Introduktion
Nytt direktiv för produkter som kommunicerar via internet
Från och med den 1 augusti 2025 träder nya cybersäkerhetskrav i kraft för produkter som klassificeras som internetuppkopplad radioutrustning enligt EU:s Radio Equipment Directive (RED). Det innebär i praktiken en utvidgning av direktivets omfattning för att även inkludera cybersäkerhet, på grund av den växande digitaliseringen och det ökande antalet uppkopplade enheter i samhället.
Radio Equipment Directive (2014/53/EU) introducerades ursprungligen i maj 2014 med syftet att etablera ett enhetligt regelverk för radioutrustning på den europeiska marknaden. Ursprungligen fokuserade direktivet på säkerhet, elektromagnetisk kompatibilitet och effektiv användning av radiospektrum. Men med den delegerade akten (EU 2022/30), som infördes i oktober 2021, har cybersäkerhet lagts till som en central komponent i direktivet. Detta innebär att tillverkare nu också måste säkerställa att deras internetuppkopplade produkter uppfyller krav på skydd av nätverk, personuppgifter och integritet samt åtgärder mot finansiellt bedrägeri.
Vilka produkter omfattas?
De nya reglerna omfattar en rad produkter som kan kommunicera via internet. Dessa inkluderar bland annat smartphones, surfplattor, IoT-enheter, leksaker, babyövervakningssystem och bärbar teknik som smartklockor och fitnessarmband.
Särskilt svårt är det när det kommer till att bedöma vilka produkter som täcks av de nya kraven utpekade i den delegerade akten. Att produkter som har kapabilitet för cellulär uppkoppling och Wi-Fi faller under kraven är ganska enkelt att bestämma, men när det kommer till mer ovanliga protokoll, som kanske till och med är specialtillverkade är det svårare. Detta är mycket vanligt inom industri och OT-sektorn, som ofta använder sig av mindre avancerade och äldre protokoll som är trådlösa (t.ex., Wireless Hart), men inte direkt internetuppkopplade
Vilka krav införs?
De cybersäkerhetskrav som nu adderas berör alla cybersäkerhet och följer enligt nedan:
- Säkerställa högre nätverksskydd
- Säkerställa skyddet av personuppgifter och integritet
- Säkerställa skydd för finansiellt bedrägeri
Vad behöver man göra?
För de som berörs är det nu viktigt att börja förbereda sig för efterlevnad. Detta kan innefatta att genomgå en självbedömning, eller att förlita sig på en tredjeparts utvärdering för att erhålla EU-typcertifiering. De framtida riktlinjerna kommer troligen att bygga på befintliga nätverkssäkerhetsstandarder såsom EN 303 645 och IEC 62443-4-2.
Oavsett åtgärd behöver tillverkare nu säkerställa att produkter som släpps på marknaden inte bara är säkra ur ett hårdvaruperspektiv utan även i sitt nätverks- och dataskydd.
För att navigera genom dessa regeländringar och säkerställa efterlevnad är det viktigt för organisationer att börja med att identifiera vilka produkter som omfattas av de nya kraven, bedöma vilka ändringar som behövs för att uppfylla kraven, och i förekommande fall, säkra nödvändiga certifieringar som visar på efterlevnad och marknadsberedskap inför ikraftträdandet av kraven.
En enkel trestegs-plan innefattar nedan aktiviteter:
- Identifiera relevanta produkter: Bedöm vilka produkter som omfattas av de nya kraven.
- Genomför en säkerhetsöversyn: Bestäm vilka förändringar och uppdateringar som krävs för att uppfylla de nya kraven.
- Säkerställ efterlevnad inom befintliga ramar: För den som följer ledningssystem eller är certifierade enligt vissa standarder behöver RED införas som en del av hela efterlevnads-paketet.
Hur kan man förenkla efterlevnad av kraven?
Industrisektorn upplever just nu en kraftig ökning av lagkrav och nationella såväl som internationella regelverk. Som exempel förväntas Cyber Resilience Act (CRA) träda i kraft 2027, och utöver det förväntas en mängd nya regelverk tillkomma. För tillverkare som har produktion utomlands är det dessutom viktigt att hålla koll på utländska regelverk, och hur de samverkar med annan nationell och internationell lagstiftning.
För den som vill ligga steget före och förenkla arbetet med att övervaka regleringar, leverantörer, sårbarheter och liknande, finns vissa genvägar. Leta efter tjänster som kan övervaka leverantörers efterlevnad, produkter och sårbarheter, eller monitorera regelverksförändringar i de länder där ni har produktion. På Secify jobbar vi med den här typen av tjänster inom ramen för vårt Intelligence-område, där vi kan stötta med engångsinsatser eller på löpande basis. Läs mer här
Sammanfattningsvis står tillverkare av internetuppkopplade produkter inför betydande förändringar som kräver noggrann planering och förberedelse. Genom att förstå de nya kraven, identifiera berörda produkter och vidta åtgärder för att säkerställa efterlevnad, kan företag inte bara undvika potentiella hinder utan också positionera sig väl i en alltmer uppkopplad och säkerhetsmedveten marknad.
