Decisione di esecuzione (UE) 2025/138 della Commissione del 28 gennaio 2025 che modifica la decisione di esecuzione (UE) 2022/2191 per quanto riguarda le norme armonizzate a sostegno dei requisiti essenziali della direttiva 2014/53/UE del Parlamento europeo e del Consiglio relativi alla cibersicurezza per le categorie e le classi di apparecchiature radio specificate nel regolamento delegato (UE) 2022/30 (Testo rilevante ai fini del SEE)

visto il trattato sul funzionamento dell’Unione europea,

visto il regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio, del 25 ottobre 2012, sulla normazione europea, che modifica le direttive 89/686/CEE e 93/15/CEE del Consiglio nonché le direttive 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE e 2009/105/CE del Parlamento europeo e del Consiglio e che abroga la decisione 87/95/CEE del Consiglio e la decisione n. 1673/2006/CE del Parlamento europeo e del Consiglio¹, in particolare l’articolo 10, paragrafo 6,

Conformemente all’articolo 16 della direttiva 2014/53/UE del Parlamento europeo e del Consiglio², le apparecchiature radio che sono conformi alle norme armonizzate o a parti di esse, i cui riferimenti sono stati pubblicati nella Gazzetta ufficiale dell’Unione europea, sono considerate conformi ai requisiti essenziali di cui all’articolo 3 di tale direttiva, qualora siano contemplati in tali norme o parti di esse.

Con decisione di esecuzione C(2022)5637³, la Commissione ha chiesto al Comitato europeo di normazione (CEN) e al Comitato europeo di normazione elettrotecnica (Cenelec) di elaborare nuove norme armonizzate a sostegno dell’articolo 3, paragrafo 3, primo comma, lettere d), e) ed f), della direttiva 2014/53/UE per le categorie e le classi di apparecchiature radio specificate dal regolamento delegato (UE) 2022/30 della Commissione⁴ («richiesta»).

Sulla base della richiesta il CEN e il Cenelec hanno elaborato le norme armonizzate EN 18031-1:2024 sui requisiti comuni di sicurezza per le apparecchiature radio connesse a Internet, a sostegno del requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera d), della direttiva 2014/53/UE; EN 18031-2:2024 sui requisiti comuni di sicurezza per le apparecchiature radio connesse a Internet, le apparecchiature radio per la cura dei bambini, le apparecchiature radio per giocattoli e le apparecchiature radio indossabili, a sostegno del requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera e), della direttiva 2014/53/UE; e EN 18031-3:2024 sui requisiti comuni di sicurezza per le apparecchiature radio connesse a Internet che elaborano denaro virtuale o valori monetari, a sostegno del requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera f), della direttiva 2014/53/UE.

Insieme al CEN e al Cenelec la Commissione ha valutato se tali norme armonizzate siano conformi alla richiesta.

Le norme armonizzate EN 18031-1:2024, EN 18031-2:2024 e EN 18031-3:2024 comprendono numerose sezioni denominate «Rationale» (motivazioni) e «Guidance» (orientamenti). La sezione denominata «Rationale» intende giustificare la necessità di affrontare determinati rischi. Le sezioni denominate «Guidance» contengono esempi e considerazioni sulle possibilità di attuare determinate misure di attenuazione. Nessuna delle due sezioni summenzionate definisce specifiche. Le sezioni denominate «Guidance» contengono inoltre riferimenti a prodotti della normazione di organizzazioni nazionali di normazione. Come regola generale, le norme armonizzate non dovrebbero includere riferimenti normativi incrociati a tali prodotti della normazione.

I punti 6.2.5.1 e 6.2.5.2 delle norme armonizzate EN 18031-1:2024, EN 18031-2:2024 e EN 18031-3:2024 riguardano le password predefinite. Tali punti offrono ai fabbricanti la possibilità di consentire a un utente di non impostare o utilizzare alcuna password. Si ritiene che, se questa opzione sarà attuata, i rischi di autenticazione pertinenti non saranno affrontati adeguatamente e non sarà pertanto garantita la conformità ai requisiti essenziali di cui all’articolo 3, paragrafo 3, primo comma, lettere d), e) ed f), della direttiva 2014/53/UE.

I punti 6.1.3, 6.1.4, 6.1.5 e 6.1.6 della norma armonizzata EN 18031-2:2024 includono specifiche sul meccanismo di controllo dell’accesso per le apparecchiature radio per giocattoli e per le apparecchiature radio per la cura dei bambini. Più specificamente, le categorie di attuazione descritte nelle sottosezioni «Assessment criteria» (criteri di valutazione) sono le seguenti: controllo dell’accesso basato sul ruolo, controllo dell’accesso discrezionale, controllo dell’accesso obbligatorio o altre. Alcune di queste categorie potrebbero non essere compatibili con il controllo genitoriale o di tutori. In tal caso si ritiene che, qualora non sia attuato il controllo genitoriale o di tutori, i rischi di autenticazione pertinenti non saranno affrontati e non sarà pertanto garantita la conformità ai requisiti essenziali di cui all’articolo 3, paragrafo 3, primo comma, lettera e), della direttiva 2014/53/UE.

Il punto 6.3.2.4 della norma armonizzata EN 18031-3:2024 comprende criteri di valutazione per la sicurezza degli aggiornamenti. Sono stabilite quattro diverse categorie di attuazione, basate su firme digitali, meccanismi di comunicazione sicuri, meccanismi di controllo dell’accesso o altro. Nessuno dei metodi è sufficiente, da solo, ai fini del trattamento di attività finanziarie. Si ritiene che i criteri di valutazione non affrontino adeguatamente i pertinenti rischi di autenticazione e non possano pertanto garantire la conformità al requisito essenziale di cui all’articolo 3, paragrafo 3, primo comma, lettera f), della direttiva 2014/53/UE.

È pertanto opportuno pubblicare i riferimenti delle norme armonizzate EN 18031-1:2024, EN 18031-2:2024 e EN 18031-3:2024 con limitazioni nella Gazzetta ufficiale dell’Unione europea.

Nell’allegato I della decisione di esecuzione (UE) 2022/2191 della Commissione⁵ figurano i riferimenti delle norme armonizzate che conferiscono una presunzione di conformità alla direttiva 2014/53/UE. Per garantire che i riferimenti delle norme armonizzate elaborate a sostegno della direttiva 2014/53/UE siano elencati in un unico atto, i riferimenti delle norme armonizzate EN 18031-1:2024, EN 18031-2:2024 e EN 18031-3:2024 dovrebbero essere inclusi con limitazioni nel suddetto allegato.

La decisione di esecuzione (UE) 2022/2191 dovrebbe pertanto essere modificata di conseguenza.

La conformità a una norma armonizzata conferisce una presunzione di conformità ai requisiti fondamentali corrispondenti di cui alla legislazione dell’Unione in materia di armonizzazione a decorrere dalla data di pubblicazione del riferimento di tale norma nella Gazzetta ufficiale dell’Unione europea. È pertanto opportuno che la presente decisione entri in vigore il giorno della pubblicazione,