EN 18031

EN 18031 — Standard di cibersicurezza per le apparecchiature radio ai sensi della RED

La EN 18031 è una serie di norme europee armonizzate in tre parti, sviluppata da ETSI e CEN/CENELEC per rendere operativi i requisiti di cibersicurezza introdotti dall’Atto delegato RED (Regolamento delegato della Commissione UE 2022/30). La serie di norme fornisce i requisiti tecnici specifici che i fabbricanti devono soddisfare per dimostrare la conformità agli articoli 3(3)(d), (e) ed (f) della Direttiva sulle apparecchiature radio — le tre clausole attivate dall’Atto delegato.

Dati principali

Le tre parti della EN 18031

Ciascuna parte della EN 18031 corrisponde direttamente a uno dei tre commi attivati dell’articolo 3(3) della Direttiva sulle apparecchiature radio:

EN 18031-1 — Protezione della rete (Articolo 3(3)(d))

Definisce i requisiti per garantire che l’apparecchiatura radio non danneggi la rete né faccia un uso improprio delle risorse di rete. È la parte più ampia della norma e si applica a qualsiasi dispositivo che si connetta a internet.

I requisiti principali includono:

• Controllo degli accessi — Il dispositivo deve verificare l’identità delle parti prima di concedere l’accesso ai servizi locali o di rete.
• Credenziali univoche — Nessuna password di default condivisa tra le unità del dispositivo; ciascun dispositivo deve avere un identificatore e una credenziale univoci.
• Superficie di attacco minima — Le interfacce, i servizi e le porte di rete inutilizzati devono essere disabilitati per impostazione predefinita.
• Comunicazione sicura — I dati trasmessi sulle reti devono essere protetti contro intercettazione e manomissione.
• Integrità del software — Il dispositivo deve verificare l’autenticità e l’integrità del software prima dell’installazione. La norma è tecnologicamente neutra sull’implementazione: firme digitali, distribuzione tramite canale sicuro, oppure controllo degli accessi combinato con hash sono tutti approcci accettati. (EN 18031-1, clausola 6.3.2 [SUM-2])
• Meccanismo di aggiornamento software — Gli aggiornamenti devono essere distribuiti tramite canali autenticati e cifrati.
• Resilienza — Il dispositivo deve restare funzionale nonostante le interruzioni di rete e resistere agli attacchi denial-of-service.

EN 18031-2 — Protezione della privacy (Articolo 3(3)(e))

Definisce i requisiti per i dispositivi che trattano dati personali, dati relativi al traffico o dati relativi all’ubicazione. Copre tutti i dispositivi che raccolgono, archiviano o trasmettono informazioni personali.

I requisiti principali includono:

• Minimizzazione dei dati — Il dispositivo deve raccogliere e archiviare solo i dati strettamente necessari alla funzione prevista.
• Riservatezza dei dati personali — I dati personali archiviati devono essere protetti contro l’accesso non autorizzato con cifratura adeguata.
• Consenso e trasparenza — Gli utenti devono essere informati sulla raccolta dei dati; le funzioni di telemetria e tracciamento devono essere opt-in.
• Cancellazione sicura — Il dispositivo deve fornire un meccanismo per cancellare in modo sicuro i dati personali (ripristino delle impostazioni di fabbrica).
• Controlli degli accessi per i dati personali — Le API e le interfacce che espongono dati personali devono richiedere l’autenticazione.

EN 18031-3 — Protezione antifrode (Articolo 3(3)(f))

Definisce i requisiti per i dispositivi in grado di avviare transazioni finanziarie — inclusi terminali di pagamento, contatori intelligenti e qualsiasi dispositivo integrato con sistemi di pagamento.

I requisiti principali includono:

• Autenticazione delle transazioni — Le transazioni finanziarie devono essere autenticate tramite meccanismi multifattore o crittografici.
• Evidenza di manomissione — I dispositivi devono rilevare i tentativi di manomissione fisica e reagirvi.
• Archiviazione sicura delle chiavi — Le chiavi crittografiche utilizzate per l’autorizzazione delle transazioni devono essere archiviate in una memoria protetta dall’hardware.
• Audit trail — I registri delle transazioni devono essere mantenuti con protezione dell’integrità.

Quale parte si applica al vostro prodotto?

Relazione con altri standard e normative

La EN 18031 non esiste in isolamento — fa parte di un panorama normativo di cibersicurezza dell’UE più ampio:

Distinzione cruciale: l’Atto delegato RED e il CRA sono strumenti giuridici distinti. Un prodotto pienamente conforme alla EN 18031 non è automaticamente conforme al CRA — i fabbricanti devono soddisfare entrambi secondo le rispettive tempistiche.

Come si dimostra la conformità

Per i fabbricanti di apparecchiature radio esistono due percorsi per dimostrare la conformità alla EN 18031:

1. Autodichiarazione — Se il fabbricante applica la norma armonizzata EN 18031 e mantiene una documentazione tecnica completa che dimostra la conformità a ciascun requisito, può autodichiarare la conformità (Dichiarazione di conformità UE) e apporre la marcatura CE.

2. Valutazione da parte di terzi — Se non viene applicata alcuna norma armonizzata, i fabbricanti devono sottoporsi a un esame UE del tipo da parte di un Organismo notificato ai sensi dell’Allegato IV della Direttiva sulle apparecchiature radio.

Per la maggior parte dei fabbricanti, il percorso della norma armonizzata (autodichiarazione EN 18031) è la via preferita — ma richiede una gap analysis completa e approfondita rispetto a ciascun requisito di sicurezza.

Implicazioni hardware della EN 18031

Molti requisiti della EN 18031-1 hanno dipendenze hardware dirette. Considerazioni chiave:

Integrità del software e SUM-2 (EN 18031-1)

La EN 18031-1 [SUM-2] richiede che il dispositivo installi solo software la cui integrità e autenticità siano valide al momento dell’installazione. La norma è tecnologicamente neutra — firme digitali, distribuzione tramite canale sicuro, oppure controllo degli accessi combinato con hash sono tutti accettati. Il Secure Boot hardware è l’implementazione più robusta ed è fortemente raccomandato, ma anche la verifica basata su software con un’adeguata documentazione nella Documentazione tecnica può soddisfare il SUM-2.

Credenziali univoche per dispositivo (EN 18031-1, controllo degli accessi)

Richiede che ogni dispositivo sia fornito con un identificatore e una credenziale univoci — non una password di default condivisa. Se il dispositivo non dispone di un’infrastruttura di provisioning sicura (ad es. nessuna iniezione di chiavi basata su HSM durante la fabbricazione), soddisfare questo requisito comporta una modifica del processo produttivo unitamente a hardware che supporti l’archiviazione sicura delle chiavi.

Archiviazione delle chiavi protetta dall’hardware (EN 18031-3, antifrode)

Per i dispositivi che richiedono la conformità antifrode, le chiavi crittografiche devono essere archiviate in una memoria protetta dall’hardware — un Secure Element o un HSM. Un MCU con sola memoria flash accessibile via software non può soddisfare questo requisito della EN 18031-3.

Infrastruttura di firma per gli aggiornamenti OTA

Gli aggiornamenti software autenticati (EN 18031-1) richiedono una catena di chiavi di firma. Se il dispositivo non è in grado di verificare le firme dei pacchetti di aggiornamento utilizzando un trust anchor ancorato all’hardware, il meccanismo di aggiornamento firmato è crittograficamente debole.

Tempistiche di conformità e transizione

Un periodo transitorio ha consentito ai fabbricanti di continuare a vendere prodotti sotto il regime precedente, ma questa transizione si è conclusa il 1° agosto 2025. Qualsiasi prodotto attualmente in sviluppo o in preparazione per il lancio sul mercato deve essere conforme alla EN 18031 prima della marcatura CE.

Dalla nostra esperienza

Lavorando direttamente con i fabbricanti di hardware sulle gap analysis EN 18031, questi sono gli schemi ricorrenti che incontriamo nella pratica:

Guasti silenziosi dei fusibili OTP del Secure Boot. In diversi progetti ARM Cortex-M, il tooling di produzione del fornitore del chip documentava la “bruciatura” del fusibile OTP per la chiave radice del secure boot — ma non riusciva silenziosamente a bloccare in modo permanente il fusibile in uno specifico corner di temperatura-tensione durante la fabbricazione a livello di scheda. Il dispositivo sembrava avviarsi in modo sicuro in condizioni di laboratorio, ma in campo restava completamente sbloccabile via JTAG. Ora imponiamo una fase dedicata di verifica del fusibile in ogni banco di collaudo di produzione: dopo la programmazione, il banco rilegge lo stato del fusibile e scarta ogni scheda in cui il bit di lock non risulti confermato impostato. Ciò non è menzionato in alcun punto della norma EN 18031 stessa, ma è una reale modalità di guasto della fabbricazione.

“Ci occuperemo del provisioning più avanti” — l’errore EN 18031 più costoso. Il requisito della credenziale univoca per dispositivo (controllo degli accessi EN 18031-1) viene spesso trattato come un problema software da risolvere dopo il silicio. In pratica, richiede un secure element hardware o, come minimo, una chiave provisionata in fabbrica e archiviata in memoria protetta da eFuse — e un’infrastruttura di provisioning di produzione basata su HSM. Quando i fabbricanti giungono a questa consapevolezza all’inizio della produzione di massa anziché in fase di progettazione del PCB, ciò comporta in genere un re-spin della scheda o un ritardo di 3-4 mesi mentre si costruisce l’infrastruttura di provisioning.

L’applicabilità della EN 18031-2 è più ampia di quanto si aspettino i fabbricanti. Vediamo regolarmente fabbricanti classificare un prodotto come “nessun dato personale, EN 18031-2 non applicabile” — salvo poi scoprire nella gap analysis che il dispositivo registra gli indirizzi MAC Wi-Fi delle reti vicine durante la scansione, oppure memorizza l’SSID della rete domestica dell’utente. Entrambi sono dati personali ai sensi del GDPR e attivano la EN 18031-2. Eseguire per tempo l’esercizio di mappatura dei flussi di dati — prima che l’architettura del firmware sia finalizzata — evita costose modifiche di progetto.

L’argomento della rete privata NB-IoT / LTE-M. Alcuni fabbricanti di IoT industriale sostengono che un dispositivo su un APN privato dedicato non “si connette a internet” e che pertanto la EN 18031-1 non si applica. È un rischio: l’ambito della norma copre qualsiasi dispositivo con capacità di connettività a internet a livello di modulo radio, indipendentemente dalla configurazione di rete. Raccomandiamo di trattare questo aspetto per tempo come una questione da sottoporre all’organismo notificato, non come un’esclusione autodichiarata.

Termini correlati

• Atto delegato RED — Lo strumento giuridico che ha reso obbligatoria la conformità alla EN 18031.
• Direttiva sulle apparecchiature radio (RED) — La direttiva di riferimento che disciplina la marcatura CE delle apparecchiature radio.
• Secure Boot — Requisito tecnico fondamentale collegato alla EN 18031-1.
• Hardware Root of Trust — Percorso di implementazione più robusto per l’integrità del software EN 18031-1 [SUM-2]; non l’unico, ma fortemente raccomandato per modelli di minaccia elevati.
• Aggiornamento OTA — Meccanismi di aggiornamento sicuri richiesti dalla EN 18031-1.
• CRA — Regolamento UE parallelo con requisiti sovrapposti ma distinti.

Fonti ufficiali

• Atto delegato RED UE 2022/30 — testo integrale EUR-Lex
• Elenco delle norme armonizzate per la RED — Commissione europea
• Attivazione della RED Art. 3(3) — Gazzetta ufficiale EUR-Lex

Inovasense offre gap analysis EN 18031 e progettazione dell’architettura di conformità per i fabbricanti di apparecchiature radio. Valutiamo le capacità di secure boot del vostro hardware, il processo di provisioning delle credenziali e l’infrastruttura di aggiornamento OTA rispetto a ciascun requisito EN 18031-1/2/3 — e specifichiamo eventuali modifiche hardware necessarie prima della finalizzazione del layout del PCB, così da evitare costose revisioni hardware dopo l’ingresso sul mercato. Consultate i nostri servizi di conformità UE o la nostra competenza nella sicurezza dei sistemi embedded.