A norma EN 18031 entrou oficialmente em vigor! Esses produtos devem ser certificados pela UE para a cibersegurança?

A Comissão Europeia aprovou a Lei de Autorização Suplementar (UE) 2022/30 em 2022, que exige claramente que o equipamento de rádio cumpra os requisitos de segurança da rede, proteção da privacidade e antifraude.

Nova linha do tempo do regulamento

• Agosto de 2024: Liberar as normas de apoio EN 18031 para refinar as cláusulas de cibersegurança na Directiva RED;

• 30 de janeiro de 2025: a EN 18031 está oficialmente incluída na Lista de Normas de Coordenação da Diretiva RED (Boletim Oficial da UE JO);

• A partir de 1 de agosto de 2025: Todos os equipamentos de rádio exportados para a UE devem cumprir os requisitos de segurança cibernética previstos no artigo 3. °, n. ° 3, alínea d), alínea f), da Diretiva RED, caso contrário, é proibido entrar no mercado.

Conteúdo principal

Atualizações regulatórias: de contas a padrões, formam uma estrutura de conformidade completa;

Nó de tempo: agosto de 2025 é o prazo de execução obrigatório;

Condições de acesso: atender a três requisitos principais: segurança de rede (anti-ataque), proteção de privacidade (criptografia de dados) e antifraude (verificação de dois fatores).

Análise dos padrões básicos: benchmarking preciso de três cláusulas principais

As normas da série EN 18031 dividem-se em três partes, que correspondem directamente aos três requisitos essenciais do n ° 3 do artigo 3 ° da Directiva RED:

Lista completa do âmbito de aplicação (com isenções)

1. EN 18031-1 (requisitos de segurança da função de rede)

Para equipamentos de rádio conectados à Internet, a principal avaliação da segurança dos ativos de rede é resistir a ataques de rede, evitar abuso de recursos de rede e interrupção de serviço.

Produtos aplicáveis:

• Telefones celulares, tablets;

• Roteadores Wi-Fi, gateways, condicionadores de ar conectados, geladeiras e outros eletrodomésticos;

• Smart TV/caixa de TV e equipamento 3G/4G/5G;

• Todos os dispositivos com capacidades de comunicação Wi-Fi;

• Componentes de rede de veículos; conversor de energia em sistemas de energia.

2. EN 18031-2 (Requisitos de Segurança de Dados)

Para equipamentos de rádio que processam dados pessoais, o foco na proteção da privacidade e o equipamento requer controle de acesso, criptografia de dados e mecanismos de proteção de privacidade.

Produtos aplicáveis:

• Dispositivos Bluetooth (fones de ouvido TWS, áudio), dispositivos vestíveis (relógios inteligentes)

• Monitor de bebê, sensor inteligente, GPS on-board

• Purificadores de ar, aspiradores e outros equipamentos domésticos

3. EN 18031-3 (Requisitos de Segurança Funcional Financeira)

Para dispositivos que lidam com moeda virtual ou valor de moeda, é necessário ter funções para evitar fraudes, como registro, verificação de integridade de software, etc.

Produtos aplicáveis:

• Máquina POS, máquina ATM

• Qualquer dispositivo que suporte moeda virtual ou funções de transferência

⚠Âmbito de isenção:

• Dispositivos médicos: regidos por regulamentos MDR

• Equipamento de aviação: aplicável ao Regulamento (UE) 2018/1139

• Sistema de emergência do veículo: aplicável ao Regulamento (UE) 2019/2144

• Terminal de pagamento: aplicável à Diretiva (UE) 2019/520

Abordagem de quatro etapas para ações emergenciais dos fabricantes

Passo 1: Triagem de classificação do produto

Combine categorias padrão de acordo com as funções do dispositivo:

• Função de rede → EN 18031-1

• Processamento de dados pessoais → EN 18031-2

• Relacionado a transações financeiras → EN 18031-3

Determine se está sujeito aos novos regulamentos

Passo 2: Interpretação aprofundada dos termos técnicos

• Configuração de força de senha (EN 18031-1): Os usuários devem definir senhas pela primeira vez para usar e desativar a senha padrão

• Controle parental (EN 18031-2): implementação em nível de hardware de direitos de guardião (como biometria de botões físicos)

• Várias atualizações de segurança (EN 18031-3): O controle de acesso de assinatura digital deve ser usado ao mesmo tempo (exemplo: senha dinâmica de firmware de assinatura)

Passo 3: Diagnóstico de Gap de Conformidade

Verificação chave:

• A senha padrão é forçada a ser desativada?

• A criptografia de dados atende ao padrão AES-256?

• Se as atualizações de segurança adotam um mecanismo de verificação de dois fatores

Passo 4: Seleção do caminho de autenticação

1. Autodeclaração: Disponível em conformidade com as normas de coordenação (os documentos técnicos devem ser mantidos por 10 anos)

2. A certificação da organização NB é obrigatória se existirem as seguintes situações:

• Permitir que os usuários pulem as configurações de senha

• Adote o modo de controle de acesso autônomo

• Use apenas um único método de atualização de segurança