Le règlement délégué (UE) 2023/2444 avait reporté d'un an la date d'application des exigences en matière de cybersécurité de la directive relative aux équipements radioélectriques et corrigeant une erreur dans l'un des articles a été publié au Journal officiel le 27 octobre 2023.

La nouvelle date d'application a été fixée au 1er août 2025.

Cette prolongation a permis aux organismes européens de normalisation de disposer du temps nécéssairepour élaborer les normes harmonisées pertinentes afin qu'elles puissent être disponibles avant l'entrée en vigueur des exigences. L'absence de ces normes rendrait le respect des exigences très fastidieux et nécessiterait l'intervention obligatoire d'un organisme notifié.

Dans les informations de base ci-dessous, nous rappelons le contenu de cette législation.

Informations générales

La directive sur les équipements radioélectriques (RED, 2014/53/UE) s'applique aux équipements émettant et/ou recevant des ondes radio à des fins de radiocommunication et/ou de radiorepérage. De plus en plus de produits étant équipés de possibilités de communication sans fil, par exemple grâce à l'intégration de modules WiFi, Bluetooth, etc., cette directive couvre un large éventail de produits.

La directive impose des exigences en matière de sécurité, de compatibilité électromagnétique et d'utilisation efficace du spectre, mais permet également à la Commission européenne d'imposer des exigences supplémentaires pour certaines catégories d'équipements. Avec le règlement (UE) 2022/30, publié le 12 janvier 2022, elle a fait usage de cette possibilité pour activer les exigences liées à la protection des réseaux, la protection de la vie privée et des données à caractère personnel, la protection contre la fraude. L'amendement publié le 27 octobre 2023 a adapté la date d'application et corrigé une erreur dans l'un des articles. Vous trouverez ci-dessous une synthèse du règlement (UE) 2022/30, tel qu’il a été amendé.

Exigences

Selon ce règlement, qui active un certain nombre d’exigences essentielles de la directive sur les équipements radioélectriques (RED, article 3.3. d, e, f), les fabricants de certaines catégories d'équipements radioélectriques devront intégrer différentes caractéristiques techniques à leurs produits pour améliorer leur degré de cybersécurité avant de les mettre sur le marché européen. Ces mesures visent à :

- Améliorer la résilience du réseau : « Les équipements radioélectriques ne portent pas atteinte au réseau ou à son fonctionnement ni ne font une mauvaise utilisation des ressources du réseau, provoquant ainsi une détérioration inacceptable du service (RED, article 3.3.d) »
- Mieux protéger la vie privée des utilisateurs : « Les équipements radioélectriques comportent des sauvegardes afin d'assurer la protection des données à caractère personnel et de la vie privée des utilisateurs et des abonnés (RED, article 3.3.e) »
- Réduire le risque de fraude monétaire : « Les équipements radioélectriques sont compatibles avec certaines caractéristiques assurant la protection contre la fraude (RED, article 3.3.f). »

Pour quels produits ?

Les catégories d'équipements sans fil auxquelles s'appliquent une ou plusieurs des exigences essentielles susmentionnées sont les suivantes :

- Équipements radioélectriques capables de communiquer de manière autonome sur l'internet, que ce soit directement ou par l'intermédiaire d'autres équipements (« équipements radioélectriques connectés à l'internet ») ;
- équipements radioélectriques conçus exclusivement pour la garde d’enfants ;
- équipements radioélectriques qui sont des jouets ;
- équipements radioélectriques portés par des êtres humains ou destinés à être attachés ou suspendus au corps humain ou aux vêtements (« wearables »).
- Certaines catégories d’équipements radioélectriques dont la cybersécurité est garantie par une législation européenne spécifique existante, comme les dispositifs médicaux, sont exclues.

Évaluation de la conformité

Conformément aux principes habituels utilisés dans la législation sur les produits, le règlement n'impose que des exigences essentielles (articles RED 3.3.d,e,f) qui sont formulées en termes généraux comme des objectifs à atteindre. Les fabricants ont la possibilité de choisir les solutions techniques spécifiques pour atteindre ces objectifs, mais ce choix a un impact sur la procédure d'évaluation de la conformité qu'ils doivent suivre, en particulier en ce qui concerne l’intervention éventuelle d’une tierce partie.

Si le produit est conforme aux normes harmonisées pour ces exigences, un fabricant peut procéder à une auto-évaluation. Si les normes harmonisées ne sont pas (entièrement) appliquées ou si des normes harmonisées n'existent pas pour ces exigences, une évaluation par une tierce partie est obligatoire.

Afin d'élaborer des normes harmonisées pour soutenir cette législation, la Commission européenne a adressé une demande de normalisation aux organisations européennes de normalisation. L'élaboration des normes (série EN 18031) se fait au sein du CEN/CLC/JTC13 « Cybersécurité et protection des données ».

Source : AGORIA