Chi fa rispettare la EN 18031? Lo stato reale di controlli e sanzioni RED, un anno dopo

La EN 18031 è obbligatoria per i requisiti di cybersicurezza della Direttiva RED, articoli 3.3(d), 3.3(e) e 3.3(f), dal 1° agosto 2025. Un anno dopo, i fabbricanti si pongono due domande: chi può controllarci e sanzionarci, e qualcuno lo sta già facendo?

La conformità alla EN 18031 è fatta rispettare dalle autorità nazionali di sorveglianza del mercato (MSA). Il Regolamento (UE) 2019/1020 impone a ogni Stato membro di designare una o più autorità per settore di prodotto, apparecchiature radio incluse. Si coordinano a livello UE, ma ispezione, ordine correttivo e sanzione arrivano sempre da un organismo nazionale.

Per l'Italia, la pagina ufficiale del MIMIT sulla sorveglianza sul mercato affida il coordinamento alla Direzione generale per il digitale e le telecomunicazioni tramite l'ISCTI. Gli ispettorati territoriali svolgono le ispezioni e agiscono da autorità sanzionatorie, le prove tecniche vanno all'Eurolab Radio o a laboratori accreditati, e la polizia postale collabora.

In Irlanda, ComReg è l'unica MSA per la RED e conduce campagne ispettive ricorrenti sulle apparecchiature radio.

Il diritto UE non usa mai la parola audit. Il Regolamento 2019/1020 parla di verifiche documentarie e, se del caso, fisiche e di laboratorio. L'articolo 14 consente alle MSA di esigere la documentazione tecnica, accedere al software integrato, svolgere ispezioni senza preavviso e acquisire campioni. Nella pratica, un controllo sui requisiti di cybersicurezza della RED segue una sequenza riconoscibile:

Notate da dove parte la sequenza: dalle vostre carte. Un prodotto la cui documentazione ignora i requisiti di cybersicurezza può risultare non conforme prima ancora di arrivare su un banco di prova.

La più trasparente finora è l'RDI olandese. Mantiene una pagina dedicata alla RED 3.3 e un laboratorio di test IoT dove gli ispettori verificano i requisiti di cybersicurezza applicabili dal 1° agosto 2025: password, aggiornamenti, sicurezza delle connessioni e cancellazione degli account su videocitofoni, baby monitor, router e smartwatch, test di penetrazione inclusi. A giugno 2026 l'RDI ha vinto un premio per l'innovazione per uno scanner AI delle vulnerabilità firmware dei suoi ispettori. Un'autorità europea sta testando i prodotti rispetto alla RED 3.3 oggi.

La Germania mostra la scala della macchina. Nei suoi risultati di sorveglianza del mercato 2025, la Bundesnetzagentur ha riportato carenze riguardanti 7,7 milioni di dispositivi, con 8.202 spedizioni doganali sospette (89 per cento non conformi) e oltre 359.000 articoli fermati alla frontiera. Un'avvertenza onesta: le cifre coprono tutti i requisiti essenziali RED, non solo la cybersicurezza. La BNetzA pubblica inoltre un elenco aggiornato di misure restrittive del mercato che nomina i singoli prodotti esclusi dal mercato, con voci fino a gennaio 2026. I divieti contro prodotti nominati sono routine, e la cybersicurezza è ora un motivo in più.

Esiste un caso EN 18031 documentato? Uno. Il fornitore di conformità TecEx ha pubblicato un caso di studio del 2026 su un gateway smart home lanciato in quattro mercati UE a settembre 2025 con marcatura CE valida ma senza valutazione 3.3(d)/(e)/(f) nel fascicolo. Un controllo documentale di routine ha individuato la lacuna e il prodotto è rimasto 11 settimane fuori dal mercato in attesa di valutazione EN 18031 e Dichiarazione di Conformità aggiornata. Fabbricante e autorità sono anonimi: trattatelo come evidenza di settore, non come decisione ufficiale.

E le multe? Non aspettatevi un comunicato stampa. In quasi tutti gli Stati membri una sanzione RED è una decisione amministrativa mai pubblicata con il nome dell'azienda; solo l'RDI olandese pubblica i nomi dei sanzionati. L'ANFR francese documenta la sanzione amministrativa come passo standard dello stesso procedimento che produce ritiri e richiami. Le azioni visibili sono divieti e sospensioni; le sanzioni collegate restano fuori dal registro pubblico. L'assenza dalle cronache è invisibilità, non inazione.

La RED fissa gli obblighi, ma le sanzioni vivono nel diritto nazionale: tre esempi verificati.

Fonti: il Funkanlagengesetz, articolo 37 tedesco, le Radio Equipment Regulations 2026 irlandesi e il d.lgs. 128/2016 italiano. Il moltiplicatore per unità: su 10.000 dispositivi può da solo superare la sanzione principale.

La sanzione è raramente la parte più costosa. La vera sequenza è: richiesta documenti, accertamento di non conformità, sospensione delle vendite, possibile ritiro o richiamo, propagazione agli altri Stati membri. Il gateway anonimo ha bruciato 11 settimane di ricavi in quattro mercati prima ancora di una sanzione.

Dunque, chi fa rispettare la EN 18031 e lo sta già facendo? La fanno rispettare le autorità nazionali di sorveglianza del mercato: BNetzA in Germania, RDI nei Paesi Bassi, gli ispettorati territoriali del MIMIT in Italia, ANFR in Francia, ComReg in Irlanda. E l'enforcement è iniziato: controlli documentali di routine, test di penetrazione dell'RDI sulla RED 3.3, e leggi nazionali che prezzano la non conformità fino a 100.000 euro in Germania, 500.000 in Irlanda e con sanzioni per unità in Italia.

Le prime azioni legali sono già agli atti; le sanzioni che le seguono non vengono pubblicate con i nomi. È il momento più economico per mettersi in regola: la macchina è in moto e la prima domanda delle autorità riguarderà il vostro fascicolo tecnico, non il vostro firmware. Se quel fascicolo dimostra già la EN 18031, il controllo è uno scambio di documenti. Se non lo fa, tutto ciò che segue avviene sui tempi del regolatore.

Ogni percorso di enforcement inizia con la stessa richiesta: mostrateci la Dichiarazione di Conformità e la documentazione tecnica. RedComply esiste perché quella richiesta non vi trovi mai impreparati.

La sorveglianza del mercato non è più teorica. Visita redcomply.com e tieni pronta la risposta prima della richiesta.