Que meios do Artigo 3.3 em Prática para Fabricantes de Dispositivos Conectados

O artigo 3.3.3 da Directiva relativa aos Equipamentos Radioeléctricos é importante porque acrescenta requisitos para além da segurança, do IME e da utilização do espectro para certas categorias de equipamentos de rádio. Para os fabricantes de dispositivos conectados, isso significa segurança virtual, privacidade e obrigações relacionadas à fraude agora precisam ser consideradas mais cedo no design de produtos, documentação e planeamento de lançamento. A Comissão Europeia activou os artigos 3(3)(d) e (f) através do Regulamento Delegado (UE) 2022/30, e estes requisitos aplicam-se a partir de 1 de Agosto de 2025.

Que Alterações de Artigo 3.3 dos Fabricantes

Para produtos no escopo, o Artigo 3.3 muda a conversa de conformidade de uma conformidade geral de produto para obrigações específicas de cibersegurança do produto. Os fabricantes precisam avaliar se o produto está dentro do escopo, identificar quais dos requisitos adicionais se aplicam e atualizar a documentação técnica e a Declaração de Conformidade da UE conforme necessário. O folheto informativo do governo do Reino Unido também observa que os fabricantes devem garantir que a documentação adequada esteja em vigor antes de colocar o produto no mercado.

Em termos práticos, isto afecta:

• escopo do produto

• documentação técnica

• avaliação de conformidade

• iniciar prontidão

• entrega entre equipes de segurança de produtos e engenharia, conformidade

Para uma visão mais ampla do regulamento em si, veja os requisitos de cibersegurança RED.

Artigos 3(3)(d), (e), e (f), em Prática

O artigo 3.3.3 da Directiva relativa aos Equipamentos Radioeléctricos contém requisitos adicionais essenciais para certas categorias de equipamentos de rádio. Para o tópico da cibersegurança, as principais disposições são o artigo 3(3)(d) e (f), que foram ativadas através do Regulamento Delegado (UE) 2022/30. A Comissão Europeia explica que este acto delegado foi introduzido para reforçar a cibersegurança, a protecção de dados pessoais e a privacidade de certas categorias de equipamentos de rádio.

Artigo 3(3)(d), Proteção de Redes e Recursos de Rede

Artigo 3(3)(d) aplica-se a equipamento de rádio que pode se comunicar pela internet, diretamente ou através de outro equipamento. A exigência é que o equipamento não deve prejudicar a rede ou o seu funcionamento, e não devem abusar dos recursos das redes de uma forma que provoque uma degradação inaceitável dos serviços.

Para os fabricantes, isto significa normalmente olhar para questões como:

• pode utilizar o produto para sobrecarregar ou interromper uma rede

• pode utilizar mal os recursos de rede através de comportamentos inseguros

• atualiza, comunicação ou funções de controle remoto criam exposição evitável

• existem controlos em vigor para reduzir esses riscos

Na prática, isto frequentemente atrai mais do que o hardware. As equipes podem precisar avaliar o dispositivo, a forma como ele se conecta, qualquer app, dependências de back-end e o caminho de atualização.

Artigo 3° (3)(e), Proteção de Dados Pessoais e Privacidade

O Artigo 3(3)(e) aplica-se a equipamentos de rádio conectados à internet que processem dados pessoais, dados de tráfego ou dados de localização. Também se aplica a certas categorias de equipamentos de rádio para cuidados infantis, equipamentos de rádio brinquedos e equipamentos de rádio vestíveis que processem esses tipos de dados, mesmo quando não estão conectados à internet. A exigência é que o equipamento deve incorporar salvaguardas para garantir a proteção de dados pessoais e a privacidade do usuário e assinante.

Para os fabricantes, isto geralmente significa verificação:

• se o produto processa dados pessoais, de tráfego ou de localização

• onde esses dados são coletados, armazenados, transmitidos ou expostos

• que partes do sistema manipulam dados, dispositivo, app, back-end ou serviços de terceiros

• que salvaguardas estão em vigor em torno do acesso, armazenamento, transmissão e privacidade do usuário

Este é um dos exemplos mais claros da razão pela qual o âmbito se estende frequentemente para além do próprio dispositivo. Um produto pode parecer simples em nível de hardware, mas os riscos relevantes de privacidade e proteção de dados podem se sentar no aplicativo, na plataforma em nuvem ou na camada da conta.

Artigo 3(3)(f), Proteção contra Fraude

O Artigo 3(3)(f) aplica-se a equipamentos de rádio que podem se comunicar pela internet e permitem que o detentor ou usuário transfira dinheiro, valor monetário ou moeda virtual. A exigência é que o equipamento deve suportar certos recursos que garantam proteção contra fraudes. Para os fabricantes, isso geralmente levanta perguntas como:

• o produto permite pagamentos, valor armazenado, ou atividade de moeda virtual

• onde são tratadas as funções relacionadas à fraude

• o que controla essas funções contra abuso ou ações não autorizadas

• que evidência mostra que essas proteções são projetadas e implementadas adequadamente

Isso pode ser relevante além dos dispositivos de pagamento tradicionais. Qualquer equipamento de rádio conectado que permita esses tipos de funções de transferência de valor pode precisar de uma revisão mais próxima.

Por que isso é importante no treino

O impacto prático do artigo 3.3 é que os fabricantes precisam passar de um amplo rótulo regulatório para uma avaliação específica de do produto.

As verdadeiras questões são:

• qual destas disposições se aplica a este produto

• quais partes do sistema se enquadram no escopo

• que controles ou decisões de design abordam a exigência relevante

• que documentação e provas apoiam essa posição

A ficha informativa do Governo do Reino Unido refere também que os fabricantes que colocam o equipamento de rádio no âmbito da regulamentação (UE) 2022/30 no mercado precisam de garantir que o produto seja concebido e fabricado de acordo com os requisitos adicionais essenciais. actualize a documentação técnica e actualize a Declaração de Conformidade da UE.

É por isso que o Artigo 3.3 afeta mais do que a redação de conformidade. Ele muda o escopo, a documentação e a prontidão para o lançamento de produtos conectados.

Quais Produtos Deve Pagar Atenção

Geralmente é necessário avaliar mais de perto quando o produto:

• comunica pela internet, diretamente ou através de outros equipamentos

• processos de dados pessoais, de tráfego ou de localização

• inclui um app do companheiro ou serviço de backend

• suporta acesso remoto, controle remoto ou atualizações

• permite pagamento, valor armazenado, ou transferência de moeda virtual

Tanto a Comissão como o Governo do Reino Unido descrevem o âmbito em termos de equipamento de rádio conectado à Internet, e dos produtos do artigo 3° (3)(e), certos creches, brinquedos e wearable que processam os dados relevantes.

O que isso significa para escopo e documentação

O artigo 3.3 é onde muitas equipes percebem que o dispositivo, por si só, não é o limite total de conformidade. A revisão geralmente precisa cobrir dispositivo, aplicativo, backend, resolução de contas, fluxos de dados, mecanismos de atualização e suporte a processos de segurança. Os fabricantes geralmente precisam:

• uma definição de escopo clara

• identificação dos requisitos relevantes do artigo 3.3

• limites de sistema documentados

• mapeamento de requisitos

• documentação técnica atualizada

• uma Declaração de Conformidade actualizada da UE

• suporte a provas vinculadas ao produto e seus controles

Para uma análise mais profunda da estrutura de documentação, consulte EN 18031 requisitos e lista de verificações de provas.

Como o EN 18031 se conecta ao artigo 3.3

Os padrões EN 18031 fornecem uma rota técnica reconhecida que os fabricantes podem utilizar para apoiar a conformidade com os requisitos de cibersegurança do RED. O folheto informativo do governo do Reino Unido afirma que EN 18031-1, EN 18031-2, e EN 18031-3 são oficialmente reconhecidos padrões harmonizados para equipamentos de rádio no escopo do Regulamento (UE) 2022/30, embora o uso desses padrões permaneça voluntário.

Isso significa que o fluxo de trabalho prático geralmente se parece com isto:

1. determinar se o artigo 3.3 se aplica

2. identificar qual parte do EN 18031 é relevante

3. definir o escopo em todo o ecossistema do produto

4. Requisitos de mapa e preparação evidências

Cyberexpert ajuda as equipes a trabalhar por esse motivo — para avaliar se o Artigo 3. Aplica-se, à definição do âmbito e estruturação da documentação. Se você estiver nessa fase, a página de requisitos de segurança virtual RED explica como normalmente são as próximas etapas.

Se estiver trabalhando com que artigo 3. significa para o seu produto específico, RED os requisitos de segurança virtual passa pelas próximas etapas, incluindo como EN 18031 se encaixa na documentação que os fabricantes tipicamente precisam.