EN 18031 e il Cyber Resilience Act dell'UE: come si relazionano

La EN 18031 e il Cyber Resilience Act (CRA) dell'UE sono due pilastri del regime di cybersicurezza dell'UE in evoluzione, ma operano a livelli diversi: la EN 18031 e uno standard tecnico armonizzato utilizzato per dimostrare la conformita agli articoli sulla cybersicurezza della Direttiva sulle apparecchiature radio (RED), mentre il CRA e un regolamento orizzontale vincolante che copre praticamente tutti i prodotti con elementi digitali immessi sul mercato dell'UE.

La EN 18031 e uno standard europeo armonizzato che fornisce ai produttori una presunzione di conformita con i requisiti essenziali di cybersicurezza della Direttiva sulle apparecchiature radio: articoli 3.3(d) (protezione della rete), 3.3(e) (privacy e dati personali) e 3.3(f) (prevenzione delle frodi). Il Cyber Resilience Act dell'UE e un regolamento orizzontale che impone obblighi di cybersicurezza a tutti i prodotti con elementi digitali immessi sul mercato dell'UE: connessi e non connessi, hardware e software.

I due quadri sono deliberatamente stratificati. L'articolo 2(4) del CRA esclude le apparecchiature radio gia soggette ai requisiti essenziali di cybersicurezza della RED, in modo che i produttori non debbano conformarsi allo stesso requisito sotto entrambi i regimi. In pratica, cio significa che la EN 18031 rimane il livello di esecuzione tecnica per la cybersicurezza delle apparecchiature radio, mentre il CRA aggiunge obblighi che la RED non ha mai coperto: in particolare la gestione continua delle vulnerabilita, il supporto agli aggiornamenti di sicurezza, la divulgazione dell'SBOM e la segnalazione degli incidenti all'ENISA.

In altre parole: la EN 18031 ti dice come dimostrare la cybersicurezza di un prodotto wireless oggi; il CRA ti dice quali obblighi continuativi aggiuntivi hai una volta che il prodotto e sul mercato e qual e la soglia minima di cybersicurezza che ogni altro prodotto digitale deve soddisfare a partire dal 2027.

La EN 18031 e uno standard europeo armonizzato in tre parti pubblicato dal CEN-CENELEC (JTC 13) per supportare i requisiti essenziali di cybersicurezza attivati dal Regolamento Delegato (UE) 2022/30 ai sensi della Direttiva sulle apparecchiature radio 2014/53/UE. E diventato uno standard armonizzato per la RED il 30 gennaio 2025 e la conformita ad esso e diventata obbligatoria per le apparecchiature radio immesse sul mercato dell'UE il 1 agosto 2025.

Seguire la EN 18031 e il percorso di conformita piu efficiente per le apparecchiature radio perche garantisce una presunzione di conformita con gli articoli RED corrispondenti. Quando un produttore applica pienamente lo standard e non attiva restrizioni, la conformita puo essere autodichiarata tramite il Modulo A (controllo interno della produzione) senza la necessita di un organismo notificato. Se viene attivata una restrizione (ad esempio le clausole della EN 18031-1/-2 sulle password ignorabili), e invece richiesto il Modulo B+C con un organismo notificato.

Per un approfondimento sui requisiti di cybersicurezza della RED, consulta la nostra panoramica sulla cybersicurezza RED e gli standard di cybersicurezza essenziali per IoT.

Il Cyber Resilience Act, formalmente Regolamento (UE) 2024/2847, e la prima legge orizzontale dell'UE sulla cybersicurezza per i prodotti con elementi digitali (PDE). Un prodotto con elementi digitali e definito in modo ampio come qualsiasi prodotto software o hardware, piu le sue soluzioni di trattamento dei dati a distanza, il cui uso previsto o ragionevolmente prevedibile include una connessione dati logica o fisica con un dispositivo o una rete.

Le sanzioni ai sensi del CRA sono significative: fino a 15 milioni di euro o il 2,5% del fatturato annuale globale, a seconda di quale sia maggiore, per violazioni dei requisiti essenziali di cybersicurezza.

Il modo piu chiaro per comprendere la relazione e confrontare i due quadri lungo le dimensioni che contano per un produttore: natura giuridica, ambito, tempistiche, profondita tecnica, obblighi di ciclo di vita e percorso di valutazione della conformita.

Molti dei requisiti essenziali di cybersicurezza dell'Allegato I del CRA si sovrappongono a quanto la EN 18031 gia richiede alle apparecchiature radio: riservatezza, integrita, configurazione sicura, minimizzazione della superficie di attacco, comunicazioni sicure, aggiornamenti software sicuri, controllo degli accessi e protezione contro accessi non autorizzati. E proprio per questo motivo che esiste l'articolo 2(4) del CRA: quando un'apparecchiatura radio e soggetta ai requisiti essenziali di cybersicurezza della RED (e quindi in pratica alla EN 18031), i requisiti CRA corrispondenti non si applicano due volte.

La conseguenza pratica e che i produttori di apparecchiature radio non possono trattare la EN 18031 come la fine dei loro obblighi di cybersicurezza. Lo standard gestisce il livello della conformita tecnica; il CRA stratifica obblighi continui di processo e trasparenza in cima. I programmi di divulgazione delle vulnerabilita, i periodi di supporto e i flussi di segnalazione degli incidenti non sono opzionali ai sensi del CRA.

Per indicazioni pratiche sulla documentazione delle vulnerabilita in entrambi i regimi, consulta la nostra guida alla gestione delle vulnerabilita.

La maggior parte dei team di sicurezza di prodotto che si confronta con entrambi i quadri si pone la stessa domanda: "devo essere conforme alla EN 18031, al CRA o a entrambi?" La decisione di solito si riduce a due domande sul prodotto.

L'errore di calcolo piu grande che vediamo e quello dei produttori di dispositivi wireless che presumono che ottenere la conformita EN 18031 sia sufficiente. Non lo e, almeno non dopo il 2026. La EN 18031 chiude il cerchio della RED; il CRA aggiunge un insieme completamente separato di obblighi di ciclo di vita.

Per una visione piu ampia su come prepararsi a queste regolamentazioni insieme, consulta la nostra guida complementare su come prepararsi alle nuove regolamentazioni di cybersicurezza dell'UE.

No. Il CRA non sostituisce la EN 18031 ne la RED. Ai sensi dell'articolo 2(4) del CRA, le apparecchiature radio soggette ai requisiti essenziali di cybersicurezza della RED (coperte dalla EN 18031) sono escluse dai requisiti CRA sovrapposti, ma sono comunque soggette agli obblighi del CRA che vanno oltre la RED, come gestione delle vulnerabilita, periodi di supporto, SBOM e segnalazione degli incidenti all'ENISA.

Non automaticamente. La EN 18031 copre la base tecnica di cybersicurezza per le apparecchiature radio ai sensi della RED, che si sovrappone significativamente all'Allegato I del CRA. Tuttavia, gli obblighi specifici del CRA, ciclo di vita della gestione delle vulnerabilita, periodo di supporto definito per gli aggiornamenti di sicurezza, SBOM e segnalazione obbligatoria all'ENISA, non fanno parte della EN 18031 e devono essere implementati separatamente. Pianifica per entrambi i livelli se il tuo prodotto e wireless e digitale.

Il CRA e entrato in vigore il 10 dicembre 2024. Gli obblighi di segnalazione di vulnerabilita e incidenti del produttore si applicano dall'11 settembre 2026 e gli obblighi principali (requisiti essenziali di cybersicurezza, documentazione tecnica, marcatura CE) si applicano dall'11 dicembre 2027. La EN 18031 e obbligatoria ai sensi della RED dal 1 agosto 2025.

E ampiamente atteso che la EN 18031, o uno standard armonizzato successore mappato sull'Allegato I del CRA, svolgera un ruolo centrale nel panorama degli standard armonizzati del CRA. ENISA e CEN-CENELEC stanno lavorando alla mappatura dei requisiti essenziali del CRA sugli standard esistenti e la EN 18031 e una candidata forte per la base di cybersicurezza dei prodotti connessi. I produttori dovrebbero comunque trattare la EN 18031 e il CRA come percorsi di conformita distinti finche gli standard armonizzati ai sensi del CRA non saranno formalmente pubblicati.

Ai sensi della EN 18031 + RED, un organismo notificato generalmente non e necessario se applichi pienamente lo standard e non attivi restrizioni: e consentita l'autovalutazione Modulo A. Ai sensi del CRA, la valutazione di conformita di terze parti da parte di un organismo notificato e richiesta per i prodotti classificati come importanti (Allegato III) o critici (Allegato IV); altri prodotti possono autovalutarsi rispetto all'Allegato I.

EN 18031 e il Cyber Resilience Act dell'UE sono quadri complementari che insieme definiscono il modo in cui l'UE regolamenta la cybersicurezza dei prodotti connessi. La EN 18031 e lo standard tecnico a cui si ricorre oggi per dimostrare la conformita di cybersicurezza RED per le apparecchiature radio. Il CRA e il regolamento orizzontale piu ampio e piu lento da applicare che aggiunge obblighi di ciclo di vita, trasparenza e segnalazione che nessuno standard armonizzato aveva precedentemente imposto.

Il modello mentale corretto e quello dei livelli: la EN 18031 e la base tecnica per le apparecchiature radio ai sensi della RED; il CRA e il soffitto regolatorio orizzontale che definisce le aspettative dell'UE per ogni prodotto digitale sul mercato. I produttori che progettano il loro programma di conformita per soddisfare entrambi, e che trattano la conformita come un flusso di lavoro continuo, saranno nella posizione piu forte quando la sorveglianza del mercato e la segnalazione all'ENISA inizieranno seriamente.

RedComply e costruito appositamente per la EN 18031 e il regime di cybersicurezza RED. Oggi automatizza l'intero flusso di lavoro EN 18031 end-to-end; il supporto dedicato al Cyber Resilience Act e nella nostra roadmap e in arrivo. Invece di gestire fogli di calcolo, alberi decisionali su carta e PDF improvvisati, ottieni un singolo spazio di lavoro in cui il lavoro di conformita RED prepara anche il terreno per gli obblighi di ciclo di vita che il CRA introdurra.

Ecco cosa RedComply automatizza per la EN 18031 oggi:

Sul fronte CRA, l'automazione dedicata e in arrivo. La documentazione strutturata, gli inventari degli asset e le tracce di evidenza che costruisci oggi in RedComply per la EN 18031 sono esattamente la base che estenderemo per supportare i deliverable specifici del CRA - politiche di gestione delle vulnerabilita, riferimenti SBOM, dichiarazioni del periodo di supporto e flussi di segnalazione degli incidenti - man mano che le funzionalita verranno rilasciate.

Smetti di tracciare la EN 18031 in fogli di calcolo scollegati e prendi vantaggio anche sul CRA. Visita redcomply.com per scoprire come un singolo spazio di lavoro strutturato automatizza la tua conformita EN 18031 oggi ed e in costruzione per accompagnare il tuo lavoro nell'intera tempistica del CRA nel 2026 e nel 2027.