: se considera que cumple los requisitos, y el expediente puede cerrarse con autodeclaración.

La presunción de conformidad de la serie no es incondicional. Si un producto activa una de las cláusulas restringidas —por ejemplo, un diseño que permite al usuario omitir la configuración de una contraseña— no surge la presunción automática de conformidad.

Cuando la presunción no surge, la vía pasa por un organismo notificado. Es una diferencia que cambia tanto el calendario como el coste: un expediente que se habría cerrado con autodeclaración se convierte en una evaluación de terceros por una sola decisión de diseño.

Por eso leer las cláusulas restringidas de la norma en la fase de diseño es mucho más barato que leerlas en la fase de ensayo. Las contraseñas por defecto, una configuración inicial que se puede omitir y la ausencia de un mecanismo de actualización son los desencadenantes más frecuentes.

La legislación de la UE establece los requisitos esenciales, y las normas dan su equivalente técnico. Cuando un requisito entra en vigor sin que la norma armonizada se haya publicado aún, el fabricante se enfrenta a un camino difícil: debe demostrar el cumplimiento del requisito esencial con su propio expediente técnico o recurrir a un organismo notificado.

Cuando se publica la norma armonizada, surge una PRESUNCIÓN de conformidad: se presume que un producto conforme a la norma cumple el requisito esencial, y se invierte la carga de la prueba. El fabricante pasa a poder hacer su propia declaración.

Por eso el hecho de que los artículos de ciberseguridad cuenten ahora con una norma armonizada tiene una importancia distinta de la propia obligación: la obligación ya existía, y ahora hay una vía normalizada para cumplirla.

El epígrafe de protección de la red exige que el producto no dañe la red a la que se conecta ni haga un uso indebido de los recursos de red. Credenciales por defecto débiles, puertos abiertos innecesarios y acceso remoto no autenticado son hallazgos típicos bajo este epígrafe.

El epígrafe de protección de datos personales exige que el producto proteja los datos personales que trata y la privacidad del usuario: cifrado de la transmisión de datos, protección del almacenamiento local, control del usuario sobre sus datos.

El epígrafe de protección contra el fraude exige integridad y autorización de las transacciones en productos con función de pago o transferencia de valor. Los tres epígrafes se aplican a distintos grupos de productos; cuál se aplica a qué producto es objeto de la determinación del alcance.

La evidencia de ciberseguridad no es un resultado de medición; consiste en la lista de requisitos aplicados, las interfaces cubiertas, los controles realizados y el registro de cómo se subsanaron los hallazgos. Un informe sin declaración de alcance no se puede interpretar.

Los elementos que debe consignar el informe son: qué versión de hardware, qué versión de software, qué interfaces y qué configuración se probaron. Una evidencia sin información de versión no puede defender su validez tras la siguiente actualización de software.

El expediente no se cierra con la puesta en el mercado: la obligación de vigilancia abierta y actualización continúa durante todo el periodo de soporte, y esta es la parte viva del expediente técnico.