Dyrektywa RED (Radio Equipment Directive) określa wymagania dla urządzeń radiowych wprowadzanych na rynek Unii Europejskiej. Od 1 sierpnia 2025 roku dla części produktów korzystających z Wi-Fi, Bluetooth i rozwiązań IoT stosuje się także dodatkowe wymagania dotyczące cyberbezpieczeństwa. Oznacza to, że certyfikacja CE dla urządzeń radiowych może wymagać dziś wykazania nie tylko bezpieczeństwa, kompatybilności elektromagnetycznej i prawidłowego wykorzystania widma, ale również ochrony sieci, danych oraz użytkownika. Zakres obowiązków zależy jednak od funkcji konkretnego produktu, dlatego nie każde urządzenie Bluetooth czy Wi-Fi podlega dokładnie takim samym wymaganiom.
Dyrektywa RED – co zmieniło się od 1 sierpnia 2025 roku?
Dyrektywa RED to unijny akt prawny regulujący urządzenia wykorzystujące łączność radiową, takie jak sprzęt z Wi-Fi, Bluetooth, LTE czy NFC. Określa wymagania, które takie produkty muszą spełnić, aby mogły być legalnie wprowadzone do obrotu na rynku Unii Europejskiej.
Najnowsze zmiany wynikają z Rozporządzenia Delegowanego Komisji (UE) 2022/30, które uruchomiło dodatkowe wymagania zapisane w art. 3 ust. 3 RED. Pierwotnie miały one obowiązywać od sierpnia 2024 roku, jednak termin przesunięto o rok. Dla wielu urządzeń internetowych klasyczny zestaw wymagań został rozszerzony o kwestie cyberbezpieczeństwa.
Nowe regulacje koncentrują się na trzech obszarach:
- ochronie sieci przed zakłóceniami i niewłaściwym wykorzystaniem,
- ochronie danych osobowych i prywatności,
- zabezpieczeniu użytkownika przed oszustwami finansowymi.
Ma to szczególne znaczenie dla kamer Wi-Fi, smartwatchy, czujników IoT, inteligentnych gniazdek, zabawek elektronicznych czy terminali płatniczych.
Wi-Fi, Bluetooth i IoT – czy wymagania są takie same?
Samo zastosowanie konkretnej technologii radiowej nie przesądza jeszcze o pełnym zakresie obowiązków. Przy analizie wymagań RED dla Wi-Fi trzeba sprawdzić przede wszystkim, czy urządzenie łączy się z Internetem, jakie dane przetwarza i czy wykonuje operacje finansowe.
Podobnie wygląda kwestia Bluetooth a CE. Prosty beacon BLE może mieć inny zakres wymagań niż smartwatch, który przez telefon przesyła dane użytkownika do chmury. Liczy się więc nie tylko moduł radiowy, ale cała architektura produktu i sposób jego wykorzystania.
EN 18031 – nowe normy dla cyberbezpieczeństwa
Istotną rolę w wykazywaniu zgodności odgrywa seria norm EN 18031:2024. Poszczególne części odnoszą się do różnych obszarów.
EN 18031-1
Dotyczy przede wszystkim ochrony sieci i urządzeń komunikujących się z Internetem.
EN 18031-2
Koncentruje się na ochronie danych i prywatności, dlatego ma znaczenie m.in. dla urządzeń wearable, zabawek czy sprzętu przetwarzającego dane osobowe.
EN 18031-3
Dotyczy urządzeń związanych z transferem pieniędzy lub innych wartości.
Zastosowanie norm może ułatwić wykazanie zgodności z RED, ale trzeba uwzględniać zakres ich zastosowania oraz ograniczenia opublikowane przez Komisję Europejską.
Jakie zabezpieczenia powinno mieć urządzenie IoT?
W przypadku IoT coraz większe znaczenie ma sposób zabezpieczenia całego produktu, a nie tylko samego połączenia bezprzewodowego. Typowe rozwiązania obejmują:
- bezpieczne uwierzytelnianie użytkownika,
- unikalne hasła i kontrolę dostępu,
- szyfrowanie transmisji,
- ochronę kluczy i danych,
- zabezpieczenie API i interfejsów serwisowych,
- podpisywanie oraz weryfikację aktualizacji firmware,
- ograniczenie niepotrzebnych usług sieciowych.
Samo WPA2 czy WPA3 nie rozwiązuje więc problemu, jeżeli panel administracyjny, firmware albo aplikacja mobilna pozostają podatne na ataki.
Czy gotowy moduł Wi-Fi lub Bluetooth wystarczy do CE?
Nie, moduł z własną dokumentacją może ułatwić proces, ale nie oznacza automatycznej zgodności urządzenia końcowego. Po jego integracji mogą zmienić się parametry pracy wynikające m.in. z zastosowanej anteny, PCB, obudowy, zasilania czy firmware.
Oznacza to, że zgodność należy oceniać dla całego, gotowego produktu w jego finalnej konfiguracji. Dokumentacja zastosowanego modułu Wi-Fi lub Bluetooth może być pomocna, ale sama nie wystarcza do potwierdzenia zgodności całego urządzenia.
Jak wygląda proces oceny zgodności?
Producent powinien najpierw określić wszystkie wymagania mające zastosowanie do produktu, a następnie przeprowadzić odpowiednie badania i analizy. W praktyce proces obejmuje zwykle:
- ocenę bezpieczeństwa,
- badania radiowe,
- badania EMC,
- analizę cyberbezpieczeństwa,
- dobór właściwych norm,
- przygotowanie deklaracji zgodności UE,
- skompletowanie dokumentacji technicznej.
Dopiero po zakończeniu tego procesu można prawidłowo nanieść oznakowanie CE.
Dokumentacja RED – co powinna zawierać?
Kompletna dokumentacja RED powinna umożliwiać wykazanie, że produkt spełnia wszystkie dotyczące go wymagania. Powinna zawierać m.in. opis urządzenia, schematy, informacje o modułach radiowych i antenach, raporty z badań, analizę ryzyka, wykaz norm oraz opis funkcji bezpieczeństwa.
W przypadku urządzeń sieciowych warto uwzględnić również sposób aktualizacji firmware, uwierzytelniania, ochrony danych oraz komunikacji z aplikacją i chmurą. Dokumentacja powinna odpowiadać rzeczywistej wersji sprzętu i oprogramowania, a producent ma obowiązek przechowywać ją wraz z deklaracją zgodności przez 10 lat od wprowadzenia produktu do obrotu.
Import i private label – kto odpowiada za zgodność?
Importer sprzętu spoza UE nie powinien ograniczać się do sprawdzenia, czy na produkcie znajduje się symbol CE. Musi zweryfikować, czy producent przeprowadził właściwą ocenę zgodności i czy dostępne są wymagane dokumenty.
Szczególna sytuacja występuje w modelu private label lub OEM. Jeżeli importer sprzedaje produkt pod własną marką albo modyfikuje go w sposób mogący wpływać na zgodność, może zostać uznany za producenta i przejąć jego obowiązki.
RED a Cyber Resilience Act
Dyrektywa RED i Cyber Resilience Act nie są tym samym. RED dotyczy urządzeń radiowych, natomiast CRA obejmuje szerzej produkty z elementami cyfrowymi i mocniej koncentruje się na bezpieczeństwie w całym cyklu życia produktu.
Dlatego prawidłowe oznakowanie CE zgodnie z RED nie oznacza automatycznie pełnej zgodności z CRA. Przy projektowaniu nowej elektroniki użytkowej warto analizować oba zestawy wymagań równolegle.
Co oznaczają zmiany RED dla producentów i importerów?
Nowe wymagania RED sprawiają, że przy wprowadzaniu urządzeń z Wi-Fi, Bluetooth i funkcjami IoT trzeba uwzględnić nie tylko parametry techniczne, ale również sposób zabezpieczenia produktu i przetwarzanych przez niego danych. Kluczowe jest prawidłowe określenie, które wymagania mają zastosowanie do konkretnego urządzenia, a następnie udokumentowanie ich spełnienia. Im wcześniej producent lub importer uwzględni te kwestie w procesie projektowania i przygotowania produktu do sprzedaży, tym mniejsze ryzyko kosztownych zmian na końcowym etapie. Zgodność z RED powinna być traktowana jako element całego procesu tworzenia i wprowadzania urządzenia na rynek, a nie wyłącznie formalność poprzedzająca naniesienie znaku CE.
Kategorie: Artykuły specjalistyczne.