Decisione UE In vigore

Decisione UE 0138/2025

Pubblicato: 28/01/2025 In vigore dal: 28/01/2025 Documento ufficiale

Quali sono le norme armonizzate sulla cibersicurezza per le apparecchiature radio e quali limitazioni applica la Commissione europea alla loro conformità?

Spiegato da FiscoAI

La Decisione di esecuzione (UE) 2025/138 introduce tre nuove norme armonizzate europee (EN 18031-1:2024, EN 18031-2:2024 e EN 18031-3:2024) che stabiliscono i requisiti comuni di sicurezza per le apparecchiature radio connesse a Internet, secondo la Direttiva 2014/53/UE. Queste norme si applicano a diverse categorie di dispositivi: apparecchiature radio connesse a Internet, dispositivi per la cura dei bambini, giocattoli intelligenti, apparecchiature indossabili e dispositivi che elaborano denaro virtuale o valori monetari. La Commissione europea ha però pubblicato queste norme con importanti limitazioni, stabilendo che non conferiscono automaticamente presunzione di conformità in determinate circostanze. In particolare, le norme non garantiscono conformità se gli utenti possono non impostare password (punti 6.2.5.1 e 6.2.5.2), se mancano controlli genitoriali per dispositivi per bambini e giocattoli (EN 18031-2), o se i meccanismi di sicurezza degli aggiornamenti non sono sufficientemente robusti per dispositivi che gestiscono transazioni finanziarie (EN 18031-3). Inoltre, le sezioni "Rationale" e "Guidance" delle norme non conferiscono presunzione di conformità, poiché contengono solo orientamenti e non specifiche vincolanti.

Generato da AI su documenti ufficiali. Non costituisce consulenza legale o fiscale.

Riferimento normativo

Decisione di esecuzione (UE) 2025/138 della Commissione, del 28 gennaio 2025, che modifica la decisione di esecuzione (UE) 2022/2191 per quanto riguarda le norme armonizzate a sostegno dei requisiti essenziali della direttiva 2014/53/UE del Parlamento europeo e del Consiglio relativi alla cibersicurezza per le categorie e le classi di apparecchiature radio specificate nel regolamento delegato (UE) 2022/30 EN: Commission Implementing Decision (EU) 2025/138 of 28 January 2025 amending Implementing Decision (EU) 2022/2191 as regards harmonised standards in support of the essential requirements of Directive 2014/53/EU of the European Parliament and of the Council that relate to cybersecurity, for the categories and classes of radio equipment specified in Delegated Regulation (EU) 2022/30

Testo normativo

Gazzetta ufficiale
dell'Unione europea
IT
Serie L
2025/138
30.1.2025
DECISIONE DI ESECUZIONE (UE) 2025/138 DELLA COMMISSIONE
del 28 gennaio 2025
che modifica la decisione di esecuzione (UE) 2022/2191 per quanto riguarda le norme armonizzate a sostegno dei requisiti essenziali della direttiva 2014/53/UE del Parlamento europeo e del Consiglio relativi alla cibersicurezza per le categorie e le classi di apparecchiature radio specificate nel regolamento delegato (UE) 2022/30
(Testo rilevante ai fini del SEE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
visto il regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio, del 25 ottobre 2012, sulla normazione europea, che modifica le direttive 89/686/CEE e 93/15/CEE del Consiglio nonché le direttive 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE e 2009/105/CE del Parlamento europeo e del Consiglio e che abroga la decisione 87/95/CEE del Consiglio e la decisione n. 1673/2006/CE del Parlamento europeo e del Consiglio
(
1
)
, in particolare l’articolo 10, paragrafo 6,
considerando quanto segue:
(1)
Conformemente all’articolo 16 della direttiva 2014/53/UE del Parlamento europeo e del Consiglio
(
2
)
, le apparecchiature radio che sono conformi alle norme armonizzate o a parti di esse, i cui riferimenti sono stati pubblicati nella
Gazzetta ufficiale dell’Unione europea
, sono considerate conformi ai requisiti essenziali di cui all’articolo 3 di tale direttiva, qualora siano contemplati in tali norme o parti di esse.
(2)
Con decisione di esecuzione C(2022)5637
(
3
)
, la Commissione ha chiesto al Comitato europeo di normazione (CEN) e al Comitato europeo di normazione elettrotecnica (Cenelec) di elaborare nuove norme armonizzate a sostegno dell’articolo 3, paragrafo 3, primo comma, lettere d), e) ed f), della direttiva 2014/53/UE per le categorie e le classi di apparecchiature radio specificate dal regolamento delegato (UE) 2022/30 della Commissione
(
4
)
(«richiesta»).
(3)
Sulla base della richiesta il CEN e il Cenelec hanno elaborato le norme armonizzate EN 18031-1:2024 sui requisiti comuni di sicurezza per le apparecchiature radio connesse a Internet, a sostegno del requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera d), della direttiva 2014/53/UE; EN 18031-2:2024 sui requisiti comuni di sicurezza per le apparecchiature radio connesse a Internet, le apparecchiature radio per la cura dei bambini, le apparecchiature radio per giocattoli e le apparecchiature radio indossabili, a sostegno del requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera e), della direttiva 2014/53/UE; e EN 18031-3:2024 sui requisiti comuni di sicurezza per le apparecchiature radio connesse a Internet che elaborano denaro virtuale o valori monetari, a sostegno del requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera f), della direttiva 2014/53/UE.
(4)
Insieme al CEN e al Cenelec la Commissione ha valutato se tali norme armonizzate siano conformi alla richiesta.
(5)
Le norme armonizzate EN 18031-1:2024, EN 18031-2:2024 e EN 18031-3:2024 comprendono numerose sezioni denominate «Rationale» (motivazioni) e «Guidance» (orientamenti). La sezione denominata «Rationale» intende giustificare la necessità di affrontare determinati rischi. Le sezioni denominate «Guidance» contengono esempi e considerazioni sulle possibilità di attuare determinate misure di attenuazione. Nessuna delle due sezioni summenzionate definisce specifiche. Le sezioni denominate «Guidance» contengono inoltre riferimenti a prodotti della normazione di organizzazioni nazionali di normazione. Come regola generale, le norme armonizzate non dovrebbero includere riferimenti normativi incrociati a tali prodotti della normazione.
(6)
I punti 6.2.5.1 e 6.2.5.2 delle norme armonizzate EN 18031-1:2024, EN 18031-2:2024 e EN 18031-3:2024 riguardano le password predefinite. Tali punti offrono ai fabbricanti la possibilità di consentire a un utente di non impostare o utilizzare alcuna password. Si ritiene che, se questa opzione sarà attuata, i rischi di autenticazione pertinenti non saranno affrontati adeguatamente e non sarà pertanto garantita la conformità ai requisiti essenziali di cui all’articolo 3, paragrafo 3, primo comma, lettere d), e) ed f), della direttiva 2014/53/UE.
(7)
I punti 6.1.3, 6.1.4, 6.1.5 e 6.1.6 della norma armonizzata EN 18031-2:2024 includono specifiche sul meccanismo di controllo dell’accesso per le apparecchiature radio per giocattoli e per le apparecchiature radio per la cura dei bambini. Più specificamente, le categorie di attuazione descritte nelle sottosezioni «Assessment criteria» (criteri di valutazione) sono le seguenti: controllo dell’accesso basato sul ruolo, controllo dell’accesso discrezionale, controllo dell’accesso obbligatorio o altre. Alcune di queste categorie potrebbero non essere compatibili con il controllo genitoriale o di tutori. In tal caso si ritiene che, qualora non sia attuato il controllo genitoriale o di tutori, i rischi di autenticazione pertinenti non saranno affrontati e non sarà pertanto garantita la conformità ai requisiti essenziali di cui all’articolo 3, paragrafo 3, primo comma, lettera e), della direttiva 2014/53/UE.
(8)
Il punto 6.3.2.4 della norma armonizzata EN 18031-3:2024 comprende criteri di valutazione per la sicurezza degli aggiornamenti. Sono stabilite quattro diverse categorie di attuazione, basate su firme digitali, meccanismi di comunicazione sicuri, meccanismi di controllo dell’accesso o altro. Nessuno dei metodi è sufficiente, da solo, ai fini del trattamento di attività finanziarie. Si ritiene che i criteri di valutazione non affrontino adeguatamente i pertinenti rischi di autenticazione e non possano pertanto garantire la conformità al requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera f), della direttiva 2014/53/UE.
(9)
È pertanto opportuno pubblicare i riferimenti delle norme armonizzate EN 18031-1:2024, EN 18031-2:2024 e EN 18031-3:2024 con limitazioni nella
Gazzetta ufficiale dell’Unione europea
.
(10)
Nell’allegato I della decisione di esecuzione (UE) 2022/2191 della Commissione
(
5
)
figurano i riferimenti delle norme armonizzate che conferiscono una presunzione di conformità alla direttiva 2014/53/UE. Per garantire che i riferimenti delle norme armonizzate elaborate a sostegno della direttiva 2014/53/UE siano elencati in un unico atto, i riferimenti delle norme armonizzate EN 18031-1:2024, EN 18031-2:2024 e EN 18031-3:2024 dovrebbero essere inclusi con limitazioni nel suddetto allegato.
(11)
La decisione di esecuzione (UE) 2022/2191 dovrebbe pertanto essere modificata di conseguenza.
(12)
La conformità a una norma armonizzata conferisce una presunzione di conformità ai requisiti fondamentali corrispondenti di cui alla legislazione dell’Unione in materia di armonizzazione a decorrere dalla data di pubblicazione del riferimento di tale norma nella
Gazzetta ufficiale dell’Unione europea
. È pertanto opportuno che la presente decisione entri in vigore il giorno della pubblicazione,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
L’allegato I della decisione di esecuzione (UE) 2022/2191 è modificato conformemente all’allegato della presente decisione.
Articolo 2
La presente decisione entra in vigore il giorno della pubblicazione nella
Gazzetta ufficiale dell’Unione europea
.
Fatto a Bruxelles, il 28 gennaio 2025
Per la Commissione
La presidente
Ursula VON DER LEYEN
(
1
)
GU L 316 del 14.11.2012, pag. 12
, ELI:
http://data.europa.eu/eli/reg/2012/1025/oj
.
(
2
)
Direttiva 2014/53/UE del Parlamento europeo e del Consiglio, del 16 aprile 2014, concernente l’armonizzazione delle legislazioni degli Stati membri relative alla messa a disposizione sul mercato di apparecchiature radio e che abroga la direttiva 1999/5/CE (
GU L 153 del 22.5.2014, pag. 62
, ELI:
http://data.europa.eu/eli/dir/2014/53/oj
).
(
3
)
Decisione di esecuzione C(2022)5637 della Commissione, del 5 agosto 2022, relativa a una richiesta di normazione al Comitato europeo di normazione e al Comitato europeo di normazione elettrotecnica per quanto riguarda le apparecchiature radio a sostegno della direttiva 2014/53/UE del Parlamento europeo e del Consiglio e del regolamento delegato (UE) 2022/30 della Commissione.
(
4
)
Regolamento delegato (UE) 2022/30 della Commissione, del 29 ottobre 2021, che integra la direttiva 2014/53/UE del Parlamento europeo e del Consiglio per quanto riguarda l’applicazione dei requisiti essenziali di cui all’articolo 3, paragrafo 3, lettere d), e) ed f), di tale direttiva (
GU L 7 del 12.1.2022, pag. 6
, ELI:
http://data.europa.eu/eli/reg_del/2022/30/oj
).
(
5
)
Decisione di esecuzione (UE) 2022/2191 della Commissione, dell’8 novembre 2022, relativa alle norme armonizzate per le apparecchiature radio elaborate a sostegno della direttiva 2014/53/UE del Parlamento europeo e del Consiglio (
GU L 289 del 10.11.2022, pag. 7
, ELI:
http://data.europa.eu/eli/dec_impl/2022/2191/oj
).
ALLEGATO
Nell’allegato I della decisione di esecuzione (UE) 2022/2191 sono aggiunte le righe seguenti:
N.
Riferimento della norma
«164.
EN 18031-1:2024
Requisiti comuni di sicurezza per le apparecchiature radio - parte 1: Apparecchiature radio connesse a Internet
Avvertenza 1: Le sezioni denominate «Rationale» (motivazioni) e «Guidance» (orientamenti) nella presente norma armonizzata non conferiscono una presunzione di conformità al requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera d), della direttiva 2014/53/UE.
Avvertenza 2: La presente norma armonizzata non conferisce una presunzione di conformità ai requisiti essenziali di cui all’articolo 3, paragrafo 3, primo comma, lettera d), della direttiva 2014/53/UE se, nell’applicare i punti 6.2.5.1 e 6.2.5.2 della norma, l’utente è autorizzato a non impostare né utilizzare password.
165.
EN 18031-2:2024
Requisiti comuni di sicurezza per le apparecchiature radio - parte 2: Apparecchiature radio che elaborano dati, in particolare apparecchiature radio connesse a Internet, apparecchiature radio per la cura dei bambini, apparecchiature radio per giocattoli e apparecchiature radio indossabili
Avvertenza 1: Le sezioni denominate «Rationale» (motivazioni)e «Guidance» (orientamenti) nella presente norma armonizzata non conferiscono una presunzione di conformità al requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera e), della direttiva 2014/53/UE.
Avvertenza 2: La presente norma armonizzata non conferisce una presunzione di conformità all’articolo 3, paragrafo 3, primo comma, lettera e), della direttiva 2014/53/UE se, nell’applicare i punti 6.2.5.1 e 6.2.5.2 della norma, l’utente è autorizzato a non impostare né utilizzare password.
Avvertenza 3: Per le classi o le categorie di apparecchiature radio di cui ai punti 6.1.3, 6.1.4, 6.1.5 o 6.1.6 della presente norma armonizzata, la presente norma armonizzata non conferisce una presunzione di conformità ai requisiti essenziali di cui all’articolo 3, paragrafo 3, primo comma, lettera e), della direttiva 2014/53/UE se, applicando i punti 6.1.3.4.2, 6.1.4.4.2, 6.1.5.4.2 e 6.1.6.4.2 della norma, non è garantito il controllo dell’accesso da parte di un genitore o di un tutore.
166.
EN 18031-3:2024
Requisiti comuni di sicurezza per le apparecchiature radio - parte 3: Apparecchiature radio connesse a Internet che elaborano denaro virtuale o valori monetari
Avvertenza 1: Le sezioni denominate «Rationale» (motivazioni) e «Guidance» (orientamenti) nella presente norma armonizzata non conferiscono una presunzione di conformità al requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera f), della direttiva 2014/53/UE.
Avvertenza 2: La presente norma armonizzata non conferisce una presunzione di conformità ai requisiti essenziali di cui all’articolo 3, paragrafo 3, primo comma, lettera f), della direttiva 2014/53/UE se, nell’applicare i punti 6.2.5.1 e 6.2.5.2 della norma, l’utente è autorizzato a non impostare né utilizzare password.
Avvertenza 3: Per quanto riguarda i criteri di valutazione di cui al punto 6.3.2.4 della presente norma armonizzata, la presente norma armonizzata non conferisce una presunzione di conformità al requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera f), della direttiva 2014/53/UE.».
ELI: http://data.europa.eu/eli/dec_impl/2025/138/oj
ISSN 1977-0707 (electronic edition)

Hai domande su questa normativa?

FiscoAI analizza Decisione UE 0138/2025 e risponde alle tue domande fiscali con citazioni precise.

Prova gratis Vai alla dashboard

Le norme EN 18031 rappresentano il riferimento principale per la conformità alle direttive sulla cibersicurezza delle apparecchiature radio, affrontando requisiti essenziali di autenticazione, protezione dei dati e sicurezza degli aggiornamenti. Produttori di dispositivi IoT, apparecchiature indossabili e sistemi di pagamento mobile devono consultare queste norme per garantire compliance alla Direttiva 2014/53/UE, considerando le limitazioni imposte dalla Commissione su password predefinite, controllo genitoriale e meccanismi di firma digitale.