Misure di cybersicurezza RED essenziali per dispositivi IoT

Le misure di cybersicurezza RED per dispositivi IoT sono un insieme di requisiti di sicurezza obbligatori attivati dal Regolamento Delegato (UE) 2022/30 nell'ambito della Direttiva sulle apparecchiature radio. Queste misure sono definite nella EN 18031 (parti 1, 2 e 3) e coprono tutto, dal controllo degli accessi e la crittografia alla gestione delle vulnerabilità e gli aggiornamenti software sicuri.

La Direttiva sulle apparecchiature radio (RED) governa il mercato UE per le apparecchiature radio dal 2014, coprendo la compatibilità elettromagnetica, l'uso dello spettro e la sicurezza. Nel 2022, la Commissione Europea ha adottato il Regolamento Delegato (UE) 2022/30, che ha attivato i requisiti di cybersicurezza in tre articoli:

Per dimostrare la conformità a questi articoli, la Commissione Europea ha designato la EN 18031 come norma armonizzata. Questo significa che i produttori che seguono la EN 18031 beneficiano di una presunzione di conformità ai requisiti di cybersicurezza RED - il percorso di conformità più pratico disponibile.

L'ambito di applicazione è ampio. Qualsiasi apparecchiatura radio che si connette a Internet rientra nell'Articolo 3.3(d). I dispositivi che trattano dati personali o si collegano a reti che gestiscono dati personali sono coperti dall'Articolo 3.3(e). Le apparecchiature coinvolte nei trasferimenti di valuta monetaria o virtuale devono soddisfare l'Articolo 3.3(f). In pratica, questo comprende la maggior parte dei dispositivi IoT: prodotti per la casa intelligente, gateway industriali, dispositivi indossabili, sensori connessi, moduli di connettività automotive e altro.

La EN 18031 organizza i requisiti di cybersicurezza in domini ben definiti. Ogni dominio affronta un obiettivo di sicurezza specifico, e insieme formano una postura di sicurezza completa per i dispositivi IoT. Ecco le misure essenziali che ogni produttore deve implementare:

Ogni dispositivo deve essere univocamente identificabile. Questo include identificativi hardware, versioni firmware, dettagli dei moduli radio e inventari dei componenti software. Una corretta identificazione è la base per la tracciabilità e la risposta agli incidenti.

I dispositivi devono implementare meccanismi per limitare l'accesso solo a utenti e processi autorizzati. Questo include politiche sulle password, autenticazione multi-fattore dove appropriato, controllo degli accessi basato sui ruoli, gestione delle sessioni e protezione contro attacchi brute-force. Le credenziali predefinite devono essere uniche per dispositivo o richiedere la modifica al primo utilizzo.

Tutte le funzioni crittografiche devono utilizzare algoritmi e librerie riconosciuti e attivamente mantenuti. Questo copre la crittografia dei dati in transito (TLS/DTLS), la crittografia a riposo, le firme digitali per la verifica del firmware e la gestione sicura delle chiavi. La EN 18031 richiede che le implementazioni crittografiche seguano le migliori pratiche consolidate - la crittografia fatta in casa è esplicitamente sconsigliata.

I dispositivi devono supportare aggiornamenti software sicuri durante tutto il loro ciclo di vita. Gli aggiornamenti devono essere autenticati (firmati digitalmente), verificati per integrità e distribuiti attraverso canali sicuri. I meccanismi anti-rollback dovrebbero impedire il ritorno a versioni firmware con vulnerabilità note. Il processo di aggiornamento stesso non deve introdurre nuovi vettori di attacco.

Mantenere la conformità attraverso i rilasci software è una sfida continua. Consulta la nostra guida su come garantire la conformità RED per gli aggiornamenti software.

I produttori devono stabilire processi per il monitoraggio, l'identificazione e la risoluzione delle vulnerabilità di sicurezza nei loro prodotti. Questo include una politica di divulgazione coordinata delle vulnerabilità, distribuzione tempestiva delle patch di sicurezza e canali di comunicazione chiari per i ricercatori di sicurezza e gli utenti.

I parametri di sicurezza (password, chiavi crittografiche, token, configurazioni di controllo degli accessi) devono essere archiviati in modo sicuro. I parametri di sicurezza confidenziali richiedono protezione sia di integrità che di riservatezza. I parametri di sicurezza sensibili richiedono almeno la protezione dell'integrità. L'archiviazione in testo in chiaro dei segreti non è accettabile.

I dispositivi dovrebbero mantenere log degli eventi di sicurezza per supportare il rilevamento degli incidenti e l'analisi forense. L'integrità dei log deve essere protetta, e il logging non deve esporre parametri di sicurezza sensibili.

I dispositivi devono minimizzare la superficie di attacco di rete: disabilitare servizi e porte non necessari, implementare regole firewall dove applicabile, proteggere da condizioni di denial-of-service e garantire che le comunicazioni di rete siano crittografate e autenticate.

Le tre parti della EN 18031 condividono una struttura comune ma mirano a diversi obiettivi di sicurezza. Capire quali parti si applicano al vostro dispositivo determina l'ambito del vostro sforzo di conformità.

La maggior parte dei dispositivi IoT dovrà conformarsi almeno alla EN 18031-1 (sicurezza di rete). I dispositivi che gestiscono dati personali richiederanno inoltre la EN 18031-2. Le apparecchiature coinvolte nei pagamenti o nei trasferimenti di valuta virtuale devono anche soddisfare la EN 18031-3. Molti dispositivi necessiteranno di conformità con due o tutte e tre le parti contemporaneamente.

L'implementazione delle misure di cybersicurezza RED è un processo strutturato. Ecco una checklist pratica per i produttori IoT:

Il primo passo è capire cosa devi proteggere. La nostra guida agli asset EN 18031 analizza le quattro categorie di asset.

Il Regolamento Delegato (UE) 2022/30 ha attivato i requisiti di cybersicurezza ai sensi degli Articoli 3.3(d), 3.3(e) e 3.3(f) della Direttiva sulle apparecchiature radio. Questi requisiti sono diventati obbligatori dal 1 agosto 2025. Da tale data, i produttori devono garantire la conformità per immettere apparecchiature radio sul mercato UE. La EN 18031 fornisce il percorso tramite norma armonizzata per dimostrare la conformità.

No. Le parti applicabili dipendono dalle funzionalità del dispositivo. La EN 18031-1 (sicurezza di rete) si applica praticamente a tutti i dispositivi connessi a Internet. La EN 18031-2 (privacy) si applica quando il dispositivo tratta dati personali. La EN 18031-3 (prevenzione frodi) si applica solo ai dispositivi coinvolti nei trasferimenti di valuta monetaria o virtuale. Molti dispositivi IoT necessiteranno delle parti 1 e 2, mentre i dispositivi relativi ai pagamenti potrebbero necessitare di tutte e tre.

La ETSI EN 303 645 è una norma di cybersicurezza per i dispositivi IoT di consumo, che fornisce raccomandazioni di sicurezza di base. La EN 18031 è una norma armonizzata nell'ambito della Direttiva RED, che fornisce una presunzione di conformità ai requisiti legali di cybersicurezza. La EN 18031 ha un ambito più ampio, requisiti più dettagliati ed è direttamente collegata all'accesso al mercato UE. La conformità alla sola EN 303 645 non soddisfa gli obblighi di cybersicurezza RED.

Ai sensi della Direttiva RED, i produttori possono utilizzare la procedura di controllo interno della produzione (Modulo A) per l'auto-dichiarazione quando seguono una norma armonizzata come la EN 18031. Se un produttore non segue la norma armonizzata, potrebbe essere richiesta una valutazione di terze parti da parte di un organismo notificato. Utilizzare la EN 18031 e produrre una documentazione tecnica approfondita è il percorso più efficiente per l'auto-dichiarazione.

Il Cyber Resilience Act è un regolamento UE separato che mira ai prodotti digitali in modo più ampio. Sebbene RED e CRA abbiano obiettivi sovrapposti, sono quadri giuridici distinti. La conformità EN 18031 affronta specificamente i requisiti RED. Tuttavia, i produttori che costruiscono una solida postura di sicurezza attraverso la conformità EN 18031 saranno meglio posizionati quando gli obblighi del CRA entreranno pienamente in vigore, poiché molte misure di sicurezza fondamentali si sovrappongono.

Le misure di cybersicurezza RED essenziali per i dispositivi IoT non sono più opzionali. Con la EN 18031 stabilita come norma armonizzata, i produttori hanno un quadro chiaro per dimostrare la conformità agli Articoli 3.3(d), 3.3(e) e 3.3(f) della Direttiva sulle apparecchiature radio.

Le misure coprono l'intero ciclo di vita del dispositivo: dalla progettazione sicura e l'identificazione degli asset, attraverso il controllo degli accessi, la crittografia e la gestione delle vulnerabilità, fino agli aggiornamenti software continui e alla divulgazione coordinata. Ogni misura è documentata attraverso tabelle di conformità strutturate, validata tramite alberi decisionali e piani di test a tre livelli, e compilata in una Dichiarazione di Conformità.

Per i responsabili della sicurezza dei prodotti e gli ingegneri di conformità, il percorso è chiaro: identificare quali parti della EN 18031 si applicano, catalogare gli asset di sicurezza, lavorare sistematicamente attraverso ogni dominio di conformità e produrre la documentazione tecnica che dimostra la conformità. La complessità è reale, ma con gli strumenti giusti e flussi di lavoro strutturati, la conformità è raggiungibile.

RedComply è una piattaforma di automazione della conformità alla cybersicurezza costruita appositamente per la EN 18031 e la Direttiva RED. Trasforma il complesso processo di documentazione in un flusso di lavoro guidato e strutturato, così il vostro team può concentrarsi sulle decisioni ingegneristiche invece della gestione dei fogli di calcolo.

Ecco come RedComply aiuta con ogni misura di cybersicurezza essenziale:

Visitate redcomply.com per iniziare il vostro percorso di conformità EN 18031 con gli strumenti progettati specificamente per questo standard.