Requisiti di cibersicurezza della Direttiva RED: la serie EN 18031 ora obbligatoria
Requisiti ora in vigore per le apparecchiature radio connesse a internet; la EN 18031-1/2/3, come norma armonizzata, è diventata la base della dichiarazione CE.
La Direttiva sulle apparecchiature radio (RED) introduce requisiti di cibersicurezza per determinate apparecchiature radio nelle aree di protezione della rete, protezione dei dati personali e protezione dalla frode. La serie EN 18031 è l'insieme di norme armonizzate corrispondente a questi requisiti.
L'applicazione della norma armonizzata conferisce una presunzione di conformità: un prodotto valutato secondo la norma è considerato conforme al relativo requisito essenziale. Se la norma non è applicata, il produttore deve dimostrare la conformità con altri mezzi.
La serie è suddivisa in parti diverse a seconda del tipo di dispositivo; quale parte si applica dipende dalla funzione del dispositivo e da come tratta i dati.
Gli articoli dormienti della direttiva sono entrati in vigore
La Direttiva RED 2014/53/UE portava da anni tre obiettivi di protezione in materia di cibersicurezza nel suo testo, ma non venivano applicati. Il regolamento delegato (UE) 2022/30 della Commissione ha reso questi articoli applicabili per determinate classi di apparecchiature radio a partire dal 1° agosto 2025.
I tre obiettivi entrati in vigore sono: 3.3(d) protezione della rete, 3.3(e) protezione dei dati personali e della privacy, 3.3(f) protezione dalla frode. Tutti e tre possono applicarsi insieme allo stesso prodotto, e quali si applicano dipende dalla funzione del prodotto.
Ciò significa che viene aggiunta una nuova sezione al fascicolo di conformità dei prodotti radio connessi a internet. Il lato radio ed EMC non cambia; vi si aggiunge una valutazione di cibersicurezza.
Cosa fa la serie EN 18031
Come norma armonizzata, la EN 18031-1:2024 definisce requisiti di sicurezza comuni per apparecchiature radio connesse a internet. La EN 18031-2:2024 copre le apparecchiature che trattano dati personali, dati di traffico o di posizione, mentre la EN 18031-3:2024 copre le apparecchiature che trattano valuta virtuale o valore monetario.
Il fatto che la serie sia armonizzata conferisce al produttore che la applica pienamente una presunzione di conformità: è considerato conforme ai requisiti, e il fascicolo può essere chiuso con autodichiarazione.
Il limite della presunzione: clausole ristrette
La presunzione di conformità della serie non è incondizionata. Se un prodotto attiva una delle clausole ristrette — ad esempio un design che consente all'utente di saltare l'impostazione di una password — non sorge la presunzione automatica di conformità.
Quando la presunzione non sorge, la strada passa attraverso un organismo notificato. È una differenza che cambia sia i tempi che i costi: un fascicolo che si sarebbe chiuso con autodichiarazione diventa una valutazione di terze parti a causa di un'unica scelta di design.
Per questo leggere le clausole ristrette della norma in fase di progettazione è molto più economico che leggerle in fase di prova. Password predefinite, una configurazione iniziale che si può saltare e l'assenza di un meccanismo di aggiornamento sono i fattori scatenanti più comuni.
Perché la norma armonizzata è così importante
La legislazione UE stabilisce i requisiti essenziali, le norme ne forniscono l'equivalente tecnico. Quando un requisito entra in vigore mentre la norma armonizzata non è ancora pubblicata, il produttore si trova in una situazione difficile: deve dimostrare il rispetto del requisito essenziale con un proprio fascicolo tecnico o rivolgersi a un organismo notificato.
Quando la norma armonizzata viene pubblicata, sorge una PRESUNZIONE di conformità: un prodotto conforme alla norma si presume soddisfi il requisito essenziale, e l'onere della prova si inverte. Il produttore diventa in grado di fare la propria dichiarazione.
Ecco perché il fatto che gli articoli sulla cibersicurezza abbiano ora una norma armonizzata ha un'importanza distinta dall'obbligo stesso: l'obbligo esisteva già, ora esiste un modo standard per soddisfarlo.
Cosa chiedono le tre rubriche di requisiti
La rubrica protezione della rete richiede che il prodotto non danneggi la rete a cui si connette e non abusi delle risorse di rete. Credenziali predefinite deboli, porte aperte non necessarie e accesso remoto non autenticato sono rilievi tipici sotto questa rubrica.
La rubrica protezione dei dati personali richiede che il prodotto protegga i dati personali trattati e la privacy dell'utente: cifratura della trasmissione dei dati, protezione dell'archiviazione locale, controllo dell'utente sui propri dati.
La rubrica protezione dalla frode richiede l'integrità e l'autorizzazione delle transazioni nei prodotti con funzione di pagamento o trasferimento di valore. Le tre rubriche si applicano a gruppi di prodotti diversi; quale rubrica si applichi a quale prodotto è oggetto della determinazione dell'ambito.
Come si costruisce il fascicolo di evidenze
L'evidenza di cibersicurezza non è un risultato di misura; consiste nell'elenco dei requisiti applicati, nelle interfacce coperte, nei controlli effettuati e nella registrazione di come sono stati risolti i rilievi. Un rapporto senza dichiarazione di ambito non è leggibile.
Gli elementi che il rapporto deve riportare sono: quale versione hardware, quale versione software, quali interfacce e quale configurazione sono state testate. Un'evidenza senza informazioni di versione non può difendere la propria validità dopo il successivo aggiornamento software.
Il fascicolo non si chiude con l'immissione sul mercato: l'obbligo di monitoraggio aperto e aggiornamento prosegue per tutto il periodo di supporto, ed è la parte viva del fascicolo tecnico.
Cosa fare?
- 1Determinate sotto quale parte della EN 18031 rientra il vostro dispositivo.
- 2Affrontate i requisiti di sicurezza in fase di progettazione.
- 3Aggiungete la valutazione di cibersicurezza al vostro fascicolo tecnico.
Questo articolo ha scopo informativo e non costituisce parere legale. Il modo in cui una normativa si applica al vostro prodotto dipende dalle caratteristiche tecniche del prodotto e dal mercato di destinazione; l'ambito esatto può essere determinato solo esaminando il prodotto.