Pe scurt
Din 1 august 2025, multe produse radio conectate la internet trebuie să îndeplinească cerințe de securitate cibernetică conform Regulamentului delegat (UE) 2022/30 al Directivei RED, demonstrate de regulă prin standardele EN 18031. Din 11 septembrie 2026, producătorii de produse cu elemente digitale trebuie să raporteze vulnerabilitățile exploatate activ și incidentele grave conform Cyber Resilience Act, Regulamentul (UE) 2024/2847. De la 11 decembrie 2027, Cyber Resilience Act se aplică integral și înlocuiește regulile de securitate cibernetică RED.
Dacă produceți prize inteligente, camere, routere, dispozitive purtabile, jucării conectate sau orice alt produs cu radio și conexiune la rețea, regulile UE de securitate cibernetică vi se aplică deja. Există două niveluri și trei date de reținut.
Nivelul 1: securitatea cibernetică RED, din 1 august 2025
Regulamentul delegat (UE) 2022/30 a activat trei cerințe esențiale ale Directivei RED 2014/53/UE, de la articolul 3 alin. (3) lit. d), e) și f):
- d) dispozitivul nu trebuie să afecteze rețeaua sau să folosească abuziv resursele acesteia;
- e) trebuie să protejeze datele personale și viața privată;
- f) trebuie să protejeze împotriva fraudei, pentru produsele care gestionează bani sau valori.
Cerințele se aplică echipamentelor radio conectate la internet, jucăriilor și articolelor de îngrijire a copilului cu funcții radio și dispozitivelor purtabile.
Standardele EN 18031 și restricțiile lor
Standardele armonizate sunt EN 18031-1, -2 și -3:2024. Comisia Europeană le-a publicat referințele în Jurnalul Oficial cu restricții, de exemplu privind parolele implicite. În practică:
- dacă aplicați integral standardul EN 18031 relevant și nicio restricție nu afectează produsul, puteți declara singur conformitatea;
- dacă se aplică o restricție sau nu aplicați integral standardele, un organism notificat trebuie să emită un certificat de examinare UE de tip înainte de introducerea pe piață.
Organismele notificate competente pentru art. 3 alin. (3) lit. d), e) și f) se găsesc în baza de date NANDO a Comisiei Europene.
Nivelul 2: Cyber Resilience Act
Cyber Resilience Act, Regulamentul (UE) 2024/2847, acoperă aproape toate produsele cu elemente digitale, cu sau fără radio. A intrat în vigoare pe 10 decembrie 2024 și se aplică etapizat.
11 septembrie 2026: obligațiile de raportare
Producătorii trebuie să raporteze vulnerabilitățile exploatate activ și incidentele grave care afectează produsele lor către CSIRT-ul competent și către ENISA, prin Platforma unică de raportare a ENISA. Prima avertizare trebuie trimisă în 24 de ore. Obligația se aplică și produselor deja aflate pe piața UE.
Pentru un producător stabilit în afara UE, CSIRT-ul competent depinde de locul în care este stabilit reprezentantul său din UE sau alt operator din UE. Încălcarea obligațiilor de raportare se poate sancționa cu amenzi de până la 15 milioane EUR sau 2,5% din cifra de afaceri anuală mondială, oricare este mai mare.
11 decembrie 2027: aplicarea integrală
Cerințele de securitate, evaluarea conformității, documentația tehnică și regulile privind marcajul CE din Cyber Resilience Act se aplică integral. La aceeași dată, Regulamentul delegat (UE) 2022/30 este abrogat prin Regulamentul delegat (UE) 2026/339, iar produsele radio trec de la regulile de securitate cibernetică RED la Cyber Resilience Act.
Ce să faceți acum
- Faceți lista produselor cu funcții radio sau de rețea.
- Verificați rapoartele de încercare EN 18031 și dacă se aplică vreo restricție.
- Organizați un proces de gestionare a vulnerabilităților și un cont de raportare la ENISA.
- Planificați documentația tehnică CRA pentru decembrie 2027.
Cum vă ajută ISOCONSULT
Ca reprezentant autorizat în UE, ISOCONSULT S.R.L. verifică dacă documentația RED acoperă cerințele de securitate cibernetică, păstrează dosarul tehnic pentru autorități și vă informează despre orice solicitare. Raportarea conform Cyber Resilience Act rămâne obligația producătorului; vă ajutăm să vă pregătiți. Cereți o ofertă.
Acest articol are caracter informativ general despre legislația UE privind produsele și nu constituie consultanță juridică. Cerințele depind de produsul concret; contactați-ne pentru o evaluare a cazului dumneavoastră.