Требования кибербезопасности директивы RED: серия EN 18031 теперь обязательна

Директива о радиооборудовании 2014/53/ЕС годами содержала в тексте три цели защиты в области кибербезопасности, но они не применялись. Делегированный регламент Комиссии (ЕС) 2022/30 сделал эти статьи применимыми для определённых классов радиооборудования с 1 августа 2025 года.

Три вступивших в силу цели: 3.3(d) защита сети, 3.3(e) защита персональных данных и конфиденциальности, 3.3(f) защита от мошенничества. Все три могут применяться к одному и тому же продукту одновременно, и то, какие именно применяются, определяется функцией продукта.

Это означает, что в файл соответствия подключённых к интернету радиопродуктов добавляется новый раздел. Радио- и ЭМС-сторона не меняется; рядом с ней добавляется оценка кибербезопасности.

Как гармонизированный стандарт, EN 18031-1:2024 определяет общие требования безопасности для подключённого к интернету радиооборудования. EN 18031-2:2024 охватывает оборудование, обрабатывающее персональные данные, данные трафика или геолокации, а EN 18031-3:2024 — оборудование, обрабатывающее виртуальную валюту или денежную стоимость.

Гармонизированный статус серии даёт производителю, полностью применяющему стандарт, презумпцию соответствия: считается, что требования выполнены, и файл можно закрыть самодекларацией.

Презумпция соответствия серии не является безусловной. Если продукт задействует одно из ограниченных положений — например, конструкцию, позволяющую пользователю пропустить установку пароля, — автоматическая презумпция соответствия не возникает.

Если презумпция не возникает, путь проходит через нотифицированный орган. Это различие меняет и сроки, и стоимость: файл, который закрылся бы самодекларацией, превращается в оценку третьей стороной из-за единственного дизайнерского решения.

Поэтому чтение ограниченных положений стандарта на этапе проектирования обходится намного дешевле, чем на этапе испытаний. Пароли по умолчанию, пропускаемая первоначальная настройка и отсутствие механизма обновления — самые частые триггеры.

Законодательство ЕС устанавливает существенные требования, а стандарты дают их техническое соответствие. Когда требование вступает в силу, а гармонизированный стандарт ещё не опубликован, производитель попадает в сложную ситуацию: он должен доказать выполнение существенного требования собственным техническим файлом либо обратиться в нотифицированный орган.

Когда гармонизированный стандарт публикуется, возникает ПРЕЗУМПЦИЯ соответствия: продукт, соответствующий стандарту, предполагается удовлетворяющим существенному требованию, и бремя доказывания переворачивается. Производитель получает возможность сделать собственную декларацию.

Поэтому появление гармонизированного стандарта для статей о кибербезопасности имеет значение отдельно от самого обязательства: обязательство уже существовало, теперь появился стандартный способ его выполнения.

Категория защиты сети требует, чтобы продукт не наносил вред сети, к которой подключается, и не злоупотреблял сетевыми ресурсами. Слабые учётные данные по умолчанию, ненужные открытые порты и неаутентифицированный удалённый доступ — типичные замечания по этой категории.

Категория защиты персональных данных требует, чтобы продукт защищал обрабатываемые персональные данные и конфиденциальность пользователя: шифрование передачи данных, защита локального хранения, контроль пользователя над своими данными.

Категория защиты от мошенничества требует целостности и авторизации транзакций в продуктах с функцией платежа или передачи стоимости. Три категории применяются к разным группам продуктов; какая категория применима к какому продукту — вопрос определения области применения.

Доказательство кибербезопасности — это не результат измерения; оно состоит из перечня применённых требований, охваченных интерфейсов, выполненных проверок и записи об устранении замечаний. Отчёт без указания области применения нечитаем.

Отчёт должен фиксировать: какая версия оборудования, какая версия ПО, какие интерфейсы и какая конфигурация были протестированы. Доказательство без информации о версии не сможет отстоять свою актуальность после следующего обновления ПО.

Файл не закрывается с выпуском на рынок: обязательство открытого мониторинга и обновлений продолжается на протяжении всего периода поддержки, и это живая часть технического файла.