RED Siber Güvenlik ve EN 18031: Telsiz Ekipmanı Üreticileri Ne Yapmalı?

Yetki Devrine Dayalı Tüzük (AB) 2022/30 telsiz ekipmanı için neyi değiştiriyor?

Telsiz Ekipmanı Direktifi, yani Direktif 2014/53/AB, her zaman üç alanı kapsamıştır: güvenlik, elektromanyetik uyumluluk (EMC) ve radyo spektrumunun verimli kullanımı. Yetki Devrine Dayalı Tüzük (AB) 2022/30, pek çok bağlantılı telsiz ürünü için dördüncü bir alan ekler: siber güvenlik. Bunu, direktifin Madde 3(3)'teki üç temel gereklilik aracılığıyla yapar.

Bu gereklilikler 1 Ağustos 2025'ten beri uygulanmaktadır. Piyasaya arz birim birim gerçekleştiğinden, bu tarihten itibaren piyasaya arz edilen her birime uygulanırlar. Yıllardır sattığınız bir model, bugün sevk ettiğiniz her yeni birim için bu gereklilikleri karşılamalıdır.

İlgili ürünler için siber güvenlik artık CE işaretinin beyan ettiği hususların bir parçasıdır. Uygulamada bu, siber güvenlik testleri, ek teknik dokümantasyon ve bazı durumlarda bir onaylanmış kuruluş anlamına gelebilir.

Hangi telsiz ürünleri etkileniyor?

RED'in kendisiyle başlayın. RED, iletişim veya radyo ile yer tespiti amacıyla kasıtlı olarak radyo dalgası yayan veya alan her ürünü kapsar. Buna Wi-Fi, Bluetooth, mobil ağlar, RFID ve radar dahildir. Bir telsiz modülü içeren ürün, bir bütün olarak telsiz ekipmanı haline gelir. Bu nedenle yerleşik Wi-Fi modülüne sahip bir paketleme makinesi veya endüstriyel kontrolör telsiz ekipmanıdır ve RED tamamlanmış ürünün tamamına uygulanır.

Yetki devrine dayalı tüzük ise internete bağlı pek çok telsiz ürününü hedefler. Pratik bir ilk kontrol basittir: ürününüzde Wi-Fi, Bluetooth veya mobil bağlantı varsa ve ürün internetle iletişim kuruyorsa, önce yetki devrine dayalı tüzüğü değerlendirin. Ardından, herhangi bir AB ürün mevzuatında yapacağınız gibi kapsam hükümlerini kelimesi kelimesine okuyun ve sonucunuzu uygulanabilirlik analizinize kaydedin.

Gerekçeyi her iki yönde de yazın. Gerekliliklerin uygulandığına karar verirseniz hangilerinin uygulandığını not edin. Uygulanmadığına karar verirseniz kararınızı destekleyen hükmü not edin. Bir otorite veya onaylanmış kuruluş size nedenini sorabilir.

Sade bir dille Madde 3(3)(d), (e) ve (f)

Yetki devrine dayalı tüzükle etkinleştirilen üç temel gereklilik, RED'in Madde 3(3)'ünün (d), (e) ve (f) bentlerinde yer alır. Sade bir dille:

• (d) bendi, ağın korunması: ürün bağlandığı ağı korumalıdır.
• (e) bendi, kişisel veriler: ürün kullanıcılarının kişisel verilerini korumalıdır.
• (f) bendi, dolandırıcılık: ürün dolandırıcılığa karşı koruma sağlamalıdır.

Uygulanabilirlik analizinizi bent bent yapın. Üç bendin her biri için ürününüze uygulanıp uygulanmadığını ve nedenini, cevabınızı destekleyen yetki devrine dayalı tüzük hükmüyle birlikte kaydedin. Aynı yapı daha sonra standart listenize, test raporlarınıza ve beyanınıza da taşınır.

Bu gereklilikler RED'in temel gerekliliklerinin yanında yer alır. Madde 3(1)'deki güvenlik ve EMC tam olarak uygulanmaya devam eder. Madde 3(2)'deki telsiz gereklilikleri de öyle. Telsiz ekipmanında güvenlik ve EMC'yi RED'in kendisi aracılığıyla karşıladığınız için Alçak Gerilim Direktifi'ni veya EMC Direktifi'ni ayrıca uygulamazsınız.

EN 18031 standartları ve atıflarındaki kısıtlamalar

Siber güvenlik gerekliliklerine ilişkin uyumlaştırılmış standartlar EN 18031 serisidir. Her uyumlaştırılmış standartta olduğu gibi bir standart, ancak referansı Avrupa Birliği Resmî Gazetesi'nde yayımlandıktan sonra ve yalnızca kapsadığı gereklilikler için uygunluk varsayımı sağlar.

EN 18031 standartlarına ilk yayımlandıklarında kısıtlamalarla atıf yapılmıştır. Kısıtlama, standardın bir bölümünün uygunluk varsayımı sağlamadığı anlamına gelir. Atfa eklenen not, hangi maddelerin etkilendiğini açıklar. Atıfları şu anda kısıtlamalar içermektedir ve çerçeve hâlâ değişmektedir; bu nedenle herhangi bir karar vermeden önce Resmî Gazete'deki en güncel durumu kontrol etmeniz gerekir.

Uygulamada:

1. Komisyon'un RED için uyumlaştırılmış standartlar özet listesini, ardından hukuki kaynak olan Resmî Gazete'deki uygulama kararını açın.
2. Yalnızca standardın başlığını değil, atfın kendisini ve notlarını okuyun.
3. Her kısıtlamayı ürününüz ve özellikleriyle karşılaştırın.
4. Tam referansı, kontrol ettiğiniz tarihi ve vardığınız sonucu teknik dosyanızdaki tarihli bir standart listesine kaydedin.

Uyumlaştırılmış standartlar ve uygunluk varsayımı rehberimiz listelerin, baskıların ve sona erme tarihlerinin nasıl okunacağını açıklar.

Modül A ne zaman yeterlidir, onaylanmış kuruluş ne zaman gerekir?

Kısıtlamaların doğrudan bir maliyeti olduğu yer burasıdır. RED kapsamında uygunluk değerlendirme prosedürünün seçimi uyumlaştırılmış standartlara bağlıdır:

Dolayısıyla siber güvenlik gereklilikleri için modül A üç durumda artık mümkün değildir: EN 18031 atfındaki bir kısıtlama ürününüzü etkiliyorsa, standartları yalnızca kısmen uyguluyorsanız veya gerekliliği kapsayan bir uyumlaştırılmış standart yoksa. Her durumda bu gereklilikler için bir onaylanmış kuruluşun sürece katılması gerekir.

Modül B artı C kapsamında onaylanmış kuruluş tasarımı inceler ve bir AB tip incelemesi sertifikası düzenler, üretimi ise siz kontrol edersiniz. Kuruluş yalnızca tasarım aşamasında görev aldığından dört haneli numarası CE işaretinin ardından gelmez. Modül H kapsamında kuruluş kalite sisteminizi onaylar ve izler; numarası CE işaretinin yanında CE xxxx olarak yer alır.

Bir sözleşme imzalamadan önce, Komisyon'un onaylanmış kuruluşlar veri tabanı NANDO'da kuruluşun RED kapsamında modülünüz ve ürününüz için bildirilmiş olduğunu kontrol edin. Farklı mevzuattaki prosedürler hakkında daha fazla ayrıntı onaylanmış kuruluşa ihtiyacım var mı rehberimizde yer almaktadır.

Teknik dosya, beyan ve Siber Dayanıklılık Yasası ile bağlantı

Teknik dosya, uygulanan her siber güvenlik gerekliliğinin nasıl karşılandığını göstermelidir. Tipik içerik şunları kapsar:

• bent bent uygulanabilirlik analiziniz;
• tam referansları ve kontrol ettiğiniz kısıtlamalarla birlikte uygulanan EN 18031 standartları;
• telsiz, EMC ve güvenlik raporlarının yanında siber güvenlik test raporları;
• bir kısıtlamanın açık bıraktığı her bölüm için kendi gerekçeniz;
• gerektiği durumlarda onaylanmış kuruluş sertifikası.

Entegre telsiz modüllerine dikkat edin. Kendi raporlarına sahip bir modül iyi bir başlangıçtır, ancak ürünün tamamını uygun hale getirmez. Ürünü bir bütün olarak değerlendirin ve her raporun test edilen donanım ve yazılım revizyonuna izlenebilir olmasını sağlayın.

AB uygunluk beyanında Direktif 2014/53/AB, Yetki Devrine Dayalı Tüzük (AB) 2022/30 ile birlikte, ayrıca RoHS ve makine gibi uygulanan diğer mevzuat listelenir. RED kapsamında her birimle birlikte tam beyanın bir kopyası veya bir internet adresi içeren basitleştirilmiş bir beyan verilir.

Son olarak değişime hazırlanın. Siber Dayanıklılık Yasası, yani Tüzük (AB) 2024/2847, ana yükümlülüklerini 11 Aralık 2027'den itibaren uygular. Telsiz ürünleri için RED yetki devrine dayalı tasarrufunun siber güvenlik gerekliliklerinin, Siber Dayanıklılık Yasası tam olarak uygulanmaya başladığında yerini ona bırakması beklenmektedir ve Yetki Devrine Dayalı Tüzük (AB) 2022/30'un şu anki düzenlemeye göre bu tarihten itibaren yürürlükten kaldırılması öngörülmektedir. Resmî Gazete'deki en güncel durumu kontrol edin. Siber Dayanıklılık Yasası tarihleri rehberimiz neyin ne zaman uygulandığını açıklar; RED siber güvenlik kursu ise gereklilikleri ayrıntılı olarak ele alır.

Önemli noktalar

• Yetki Devrine Dayalı Tüzük (AB) 2022/30, 1 Ağustos 2025'ten beri internete bağlı pek çok telsiz ürününe uygulanmaktadır.
• RED Madde 3(3)(d), (e) ve (f)'yi etkinleştirir: ağın korunması, kişisel veriler ve mahremiyet ile dolandırıcılığa karşı koruma.
• EN 18031 uyumlaştırılmış standartlarına kısıtlamalarla atıf yapılmıştır; bu nedenle atfı okuyun ve en güncel durumu kontrol edin.
• Bir kısıtlama ürününüz için önem taşıyorsa veya standartları kısmen uyguluyorsanız, bu gereklilikler için modül A mümkün değildir.
• Siber Dayanıklılık Yasası'nın 11 Aralık 2027'den itibaren bu rolü devralması beklenmektedir.

CE İşaretinin Temelleri kursumuzun ücretsiz ilk modülü, bu kuralların arkasındaki çerçeveyi açıklar: iktisadi işletmeciler, piyasaya arz ve CE işareti.