EN 18031: qué cubre cada parte y cómo aplicar los requisitos de ciberseguridad a productos conectados

La serie EN 18031 se ha convertido en una referencia clave para los fabricantes de equipos radioeléctricos afectados por los nuevos requisitos de ciberseguridad de la Directiva RED. Su objetivo es proporcionar un marco técnico que permita demostrar cómo un producto protege las redes, los datos personales, la privacidad y, cuando corresponde, las operaciones con impacto económico.

Estos requisitos proceden del Reglamento Delegado (UE) 2022/30, que activa la aplicación de los artículos 3.3(d), 3.3(e) y 3.3(f) de la Directiva RED para determinadas categorías de equipos radioeléctricos. Para abordar estos requisitos, la serie EN 18031 se divide en tres partes diferenciadas, cada una orientada a un tipo concreto de riesgo.

Conviene tener en cuenta que este marco regulatorio cambiará a partir del 11 de diciembre de 2027. El Reglamento Delegado (UE) 2026/339 deroga, con efectos desde esa fecha, el Reglamento Delegado (UE) 2022/30, coincidiendo con la aplicación general del Cyber Resilience Act (CRA). Hasta el 10 de diciembre de 2027, los requisitos de ciberseguridad de los artículos 3.3(d), 3.3(e) y 3.3(f) de RED siguen siendo aplicables a los equipos incluidos en el ámbito del Reglamento Delegado (UE) 2022/30.

Sin embargo, comprender EN 18031 no consiste únicamente en identificar qué norma aplica. El verdadero desafío está en analizar el comportamiento real del producto, identificar qué activos expone y determinar qué mecanismos de seguridad son necesarios para protegerlos.

No todos los productos conectados tienen el mismo nivel de exposición ni gestionan los mismos riesgos. Algunos interactúan con redes de comunicaciones, otros procesan información personal y otros realizan operaciones con impacto económico. Por ese motivo, la serie EN 18031 separa los requisitos en tres ámbitos diferenciados.

Un mismo producto puede estar sujeto a más de una parte de la serie. Un dispositivo IoT conectado que recopila datos personales puede requerir la evaluación de EN 18031-1 y EN 18031-2. Si además incorpora funciones de pago o transferencia de valor, también puede requerir la aplicación de EN 18031-3.

La pregunta clave para el fabricante no es únicamente qué producto comercializa, sino qué conectividad incorpora, qué datos trata y qué acciones permite realizar al usuario

En estos productos resulta necesario analizar aspectos como:

• Accesos no autorizados.
• Comunicaciones inseguras.
• Configuraciones débiles.
• Actualizaciones de software no protegidas.
• Uso indebido de recursos de red.
• Capacidad de resiliencia frente a incidentes o comportamientos anómalos.

EN 18031-2 se centra en aquellos equipos que procesan datos personales, datos de tráfico o datos de localización. Está vinculada al artículo 3.3(e) de la Directiva RED y tiene como objetivo proteger la privacidad de usuarios y abonados.

La norma puede afectar a productos tan diversos como wearables, juguetes conectados, dispositivos para el cuidado infantil, aplicaciones asociadas a equipos conectados o productos IoT destinados al consumo.

El análisis debe considerar cuestiones como:

• Qué datos recopila el producto.
• Dónde se almacenan.
• Cómo se transmiten.
• Quién puede acceder a ellos.
• Qué medidas existen para evitar accesos no autorizados, exposición o manipulación de la información.

La evaluación no debe limitarse al dispositivo físico. También resulta necesario revisar firmware, software, interfaces, aplicaciones asociadas, mecanismos de actualización, credenciales y documentación técnica.

La serie EN 18031 no solo identifica qué riesgos deben abordarse, sino también qué mecanismos de seguridad pueden ser necesarios para proteger los activos del producto. El principio es sencillo: si el producto expone un activo, ese activo debe protegerse; si no existe dicho activo, el requisito puede no resultar aplicable, siempre que esa decisión esté justificada técnicamente.

Entre los mecanismos contemplados se encuentran:

• ACM: control de acceso.
• AUM: autenticación de usuarios.
• SUM: actualización segura de software y firmware.
• SSM: almacenamiento seguro de información.
• SCM: comunicaciones seguras.
• LGM: registro de eventos y trazabilidad.
• DLM: eliminación segura de datos.
• UNM: información y gestión orientada al usuario.
• RLM: resiliencia operativa.
• NMM: monitorización y detección de anomalías.
• TCM: control del uso de recursos y tráfico.
• CCK: protección de claves criptográficas.
• GEC: capacidades generales de seguridad.
• CRY: uso adecuado de mecanismos criptográficos.

No todos estos mecanismos aplican a todas las partes de la serie. Algunos son comunes a los tres requisitos RED, mientras que otros están específicamente orientados a privacidad, fraude o protección de redes.

Uno de los aspectos más relevantes de EN 18031 es que no basta con incorporar mecanismos de seguridad; es necesario implementarlos correctamente y poder demostrar que funcionan.

Por ejemplo, disponer de autenticación no garantiza por sí mismo la seguridad del producto si existen credenciales por defecto fácilmente explotables. Del mismo modo, una actualización de firmware solo resulta eficaz cuando incorpora mecanismos que impidan la instalación de software malicioso o no autorizado.

La misma lógica aplica al almacenamiento de información, la gestión de claves criptográficas o las comunicaciones. Utilizar mecanismos de protección de forma incorrecta puede generar vulnerabilidades tan graves como la ausencia total de dichos mecanismos.

Por este motivo, la norma exige justificar las decisiones adoptadas, demostrar por qué un requisito aplica o no aplica y aportar evidencias que permitan verificar que los controles implementados protegen adecuadamente los activos identificados.

Una forma práctica de iniciar el análisis consiste en responder tres preguntas:

Si la respuesta es afirmativa en más de una pregunta, es probable que el producto requiera una evaluación combinada. Esta situación es especialmente frecuente en dispositivos conectados que integran aplicaciones móviles, servicios cloud, autenticación de usuarios y funcionalidades avanzadas de gestión de datos o pagos.

La serie EN 18031 forma parte del marco técnico utilizado para abordar los requisitos de ciberseguridad dentro de la Directiva RED. Esto implica que la ciberseguridad debe integrarse en el proceso general de evaluación de conformidad junto con otros requisitos aplicables, como compatibilidad electromagnética, seguridad eléctrica y requisitos radioeléctricos.

Para ello, los fabricantes deben ser capaces de demostrar:

• Qué riesgos se han identificado.
• Qué mecanismos de seguridad se han implementado.
• Cómo se protegen los datos, comunicaciones y funciones críticas.
• Cómo se gestionan vulnerabilidades y actualizaciones.
• Qué evidencias técnicas respaldan las decisiones adoptadas.

Entre los errores más habituales destacan:

• Asumir que EN 18031-1 cubre por sí sola todos los requisitos de ciberseguridad.
• Evaluar únicamente el dispositivo físico y no el ecosistema completo del producto.
• Marcar requisitos como no aplicables sin una justificación técnica adecuada.
• Implementar controles de seguridad sin evidencias que permitan validar su eficacia.
• Dejar el análisis de ciberseguridad para las fases finales del desarrollo.

Estas situaciones suelen traducirse en carencias documentales, problemas durante la evaluación de conformidad y dificultades para justificar el comportamiento del producto frente a los requisitos regulatorios.

ALTER ayuda a fabricantes de equipos radioeléctricos conectados a identificar qué requisitos de ciberseguridad RED pueden aplicar a su producto y qué parte de la serie EN 18031 debe considerarse.

Este apoyo puede incluir análisis del alcance aplicable, revisión de documentación técnica, identificación de evidencias necesarias y soporte en procesos de evaluación de conformidad donde intervenga un Organismo Notificado en ciberseguridad bajo la Directiva RED.

También puedes ampliar información sobre los nuevos requisitos de ciberseguridad de la Directiva RED, la Directiva RED 2014/53/UE y el Reglamento Delegado 2022/30 y el servicio de Examen UE de Tipo para las Directivas RED y EMC.

Si el producto combina conectividad radio, tratamiento de datos personales, servicios cloud, aplicaciones móviles o funciones de pago, conviene revisar el alcance desde fases tempranas para evitar desviaciones técnicas o documentales durante el proceso de conformidad.