Cybersecurity per le apparecchiature radio

La cybersecurity per le apparecchiature radio immesse sul mercato dell’Unione Europea è a una svolta normativa cruciale. Il 1° agosto 2025 rappresenta infatti la data di piena applicazione dei requisiti essenziali introdotti dal Regolamento Delegato (UE) 2022/30, che attiva specifiche disposizioni della Direttiva sulle Apparecchiature Radio (RED – 2014/53/EU). A partire da questa scadenza, la conformità a tali requisiti diviene obbligatoria.

Lo scopo della normativa è l’innalzamento del livello di sicurezza informatica dei prodotti wireless, al fine di proteggere le reti, la privacy degli utenti e le transazioni finanziarie.

I tre nuovi pilastri della sicurezza

Il Regolamento si fonda su tre requisiti essenziali che le apparecchiature radio connesse dovranno rispettare.

• Protezione della rete (Art. 3.3d): I dispositivi non devono danneggiare la rete o il suo funzionamento, né abusare delle risorse di rete, causando così un degrado inaccettabile del servizio.
• Tutela della privacy e dei dati (Art. 3.3e): I prodotti devono integrare misure di salvaguardia per proteggere i dati personali e la privacy degli utenti e degli abbonati.
• Protezione dalle frodi (Art. 3.3f): I dispositivi devono supportare funzionalità che garantiscano la protezione dalle frodi.

Le norme armonizzate: la serie EN 18031

Per agevolare il percorso di conformità, la Commissione Europea ha pubblicato la Decisione di Esecuzione (UE) 2025/138, che armonizza le norme tecniche della serie EN 18031. L’applicazione di tali standard fornisce “presunzione di conformità” ai requisiti essenziali.

La presunzione di conformità è un principio cardine della legislazione europea di armonizzazione tecnica. Essa costituisce un vantaggio legale per cui un prodotto, fabbricato secondo le specifiche di una norma armonizzata, si presume legalmente conforme ai requisiti essenziali della direttiva che essa copre. Questo principio è di fondamentale importanza perché offre ai fabbricanti un percorso tecnico chiaro e riconosciuto per dimostrare la conformità, semplificando l’accesso all’intero mercato unico e favorendo così la libera circolazione delle merci all’interno dell’UE.

Di seguito la corrispondenza tra ogni parte della norma e il requisito specifico.

• EN 18031-1: Protezione della Rete, implementa il requisito dell’Articolo 3(3), punto (d) della Direttiva RED. Si applica a qualsiasi apparecchiatura radio che si connette a Internet (es. smartphone, router, smart TV).
• EN 18031-2: Tutela della Privacy e dei Dati Personali, implementa il requisito dell’Articolo 3(3), punto (e) della Direttiva RED. Si applica alle apparecchiature radio capaci di trattare dati personali e copre specificamente apparecchiature per la puericultura, giocattoli, dispositivi indossabili e altri apparecchi connessi a Internet.
• EN 18031-3: Protezione dalle Frodi, implementa il requisito dell’Articolo 3(3), punto (f) della Direttiva RED. Si applica alle apparecchiature radio connesse a Internet che consentono di trasferire denaro, valore monetario o valute virtuali.

Restrizioni e conseguenze

La presunzione di conformità data da queste norme è soggetta a importanti restrizioni.

In particolare, non è riconosciuta qualora il prodotto permetta all’utente di non impostare una password di autenticazione o, per le categorie di prodotti pertinenti, non sia provvisto di un efficace sistema di controllo parentale.

La conseguenza di queste limitazioni è di notevole importanza pratica. Se un prodotto non rispetta le condizioni restrittive previste dalle norme, il fabbricante non può beneficiare della presunzione di conformità. In tale circostanza, per poter attestare la rispondenza ai requisiti di cybersecurity, diviene obbligatorio l’intervento di un Organismo Notificato.

Implicazioni della scadenza

A decorrere dal 1° agosto 2025 non sarà più possibile immettere sul mercato dell’Unione prodotti non conformi a queste prescrizioni. Il rispetto di queste nuove regole diventa, a tutti gli effetti, una condizione indispensabile per poter apporre legalmente la marcatura CE sul prodotto e garantirne la commercializzazione. Le apparecchiature radio che rientrano nel campo di applicazione del Regolamento Delegato (UE) 2022/30 dovranno, pertanto, essere pienamente rispondenti ai nuovi requisiti di cybersecurity per poter essere legalmente commercializzate.