Tento článek je praktický technický přehled, nikoli právní poradenství. Které části normy se uplatní, závisí na vašem produktu a jeho zamýšleném použití.
Od 1. srpna 2025 musí rádiová zařízení, která mohou komunikovat přes internet, splňovat požadavky na kybernetickou bezpečnost podle aktu v přenesené pravomoci (EU) 2022/30 k RED. Harmonizovanými normami jsou EN 18031-1, -2 a -3. V Úředním věstníku byly zveřejněny s omezeními. V některých konfiguracích nelze shodu předpokládat pouze na základě normy a je nutné zapojit oznámený subjekt.
Která část se uplatní?
| Norma | Požadavek (RED čl. 3 odst. 3) | Typické produkty |
|---|---|---|
| EN 18031-1 | (d) – nepoškozování sítě | Každý rádiový produkt připojený k internetu |
| EN 18031-2 | (e) – ochrana osobních údajů a soukromí | Produkty zpracovávající osobní údaje; hračky, péče o děti, nositelná elektronika |
| EN 18031-3 | (f) – ochrana před podvody | Produkty, které převádějí peníze nebo virtuální měnu |
Checklist
Norma je členěna do bezpečnostních mechanismů s rozhodovacími stromy. Z inženýrského pohledu jde o tyto otázky, na které je třeba u každého produktu odpovědět:
- Řízení přístupu a autentizace – Jsou chráněna všechna síťová i lokální rozhraní (nastavení Wi-Fi, aplikace, USB, servisní port)? Nepoužívají se někde univerzální výchozí hesla – včetně servisních a výrobních nástrojů?
- Bezpečná aktualizace – Lze aktualizovat každou komponentu firmwaru, včetně rádiového modulu? Jsou aktualizace autentizované a chráněné proti návratu ke starší verzi (rollback)?
- Bezpečné úložiště – Kde jsou uloženy klíče, certifikáty a přístupové údaje a kdo je může číst?
- Bezpečná komunikace – Je komunikace s cloudem a aplikací šifrovaná a autentizovaná pomocí současné kryptografie?
- Odolnost – Zvládne zařízení chybně formátované vstupy, zahlcení a výpadek konektivity bez nebezpečného chování?
- Exponované služby – Jsou otevřeny jen nezbytné porty a služby? Jsou ladicí rozhraní u sériových kusů vypnutá?
- Žádné známé zranitelnosti – Jsou knihovny a stacky ve firmwaru aktuální a monitorované?
- Osobní údaje (EN 18031-2) – Logování, mazání uživatelských dat a informování uživatele tam, kde se zpracovávají osobní údaje.
Typická zjištění
Při posuzování připojených zařízení se opakovaně objevují stejné problémy. Sdílené servisní heslo je uvedeno v návodu. Rádiový modul běží na firmwaru, který nelze v terénu aktualizovat. Tajné údaje putují nešifrovaně přes interní linku UART nebo USB. Výrobní nástroj má větší oprávnění než samotné zařízení. Nic z toho není exotické, ale oprava každého z těchto bodů vyžaduje inženýrský čas.
Od EN 18031 k CRA
Většinu této práce lze přímo využít i pro Cyber Resilience Act, který se v plném rozsahu uplatní od prosince 2027. Pokud nyní kvůli EN 18031 vyřešíte autentizaci, aktualizace a bezpečné úložiště, máte velkou část „domácího úkolu“ k CRA hotovou.
Předběžné posouzení podle EN 18031
Projdeme s vašimi inženýry rozhodovací stromy a dodáme seznam nedostatků s konkrétními opatřeními ve firmwaru a nástrojích.
Série CRA: Část 1 – Co musí výrobci udělat a do kdy · Část 2 – Hlášení podle článku 14 · Část 3 – Checklist EN 18031