RED Direktifi siber güvenlik şartları: EN 18031 serisi artık zorunlu

Telsiz Ekipmanları Yönetmeliği 2014/53/AB, siber güvenliğe ilişkin üç koruma hedefini yıllardır metninde taşıyordu ama bunlar uygulanmıyordu. Komisyon'un (AB) 2022/30 sayılı yetkilendirilmiş tüzüğü bu maddeleri belirli telsiz ekipmanı sınıfları için 1 Ağustos 2025 itibarıyla uygulanabilir hâle getirdi.

Devreye giren üç hedef şunlar: 3.3(d) ağın korunması, 3.3(e) kişisel veri ve gizliliğin korunması, 3.3(f) dolandırıcılığa karşı koruma. Üçü aynı ürüne birlikte uygulanabiliyor ve hangisinin uygulandığı ürünün işleviyle belirleniyor.

Bu, internete bağlanan telsiz ürünlerinin uygunluk dosyasına yeni bir bölüm eklendiği anlamına geliyor. Radyo ve EMC tarafı değişmiyor; yanına siber güvenlik değerlendirmesi giriyor.

Uyumlaştırılmış standart olarak EN 18031-1:2024, internete bağlı telsiz ekipmanı için ortak güvenlik gerekliliklerini tanımlıyor. EN 18031-2:2024 kişisel veri, trafik verisi veya konum verisi işleyen ekipmanı, EN 18031-3:2024 ise sanal para ya da parasal değer işleyen ekipmanı ele alıyor.

Serinin uyumlaştırılmış olması, standardı tam olarak uygulayan üreticiye uygunluk varsayımı sağlıyor: gereklilikleri karşıladığı kabul ediliyor ve dosya öz beyanla kapatılabiliyor.

Serinin uygunluk varsayımı koşulsuz değil. Ürün kısıtlı maddelerden birini tetiklerse — örneğin kullanıcının şifre belirlemeyi atlamasına izin veren bir tasarım — otomatik uygunluk varsayımı doğmuyor.

Varsayım doğmadığında yol onaylanmış kuruluş üzerinden geçiyor. Bu, hem takvimi hem maliyeti değiştiren bir fark: öz beyanla kapanacak bir dosya, tek bir tasarım tercihi yüzünden üçüncü taraf değerlendirmesine dönüşüyor.

Bu yüzden standardın kısıtlı maddelerinin tasarım aşamasında okunması, test aşamasında okunmasından çok daha ucuz. Varsayılan şifre, atlanabilen ilk kurulum ve güncelleme mekanizmasının bulunmaması en sık karşılaşılan tetikleyiciler.

AB mevzuatı temel gereklilikleri yazar, teknik karşılığını standartlar verir. Bir gereklilik yürürlüğe girdiğinde uyumlaştırılmış standardı henüz yayımlanmamışsa üretici zor bir yola düşer: temel gerekliliği karşıladığını kendi teknik dosyasıyla göstermek ya da onaylanmış kuruluşa başvurmak zorunda kalır.

Uyumlaştırılmış standart yayımlandığında ise uygunluk KARİNESİ doğar: standarda uyan ürünün temel gerekliliği karşıladığı varsayılır ve ispat yükü tersine çevrilir. Üretici kendi beyanını yapabilir hâle gelir.

Bu yüzden siber güvenlik maddelerinin uyumlaştırılmış standarda kavuşması, yükümlülüğün kendisinden ayrı bir öneme sahiptir: yükümlülük zaten vardı, artık karşılanmasının standart bir yolu var.

Ağın korunması başlığı, ürünün bağlandığı ağa zarar vermemesini ve ağ kaynaklarını kötüye kullanmamasını arar. Zayıf varsayılan kimlik bilgileri, gereksiz açık portlar ve doğrulanmayan uzaktan erişim bu başlığın tipik bulgularıdır.

Kişisel verinin korunması başlığı, ürünün işlediği kişisel veriyi ve kullanıcı gizliliğini korumasını arar: veri iletiminin şifrelenmesi, yerel depolamanın korunması, kullanıcının veri üzerindeki kontrolü.

Dolandırıcılığa karşı koruma başlığı, ödeme ya da değer transferi işlevi taşıyan ürünlerde işlemin bütünlüğünü ve yetkilendirmesini arar. Üç başlık farklı ürün gruplarına uygulanır; hangi başlığın hangi üründe geçerli olduğu kapsam tespitinin konusudur.

Siber güvenlik kanıtı bir ölçüm sonucu değildir; uygulanan gereklilik listesi, kapsanan arayüzler, yapılan kontroller ve bulguların giderilme kaydından oluşur. Kapsam beyanı olmayan bir rapor okunamaz.

Raporun yazması gereken kalemler şunlardır: hangi donanım sürümü, hangi yazılım sürümü, hangi arayüzler ve hangi yapılandırma denendi. Sürüm bilgisi olmayan bir kanıt, bir sonraki yazılım güncellemesinden sonra geçerliliğini savunamaz.

Dosya piyasaya arzla kapanmaz: destek süresi boyunca açık izleme ve güncelleme yükümlülüğü sürer ve bu, teknik dosyanın yaşayan bölümüdür.