Il dispositivo connesso e le nuove regole di cibersicurezza

La direttiva sulle apparecchiature radio 2014/53/UE contiene da sempre requisiti di cibersicurezza all’articolo 3, paragrafo 3: le apparecchiature radio non devono danneggiare la rete né abusare delle sue risorse (lettera d)), devono includere salvaguardie per i dati personali e la privacy (lettera e)) e devono supportare funzionalità che proteggono dalle frodi (lettera f)). Questi requisiti si applicano solo alle categorie che la Commissione indica con atto delegato.^[1]

Le indica il regolamento delegato (UE) 2022/30. La lettera d) si applica alle apparecchiature radio collegate a internet; la lettera e) alle apparecchiature radio collegate a internet, alle apparecchiature radio per la cura dell’infanzia, ai giocattoli radio e ai dispositivi radio indossabili in grado di trattare dati personali, dati sul traffico o dati di localizzazione; la lettera f) alle apparecchiature radio collegate a internet che consentono al titolare di trasferire denaro, valore monetario o valuta virtuale (art. 1). I dispositivi medici e i dispositivi medico-diagnostici in vitro sono esclusi, e le apparecchiature radio disciplinate anche dal regolamento (UE) 2018/1139 (aviazione civile), dal regolamento (UE) 2019/2144 (omologazione dei veicoli a motore) o dalla direttiva (UE) 2019/520 (pedaggio stradale elettronico) sono escluse dalle lettere e) ed f) (art. 2). A seguito di una modifica introdotta dal regolamento delegato (UE) 2023/2444, si applica dal 1° agosto 2025 (art. 3).^[2]

Le norme armonizzate EN 18031-1, -2 e -3:2024 sono state pubblicate con restrizioni. Non conferiscono alcuna presunzione di conformità per le sezioni di motivazione e di orientamento, né quando all’utente è consentito non impostare né usare alcuna password; la EN 18031-2 non la conferisce neppure per le apparecchiature rientranti nelle sue clausole da 6.1.3 a 6.1.6 se non è garantito il controllo di accesso da parte dei genitori o dei tutori (decisione di esecuzione (UE) 2025/138, allegato). Se il fabbricante non ha applicato, o ha applicato solo in parte, le norme armonizzate per i requisiti dell’articolo 3, paragrafo 3, l’apparecchiatura deve essere sottoposta a esame UE del tipo o a garanzia totale della qualità (direttiva sulle apparecchiature radio, art. 17, par. 4).^[3]

Il regolamento sulla ciberresilienza, regolamento (UE) 2024/2847, è lo strato successivo. Si applica ai prodotti con elementi digitali la cui destinazione d’uso o il cui uso ragionevolmente prevedibile include una connessione dati a un dispositivo o a una rete (art. 2, par. 1). Si applica dall’11 dicembre 2027, ma gli obblighi di segnalazione dell’articolo 14 si applicano dall’11 settembre 2026 e le regole sugli organismi notificati dall’11 giugno 2026 (art. 71, par. 2). I fabbricanti segnalano le vulnerabilità attivamente sfruttate con un preallarme entro 24 ore e una notifica entro 72 ore da quando ne sono venuti a conoscenza, e una relazione finale entro 14 giorni dalla disponibilità di una correzione (art. 14, parr. 1 e 2); gli incidenti gravi sono segnalati allo stesso modo (art. 14, parr. 3 e 4). Il regolamento delegato (UE) 2026/339 abroga il regolamento delegato (UE) 2022/30 con effetto dall’11 dicembre 2027 (art. 1).^[4][5]