Ciberseguridad obligatoria para el marcado CE: normas y procedimientos

La seguridad informática es un requisito necesario para la obtención del marcado CE para equipos radioeléctricos, gracias a las disposiciones de la Comisión Europea al respecto. El Reglamento Delegado (UE) 2022/30 – entró en vigor el 02/11/2022 – encuentra su aplicación a partir del 08/01/2024, dando a los fabricantes un período de transición necesario para adaptar los dispositivos a los nuevos requisitos.

El Reglamento en cuestión aplica los requisitos de conformidad a que se refiere el artículo 3, apartado 3, letras d), e) y f) del Directiva ROJA, con el objetivo de incrementar la la seguridad cibernética, el protección de datos personales y el protección contra fraude para los dispositivos implicados y disponibles en el mercado de la UE.

Productos sujetos a actualizaciones de ciberseguridad

Allá Directiva ROJA (Directiva de equipos de radio) dedicada a equipo de radio – y por lo tanto a los dispositivos e instrumentos de IoT con tecnología inalámbrica de uso común – define las áreas a las que se aplican los nuevos requisitos, incluida la gran mayoría de los dispositivos conectados utilizados en la vida cotidiana.

Se aplica el nuevo marco regulatorio a todos los equipos de radio – quién puede comunicarse a través de Internet, ya sea directamente o mediante otros equipos – que procesan datos personales, de tráfico y de ubicación. Se aplica a dispositivos dedicados a niños; a equipos de radio destinados a ser usados, asegurados o sujetos a cualquier parte del cuerpo humano o a la ropa; a dispositivos de radio que cumplen con la directiva sui juguetes; a equipos de radio conectados a Internet que permiten transferencia de dinero.

Diversos dispositivos quedan excluidos del ámbito de aplicación de la directiva RED, como los vehículos cubiertos por el Reglamento (UE) 2019/2144 y los dispositivos conectados a la Aviación Civil, del que trata el Reglamento (UE) 2018/1139. Además, se excluyen, entre otros, los sistemas de peaje electrónico regulados por la Directiva (UE) 2019/520 y los productos sanitarios a los que se les aplica el Reglamento (UE) 2017/745 y el Reglamento (UE) 2017/746.

Los requisitos esenciales para la seguridad informática

Tal y como da a conocer el artículo 3 de la Directiva RED 2014/53/UE, para cumplir con el marco regulatorio, la equipo de radio arriba hay que responder algunas requisitos, dentro de los cuales:

no dañes la red o de su funcionamiento, ni abusar de los recursos de la red provocando un deterioro inaceptable del servicio;
contener elementos de salvaguardia para garantizar la protección de datos personales y la privacidad del usuario y suscriptor;
admite funciones especiales que le permiten protégete del fraude.

Los estándares necesarios para especificar las disposiciones de seguridad y protección de datos para dispositivos de radio, IoT e inalámbricos y sus interacciones son los ETSI EN 303 645 “CIBER; Ciberseguridad para el Internet de las cosas del consumidor: requisitos básicos” y la serie de Norma IEC 62443 “Redes de comunicación industriales – Seguridad de redes y sistemas”.

Seguridad informática y obligaciones del fabricante

Los fabricantes de dispositivos relacionados con el artículo 3 de la Directiva RED deben evaluar la conformidad de los productos en términos de ciberseguridad. Además de evaluación de la seguridad informática de un producto – de acuerdo con los estándares disponibles, puede intentar identificar los aspectos del dispositivo en consideración que necesitan mejora, para decidir si hacer que el producto actual sea compatible o modificar las características del siguiente producto.

Dada la relativa brevedad del período de transición (teniendo en cuenta el gran volumen de productos que deben cumplir la normativa), los fabricantes deberían adaptar los dispositivos a la normativa de ciberseguridad rápidamente, como ya lo hacen muchas empresas del sector, para evitar el riesgo de retrasos o sanciones cerca de la fecha de entrada en vigor.