EN 18031-3, quais fabricantes precisam saber sobre Proteção de Fraude para Equipamento de Rádio Conectado
8 de mai. de 2026
EN 18031-3 é a parte da família de padrões EN 18031 focada na proteção contra fraude para equipamentos de rádio que permite a transferência de dinheiro valor monetário, ou moeda virtual. Ele suporta o Artigo 3(3)(f), do artigo RED, o que exige que certos produtos conectados incorporem recursos para proteger contra a fraude.
Para muitos fabricantes, a primeira questão prática não é se a norma se aplica em princípio. Trata-se de saber se o seu produto se insere efectivamente no âmbito de aplicação da Parte 3. A resposta depende do que o produto permite aos usuários fazer com dinheiro ou valor, e essa pergunta é menos simples do que parece.
Este blog se concentra no que conta como valor monetário e moeda virtual abaixo de EN 18031-3, que produtos precisam de ser analisados mais de perto e quais os produtos que devem ser revistos e documentados antes do lançamento.
UComece a sua avaliação gratuita EN 18031.
O que é EN 18031-3?
EN 18031-3:2024 está intitulado requisitos de segurança comuns para equipamentos de rádio, Parte 3: Dispositivo de rádio conectado à Internet e manipulação de moeda virtual ou valor monetário. Ele abrange equipamentos de rádio que podem se comunicar pela internet e permite ao titular ou usuário transferir dinheiro, valor monetário ou moeda virtual.
Onde EN 18031-1 se concentra na proteção de rede e EN 18031-2 foca em dados pessoais e privacidade, EN 18031-3 concentra-se nas funções financeiras e de transferência de valor dos produtos conectados. É a mais estreita das três partes em termos das categorias de produtos visadas, mas a questão do âmbito é frequentemente subestimada pelas equipas que assumem a Parte 3 aplica-se apenas a terminais de pagamento e carteiras digitais.
Para a imagem completa de como a Parte 3 se encaixa dentro da família EN 18031, veja a visão geral EN 18031.
Como EN 18031-3 Conecta ao Artigo 3(3)(f)
O artigo 3° (f) exige que os equipamentos de rádio que permitam a transferência de dinheiro, valor monetário ou moeda virtual apoiem determinados recursos que garantam a protecção contra a fraude. O Regulamento Delegado (UE) 2022/30 ativou este requisito e entrou em vigor desde 1 de Agosto de 2025.
EN 18031-3 fornece a rota técnica que os fabricantes podem usar para apoiar a conformidade com esse requisito. Em termos práticos, importa que as equipas demonstrem que as funções de transferência de valores do produto são concebidas com controlos que reduzam o risco de fraude. Transações não autorizadas e abuso financeiro.
Para mais informações sobre como os requisitos de cibersegurança RED afetam mais amplamente os fabricantes de dispositivos conectados, consulte os requisitos de cibersegurança RED.
O que conta como valor monetário e moeda virtual
Esta é a questão de escopo que apanha a maioria dos times de segurança. EN 18031-3 aplica-se quando o produto ativa a transferência de dinheiro, valor monetário ou moeda virtual. Entender o que cada uma dessas coberturas determina se a Parte 3 é relevante para um determinado produto.
Dinheiro
Dinheiro neste contexto significa concurso legal transferido através do produto. Os exemplos mais claros são produtos que iniciam ou processam pagamentos em moeda convencional, como terminais de pagamento conectados, dispositivos de ponto de venda com conectividade de rádio, ou dispositivos inteligentes com funções de pagamento integradas.
Valor monetário
O valor monetário é mais amplo do que o dinheiro e é aí que muitas equipas subestimam o seu alcance. O valor monetário refere-se ao valor armazenado ou transferível que pode ser trocado por bens, serviços ou moeda, mesmo que não seja o próprio concurso jurídico.
Na prática, isso pode incluir:
crédito armazenado ou saldo pré-pago mantido em uma conta vinculada ou produto
pontos de fidelidade, recompensas de créditos, ou saldos de voucher que carregam valor real no mundo
saldos de cartão-presente acessíveis através de um produto conectado
Créditos no aplicativo ou tokens que podem ser trocados por bens ou serviços reais
créditos de inscrição ou direitos de uso com equivalentes monetários
A questão fundamental não é saber se o valor se parece com o dinheiro no sentido tradicional. É se o valor pode ser transferido, trocado ou resgatado de uma forma que represente um risco financeiro significativo se usado abusivo ou fraudulentamente acessado. Produtos que gerenciam esquemas de fidelidade, saldos pré-pagos ou créditos transferíveis dentro do aplicativo podem cair dentro do escopo mesmo que eles não tenham sido projetados principalmente como produtos de pagamento.
Moeda Virtual
A moeda virtual tem uma definição específica no contexto deste regulamento. Refere-se a uma representação digital de valor que não seja emitida ou garantida por um banco central ou por uma autoridade pública. não está necessariamente ligado a uma moeda legalmente estabelecida. e não possui o status legal de moeda ou dinheiro mas é aceito como um meio de câmbio e pode ser transferido, armazenado e negociado eletronicamente.
Na prática, isto abrange:
criptomoedas como Bitcoin, Ethereum e ativos similares
tokens baseados em blockchain que funcionam como um meio de troca
moedas digitais específicas de plataforma que podem ser transferidas entre os usuários
NFTs ou ativos digitais com valor monetário transferível em mercados estabelecidos
Um produto de rádio conectado que permite aos usuários enviar, receber, armazenar ou gerenciar qualquer um desses produtos está dentro do âmbito de EN 18031-3. Isso é cada vez mais relevante à medida que os produtos conectados integram com carteiras cripto, plataformas de blockchain ou serviços de ativos digitais.
Quais produtos devem ter uma aparência mais próxima
EN 18031-3 é mais estreita que as Partes 1 e 2, mas mais ampla do que a maioria das equipes prescreve. Geralmente é necessário fazer uma avaliação mais próxima quando o produto é necessário:
processa pagamentos ou inicia transações financeiras
mantém ou transfere crédito armazenado, saldo pré-pago ou valor de fidelidade
Integra-se a uma carteira digital ou serviço de pagamento
permite a transferência de valor peer-to-peer entre usuários
suporta compras dentro do app onde créditos têm equivalentes monetários do mundo real
conecta-se a um serviço de carteira de criptomoedas ou baseado em blockchain
gerencia saldos de assinatura ou créditos de uso com valor financeiro
O tópico comum não é a categoria de produto. É a função. Um orador inteligente, um wearable, ou um dispositivo residencial conectado pode ser inserido dentro da EN 18031-3 escopo, se eles ativar a transferência dos tipos descritos acima, independente do que o produto é primordialmente projetado para fazer.
O que os fabricantes devem realmente analisar
Uma avaliação útil EN 18031-3 começa com a compreensão do que a transferência de valor funciona no produto e onde o risco de fraude se situa no ecossistema conectado.
As equipes devem olhar em:
que dinheiro, valor monetário ou moeda virtual o processo do produto ou permite acesso a
onde essas funções se sentam através do dispositivo, app, back-end e serviços de pagamento de terceiros
como a autenticação e o controle de acesso protegem as funções de transferência de valor
o que acontece se uma parte não autorizada ganha acesso ao produto ou conta
como as transações são autorizadas, registradas e verificadas
se o produto depende de processadores de pagamento de terceiros ou serviços de ativos digitais
como o produto manipula falhou, transações contestadas ou suspeitas
que os controles de atualização e gestão de mudanças estão em vigor para funções relacionadas ao pagamento
Tal como acontece com as Partes 1 e 2, a revisão exclusivamente do dispositivo raramente é suficiente. Para os produtos mais interligados com funções de transferência de valor, o risco de fraude não se encontra apenas no hardware. Ela fica na camada da conta, no backend de pagamento, na API de conexões para serviços financeiros, e os fluxos de autenticação que protegem o acesso a essas funções.
O que EN 18031-3 normalmente significa para o Arquivo Técnico
Os fabricantes geralmente precisam de documentação que conecta as funções de transferência de valor do produto aos requisitos relevantes e aos controles de proteção à fraude que os endereçam. A documentação típica pode incluir:
escopo do produto e arquitetura de valor transferido
identificação do dinheiro, valor monetário ou moeda virtual que o produto manipula
mapeamento de dados através do dispositivo, app, back-end e pagamento ou serviços financeiros
documentação de autenticação e controle de acesso para funções de transferência de valor
autorização de transação e documentação de verificação
detecção de fraude e documentação de resposta quando relevante
atualização e documentação de gestão de alterações para funções relacionadas ao pagamento
documentação do provedor de serviços financeiros de terceiros quando relevante
mapeamento de requisitos vinculando os controles de proteção de fraude do produto aos requisitos EN 18031-3
material de arquivo técnico vinculado ao Artigo 3(3)(f)
Para uma análise mais profunda de como estruturar estas evidências, consulte EN 18031 requisitos e lista de provas.
Onde as equipes normalmente ficam presas
O problema mais comum da EN 18031-3 é a negação do escopo. As equipes assumem que a Parte 3 não se aplica porque o produto não é um terminal de pagamento. Uma vez que as funções de transferência de valor são mapeadas corretamente, a imagem geralmente parece diferente. Equipes frequentemente ficam presas quando:
pontos de fidelidade e créditos armazenados não são reconhecidos como valor monetário
moedas em apps com valor de câmbio real são tratadas como fora do escopo
Integrações de moeda virtual são tratadas por um SDK de terceiros e não incluídas na revisão de conformidade
controles de autenticação para funções de pagamento são avaliados separadamente da revisão de conformidade do produto
a documentação sobre a proteção contra fraude existe em um contexto comercial ou jurídico, mas não está estruturada para o arquivo técnico
o produto se conecta a um backend de pagamento operado por um parceiro e a responsabilidade por essa camada é assumida de sentar em outro lugar
Este último ponto é significativo. Mesmo onde uma terceira parte opera a infraestrutura de pagamento, o fabricante do produto de rádio conectado é responsável por assegurar que os controlos a nível do produto que suportem a conformidade com o artigo 3° (3)(f) estejam em vigor e estejam documentados.
Que bom EN 18031-3 de revisão deve produzir
Um comentário forte deve deixar a equipe com:
confirmação de que EN 18031-3 é relevante e uma declaração clara sobre o porquê
um escopo definido que cobre todas as funções de transferência de valor em todo o sistema conectado
uma visão de onde o risco de fraude se situa no ecossistema do produto
requisitos mapeados relacionados com os controles de proteção de fraude do produto
identificadas lacunas na autenticação, segurança das transações ou documentação
um ponto de partida estruturado para a preparação técnica do arquivo
Como o Cyberexpert ajuda
Cyberexpert ajuda as equipes a trabalhar por essa via, desde confirmar se EN 18031-3 se aplica e por quê, para mapear funções de transferência de valor e construir as evidências estruturadas necessárias para o arquivo técnico.
Compartilhe isso no
