CRA vs. RED / EN 18031: quale si applica al mio dispositivo, e quando?

La Direttiva sulle apparecchiature radio (RED) con lo standard armonizzato EN 18031 e il Cyber Resilience Act (CRA) dell'UE sono due leggi distinte dell'UE. Non sono lo stesso regime e l'una non contiene l'altra. La RED e ristretta: si applica alle apparecchiature radio. Il CRA e ampio: si applica a quasi tutti i prodotti con elementi digitali. Molti prodotti connessi rientrano in entrambi, ma per motivi diversi e con tempistiche diverse.

Il modo piu chiaro per pensarci: RED/EN 18031 e un piccolo cerchio specifico all'interno del cerchio molto piu grande del CRA. Quasi ogni dispositivo radio e anche un prodotto con elementi digitali, quindi rientra anche nell'ambito del CRA. Ma non vale il contrario: la grande maggioranza dei prodotti coperti dal CRA non sono affatto apparecchiature radio.

La RED si applica solo alle apparecchiature radio: prodotti che emettono o ricevono intenzionalmente onde radio per comunicazione o radiodeterminazione (Wi-Fi, Bluetooth, cellulare, Zigbee e cosi via). I suoi requisiti essenziali di cybersicurezza - articoli 3.3(d) (protezione della rete), 3.3(e) (privacy e dati personali) e 3.3(f) (prevenzione delle frodi) - si soddisfano in pratica applicando la EN 18031, lo standard armonizzato che garantisce una presunzione di conformita.

Il CRA si applica a qualsiasi prodotto con elementi digitali messo a disposizione sul mercato dell'UE il cui uso previsto o ragionevolmente prevedibile includa una connessione dati diretta o indiretta, logica o fisica con un dispositivo o una rete. Questa definizione e volutamente ampia: copre hardware e software autonomo, incluse le soluzioni di trattamento dati a distanza di cui il produttore e responsabile. Le esclusioni rigide del CRA sono settoriali: prodotti gia regolati dal Regolamento sui dispositivi medici, dal Regolamento sui dispositivi medico-diagnostici in vitro, dal regolamento sull'omologazione dei veicoli a motore, dalla normativa sull'equipaggiamento marittimo o dalla certificazione dell'aviazione civile, piu tutto cio che e sviluppato esclusivamente per sicurezza nazionale, difesa o uso classificato.

Soprattutto, le apparecchiature radio non sono escluse dal CRA. Le esclusioni settoriali del CRA non elencano le apparecchiature radio, quindi un prodotto wireless connesso rientra nell'ambito di entrambe le leggi. I due regimi regolano semplicemente aspetti diversi del prodotto, ed e per questo che coesistono invece di annullarsi a vicenda. Per l'approfondimento concettuale su come i due si relazionano, consulta il nostro articolo complementare EN 18031 e il Cyber Resilience Act dell'UE.

Esamina queste domande sul tuo prodotto specifico. Nella quasi totalita dei casi conducono a uno di quattro esiti: solo RED, solo CRA, Entrambi o Nessuno.

Il prodotto trasmette o riceve intenzionalmente onde radio per comunicazione o radiodeterminazione (Wi-Fi, Bluetooth, cellulare, LoRa, Zigbee, NFC, GNSS, ecc.)? Se si, si applica la RED e la EN 18031 e il tuo percorso pratico per dimostrare i requisiti essenziali di cybersicurezza. Se no, la RED non si applica: passa alla Domanda 3.

Il prodotto e regolato da un regime settoriale a cui il CRA cede il passo - un dispositivo medico, un dispositivo diagnostico in vitro, un veicolo a motore omologato, un equipaggiamento marittimo, un prodotto certificato per l'aviazione civile - oppure e sviluppato esclusivamente per sicurezza nazionale, difesa o uso classificato? Se si, il CRA non si applica (il regime settoriale porta con se le regole di cybersicurezza). Se no, continua.

E un prodotto con elementi digitali - hardware o software - il cui uso previsto o prevedibile include una connessione dati diretta o indiretta con un dispositivo o una rete? Se si, il CRA si applica. Se no (un prodotto realmente autonomo, privo di codice e di qualsiasi connessione dati logica o fisica), il CRA non si applica.

La guida decisionale e piu facile da fidarsi quando la si vede applicata a prodotti concreti. Ecco cinque profili comuni e il verdetto a cui arriva ciascuno.

Il modello che questi esempi rivelano e la regola di direzionalita: un prodotto che attiva la RED attiva quasi sempre anche il CRA, perche un'apparecchiatura radio e un prodotto connesso con elementi digitali. Le eccezioni sono ristrette: o il prodotto e escluso dal CRA per settore (come l'esempio medico), oppure, molto raramente, e un'apparecchiatura radio del tutto priva di connessione dati o elementi digitali. La direzione opposta e spalancata: software, dispositivi cablati e hardware non radio rientrano nettamente nel solo CRA e non toccano mai la RED.

Per classificare correttamente il lato radio, la nostra panoramica sulla cybersicurezza RED e gli standard di cybersicurezza essenziali per IoT spiegano quali parti della EN 18031 si applicano a quali funzioni del dispositivo.

"Quale si applica" e solo meta della domanda. L'altra meta e "entro quando". RED/EN 18031 e gia obbligatoria; gli obblighi del CRA si attivano in fasi, con i doveri di segnalazione che arrivano molto prima dei requisiti principali.

Due dettagli di tempistica colgono di sorpresa i produttori. Primo, gli obblighi di segnalazione del CRA (11 settembre 2026) arrivano oltre un anno prima dei requisiti principali (11 dicembre 2027) - quindi serve un processo di segnalazione di incidenti e vulnerabilita ben prima che il resto del regime sia pienamente attivo. Secondo, gli obblighi di segnalazione raggiungono anche i prodotti gia sul mercato prima della data principale, quindi i prodotti connessi legacy non sono automaticamente esenti.

La conclusione pratica: se il tuo prodotto e un'apparecchiatura radio, la EN 18031 e un problema di oggi; il CRA e un problema del 2026-poi-2027 che dovresti gia pianificare. Per un piano di preparazione piu ampio su RED, CRA e NIS2, consulta come prepararsi alle nuove regolamentazioni di cybersicurezza dell'UE.

No - ed e qui che le due leggi sono progettate per integrarsi amministrativamente pur restando distinte. Quando un prodotto rientra in piu di un atto legislativo dell'UE, il CRA consente di consolidare la documentazione invece di duplicarla.

Cio che non puoi fare e presumere che la *conformita EN 18031 equivalga alla conformita CRA. Il CRA garantisce una presunzione di conformita solo tramite standard armonizzati pubblicati nella sua Gazzetta Ufficiale, specifiche comuni o uno schema europeo di certificazione della cybersicurezza - non* tramite RED o EN 18031. Il terreno della cybersicurezza si sovrappone: i requisiti essenziali del CRA sono progettati per comprendere gli elementi degli articoli RED 3.3(d)/(e)/(f). Ma il CRA aggiunge intere categorie di obblighi che la EN 18031 non ha mai imposto - sicurezza lungo il ciclo di vita, un periodo di supporto con aggiornamenti gratuiti, un SBOM e la gestione coordinata delle vulnerabilita, e la segnalazione a ENISA/CSIRT - e questi devono essere implementati e documentati separatamente.

Vale anche la pena essere precisi sul futuro: i segnali politici dell'UE indicano che il regolamento delegato sulla cybersicurezza della RED (UE) 2022/30 sara prima o poi abrogato o modificato in modo da non applicarsi piu ai prodotti coperti dal CRA, con un periodo transitorio in cui entrambi si applicano. Cio non e ancora avvenuto, e il CRA non lo abroga da solo - quindi per ora tratta RED/EN 18031 e il CRA come due binari attivi e paralleli.

Una delle maggiori fonti di confusione e presumere che il CRA funzioni sulla EN 18031. Non e cosi. I due regimi si dimostrano rispetto a materiale tecnico diverso.

La conseguenza pratica: svolgere un ottimo lavoro EN 18031 ti offre una solida base di cybersicurezza e molte evidenze riutilizzabili, ma non assolve di per se i tuoi obblighi CRA. Pianifica i due binari insieme, ma tienili distinti.

No. Il CRA garantisce una presunzione di conformita solo tramite standard armonizzati CRA, specifiche comuni o uno schema europeo di certificazione della cybersicurezza - non tramite RED o EN 18031. La EN 18031 ti offre una solida base di cybersicurezza che si sovrappone ai requisiti essenziali del CRA, ma i doveri specifici del CRA (sicurezza lungo il ciclo di vita, periodo di supporto con aggiornamenti gratuiti, SBOM, gestione coordinata delle vulnerabilita e segnalazione a ENISA/CSIRT) non fanno parte della EN 18031 e devono essere soddisfatti separatamente.

Non oggi. Sono leggi distinte che attualmente si applicano in parallelo. La politica dell'UE indica che il regolamento delegato sulla cybersicurezza della RED (UE) 2022/30 sara prima o poi abrogato o modificato in modo da non applicarsi piu ai prodotti coperti dal CRA, con un periodo transitorio durante il quale entrambi si applicano - ma questo passo non e ancora stato compiuto, e il CRA non abroga la RED da solo. La RED (2014/53/UE) resta in vigore per le apparecchiature radio in generale.

Il CRA puo applicarsi; la RED no. La RED governa solo le apparecchiature radio, quindi il software da solo ne e al di fuori. Il CRA copre i prodotti software con elementi digitali dotati di una connessione dati diretta o indiretta, a meno che il software non faccia parte di un prodotto escluso per settore (ad esempio software che e un dispositivo medico ai sensi del Regolamento sui dispositivi medici) o sia software di servizio cloud autonomo governato invece dalla NIS2.

Entrambi i regimi commisurano il livello di garanzia al rischio, attingendo i moduli dallo stesso quadro dell'UE. Con RED/EN 18031 puoi autodichiarare tramite il Modulo A quando applichi pienamente lo standard senza attivare restrizioni; un organismo notificato (Modulo B+C) e necessario negli altri casi. Con il CRA, i prodotti di default possono autovalutarsi rispetto all'Allegato I, mentre i prodotti classificati come importanti (Allegato III) o critici (Allegato IV) affrontano procedure piu rigorose, fino alla valutazione di terze parti - e alcuni prodotti critici possono richiedere un certificato europeo di cybersicurezza. La struttura e simile, ma il CRA aggiunge un gate esplicito di criticita del prodotto, basato su elenchi, che la RED non ha.

Si. Quando un prodotto e soggetto a piu di un atto dell'Unione, si redige una singola Dichiarazione di Conformita UE che li copre tutti (CRA articolo 28(3)), una singola marcatura CE indica la conformita con tutta la legislazione dell'Unione applicabile (CRA articolo 30(5)) e un singolo fascicolo di documentazione tecnica puo contenere cio che ciascun atto richiede (CRA articolo 31(3)). Consolidi la documentazione; non duplichi il lavoro sottostante.

RED/EN 18031 e il CRA sono due leggi distinte con ambiti e tempistiche diversi - ma per la maggior parte dei prodotti wireless connessi arrivano insieme. La mossa intelligente non e sceglierne una, ma pianificare un unico programma di conformita coordinato che soddisfi entrambe.

Decidi prodotto per prodotto usando le tre domande sopra, segna la scadenza che scatta per prima e costruisci un'unica base di evidenze estendibile - invece di gestire due progetti di conformita scollegati.

RedComply e costruito appositamente per la EN 18031 e il regime di cybersicurezza RED. Oggi automatizza l'intero flusso di lavoro EN 18031 end-to-end; il supporto dedicato al Cyber Resilience Act e nella nostra roadmap e in arrivo. Le evidenze strutturate che costruisci ora per la RED sono esattamente la base su cui si appoggeranno gli obblighi di ciclo di vita del CRA.

Sul fronte CRA, l'automazione dedicata e in arrivo. La documentazione strutturata, gli inventari degli asset e le tracce di evidenza che costruisci oggi per la EN 18031 sono la stessa base che stiamo estendendo verso i deliverable del CRA - politiche di gestione delle vulnerabilita, riferimenti SBOM, dichiarazioni del periodo di supporto e flussi di segnalazione degli incidenti - man mano che la funzionalita verra rilasciata.

Capisci quali leggi si applicano al tuo dispositivo, poi costruisci un'unica base di evidenze per entrambe. Visita redcomply.com per automatizzare la tua conformita EN 18031 oggi e prendere vantaggio sulla tempistica del CRA per il 2026 e il 2027.