Gli obblighi in materia di Cybersecurity
La normativa RED-DA (Direttiva Radio Europea) (Radio Equipment Directive – Delegated Act), Regolamento Delegato (UE) 2022/30, integra la Direttiva 2014/53/UE (RED) introducendo obblighi specifici in materia di cybersecurity (sicurezza informatica) per i dispositivi radio connessi a Internet (IoT e telecomunicazioni), ovvero tutte quelle apparecchiature che utilizzano connessioni wireless o radio. L’obiettivo della norma è quello di introdurre elementi di sicurezza per limitare, ridurre o evitare l’attacco informatico (cyberattack) o cyberattack nei confronti di apparecchiature connesse via wireless alla rete internet.
Attività svolta in collaborazione con il nostro partner www.graftholders.com
ELETTRONICA BELVEDERE MILANO
La normativa RED-DA
A partire dal 1° agosto 2025, i seguenti operatori economici saranno tenuti a garantire la conformità delle apparecchiature radio ai requisiti di cybersecurity (sicurezza informatica) introdotti dalla normativa RED-DA (Direttiva Radio Europea):
- Produttori:
Responsabili della progettazione e fabbricazione di dispositivi conformi ai requisiti di sicurezza informatica.
- Importatori:
Devono assicurarsi che i prodotti importati siano conformi alla normativa e che il fabbricante abbia espletato gli obblighi previsti.
- Distributori:
Devono verificare che le apparecchiature siano conformi alla direttiva prima di metterle a disposizione del mercato.
La conformità ai requisiti di cybersecurity (sicurezza informatica) sarà obbligatoria per tutti i dispositivi radio connessi a Internet (IoT e telecomunicazioni) immesse sul mercato dell'Unione Europea a partire da tale data.
ESEMPI APPLICATIVI DELLA NORMA
Il RED-DA si applica a una vasta gamma di dispositivi radio connessi a Internet, tra cui:
- Fotocamere, Smartphone, tablet, in generale a tutti gli apparati di telecomunicazione.
- Dispositivi/Apparati IoT (Internet of Things) che connessi wireless su Internet.
- Giocattoli per bambini o attrezzature come baby monitor connessi wireless ad internet
- Dispositivi indossabili: smartwatch, fitness tracker connessi wireless ad internet
- Apparati di controllo industriale connessi alla rete internet.
La norma armonizzatrice EN18031
Le norma EN18031 (conformità RED-DA) è stata ufficialmente riconosciuta come armonizzata nell'ambito della Direttiva RED a partire dal 30 gennaio 2025, con applicazione obbligatoria dal 1° agosto 2025. Questo significa che i fabbricanti, per beneficiare della presunzione di conformità, devono utilizzare la norma EN18031 (conformità RED-DA).
La norma distingue tre tipologie o livelli di sicurezza per gli apparati:
18031.1
DISPOSITIVI
Protezione della rete
18031.2
PRIVACY
Protezione dati personali
18031.3
PAGAMENTI
Prevenzione delle frodi
CHE COSA POSSIAMO FARE PER IL CLIENTE
Belvedere, può mettere a disposizione dei suoi clienti, personale altamente specializzato allo scopo di affiancare i clienti nelle fasi di sviluppo dei propri prodotti:
1. FASE - Pianificazione e Analisi dei Rischi
- Identificazione delle Funzionalità: Determiniamo se il dispositivo è connesso a Internet, elabora dati personali o gestisce transazioni finanziarie.
- Analisi dei Rischi: Conduciamo un'analisi dettagliata per identificare potenziali minacce e vulnerabilità, considerando l'ambiente operativo previsto.
- Applicabilità della EN 18031: Stabiliamo quali parti della norma si applicano al prodotto:
- EN 18031-1: Protezione della rete.
- EN 18031-2: Protezione dei dati personali.
- EN 18031-3: Prevenzione delle frodi.
In questa fase decidiamo cosa dobbiamo proteggere.
2. FASE - Progettazione Sicura (Security by Design)
- Implementazione dei Meccanismi di Sicurezza: Integriamo meccanismi come controllo degli accessi, autenticazione, comunicazioni sicure e aggiornamenti firmware sicuri, valutiamo se le risorse delle CPU sono adatte per essere conformi alla norma.
- Documentazione Tecnica: vi aiutiamo nella redazione della documentazione dettagliata che includa:
- Descrizione funzionale del dispositivo.
- Specifiche tecniche hardware e software.
- Elenco completo delle interfacce esterne o superfici di attacco
- Valutazione dei rischi e misure di mitigazione adottate
In questa fase progettiamo le soluzioni adatte per proteggere quanto stabilito nella fase 1 ed esplicitiamo i rischi e le misure di mitigazione adottabili.
3. FASE - Valutazione della Conformità
- Valutazione Concettuale: Verifichiamo che il concetto di sicurezza sia stato integrato fin dall'inizio, con una chiara definizione degli obiettivi di sicurezza e delle minacce identificate. Detto diversamente, se i requisiti di sicurezza hanno orientato le scelte progettuali, viene dato un chiaro primato agli elementi di sicurezza che guidano la scelta delle soluzioni progettuali.
- Valutazione della Completezza Funzionale: Assicuriamo che tutti i meccanismi di sicurezza previsti siano stati implementati e documentati adeguatamente. Significa che sono stati implementati meccanismi di controllo della coerenza tra documentazione/obiettivi e soluzioni tecniche realizzate.
- Valutazione dell'Efficacia delle Misure: Testiamo l'efficacia delle misure di sicurezza implementate attraverso prove pratiche, come test di penetrazione e simulazioni di attacchi. Una volta realizzato il dispositivo, va testato.
Noi di Belvedere possiamo fornire personale tecnico specializzato che può eseguire test di aggressione all’apparato sotto test, utilizzando le superfici d’attacco disponibili. Questi test ritornano sempre accurati report per indentificare le vulnerabilità riscontrate durante l’attacco e le possibili soluzioni per eliminarle.
4. FASE - Documentazione e Dichiarazione di Conformità, fascicolo tecnico
- Preparazione della Documentazione: redigiamo tutta la documentazione tecnica necessaria, inclusi i risultati delle valutazioni e dei test effettuati.
- Dichiarazione di Conformità: prepariamo e firmiamo la dichiarazione di conformità, attestando che il prodotto soddisfa i requisiti della norma EN 18031.
- Marcatura CE sicurezza: apponiamo la marcatura CE sul prodotto, indicando la conformità alle direttive europee applicabili.
La conformità alla norma EN18031 (conformità RED-DA) assegna ai produttori l’obbligo di essere conformi alla norma stessa. Come potete immaginare gli aggressori non stanno fermi ed ogni giorno, sviluppano nuove metodologie dolose per aggredire ogni tipo di apparato di loro interesse. Proprio per questo Belvedere mette a disposizione anche un importantissimo servizio di monitoraggio sicurezza post-vendita (FASE 5)
5. FASE - Monitoraggio Post-Market
- Gestione delle Vulnerabilità: Vi aiutiamo a realizzare ed implementare un processo continuo per monitorare e gestire le vulnerabilità note pubblicamente che potrebbero influenzare la sicurezza del tuo prodotto.
- Aggiornamenti di Sicurezza: Possiamo aiutarvi a prevedere meccanismi per l'aggiornamento sicuro del software e del firmware del dispositivo, garantendo la protezione continua contro nuove minacce.
Seguendo questo processo, i produttori possono garantire che i loro prodotti non solo siano conformi alla norma EN 18031, ma offrano anche un elevato livello di sicurezza informatica, proteggendo gli utenti finali e rispettando le normative europee vigenti.
ELETTRONICA BELVEDERE MILANO
Contattaci
Per avere maggiori informazioni sui nostri servizi di consulenza per aziende, sulla progettazione di sistemi embedded o altri dispositivi elettronici, non esitare a contattarci.