cyberbezpieczeństwo urządzeń radiowych

Ta strona opisuje przepisy na poziomie UE. Nie czytano w źródle polskiej ustawy wdrażającej dyrektywę radiową ani wskazania polskiego organu nadzoru rynku i przepisów o karach, więc ich tu nie ma. Sprawdź je w prawie krajowym.

Dyrektywa radiowa obejmuje każdy produkt elektryczny lub elektroniczny, który celowo emituje lub odbiera fale radiowe na potrzeby radiokomunikacji lub radiolokacji: produkt z Wi-Fi, Bluetooth, modemem komórkowym albo odbiornikiem satelitarnym. Nie obejmuje urządzeń używanych wyłącznie do celów bezpieczeństwa publicznego, obronności i bezpieczeństwa państwa.

Od 1 sierpnia 2025 r. trzy jej wymagania obowiązują wybrane rodzaje takich urządzeń. Najważniejsze pytanie brzmi: czy urządzenie samo może komunikować się przez internet, bezpośrednio albo przez inne urządzenie, na przykład telefon lub bramkę. Rozporządzenie delegowane nazywa je urządzeniami radiowymi podłączonymi do internetu. Należą do nich na przykład inteligentne gniazdko, kamera podłączona do sieci, router albo lokalizator z modemem komórkowym. Urządzenie, którego moduł radiowy rozmawia tylko z pobliskim sprzętem i nie może przez niego wymieniać danych z internetem, nie jest podłączone do internetu.

Trzy rodzaje urządzeń są objęte także bez połączenia z internetem, ale tylko wymaganiem dotyczącym danych osobowych: urządzenia radiowe przeznaczone wyłącznie do opieki nad dziećmi (na przykład elektroniczna niania), zabawki radiowe i urządzenia noszone (wszystko, co się nosi, przypina lub przywiesza na ciele albo na odzieży). Przepisy dotyczą całego urządzenia, także jego części niezwiązanych z radiem.

Niektóre urządzenia są wyłączone, bo ich cyberbezpieczeństwem zajmują się inne przepisy. Wyroby medyczne i wyroby do diagnostyki in vitro są wyłączone ze wszystkich trzech wymagań. Pojazdy objęte przepisami o homologacji typu, wyroby lotnictwa cywilnego i urządzenia elektronicznego poboru opłat drogowych są wyłączone z wymagań dotyczących danych osobowych i oszustw, ale nadal muszą chronić sieć.

Ochrona sieci. Urządzenie nie może wywierać niepożądanego wpływu na sieć i jej funkcjonowanie ani wykorzystywać zasobów sieciowych w nieodpowiedni sposób, powodując niedopuszczalne obniżenie poziomu usług. Uzasadnienie rozporządzenia delegowanego nazywa ryzyko wprost: przejęte urządzenie, które zalewa sieć ruchem albo odcina usługę. To wymaganie dotyczy każdego urządzenia radiowego podłączonego do internetu.

Dane osobowe i prywatność. Urządzenie musi mieć wbudowane zabezpieczenia chroniące dane osobowe i prywatność użytkownika i abonenta. Wymaganie obowiązuje, gdy urządzenie może przetwarzać dane osobowe albo dane o ruchu lub dane dotyczące lokalizacji w rozumieniu przepisów o prywatności w łączności elektronicznej. Uzasadnienie wskazuje kamery, mikrofony, lokalizację i dane o zdrowiu, a także ustawienia dostępne po domyślnym haśle.

Oszustwa. Urządzenie musi mieć funkcje chroniące przed oszustwami. Wymaganie dotyczy tylko urządzeń radiowych podłączonych do internetu, które pozwalają posiadaczowi lub użytkownikowi przekazywać środki pieniężne, wartość pieniężną albo walutę wirtualną.

Przepisy określają cel. Sposób jego osiągnięcia opisują normy zharmonizowane, o których mowa niżej.

Obowiązki idą za produktem wzdłuż łańcucha dostaw, jak przy każdym produkcie z oznakowaniem CE.

• Producent wytwarza urządzenie albo zleca jego zaprojektowanie lub produkcję i wprowadza je do obrotu pod własną nazwą lub znakiem towarowym. Zapewnia, że urządzenie spełnia wymagania, sporządza dokumentację techniczną, przeprowadza ocenę zgodności, podpisuje deklarację zgodności UE i umieszcza oznakowanie CE. Dokumentację i deklarację przechowuje przez 10 lat od wprowadzenia urządzenia do obrotu.
• Importer ma siedzibę w Unii i wprowadza do obrotu urządzenie z państwa trzeciego. Może wprowadzać do obrotu tylko urządzenia zgodne, a wcześniej sprawdza, czy producent przeprowadził ocenę zgodności, sporządził dokumentację i umieścił oznakowanie. Kopię deklaracji przechowuje przez 10 lat.
• Dystrybutor udostępnia urządzenie dalej w łańcuchu dostaw. Działa z należytą starannością i przed sprzedażą sprawdza oznakowanie CE oraz dołączone dokumenty.

Importer lub dystrybutor, który sprzedaje urządzenie pod własną nazwą albo zmienia je tak, że może to wpłynąć na zgodność, przejmuje obowiązki producenta. Kto w łańcuchu ma powody sądzić, że urządzenie nie jest zgodne, wstrzymuje je, a gdy urządzenie stwarza zagrożenie, informuje organy nadzoru rynku.

Rozporządzenie delegowane miało pierwotnie obowiązywać od 1 sierpnia 2024 r. Komisja przesunęła ten termin na 1 sierpnia 2025 r., bo normy zharmonizowane nie były gotowe. Od tego dnia trzy wymagania dotyczą każdego objętego urządzenia wprowadzanego do obrotu.

16 lutego 2026 r. Komisja przyjęła rozporządzenie, które uchyla rozporządzenie delegowane ze skutkiem od 11 grudnia 2027 r., czyli od dnia, w którym Cyber Resilience Act zaczyna obowiązywać w całości. Uzasadnienie: zasadnicze wymagania CRA obejmują wszystko, czego wymagają trzy wymagania radiowe, a urządzenie nie powinno podlegać jednocześnie dwóm zestawom przepisów o cyberbezpieczeństwie. Urządzenia wprowadzone do obrotu między 1 sierpnia 2025 r. a 10 grudnia 2027 r. organy nadzoru rynku mogą sprawdzać pod kątem wymagań radiowych także po uchyleniu.

Urządzenie zgodne z normami zharmonizowanymi opublikowanymi w Dzienniku Urzędowym UE korzysta z domniemania zgodności z wymaganiami, które te normy obejmują. Dla trzech wymagań są to normy EN 18031-1 (ochrona sieci), EN 18031-2 (dane osobowe i prywatność) i EN 18031-3 (oszustwa), wszystkie z 2024 r. Odniesienia do nich opublikowano 30 stycznia 2025 r. z ograniczeniami. Części opisane jako uzasadnienie (rationale) i wskazówki (guidance) nie dają domniemania zgodności. Żadna z trzech norm nie daje go, jeśli urządzenie pozwala użytkownikowi nie ustawiać i nie używać hasła. Norma o prywatności nie daje go dla zabawek i urządzeń do opieki nad dziećmi bez kontroli dostępu przez rodzica lub opiekuna, a norma o oszustwach nie daje go w zakresie kryteriów oceny bezpiecznych aktualizacji.

Procedura oceny zgodności zależy od tego, jak zastosowano normy.

• Normy zastosowane w całości: możesz użyć wewnętrznej kontroli produkcji, czyli ocenić urządzenie samodzielnie, albo jednej z dwóch procedur z jednostką notyfikowaną.
• Normy zastosowane tylko częściowo albo pominięte lub brak normy: musisz użyć badania typu UE albo pełnego zapewnienia jakości. Obie procedury wymagają jednostki notyfikowanej.

Jeśli więc projekt opiera się na rozwiązaniu wyłączonym przez ograniczenie, na przykład na możliwości korzystania z urządzenia bez hasła, zaplanuj udział jednostki notyfikowanej. Strona Komisji dodaje, że certyfikaty zgodności dla produktów objętych unijnym prawodawstwem harmonizacyjnym mogą wydawać tylko jednostki notyfikowane, a dobrowolne lub inne dodatkowe certyfikaty nie są uznanym sposobem wykazania zgodności.

Przepisy radiowe egzekwują krajowe organy nadzoru rynku. Gdy stwierdzą, że urządzenie nie jest zgodne, mogą zażądać działań naprawczych, wycofania z rynku albo odzyskania urządzenia od użytkowników.

Dyrektywa nie podaje kwot kar. Każde państwo członkowskie ustanawia własne sankcje za naruszenie przepisów krajowych wdrażających dyrektywę. Sankcje mają być skuteczne, proporcjonalne i odstraszające, a za poważne naruszenia mogą być karne. Organ i wysokość kar sprawdź w prawie krajowym.

Cyber Resilience Act obejmuje produkty z elementami cyfrowymi, a większość urządzeń radiowych podłączonych do internetu jest takimi produktami. CRA stwierdza, że jego zasadnicze wymagania cyberbezpieczeństwa obejmują wszystkie elementy trzech wymagań radiowych. Do 11 grudnia 2027 r. oba akty mogą więc dotyczyć tego samego urządzenia. Wymagania dla produktu wyznaczają dziś przepisy radiowe. Obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów z CRA obowiązuje od 11 września 2026 r., także dla produktów już będących na rynku. Od 11 grudnia 2027 r. wymagania dla produktu wyznacza już tylko CRA.

Według CRA Komisja powinna w okresie przejściowym wydać wytyczne dla producentów objętych oboma aktami i wskazuje, że prace normalizacyjne nad normami radiowymi mają zasilić normy do CRA. Jednostki notyfikowane działające na podstawie przepisów radiowych muszą zostać ponownie ocenione i notyfikowane na podstawie CRA. Rozsądne odczytanie dla producenta: wbuduj wymagania radiowe w urządzenie już teraz i traktuj je jako pierwszy krok do dłuższej listy CRA, która obejmuje też obsługę podatności i okres wsparcia.