Rafforzamento della rete IoT e conformità alla direttiva RED

Informatec Digital » Risorse » Rafforzamento della rete IoT e conformità alla direttiva RED

L'esplosione dei dispositivi IoT e radio in case, fabbriche, impianti energetici, sanitari e trasporti ha completamente cambiato il modo in cui ci connettiamo... e anche la superficie di attacco a disposizione dei criminali informatici. Ogni contatore intelligente, ogni dispositivo indossabile e ogni sensore industriale rappresenta, in pratica, un potenziale punto di accesso alla rete se non è stato progettato fin dall'inizio con la sicurezza in mente.

In questo contesto, il rafforzamento delle reti IoT ai sensi della Direttiva sulle apparecchiature radio (RED) e del prossimo Cyber ​​Resilience Act (CRA) è diventato una questione cruciale per produttori, integratori, operatori e qualsiasi azienda che venda prodotti connessi nell'Unione Europea. Non si tratta solo di "adempiere agli obblighi burocratici": i nuovi obblighi legali impongono requisiti molto specifici in materia di sicurezza informatica, privacy e protezione dalle frodi, che hanno un impatto sulla progettazione di hardware, firmware, software, connettività e servizi cloud.

Quadro giuridico europeo: perché RED e CRA cambiano tutto

Nell'ultimo decennio, l'IoT si è espanso grazie a tecnologie come Wi-Fi, Bluetooth e NFC, che hanno trasformato innumerevoli prodotti in dispositivi radio capaci di comunicare tra loro e con il cloud. Tuttavia, in ambito di sicurezza informatica, questi dispositivi sono considerati uno dei punti deboli: molte soluzioni per la casa intelligente mancano ancora persino di una protezione minima e, negli ambienti industriali e manifatturieri, permangono enormi lacune sia nella sicurezza IT che in quella OT.

L'impatto economico di questa situazione è devastante: secondo il Consiglio dell'UE, il costo globale della criminalità informatica si aggirava intorno ai 5,5 miliardi di euro nel 2020 , e studi recenti come quello di Trend Micro indicano che quasi il 90% delle aziende tedesche operanti nei settori energetico, petrolifero, del gas o manifatturiero ha subito attacchi informatici in soli 12 mesi, con danni medi di quasi 3 milioni di euro per azienda.

Nel frattempo, la diffusione dei dispositivi indossabili e dei modelli di business basati sui dati e sull'intelligenza artificiale ha ulteriormente evidenziato l'importanza della protezione delle informazioni personali. Normative come il GDPR (Regolamento (UE) 2016/679) o la precedente Direttiva R&TTE 1999/5/CE si sono rivelate inadeguate a coprire le tipologie di minacce che attualmente gravano sui dispositivi connessi, in particolare per quanto riguarda attacchi informatici avanzati, frodi online e manipolazione dei servizi.

In risposta, l'Unione europea ha rafforzato la Direttiva sulle apparecchiature radio (RED) 2014/53/UE , in vigore dal 2016, che ha sostituito la Direttiva R&TTE. La RED già regolamentava la compatibilità elettromagnetica, la sicurezza elettrica e l'uso efficiente dello spettro radio; ora incorpora anche obblighi di alto livello in materia di sicurezza informatica che riguardano la maggior parte delle apparecchiature radio connesse, compresi molti dispositivi IoT.

Regolamento delegato (UE) 2022/30 e articoli 3(3)(d)-(f) RED

La vera svolta è arrivata con il Regolamento delegato (UE) 2022/30 , adottato il 29 ottobre 2021. Tale regolamento "attiva" gli articoli 3(3)(d), (e) e (f) del NET, definendo quali categorie di apparecchiature radio devono essere conformi ai nuovi requisiti in materia di sicurezza informatica, privacy e protezione contro le frodi.

Lo standard si concentra su diverse famiglie di prodotti particolarmente sensibili, tra cui una parte consistente dell'ecosistema IoT per consumatori e professionisti :

• Apparecchiature radio connesse a InternetQualsiasi dispositivo in grado di comunicare con la rete, direttamente o indirettamente. Tra questi rientrano smartphone, tablet, router, dispositivi IoT domestici, sensori industriali connessi, ecc.
• Apparecchiature radio per l'assistenza all'infanzia: prodotti progettati esclusivamente per monitorare o assistere nella cura dei minori, come i baby monitor connessi.
• Apparecchiature radio coperte dalla direttiva sulla sicurezza dei giocattoli 2009/48/CEGiocattoli con funzioni radio in grado di registrare, memorizzare o condividere informazioni, interagire con gli utenti (in particolare i bambini) o che integrano microfoni, altoparlanti o sensori.
• Dispositivi radio indossabili: tutto ciò che è progettato per essere indossato sopra o sopra i vestiti, come smartwatch, activity tracker, auricolari, cuffie o occhiali intelligenti.

È importante notare che alcune categorie sono escluse da questo regolamento perché dispongono già di un proprio quadro normativo specifico: dispositivi medici (Regolamento (UE) 2017/745 e 2017/746), apparecchiature per l'aviazione civile, sistemi di pedaggio elettronico e altri dispositivi regolamentati da diverse normative settoriali ed esclusi dall'ambito di applicazione della RED.

Inizialmente, questi nuovi obblighi sarebbero dovuti entrare in vigore a partire dal 1° agosto 2024, ma la Commissione europea ha deciso di posticipare la data di un anno per dare tempo al settore. La nuova scadenza obbligatoria per la conformità al Regolamento delegato (UE) 2022/30 è il 1° agosto 2025. I produttori, i distributori e gli OEM che integrano moduli radio dovrebbero utilizzare questo tempo per adeguare i progetti, mettere in sicurezza i processi di sviluppo e la documentazione di conformità.

Requisiti di sicurezza informatica, privacy e antifrode nella rete

Gli articoli 3(3)(d), (e) e (f) della RED contengono il nucleo dei nuovi requisiti di sicurezza, progettati per ridurre i rischi associati alla connettività delle apparecchiature radio, in particolare dei dispositivi IoT.

L'articolo 3(3)(d) riguarda tutte le apparecchiature radio connesse a Internet e richiede che siano progettate in modo da non danneggiare la rete o le sue funzioni, abusare delle risorse di rete o degradare in modo inaccettabile il servizio . In pratica, ciò implica misure per impedire che un dispositivo compromesso interrompa un servizio, lanci un attacco DDoS o interferisca con la disponibilità di reti critiche.

L'articolo 3(3)(e) si concentra sulla protezione dei dati personali e sulla privacy degli utenti e degli abbonati. Richiede che le apparecchiature radio che elaborano dati personali incorporino misure di sicurezza per prevenire l'accesso non autorizzato o la trasmissione impropria delle informazioni, ad esempio attraverso solidi controlli di accesso, la crittografia dei dati in transito e a riposo, e i principi di privacy by design e di minimizzazione dei dati.

L'articolo 3(3)(f) introduce requisiti specifici per i dispositivi che elaborano valuta virtuale o valori monetari , ossia quelli coinvolti nei pagamenti digitali, nei portafogli elettronici o in operazioni simili. Questi dispositivi devono includere controlli antifrode avanzati, come meccanismi di autenticazione utente robusti, controlli di integrità delle transazioni e rilevamento di attività sospette.

Inoltre, l'articolo 4 della RED affronta un punto chiave per l'ecosistema IoT : la combinazione di apparecchiature radio con software. I fabbricanti sono tenuti a fornire informazioni sulla conformità delle combinazioni hardware e software previste, garantendo che, dopo un aggiornamento o una modifica del software, il prodotto continui a soddisfare i requisiti essenziali della direttiva.

Ambito di applicazione: cosa si intende per apparecchiatura radio

Per comprendere esattamente cosa siano inclusi in questi obblighi, dobbiamo tornare alla definizione stessa della direttiva. Secondo l' articolo 2, paragrafo 1, della RED , per apparecchiatura radio si intende qualsiasi prodotto elettrico o elettronico che trasmette e/o riceve onde radio a fini di radiocomunicazione o radionavigazione, o che richiede accessori (come un'antenna) per farlo.

Questa definizione è qualificata dalle esclusioni di cui all'articolo 1(2), 1(3) e all'allegato I , che escludono determinate apparecchiature specificamente regolamentate. Inoltre, il regolamento delegato 2022/30 aggiunge la condizione che il dispositivo debba essere in grado di connettersi a Internet affinché si applichino i requisiti di sicurezza informatica di cui agli articoli 3(3)(d)-(f).

In pratica, la maggior parte dei prodotti con funzionalità IoT e connettività wireless commercializzati nell'UE rientreranno nel raggio d'azione della direttiva RED: dai termostati connessi ai controllori industriali con modulo cellulare, passando per dispositivi indossabili, router domestici, altoparlanti intelligenti e soluzioni per edifici intelligenti.

Norme armonizzate EN 18031: la tabella di marcia tecnica

Per agevolare i produttori nel dimostrare la conformità, la Commissione europea ha incaricato il CEN e il CENELEC di sviluppare norme tecniche che traducano i requisiti di legge in controlli e prove concreti. Questo lavoro ha portato alla definizione delle norme armonizzate della serie EN 18031.

Dal 28 gennaio 2025, tre norme EN 18031 sono state armonizzate nell'ambito della direttiva RED , fornendo un percorso relativamente chiaro per la valutazione della sicurezza informatica:

• EN-18031 1: definisce i requisiti di base per la sicurezza informatica delle apparecchiature radio, tra cui autenticazione, crittografia, gestione delle credenziali, meccanismi di avvio sicuro e processi di aggiornamento del firmware.
• EN-18031 2Si concentra sulla tutela della privacy per i team che gestiscono dati personali o sulla posizione, con misure per la minimizzazione dei dati, il controllo degli utenti e la protezione dalle fughe di notizie.
• EN-18031 3Affronta la sicurezza dei dispositivi coinvolti nei pagamenti digitali e nel denaro virtuale, rafforzando l'integrità delle transazioni e la protezione contro le frodi.

Tuttavia, la semplice conformità allo standard non è sufficiente . Alcune clausole di questi standard presentano delle limitazioni e non coprono tutti gli scenari. Ad esempio, i prodotti che consentono il funzionamento senza password obbligatoria, che non dispongono di adeguati controlli parentali o che offrono impostazioni di sicurezza opzionali potrebbero richiedere misure aggiuntive o una valutazione più approfondita.

In questi casi, si raccomanda di coinvolgere un organismo notificato . Tali organismi, designati dagli Stati membri, sono responsabili dell'esecuzione delle valutazioni di conformità quando è richiesto l'intervento di una terza parte indipendente. La Commissione mantiene un elenco ufficiale degli organismi notificati e la collaborazione con uno di essi contribuisce a garantire che il prodotto soddisfi tutti i requisiti specifici, anche quando l'applicazione diretta delle norme armonizzate non è sufficiente.

RED e Cyber ​​Resilience Act: sovrapposizioni e tempistiche

Il Cyber ​​Resilience Act (CRA) aggiunge un ulteriore livello normativo all'ecosistema europeo della cybersicurezza. Il suo ambito di applicazione è ancora più ampio di quello del RED Act, in quanto si applica praticamente a tutti i "prodotti con elementi digitali": chip, software, dispositivi, applicazioni, ecc., coprendo l'intero ciclo di vita, dalla progettazione agli aggiornamenti e alla gestione delle vulnerabilità.

Il CRA stabilisce requisiti di base come l'obbligo di fornire aggiornamenti di sicurezza per diversi anni (le bozze menzionavano cinque anni come riferimento), nonché obblighi specifici per la gestione delle vulnerabilità, la divulgazione responsabile, le informazioni sugli utenti e la segnalazione degli incidenti. I prodotti sono raggruppati in categorie con diversi schemi di conformità: autovalutazione per i prodotti non critici, valutazione da parte di terzi o applicazione di standard per i prodotti di Classe Critica I e valutazione da parte di un organismo nazionale per i prodotti di Classe Critica II.

Ad oggi, il CRA ha già raggiunto un accordo politico in seno alle istituzioni europee , sebbene i suoi requisiti principali non saranno applicati prima di circa tre anni dalla sua entrata in vigore. Tuttavia, gli obblighi di segnalazione delle vulnerabilità e degli incidenti informatici potrebbero entrare in vigore prima della fine del 2025, costringendo molte aziende a rafforzare i propri processi di risposta agli incidenti.

Esiste una chiara sovrapposizione tra la direttiva RED e il regolamento CRA: la maggior parte delle apparecchiature radio sono prodotti con componenti digitali . Inoltre, il regolamento CRA incorpora gli stessi obiettivi di sicurezza informatica degli articoli 3(3)(d)-(f) della direttiva RED. Tuttavia, il punto chiave è la tempistica: gli obblighi previsti dalla direttiva RED e dal relativo regolamento delegato entreranno in vigore il 1° agosto 2025, mentre la maggior parte del regolamento CRA entrerà in vigore in un secondo momento.

In pratica, ciò significa che un produttore di termostati connessi che lancia un prodotto a settembre 2025 dovrà effettuare un'autovalutazione almeno in base ai requisiti della direttiva RED (o affidarsi a un organismo notificato). Successivamente, quando il CRA sarà pienamente applicabile, potrebbe essere necessario effettuare una seconda valutazione nell'ambito di tale quadro, sebbene si preveda una certa convergenza: i requisiti della direttiva RED potrebbero infatti diventare un sottoinsieme dei requisiti del CRA, facilitando il riutilizzo di prove e documentazione.

Rafforzamento tecnico delle reti e dei dispositivi IoT

Oltre alla conformità normativa, la messa in sicurezza di una rete IoT richiede un approccio sistemico completo . Proteggere solo il dispositivo o solo il cloud non è sufficiente: è necessario considerare hardware, firmware, connettività, API, backend e operazioni.

Le principali difese tecniche includono pratiche già allineate ai requisiti di EN 18031, ETSI EN 303 645 o NIST 8259:

• Avvio sicuro e convalida del firmware: impedisce l'esecuzione di codice non autorizzato all'avvio del dispositivo, verificando le firme crittografiche e garantendo l'integrità del firmware.
• Indurimento delle interfacceDisattivare porte e servizi non necessari, segmentare le reti e proteggere le interfacce di gestione con un'autenticazione forte e, ove possibile, un accesso limitato.
• Crittografia delle comunicazioni: utilizzare protocolli moderni come TLS 1.2+ o 1.3 per tutto il traffico dati, inclusi telemetria, comandi di controllo e canali di gestione.
• Gestione solida delle credenziali: rimuovere le credenziali predefinite, forzare la modifica al primo utilizzo, applicare policy sulle password complesse e incorporare, ove opportuno, meccanismi di autenticazione a più fattori.
• Aggiornamenti automatici e sicuri: stabilire processi di aggiornamento OTA (Over-the-Air) con verifica crittografica, canali crittografati e capacità di rollback in caso di errore.
• Sicurezza API: autenticare e autorizzare tutte le chiamate di terze parti, limitare i permessi utilizzando i principi dei privilegi minimi e controllare l'accesso alle risorse chiave.
• Monitoraggio e analisi comportamentale: applicare soluzioni di rilevamento delle anomalie, spesso basate sull'intelligenza artificiale, per identificare comportamenti insoliti dei dispositivi, overflow di traffico o modelli tipici di malware.
• Sicurezza della catena di fornitura: verificare l'origine dei componenti hardware e software, eseguire analisi del firmware e richiedere garanzie di sicurezza ai fornitori.

Parallelamente, la privacy deve essere integrata in modo nativo . Ciò implica non solo la crittografia dei dati, ma anche la minimizzazione delle informazioni raccolte, l'offerta di impostazioni utente chiare, l'evitare il tracciamento non necessario e l'allineamento del trattamento dei dati ai principi del GDPR, fin dalla progettazione e per impostazione predefinita.

Conformità pratica con RED: processi e agenti chiave

Per i produttori, la conformità alla direttiva RED e al regolamento delegato 2022/30 non è solo una questione di ingegneria , ma anche di processi e governance. È consigliabile disporre di una mappatura chiara di tutti i prodotti interessati, della loro architettura, dei dati che gestiscono e delle funzioni di pagamento o monetizzazione che possono far scattare i requisiti dell'articolo 3, paragrafo 3, lettera f).

In molti casi, è possibile effettuare un'autovalutazione , a condizione che il prodotto sia stato progettato in conformità con norme armonizzate e che venga mantenuta una solida documentazione tecnica. Tuttavia, per scenari complessi o quando la norma non copre completamente il caso d'uso, il ricorso a un organismo notificato offre certezza giuridica e tecnica.

Mentre il settore attende la maturazione di standard armonizzati e schemi di valutazione CRA, sono emerse iniziative come PSA Certified , che offrono quadri di certificazione allineati alle normative emergenti (RED, CRA e PSTI del Regno Unito). PSA Certified Livello 1, ad esempio, include una sezione normativa dedicata in cui i produttori possono documentare la propria conformità ai requisiti normativi e sottoporre tale documentazione a una revisione indipendente.

Questi tipi di schemi, allineati alle migliori prassi globali come EN 303 645 e NIST 8259 , consentono agli OEM, ai fornitori di software e ai produttori di chip di anticipare il futuro, integrando fin da ora i controlli richiesti sia da RED che da CRA e da altri quadri normativi nazionali.

Piattaforme IoT, aggiornamenti e gestione della flotta

Un altro aspetto fondamentale per rafforzare la sicurezza delle reti IoT è la capacità di gestire centralmente grandi flotte di dispositivi . Senza una solida piattaforma di gestione, applicare patch, ruotare i certificati o rilevare comportamenti sospetti diventa pressoché impossibile su larga scala.

In questo ambito, le soluzioni IoT complete che combinano orchestrazione dei dati, gestione dei dispositivi, aggiornamenti over-the-air (OTA) e funzionalità di intelligenza artificiale per il processo decisionale stanno acquisendo sempre maggiore importanza. Funzionalità come l'autenticazione SSL reciproca, la rotazione periodica dei certificati e gli aggiornamenti sicuri del firmware rafforzano sia l'endpoint che la rete.

Alcune piattaforme integrano anche strumenti di sicurezza informatica specifici per l'IoT, tra cui la sicurezza in fase di esecuzione e l'analisi continua delle vulnerabilità . Ciò semplifica il rilevamento di anomalie comportamentali nei dispositivi implementati, la scoperta di vulnerabilità sia prima che dopo l'implementazione in produzione e la definizione delle priorità per le azioni di mitigazione.

Parallelamente, queste piattaforme fungono da fondamento per modelli di business basati sulla servitizzazione : monetizzazione dei dati, modelli di abbonamento, servizi avanzati basati su IA/ML, ecc. Pertanto, l'impegno profuso nella conformità a RED e nel rafforzamento della sicurezza non solo riduce il rischio, ma apre anche le porte a nuove fonti di reddito e offerte a valore aggiunto.

Questo approccio nel suo complesso, se progettato con attenzione, dimostra un chiaro impegno per la sicurezza e la regolamentazione da parte dei produttori e dei fornitori di tecnologia, un aspetto sempre più apprezzato sia dai clienti finali che dagli enti regolatori.

Anche le società che offrono servizi di test, certificazione e valutazione della conformità svolgono un ruolo significativo, fornendo audit tecnici, test di laboratorio e persino formazione specializzata su RED, CRA e altre normative. Sfruttare la loro esperienza può accelerare notevolmente il processo di apprendimento per le organizzazioni che si confrontano per la prima volta con questo quadro normativo.

In sintesi, il rafforzamento delle reti IoT nell'ambito della RED e del futuro CRA richiede un ripensamento della progettazione dei prodotti connessi, il consolidamento dei processi di sviluppo, monitoraggio e aggiornamento sicuri e una comprensione approfondita di come ogni dispositivo si inserisca nel complesso panorama normativo europeo. Chi affronterà questa sfida tempestivamente sarà in una posizione migliore per ridurre i rischi, evitare sanzioni e, al contempo, cogliere l'opportunità di distinguersi in termini di sicurezza, affidabilità e qualità in un mercato IoT sempre più esigente.