Regolamento (UE) 2022/30

Integrazione della direttiva 2014/53/UE sui requisiti essenziali di cibersicurezza per le apparecchiature radio

Il regolamento delegato n. 2022/30 integra la direttiva 2014/53/UE individuando le categorie di apparecchiature radio alle quali si applicano i requisiti essenziali di cui all’articolo 3, paragrafo 3, lettere d), e) ed f). La ratio è rafforzare in modo armonizzato la sicurezza delle reti, la protezione dei dati personali e della vita privata, nonché la tutela dalle frodi, in un contesto di crescente diffusione di dispositivi connessi a Internet, dispositivi per bambini e dispositivi indossabili.

Ambito e logica regolatoria

Il regolamento si fonda sull’idea che alcune apparecchiature radio possano generare specifici rischi di cibersicurezza. I considerando richiamano, da un lato, la necessità di proteggere le reti e i servizi da danni e abusi delle risorse di rete e, dall’altro, il rischio che dispositivi capaci di raccogliere, conservare o trasmettere dati trattino informazioni personali, dati di traffico o dati di ubicazione senza adeguate salvaguardie. Un ulteriore profilo riguarda le frodi, in particolare quando l’apparecchiatura consente pagamenti o trasferimenti di valore digitale.

Applicazione del requisito relativo alla rete: articolo 3, paragrafo 3, lettera d)

L’articolo 1, paragrafo 1, estende il requisito relativo alla protezione della rete a tutte le apparecchiature radio che possono comunicare tramite Internet, sia direttamente sia tramite altra apparecchiatura. La logica è impedire che tali prodotti causino deterioramenti inaccettabili del servizio, saturazioni della rete o alterazioni delle connessioni e dell’accesso ai servizi.

Protezione dei dati personali e della vita privata: articolo 3, paragrafo 3, lettera e)

L’articolo 1, paragrafo 2, amplia l’applicazione del requisito di tutela dei dati e della vita privata a quattro categorie: apparecchiature radio connesse a Internet, dispositivi per la cura dei bambini, dispositivi disciplinati dalla direttiva 2009/48/CE e apparecchiature radio indossabili. La condizione è che tali apparecchiature siano in grado di trattare dati personali ai sensi del GDPR, oppure dati relativi al traffico e all’ubicazione ai sensi della direttiva ePrivacy.

Tutela dalle frodi: articolo 3, paragrafo 3, lettera f)

L’articolo 1, paragrafo 3, prevede che il requisito sulla tutela dalle frodi si applichi alle apparecchiature radio connesse a Internet che consentono al detentore o all’utente di trasferire denaro, valore monetario o valuta virtuale. Il considerando evidenzia che l’obiettivo è assicurare transazioni affidabili e ridurre il rischio di perdite finanziarie per utenti e destinatari dei pagamenti.

Categorie escluse per sovrapposizione con altre normative UE

L’articolo 2 introduce deroghe per evitare duplicazioni regolatorie. Le apparecchiature radio soggette ai regolamenti (UE) 2017/745 o 2017/746 non sono assoggettate ai requisiti dell’articolo 3, paragrafo 3, lettere d), e) ed f), della direttiva 2014/53/UE. Inoltre, per le apparecchiature soggette al regolamento (UE) 2018/1139, al regolamento (UE) 2019/2144 o alla direttiva (UE) 2019/520, i requisiti della direttiva 2014/53/UE non si applicano limitatamente alle lettere e) ed f).

Definizioni operative e perimetro delle categorie interessate

I considerando chiariscono che rientrano nella nozione di apparecchiature radio connesse a Internet anche i dispositivi per la cura dei bambini, quelli disciplinati dalla direttiva 2009/48/CE e le apparecchiature radio indossabili che possono comunicare tramite Internet. Sono invece escluse dalla nozione di apparecchiature radio indossabili le protesi e gli impianti, poiché non sono "indossati" o assicurati/allegati al corpo o agli indumenti; tuttavia, se connessi a Internet, possono rientrare tra le apparecchiature radio connesse a Internet.

Rapporto con il diritto settoriale e con gli standard tecnici

Il regolamento si colloca nel quadro della direttiva 2014/53/UE, che prevede la presunzione di conformità mediante norme armonizzate adottate ai sensi del regolamento (UE) n. 1025/2012. I considerando richiamano inoltre il documento dell’Unione sulla cybersecurity delle reti 5G, che rappresenta il contesto di politica pubblica nel quale si inserisce l’intervento regolatorio.

Entrata in vigore e applicazione

Ai sensi dell’articolo 3, il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea, ma si applica solo dal 1 agosto 2024. Ciò consente agli operatori economici un periodo di adeguamento prima che i requisiti diventino operativi.