Delegovaný akt 2022/30/EU RED o kybernetické bezpečnosti platí od 1. 8. 2025

V tomto článku vás chceme upozornit na nové nařízení 2022/30/EU, které vstupuje v platnost 1. srpna 2025 a platí pro všechna rádiová zařízení, která jsou schopna sama komunikovat přes internet. Úplné znění a všechny potřebné informace najdete v delegovaném nařízení Komise (EU) 2022/30 z 29. října 2021, kterým se doplňuje směrnice Evropského parlamentu a Rady 2014/53/EU.

Nová éra dodržování kybernetické bezpečnosti bezdrátových zařízení v EU podle RED

Evropská komise, Generální ředitelství pro vnitřní trh, průmysl, podnikání a MSP vydaly nařízení týkající se rádiových zařízení na trhu EU v souladu s rostoucími mezinárodními obavami před bezpečnostními riziky připojených zařízení, zejména vzhledem k rostoucímu počtu kybernetických útoků a úniků údajů.

Cílem nařízení je posílení kybernetické bezpečnosti, ochrany soukromí a interoperability inteligentních a připojených zařízení v EU a odráží též závazek EU k ochraně spotřebitelů, digitální suverenitě a odolné infrastruktuře v éře internetu věcí (IoT).  

Co je delegovaný akt RED?

Delegované nařízení (EU) 2022/30, přijaté na základě směrnice 2014/53/EU (RED), zavádí nové základní požadavky s cílem zabezpečit, aby rádiová zařízení: 

• zabezpečovala osobní údaje a soukromí,
• chránila před zneužitím sítě,
• podporovala interoperabilitu se sítěmi.

Základní požadavek směrnice 2014/53/EU platí pro každé rádiové zařízení, které je schopné samo komunikovat přes internet bez ohledu na to, zda komunikuje přímo, nebo prostřednictvím jakéhokoliv jiného zařízení. 

Toto nařízení EU se vztahuje na širokou škálu připojených zařízení, včetně: 

• chytrých telefonů a tabletů
• inteligentních domácích zařízení
• modulů internetu věcí (např. Wi-Fi, bluetooth, LTE)
• dětských inteligentních hraček a nositelných zařízení
• bezdrátových směrovačů a modemů atd.
  
  

Delegovaným aktem se mění a doplňuje čl. 3 odst. 3 nařízení RED:

(d) Ochrana sítě – zařízení nesmí poškozovat funkce sítě ani zneužívat síťové zdroje.

(e) Ochrana soukromí uživatelů – zařízení musí chránit před neoprávněným přístupem k osobním údajům.

(f) Předcházení podvodům – zařízení musí být dostatečně bezpečná, aby zabránila neoprávněným platbám či zneužití identity. 

K prokázání shody mohou výrobci buď dodržovat harmonizované normy (očekává se, že je zveřejní ETSI/ENISA), nebo využít oznámený orgán, aby shodu posoudil.

Koho se směrnice 2022/30/EU (RED) týká?

• výrobců bezdrátových zařízení prodávaných v EU
• dovozců, kteří dovážejí výrobky do EU
• distributorů a maloobchodníků nabízejících připojená zařízení

Všichni uvedení budou zodpovědní za:

• aktualizaci technické dokumentace,
• vydávání nového prohlášení o shodě (DoC) EU,
• provedení posouzení rizik souvisejících s hrozbami kybernetické bezpečnosti.

Všeobecně doporučované kroky pro přípravu zařízení na směrnici 2022/30/EU (RED)

• Prozkoumejte portfolio výrobků s cílem identifikovat zařízení v rozsahu působnosti směrnice RED.
• Proveďte posouzení rizik kybernetické bezpečnosti pro příslušné výrobky.
• Implementujte zásady bezpečného návrhu (např. šifrování, autentifikace).
• Aktualizujte postupy týkající se softwaru/firmwaru s cílem podporovat budoucí opravy a bezpečnou komunikaci.
• Sledujte vývoj harmonizovaných norem a podle toho přizpůsobte své postupy testování.
• Vyškolte svoje týmy v dodržování předpisů v oblasti nové dokumentace a požadavků na označování CE a podobně.
  
  

Autentické verze příslušných aktů, včetně jejich úvodních ustanovení, byly zveřejněné v Úředním věstníku Evropské unie a jsou dostupné na portálu EUR-Lex.

Další nařízení EU a USA 

V nejbližších letech se stanou kromě RED DA (Radio Equipment Directive Delegated Act) účinnými postupně i další podobná nařízení:

• Zákon o kybernetické odolnosti CRA (Cyber Resilience Act):  

Nové nařízení EU, podle něhož musí mít výrobky zabudované prvky kybernetické bezpečnosti. Jeho cílem je zabezpečit připojená zařízení v kritické infrastruktuře. Výrobci musí poskytovat bezpečnostní prvky, jako jsou pravidelné bezpečnostní záplaty a aktualizace. Dodržování předpisů se vyžaduje od roku 2027. 

• Značka kybernetické důvěryhodnosti USA (US Cyber Trust Mark): 

Má podobné požadavky jako CRA. V současnosti není v USA dodržování předpisů povinné, ale může se použít na propagaci pověření v oblasti kybernetické bezpečnosti. 

• Nařízení USA o připojených vozidlech: 

Dodržování předpisů je povinné pro software od roku 2027 a pro hardware od roku 2030. To dopadá na všechna připojená vozidla a telematiku na trhu s náhradními díly prodávané v USA.

Masterclass Quectel – RED DA and beyond: How to prepare for new cybersecurity regulations 

Pokud se chcete dozvědět víc o tom, jak by nové předpisy o kybernetické bezpečnosti mohly ovlivnit váš projekt a jak vám dodavatelé mohou pomocí s přípravou na zabezpečení shody s předpisy, aby bylo vaše zařízení odolné proti budoucím změnám, podívejte se webinář s odborníky ze společnosti Quectel (p. Tomaz Petaros a Seungryoul Yoon). 

Agenda webináře společnosti Quectel: 

• Přehled RED DA a dalších nových předpisů o kybernetické bezpečnosti
• Jak se připravit na nová nařízení o kybernetické bezpečnosti
• Co můžeme udělat, abychom vám pomohli připravit se na nová nařízení o kybernetické bezpečnosti

Podívejte se na záznam z videa

Aktuální nabídku komunikačních modulů Quectel najdete v našem sortimentu, další produkty postupně přidáváme v závislosti na jejich dostupnosti.