Cibersegurança obrigatória para a marcação CE: Regras e procedimentos

A cibersegurança é um requisito necessário para a obtenção da marcação CE para equipamentos de rádio, graças às disposições da Comissão Europeia sobre o assunto. O Regulação delegada (UE) 2022/30 – entrou em vigor em 11/02/2022 – encontra sua aplicação a partir de 1/08/2024, dando aos fabricantes um período de transição necessário para adaptar os dispositivos aos novos requisitos.

O Regulamento em causa aplica os requisitos de conformidade referidos no artigo 3, seção 3, letras d), e) e f) de Diretiva VERMELHA, a fim de aumentar o cíber segurança, o proteção de dados pessoais é a proteção contra fraude para os dispositivos envolvidos e disponíveis no mercado da UE.

Produtos sujeitos a atualizações de cibersegurança

O Diretiva VERMELHA (Directiva de Equipamentos de Rádio) dedicado à Equipamento de rádio – e, portanto, para dispositivos IoT e ferramentas com tecnologia sem fio de uso comum – define as áreas às quais os novos requisitos se aplicam, incluindo a grande maioria dos dispositivos conectados que são usados na vida diária.

O novo quadro regulamentar aplica-se a todos os equipamentos de rádio – que podem se comunicar pela Internet, diretamente ou através de outros equipamentos – que processam dados pessoais, sobre trânsito e localização. Aplica-se a dispositivos dedicados a crianças; a equipamento de rádio destinado a ser usado, ou preso ou pendurado em qualquer parte do corpo humano ou roupa; a dispositivos de rádio em conformidade com a diretiva sobre Brinquedos; a equipamentos de rádio conectados à Internet que permitem a transferência de dinheiro.

Vários dispositivos estão excluídos do escopo da diretiva RED, como os veículos abrangidos pelo Regulamento (UE) 2019/2144 e dispositivos conectados à Aviação Civil, referido no regulamento (UE) 2018/1139. Entre outros, Além disso, os sistemas de portagem eletrónica regidos pela diretiva estão excluídos (UE) 2019/520 e os dispositivos médicos aos quais o Regulamento se aplica (UE) 2017/745 e o regulamento (UE) 2017/746.

Os requisitos essenciais para a segurança da informação

Conforme divulgado no artigo 3 da Diretiva RED 2014/53/EU, para cumprir o quadro regulamentar, o Equipamento de rádio acima tem que responder a alguns requisitos, incluindo:

não danifique a rede ou como funciona, nem abusar dos recursos da rede, causando assim uma deterioração inaceitável do serviço;
conter elementos de salvaguarda para garantir a proteção dos dados pessoais e a vida privada do usuário e assinante;
suporte a recursos especiais que permitem proteja-se de fraudes.

As normas necessárias para especificar as disposições de segurança, salvaguarda e proteção de dados para dispositivos de rádio, IoT e sem fio e suas interações são Padrão ETSI EN 303 645 "CIBERNÉTICA; segurança cibernética para a Internet das coisas do consumidor: Requisitos básicos” e a série de Padrão IEC 62443 “Redes de comunicação industrial – Segurança da rede e do sistema”.

Segurança de TI e obrigações do fabricante

Os fabricantes de dispositivos relacionados ao artigo 3 da Diretiva RED são obrigados a avaliar a conformidade dos produtos em termos de segurança cibernética. Além de Avaliação de segurança de TI de um produto – de acordo com os padrões disponíveis – podemos apontar para identificar os aspectos do dispositivo sob exame que precisam ser melhorados, para decidir se deve tornar o produto atual compatível ou alterar os recursos do próximo produto.

Dada a relativa brevidade do período de transição - considerando a grande quantidade de produtos que precisam estar em conformidade - os fabricantes devem adaptar os dispositivos aos padrões de segurança cibernética rapidamente, como já fazem muitas empresas do setor, para evitar o risco de atrasos ou multas perto da data efetiva.