A Diretiva de Equipamentos Radio Explicada: Tudo o que você precisa para Saber sobre os Requisitos de Segurança Virtual RED

URequisitos de Segurança Virtual RED: Do Artigo 3.3 até CE Marking

Se venderem um produto com recurso a radiofrequências na UE, você já está sob a Radio Equipment Directive (VERMELHOS). Essa parte não é nova. O que mudou em Agosto de 2025 foi que a cibersegurança se tornou um requisito legal, e não apenas uma recomendação. O RED-DA (a lei delegada) formalmente adoptado como Regulamento (EU) 2022/30 ativou as disposições de segurança virtual do artigo 3 do artigo sobre segurança virtual., acabar com anos de conformidade voluntária e transformar objetivos aspirativos em obrigações aplicáveis. Para os fabricantes, esta não é uma atualização administrativa menor. Afecta a concepção, teste, documentação e acesso ao mercado. Dar errado, significa que a marca CE não pode ser aplicada legalmente, o que significa que o produto não pode ser vendido legalmente na UE.

O que a Diretiva de Equipamento Radio abrange na verdade

A Diretiva de Equipamento de Rádio (RED) 2014/53/EU estabelece requisitos essenciais para qualquer produto que use o espectro de radiofrequência, intencionalmente ou não. Celulares, roteadores Wi-Fi, rastreadores Bluetooth, sensores de casa inteligente, receptores GPS, monitores para bebês, dispositivos vestíveis: se se comunica sem fio e é enviado para o mercado da UE, certamente está sob a RED. A diretiva nunca tratou apenas da segurança de RF. Sempre incluiu saúde, compatibilidade eletromagnética e eficiência do espectro. Mas o Artigo 3.3 deu à Comissão Europeia a autoridade para estender esses requisitos ainda mais, e o RED-DA usou esse poder para incluir a segurança de dispositivos sem fio no escopo pela primeira vez como uma obrigação vinculante.

O âmbito em questão é o seguinte: a Lei Delegada aplica-se especificamente ao equipamento de rádio conectado à Internet. Um controle remoto Bluetooth autônomo sem conectividade de rede pode se sentar fora deste escopo; um termoat habilitado por Wi-Fi quase certamente não. Os fabricantes precisam verificar cuidadosamente se seu produto se qualifica antes de assumir a isenção, como nossa peça anterior no Adaptando aos Artigos 3. (d), (e) e (f) cobre em detalhes.

Artigo 3.3 e três deveres de segurança virtual

Artigo 3.3 do RED dá autoridade à Comissão para impor requisitos essenciais adicionais a categorias específicas de produtos. Os requisitos de cibersegurança RED ativados por meio da invocação RED-DA três destas cláusulas para equipamentos de rádio conectados à Internet.

Artigo 3.3(d) requer que o equipamento de rádio não prejudique a rede ou prejudique a sua operação. Os dispositivos não devem tornar-se vetores de ataques de rede, devem comportar-se previsivelmente sob estresse, e não devem transmitir de formas que depreciam a infraestrutura compartilhada.

Artigo 3.3(e) endereça salvaguardas para dados pessoais e privacidade. Esta cláusula vai mais longe do que a criptografia básica. Os dispositivos devem proteger os dados do usuário em trânsito e em repouso, limitar a coleta de dados ao que é estritamente necessário, e lidar com credenciais de forma segura ao longo de seu ciclo de vida.

Artigo 3.3(f) visa a prevenção de fraude. O equipamento de rádio deve incluir protecções que o impedem de ser utilizado para facilitar a fraude contra utilizadores ou terceiros. uma cláusula que se torna particularmente relevante para dispositivos com capacidade de pagamento, assistentes de voz e equipamento financeiro conectado.

Estas três obrigações aplicam-se em paralelo: um dispositivo não pode satisfazer 3.3(d) enquanto ignora 3.3 (e), todos os três pilares devem ser abordados. Conforme descrito no nosso artigo sobre os Desafios em Implementar os Requisitos de Segurança Virtualda RED, A interacção entre estas cláusulas é exactamente onde a maioria dos fabricantes se defronta com problemas.

Como EN 18031 e Normas Harmonizadas Fecham a Lacuna

Saber o que você deve conseguir é apenas uma parte do problema. Saber como demonstrar que você a alcançou é a outra parte, e é aí que padrões harmonizados se tornam essenciais.

As normas de cibersegurança ETSI designadas como EN 18031 são as normas harmonizadas mandatadas pela Comissão para a cibersegurança RED. EN 18031-1 cobre a proteção de rede (alinhada com 3.3(d)), EN 18031-2 aborda dados pessoais e privacidade (3.3(e)), e EN 18031-3 trata da prevenção de fraudes (3.3(f)). Juntas, traduzem as cláusulas legais do RED-DA em requisitos técnicos específicos e testáveis.

A importância prática disto é real. Nos termos da legislação da UE, os produtos que cumprem uma norma harmonizada beneficiam de uma "presunção de conformidade" com os requisitos essenciais correspondentes. A demonstração de conformidade EN 18031 é a rota mais direta para satisfação do artigo 3. sem que um órgão noticiado tenha de adjudicar a própria interpretação da lei pelo fabricante. Conforme discutimos no nosso pedaço sobre como EN 18031 forma sem fio segurança do produto, a norma não é leitura opcional para qualquer pessoa que passe pela avaliação de conformidade.

Os requisitos de teste VERMELHO que fluem de EN 18031 são específicos. Eles cobrem o controle de acesso, mecanismos de atualização de software, inicialização segura, minimização de dados, armazenamento de credenciais e muito mais. Os fabricantes que descobrem estes requisitos apenas na fase de pré-certificação, enfrentam o mesmo resultado repetidas vezes: redesenho. O teste não falha na documentação, ele falha no produto.

Avaliação da Conformidade, Marcação CE e Requisito de Documentação

Chegar ao fim de um ciclo de desenvolvimento sem uma estratégia de conformidade é dispendioso. A estrutura de conformidade RED exige que os fabricantes trabalhem em duas coisas simultaneamente: o trabalho de segurança técnica e a documentação que prova que foi feito corretamente.

Para a maioria dos equipamentos de rádio conectados à internet, a avaliação da conformidade sob a RED requer auto-declaração (Módulo A) ou envolvimento de um Organismo Notificado via Exame UE Tipo (Módulo B). O Módulo A só está disponível quando o fabricante aplicou integralmente as normas harmonizadas relevantes. Quando nenhuma norma harmonizada se aplica, ou quando o produto se enquadra em uma categoria onde o Módulo A não é permitido, o envolvimento do Organismo Notificado é obrigatório.

Documentação técnica RED não é uma formalidade. É o ficheiro de prova que justifica a marca CE e que deve conter especificações de concepção, uma lista de normas aplicáveis com sua cobertura, resultados de teste, avaliações de risco e a Declaração de Conformidade. Um pacote de documentação incompleto ou incoerente a nível interno é o mesmo que nenhum pacote a partir de uma perspectiva de supervisão do mercado.

A exigência CE marcando RED é o gateway final: somente uma vez estabelecida a conformidade e totalmente documentada poderá a marca ser aplicada. A sua aplicação antecipada cria exposição jurídica em toda a cadeia de abastecimento; os fabricantes, importadores e distribuidores são todos responsáveis.

Também vale a pena notar que este trabalho não se torna obsoleto rapidamente. Como exploramos em Por que RED é o Diagrama para o Sucessode CRA, as fundações técnicas construídas para a conformidade de dispositivo IoT no mapa RED próximo do que o Cyber Resilience Act exigirá. Para dispositivos que incorporam a AI, o quadro torna-se ainda mais complexo. conforme delineado na nossa visão geral de a Lei RED e IA sobrepõe. Tratar a conformidade com o RED como uma base, em vez de um prazo para clarificar e esquecer, é a posição mais prática a longo prazo.

Resumo

Cumprir a conformidade RED não se trata de passar em um único teste e seguir em frente. Os requisitos de cibersegurança da Diretiva de Equipamento de Rádio (abrangendo Artigo 3.3(d), (e) e (f)) exigem segurança projetada desde o início, verificada contra EN 18031 e as normas harmonizadas relevantes, documentada de forma adequada e capaz de oferecer suporte à gestão contínua de vulnerabilidades ao longo do ciclo de vida do produto. Fabricantes que abordam isso metodicamente evitam correções caras que surgem de tratar isso como uma reflexão tardia.

Como QIMA CCLab pode ajudá-lo a alcançar seus objetivos

Na QIMA CCLab Laboratório de Segurança Cibernética, damos suporte aos fabricantes em todas as etapas da satisfação dos requisitos de segurança virtual RED:

• Escopo e análise de lacunas: Nós o ajudamos a determinar se seu produto cai sob o RED-DA, qual artigo 3. as cláusulas se aplicam e quão longe seu projeto atual está da conformidade.

• Testes contra EN 18031 e normas de cibersegurança ETSI: Nosso laboratório é qualificado pelo Organismo Notificado RED CerTrust (ID: 2806), o que significa que nossos resultados de teste podem ser aceitos diretamente para o Exame Tipo UE.

• Preparação da documentação técnica RED: Apoiamos a preparação e revisão de toda a documentação de segurança necessária para a avaliação da conformidade, desde relatórios de teste até a Declaração de Conformidade.

• USuporte RED final a fim: Da consulta inicial por meio de envio de notificação, gerimos o ciclo de vida completo da certificação para que os fabricantes não percam tempo de navegação em processos desconhecidos.

FAQ

O que é a Diretriz de Equipamento de Rádio (RED)?

A Directiva "Equipamentos Radio” (2014/53/UE) é o quadro regulamentar da UE que estabelece requisitos essenciais para equipamentos de rádio colocados no mercado europeu. Além da segurança e da compatibilidade electromagnética, a sua lei delegada (Regulamento UE 2022/30) exige agora equipamentos de rádio conectados à Internet para cumprir as obrigações vinculativas em matéria de cibersegurança nos termos do artigo 3.3.

Quais produtos estão sujeitos aos requisitos de cibersegurança RED?

Os requisitos de segurança virtual RED-DA aplicam-se aos equipamentos de rádio conectados à internet, equipamentos de rádio para crianças e equipamentos de rádio wearable. Isto inclui uma ampla gama de produtos — dispositivos domésticos inteligentes, roteadores Wi-Fi, wearables, dispositivos de saúde conectados e muito mais. Os fabricantes devem verificar o escopo com cuidado, especialmente quando a conectividade com a internet é opcional ou indireta.

Quais são os requisitos de cibersegurança do Artigo 3.3?

O Artigo 3.3 (d) requer que os dispositivos protejam as redes contra danos. O Artigo 3.3 (e) requer salvaguardas para dados pessoais e privacidade. Artigo 3. (f) requer proteção contra fraudes. Todos os três se aplicam simultaneamente a dispositivos no âmbito e a demonstração do cumprimento de cada um é necessária para a marcação CE.

Como o EN 18031 ajuda na conformidade RED?

A série EN 18031 é o conjunto de normas harmonizadas mandatadas para a cibersegurança RED. Produtos que cumprem a EN 18031-1, EN 18031-2 e EN EN 18031-3 benefícios de uma presunção de conformidade com o Artigo 3. (d), (e) e (f) respectivamente. Esta é a rota mais direta através da avaliação de conformidade.

Eu preciso de um Organismo Notificado para certificação de cibersegurança RED?

Depende do facto de ter aplicado plenamente as normas harmonizadas pertinentes. Se o EN 18031 se aplicar ao seu produto e você puder demonstrar a total conformidade, a auto-declaração (Módulo A) pode estar disponível. Se não se aplicar nenhuma norma harmonizada ou se o seu produto se inserir numa categoria de terceiros obrigatória, é necessária uma Análise de Tipo da UE por um Corpo Notificado.

Que documentação técnica RED exige?

Os fabricantes devem preparar e manter um arquivo técnico que inclua especificações de design, relatórios de teste. uma lista das normas aplicáveis e da forma como foram aplicadas, das avaliações de riscos e da Declaração de Conformidade. Esta documentação tem de permanecer disponível para as autoridades de fiscalização do mercado durante um mínimo de dez anos após a colocação do produto no mercado.

Quando os requisitos de cibersegurança RED se tornaram obrigatórios?

As disposições relativas à cibersegurança do Acto Delegado RED tornaram-se obrigatórias em 1 de Agosto de 2025. Os produtos colocados no mercado da UE após essa data devem cumprir o artigo 3.3(d) e (f) ou não podem ostentar legalmente a marca CE.

Os fabricantes podem auto-declarar conformidade com os requisitos de segurança virtual RED?

Sim, se aplicaram plenamente as normas harmonizadas pertinentes (EN 18031). Nestas circunstâncias, é permitida a auto-declaração através do procedimento de controlo da produção interna (Módulo A) . Sempre que não haja uma norma harmonizada ou que a categoria do produto exija uma avaliação por terceiros, deve ser envolvido um órgão notificado. O laboratório da CCLab, é qualificado pela CerTrust (Identidade Corporal notificada 2806) para fornecer resultados de testes aceitos para a Análise de Tipo da UE.