Cybersecurityeisen radioapparatuur (RED) — de drie eisen voor verbonden apparaten

De Radio-equipmentrichtlijn stelt al sinds 2014 een basisniveau van veiligheid verplicht voor alle radioapparatuur; deze gedelegeerde verordening activeert daarbovenop drie extra cybersecurity-eisen uit artikel 3, lid 3, onder d, e en f van die richtlijn: netwerkbescherming, bescherming van persoonsgegevens en privacy, en bescherming tegen fraude. Ze gelden niet voor alle radioapparatuur, maar alleen voor drie afgebakende groepen apparaten die zelfstandig met internet kunnen verbinden — van wifi-camera's tot slimme speelgoed. Anders dan de Cyber Resilience Act, die per 11 december 2027 een vergelijkbaar maar veel breder eisenpakket aan bijna alle digitale producten en software gaat stellen, gaat het hier uitsluitend om apparatuur met een radiofunctie, en gelden de eisen al sinds 1 augustus 2025.

Waarvoor is dit bedoeld

Draadloze consumentenapparatuur — babyfoons, wifi-camera's, slimme speelgoed, wearables — communiceert steeds vaker rechtstreeks met internet en verwerkt daarbij gegevens of geld. De gedelegeerde verordening dwingt fabrikanten om voor die apparaten drie van de essentiële eisen uit de RED, die tot 2022 op de plank lagen, daadwerkelijk aan te tonen: het apparaat mag het netwerk niet schaden, moet persoonsgegevens en privacy beschermen, en moet fraude met geld of virtuele valuta voorkomen.

Voor wie

Fabrikanten en importeurs van radioapparatuur die onder een van de drie categorieën valt. Er geldt geen omzet- of personeelsdrempel: een eenmanszaak die een enkel wifi-apparaat op de markt brengt, valt er net zo goed onder als een grote fabrikant. Het aanknopingspunt is het product, niet het bedrijf.

Wat er niet onder valt

Medische hulpmiddelen onder Verordening (EU) 2017/745 of 2017/746 zijn uitgezonderd van alle drie de eisen. Apparatuur onder de typegoedkeuring van motorvoertuigen (Verordening (EU) 2019/2144), gecertificeerde civiele luchtvaart (Verordening (EU) 2018/1139) of de tolheffingsrichtlijn (Richtlijn (EU) 2019/520) is uitgezonderd van de eisen e en f. Radioapparatuur zonder enige vorm van internetverbinding — een gewone afstandsbediening, een walkietalkie zonder internetfunctie — valt in de regel buiten alle drie de categorieën.

Wat je moet doen

Aantonen dat het product aan de drie eisen voldoet, als onderdeel van de bredere CE-conformiteitsbeoordeling onder de RED. Dat kan door de geharmoniseerde normen te volgen die de Commissie voor dit doel heeft aangewezen, of door een andere weg te kiezen waarmee hetzelfde beschermingsniveau wordt aangetoond. De technische documentatie moet dit onderbouwen en beschikbaar zijn voor de toezichthouder.

De drie categorieën apparatuur

Artikel 3, lid 3, onder d (netwerkbescherming) geldt voor alle radioapparatuur die zelfstandig via internet kan communiceren, rechtstreeks of via andere apparatuur. Onder e (persoonsgegevens en privacy) valt diezelfde internetverbonden apparatuur, plus apparatuur die specifiek voor kinderopvang is bedoeld, speelgoed onder de Speelgoedrichtlijn (2009/48/EG), en draagbare apparatuur die op het lichaam wordt gedragen — steeds mits zij persoonsgegevens kan verwerken. Onder f (fraudebescherming) valt internetverbonden apparatuur waarmee de gebruiker geld, monetaire waarde of virtuele valuta kan overmaken.

De EN 18031-normen

Voor de drie eisen zijn drie geharmoniseerde normen ontwikkeld: EN 18031-1 voor netwerkbescherming, EN 18031-2 voor persoonsgegevens en privacy, en EN 18031-3 voor fraudebescherming. Het volgen van een geharmoniseerde norm geeft een fabrikant een vermoeden van conformiteit met de bijbehorende essentiële eis.

Beperkingen op de normen

Bij de publicatie van de referentie van de EN 18031-normen in het Publicatieblad zijn beperkingen (‘restrictions’) aangetekend: de normen dekken niet op ieder punt volledig de essentiële eis waarop ze zien, zodat het vermoeden van conformiteit niet zonder meer voor de volle breedte van de eis geldt. Voor fabrikanten betekent dit dat het volgen van EN 18031 alleen niet altijd voldoende is; op de punten die de beperking betreft, moet aanvullend worden aangetoond dat aan de eis is voldaan. De precieze inhoud van deze beperkingen — welke onderdelen van de norm wel en niet zijn gedekt — is in dit onderzoek niet bij de brontekst in het Publicatieblad geverifieerd.

Zelfcertificering of aangemelde instantie

Bij volledige en juiste toepassing van een geharmoniseerde norm zonder beperkingen kan een fabrikant in beginsel zelf certificeren (interne productiecontrole). Waar geen geharmoniseerde norm is gevolgd, of waar een norm — zoals bij EN 18031 het geval is — een beperking kent, is voor de niet-gedekte onderdelen een aangemelde instantie nodig om de conformiteit te beoordelen.

Uitstel van de invoering

De verordening zelf schreef aanvankelijk 1 augustus 2024 als toepassingsdatum voor. Gedelegeerde Verordening (EU) 2023/2444 heeft die datum met een jaar uitgesteld naar 1 augustus 2025, omdat de Europese normalisatieorganisaties CEN en Cenelec meer tijd nodig hadden om de EN 18031-normen af te ronden.

Verhouding tot de Cyber Resilience Act

De CRA stelt vanaf 11 december 2027 een breder eisenpakket voor kwetsbaarhedenbeheer en productbeveiliging verplicht voor vrijwel alle producten met digitale elementen, dus ook voor radioapparatuur. Deze drie RED-cybereisen zijn dan bedoeld te worden geabsorbeerd door dat bredere kader, zodat fabrikanten niet met twee overlappende regimes te maken krijgen. Tot die datum blijft deze gedelegeerde verordening het geldende recht voor radioapparatuur.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur (RDI) is de nationale markttoezichthouder voor radioapparatuur onder de Telecommunicatiewet.

Boete

De verordening zelf bevat geen sanctiebepaling. Handhaving verloopt via de Nederlandse implementatie van de RED in de Telecommunicatiewet en het bijbehorende marktoezicht van de RDI, die onder meer een product uit de handel kan laten nemen; de bestuurlijke boetebedragen die daarbij horen zijn in dit onderzoek niet geverifieerd.