La norma UNE-EN 18031-1:2025, titulada "Requisitos de seguridad comunes para equipos radioeléctricos. Parte 1: Equipos radioeléctricos conectados a Internet", establece un marco normativo para garantizar la ciberseguridad de los dispositivos que se comunican por radiofrecuencia y están conectados a Internet. Esta norma fue publicada por AENOR el 12 de marzo de 2025 y es equivalente a la norma europea EN 18031-1:2024.
Objetivo y alcance
La UNE-EN 18031-1:2025 tiene como objetivo principal reforzar la seguridad de los equipos radioeléctricos conectados a Internet, asegurando que:
- No perjudiquen el funcionamiento de las redes ni degraden los servicios.
- Protejan adecuadamente los datos personales y la privacidad de los usuarios.
- Incluyan mecanismos que prevengan el fraude y el uso indebido de los dispositivos.
Esta norma se aplica a una amplia gama de dispositivos, incluyendo smartphones, routers Wi-Fi, dispositivos IoT, juguetes inteligentes y sistemas de domótica.
Requisitos técnicos clave
La norma establece una serie de mecanismos de seguridad que los fabricantes deben implementar:
Control de acceso y autenticación: Garantizar que solo usuarios autorizados puedan acceder al dispositivo.
Actualizaciones seguras: Implementar procesos que aseguren la integridad y autenticidad de las actualizaciones de software.
Almacenamiento y comunicación seguros: Proteger los datos almacenados y transmitidos mediante técnicas de cifrado y otras medidas de seguridad.
Registro de eventos y notificaciones: Mantener registros de actividades relevantes y notificar al usuario sobre eventos importantes relacionados con la seguridad.
Resiliencia y monitoreo de red: Asegurar que el dispositivo pueda resistir y recuperarse de incidentes de seguridad, así como monitorear su comportamiento en la red para detectar anomalías.
Además, la norma proporciona directrices detalladas para la documentación técnica, incluyendo descripciones funcionales, especificaciones técnicas, evaluaciones de riesgos y diagramas de interfaces.
Evaluación de conformidad y restricciones
La UNE-EN 18031-1:2025 ha sido armonizada por la Comisión Europea, lo que significa que su cumplimiento otorga presunción de conformidad con los requisitos de ciberseguridad de la Directiva de Equipos Radioeléctricos (RED).
Sin embargo, existen ciertas restricciones que los fabricantes deben considerar:
Acceso seguro: Los dispositivos deben requerir una contraseña o mecanismo equivalente para evitar accesos no autorizados.
Control parental: En el caso de equipos destinados a niños o al cuidado infantil, se deben implementar controles parentales adecuados.
Evaluación por terceros: Si un fabricante no cumple completamente con la norma o con las restricciones mencionadas, deberá someter sus productos a una evaluación de conformidad por un organismo notificado antes de comercializarlos en la UE.
Plazos de cumplimiento
Publicación de la norma: 12 de marzo de 2025.
Entrada en vigor de los requisitos de ciberseguridad: 1 de agosto de 2025.
Este calendario proporciona a los fabricantes un período de adaptación para garantizar que sus productos cumplan con los nuevos requisitos de ciberseguridad antes de su entrada en vigor.
Conclusión
La UNE-EN 18031-1:2025 representa un paso significativo hacia la mejora de la ciberseguridad en los equipos radioeléctricos conectados a Internet. Al establecer requisitos claros y detallados, esta norma ayuda a proteger tanto a las redes como a los usuarios finales frente a amenazas cibernéticas, fomentando la confianza en el uso de dispositivos conectados en el mercado europeo.
La norma UNE-EN 18031-2:2025, titulada "Requisitos de seguridad comunes para equipos radioeléctricos. Parte 2: Equipos radioeléctricos que procesan datos", establece directrices específicas de ciberseguridad para dispositivos que procesan datos personales y se conectan a través de radiofrecuencia. Esta norma fue publicada por AENOR el 12 de marzo de 2025 y es equivalente a la norma europea EN 18031-2:2024.
Objetivo y alcance
La UNE-EN 18031-2:2025 tiene como objetivo principal reforzar la protección de la privacidad y los datos personales de los usuarios en equipos radioeléctricos que procesan información sensible. Esta norma se aplica a dispositivos como:
Equipos radioeléctricos conectados a Internet.
Dispositivos para el cuidado infantil.
Juguetes con conectividad inalámbrica.
Equipos ponibles (wearables).
Requisitos técnicos clave
La norma establece una serie de requisitos técnicos que los fabricantes deben implementar para garantizar la seguridad de los datos procesados por los dispositivos:
Control de acceso y autenticación: Implementación de mecanismos que aseguren que solo usuarios autorizados puedan acceder al dispositivo y a los datos que procesa.
Protección de datos personales: Medidas para garantizar la confidencialidad e integridad de los datos personales almacenados y transmitidos por el dispositivo.
Control parental o de tutores: En dispositivos destinados al uso infantil, se requiere la implementación de controles que permitan a los padres o tutores supervisar y limitar el acceso y uso del dispositivo.
Gestión segura de actualizaciones: Procedimientos que aseguren que las actualizaciones de software se realicen de manera segura, protegiendo el dispositivo contra posibles vulnerabilidades.
Evaluación de conformidad y restricciones
La UNE-EN 18031-2:2025 ha sido armonizada por la Comisión Europea, lo que significa que su cumplimiento otorga presunción de conformidad con los requisitos de ciberseguridad establecidos en la Directiva de Equipos Radioeléctricos (RED).
Sin embargo, existen ciertas restricciones que los fabricantes deben considerar:
Contraseñas por defecto: Las cláusulas 6.2.5.1 y 6.2.5.2 permiten que el usuario no establezca ni utilice una contraseña. Si se aplica esta opción, no se abordan adecuadamente los riesgos de autenticación pertinentes y, por tanto, no se garantiza la conformidad con los requisitos esenciales establecidos en la Directiva RED.
Control parental o de tutores: Las cláusulas 6.1.3 a 6.1.6 incluyen especificaciones sobre el mecanismo de control de acceso de los equipos radioeléctricos para juguetes y de los equipos radioeléctricos para el cuidado infantil. Si no se aplica el control parental o de los tutores, no se abordan los riesgos de autenticación pertinentes y, por tanto, no se garantiza la conformidad con el requisito esencial establecido en la Directiva RED.
En caso de no cumplir completamente con la norma o con las restricciones mencionadas, los fabricantes deberán someter sus productos a una evaluación de conformidad por un organismo notificado antes de comercializarlos en la UE.
Plazos de cumplimiento
Publicación de la norma: 12 de marzo de 2025.
Entrada en vigor de los requisitos de ciberseguridad: 1 de agosto de 2025.
Este calendario proporciona a los fabricantes un período de adaptación para garantizar que sus productos cumplan con los nuevos requisitos de ciberseguridad antes de su entrada en vigor.
Conclusión
La UNE-EN 18031-2:2025 representa un avance significativo en la protección de la privacidad y los datos personales de los usuarios de equipos radioeléctricos. Al establecer requisitos claros y detallados, esta norma ayuda a garantizar que los dispositivos conectados a través de radiofrecuencia sean seguros y confiables, fomentando la confianza de los consumidores en el mercado europeo.
La norma UNE-EN 18031-3:2025, titulada "Requisitos de seguridad comunes para equipos radioeléctricos. Parte 3: Equipos radioeléctricos conectados a Internet que procesan dinero virtual o valor monetario", establece directrices específicas de ciberseguridad para dispositivos que gestionan transacciones financieras a través de conexiones inalámbricas. Esta norma fue publicada por AENOR el 12 de marzo de 2025 y es equivalente a la norma europea EN 18031-3:2024.
Objetivo y alcance
La UNE-EN 18031-3:2025 tiene como objetivo principal reforzar la seguridad de los equipos radioeléctricos conectados a Internet que procesan dinero virtual o valor monetario, asegurando que:
No perjudiquen el funcionamiento de las redes ni degraden los servicios.
Protejan adecuadamente los datos personales y la privacidad de los usuarios.
Incluyan mecanismos que prevengan el fraude y el uso indebido de los dispositivos.
Esta norma se aplica a una amplia gama de dispositivos, incluyendo terminales de punto de venta (TPV), monederos electrónicos, dispositivos de pago móvil y otros equipos que gestionan transacciones financieras a través de conexiones inalámbricas.
Requisitos técnicos clave
La norma establece una serie de mecanismos de seguridad que los fabricantes deben implementar:
Control de acceso y autenticación: Garantizar que solo usuarios autorizados puedan acceder al dispositivo y a las funciones de procesamiento de pagos.
Protección de datos financieros: Implementar medidas que aseguren la confidencialidad e integridad de los datos financieros almacenados y transmitidos por el dispositivo.
Gestión segura de actualizaciones: Establecer procedimientos que aseguren que las actualizaciones de software se realicen de manera segura, protegiendo el dispositivo contra posibles vulnerabilidades.
Registro de eventos y notificaciones: Mantener registros de actividades relevantes y notificar al usuario sobre eventos importantes relacionados con la seguridad.
Resiliencia y monitoreo de red: Asegurar que el dispositivo pueda resistir y recuperarse de incidentes de seguridad, así como monitorear su comportamiento en la red para detectar anomalías.
Evaluación de conformidad y restricciones
La UNE-EN 18031-3:2025 ha sido armonizada por la Comisión Europea, lo que significa que su cumplimiento otorga presunción de conformidad con los requisitos de ciberseguridad establecidos en la Directiva de Equipos Radioeléctricos (RED).
Sin embargo, existen ciertas restricciones que los fabricantes deben considerar:
Actualizaciones seguras: Los dispositivos que procesan dinero virtual o valor monetario y que disponen de la posibilidad de actualizarse deben someterse a una evaluación de conformidad por parte de un organismo notificado para verificar que las actualizaciones son seguras.
Evaluación por terceros: Si un fabricante no cumple completamente con la norma o con las restricciones mencionadas, deberá someter sus productos a una evaluación de conformidad por un organismo notificado antes de comercializarlos en la UE.
Plazos de cumplimiento
Publicación de la norma: 12 de marzo de 2025.
Entrada en vigor de los requisitos de ciberseguridad: 1 de agosto de 2025.
Este calendario proporciona a los fabricantes un período de adaptación para garantizar que sus productos cumplan con los nuevos requisitos de ciberseguridad antes de su entrada en vigor.
Conclusión
La UNE-EN 18031-3:2025 representa un avance significativo en la protección de las transacciones financieras realizadas a través de dispositivos radioeléctricos conectados a Internet. Al establecer requisitos claros y detallados, esta norma ayuda a garantizar que los dispositivos que procesan dinero virtual o valor monetario sean seguros y confiables, fomentando la confianza de los consumidores en el mercado europeo.
Autor: Dpto. Redaccion - Conectrónica
