شرح التوجيه المتعلق بالمعدات اللاسلكية: كل ما تحتاجه لمعرفة متطلبات الأمن الحاسوبي في مجال الطاقة المتجددة

متطلبات الأمن السيبراني للائحة المعدات الراديوية: من المادة 3.3 إلى وضع علامة CE

إذا كنت تبيع منتجًا مزودًا بالراديو في الاتحاد الأوروبي، فأنت تخضع بالفعل إلى توجيه المعدات الراديوية (RED). هذه النقطة ليست جديدة. ما تغير في أغسطس 2025 هو أن الأمن السيبراني أصبح متطلبًا قانونيًا وليس مجرد توصية. وأصبحت RED-DA (العمل المفوض) التي تم اعتمادها رسميًا باعتبارها لائحة (EU) 2022/30 قد فعلت الأحكام الأمنية السيبرانية للمادة 3.3، منهية سنوات من الامتثال الطوعي وتحويل الأهداف الطموحة إلى التزامات قابلة للتنفيذ. بالنسبة للمصنعين، هذا ليس تحديثًا إداريًا طفيفًا. إنه يؤثر على تصميم المنتج، واختباراته، ووثائقه، ودخول السوق. إذا تم الخلط في الأمر، فأنت لا تستطيع قانونيًا وضع علامة CE، مما يعني أنه لا يمكن بيع المنتج بشكل قانوني في الاتحاد الأوروبي.

ما يغطيه توجيه معدات الراديو فعلياً

يحدد توجيه المعدات الراديوية (RED) 2014/53/EU متطلبات أساسية لأي منتج يستخدم طيف التردد اللاسلكي، بشكل متعمد أو غيره. الهواتف المحمولة، أجهزة الراوتر Wi-Fi، أجهزة تتبع Bluetooth، أجهزة الاستشعار المنزلية الذكية، أجهزة استقبال GPS، أجهزة مراقبة الأطفال، الأجهزة القابلة للارتداء: إذا كانت تتواصل لاسلكيًا وتشحن إلى سوق الاتحاد الأوروبي، فمن المؤكد تقريبًا أنها تخضع لتوجيه RED. لم يكن التوجيه يدور حول سلامة التردد اللاسلكي فحسب، بل اشتمل دائمًا على الصحة والتوافق الكهرومغناطيسي وكفاءة الطيف. لكن المادة 3.3 أعطت المفوضية الأوروبية السلطة لتوسيع تلك المتطلبات بشكل أكبر، واستخدمت RED-DA تلك السلطة لجلب أمن الأجهزة اللاسلكية لأول مرة كمطلب ملزم.

النطاق ذو أهمية. ينطبق العمل المفوض بشكل خاص على المعدات الراديوية المتصلة بالإنترنت. جهاز تحكم Bluetooth مستقل بدون اتصال شبكي قد يقع خارج هذا النطاق؛ ثرموستات يدعم Wi-Fi يكاد يكون مؤكدًا أنه لا ينطبق عليه الأمر. يجب على المصنعين التحقق بعناية مما إذا كان منتجهم مؤهلاً قبل افتراض الإعفاء، كما يوضح مقالنا السابق على التكيف مع مواد 3.3(d)، (e)، و(f) بالتفصيل.

المادة 3.3 والتزاماته السيبرانية الثلاثة

المادة 3.3 من RED تعطي المفوضية سلطة فرض متطلبات أساسية إضافية على فئات المنتجات المحددة. تم تفعيل المتطلبات السيبرانية للRED من خلال RED-DA التي تستدعي ثلاثًا من هذه البنود للمعدات الراديوية المتصلة بالإنترنت.

المادة 3.3(d) تقتضي أن المعدات الراديوية لا يجب أن تلحق الضرر بالشبكة أو تضعف تشغيلها. يجب ألا تصبح الأجهزة وسيلة للهجمات على الشبكة، يجب أن تتصرف بشكل متوقع تحت الضغط، ويجب ألا تبث بطرق تضعف البنية التحتية المشتركة.

المادة 3.3(e) تتناول الضمانات لحماية البيانات الشخصية والخصوصية. هذه الفقرة تتجاوز مجرد التشفير الأساسي. يجب أن تحمي الأجهزة بيانات المستخدم أثناء النقل وفي حالة التوقف، تحد من جمع البيانات لما هو ضروري فقط، وتتعامل مع بيانات الاعتماد بشكل آمن طوال دورة حياتها.

المادة 3.3(f) تستهدف منع الاحتيال. يجب أن تحتوي المعدات الراديوية على وسائل حماية تمنع استخدامها لتسهيل الاحتيال ضد المستخدمين أو الأطراف الثالثة. هذه الفقرة تكون ذات صلة خاصة للأجهزة القابلة للدفع، المساعدين الصوتيين، والمعدات المالية المتصلة.

وتنطبق هذه الالتزامات الثلاثة بالتوازي مع ذلك، فالجهاز لا يستوفي الشروط 3-3(د) مع تجاهل 3-3(هـ)، يجب معالجة الركائز الثلاث جميعها. كما تناولنا في مقالاتنا حول التحديات في تنفيذ متطلبات الأمن الحاسوبي لRED،، التفاعل بين هذه البنود هو بالضبط عندما يواجه معظم المصنعين مشكلة ما.

كيف EN 18031 و المعايير المنسقة سد الفجوة

معرفة ما يجب تحقيقه هو جزء فقط من المشكلة. معرفة كيفية إثبات أنك حققت ذلك هو الجزء الآخر، وهنا تصبح المعايير المتجانسة ضرورية.

معايير الأمن السيبراني <strong>ETSI</strong> المعينة على أنها <a href="https://www.en-standard.eu/bs-en-18031-1-2024-common-security-requirements-for-radio-equipment-internet-connected-radio-equipment/" title=""><strong>EN 18031</strong></strong></a> هي المعايير المنسقة التي أقرتها المفوضية للأمن السيبراني في مجال إزالة الأحراج والإزعاج. <strong>EN 18031-1</strong> تغطي حماية الشبكة (منحازة مع 3. (د) ويتناول <strong>EN 18031-2</strong> البيانات الشخصية والخصوصية (3.3(هـ))، ويتناول <strong>EN 18031-3</strong> منع الغش (3. وهي تترجم معاً الأحكام القانونية الواردة في اتفاق خفض الانبعاثات الناتجة عن إزالة الغابات وتدهورها إلى متطلبات تقنية محددة وقابلة للتميز.

والأهمية العملية لهذا الأمر حقيقية. وبموجب قانون الاتحاد الأوروبي، تستفيد المنتجات التي تمتثل لمعيار متناسق من "قرينة المطابقة" مع المتطلبات الأساسية المقابلة. إثبات الامتثال EN 18031 هو أكثر الطرق مباشرة للوفاء بالمادة 3. دون أن يكون على هيئة مُخطرة أن تفصل في تفسير الصانع للقانون. كما ناقشنا في مقطعتنا على كيف أن EN 18031 شكل أمان المنتجات اللاسلكية، المعيار ليس قراءة اختيارية لأي شخص يمر عبر تقييم المطابقة

متطلبات اختبار RED التي تتدفق من EN 18031 محددة. وهي تشمل مراقبة الدخول، وآليات تحديث البرمجيات، والتشغيل الآمن، وتقليل البيانات، وتخزين وثائق التفويض، وغير ذلك. وتواجه الجهات المصنعة التي تكتشف هذه المتطلبات في مرحلة ما قبل التصديق نفس النتيجة مراراً وتكراراً: إعادة التصميم. الاختبار لا يفشل في التوثيق، إنه فشل في المنتج.

تقييم المطابقة، وسم CE، ومتطلبات التوثيق

والوصول إلى نهاية دورة التنمية بدون استراتيجية للامتثال أمر مكلف. يتطلب هيكل امتثال RED من المصنعين العمل في أمرين في نفس الوقت: أعمال الأمن التقني والوثائق التي تثبت أنها أنجزت على نحو سليم.

بالنسبة لمعظم المعدات الراديوية المتصلة بالإنترنت، يتطلب تقييم المطابقة تحت RED إما الإعلان الذاتي (الوحدة A) أو مشاركة كيان معتمد عبر الفحص النوعي للاتحاد الأوروبي (الوحدة B). تتاح الوحدة A فقط عندما يكون المصنع قد طبق بالكامل المعايير المتجانسة ذات الصلة. عندما لا ينطبق أي معيار متجانس، أو عندما يقع المنتج في فئة لا يسمح فيها بالوحدة A، يكون مشاركة الكيان المعتمد إلزاميًا.

التوثيق الفني لل RED ليس شكليًا. إنه ملف الأدلة الذي يبرر وضع علامة CE، ويجب أن يحتوي على مواصفات التصميم، قائمة بالمعايير المنطبقة مع تغطيتها، نتائج الاختبارات، تقييم المخاطر، والإعلان عن الامتثال. حزمة الوثائق غير المكتملة أو المتناقضة داخليًا تعتبر كمجموعة غير موجودة على الإطلاق من وجهة نظر مراقبة السوق.

ومطلب CE علامة RED هو البوابة النهائية: لا يمكن تطبيق العلامة إلا بعد التأكد من المطابقة وتوثيقها توثيقا كاملا. وتطبيقه مبكراً يخلق تعاملاً قانونياً عبر كامل سلسلة التوريد؛ فالصانعون والمستوردون والموزعون جميعهم يتحملون المسؤولية.

من الجدير بالذكر أيضًا أن هذا العمل لا يصبح قديمًا بسرعة. كما استكشفنا في لماذا RED هو مخطط نجاح CRA، الأسس التقنية المبنية لامتثال أجهزة إنترنت الأشياء تحت RED تتناسب بشكل وثيق مع ما يتطلبه قانون المرونة السيبرانية. بالنسبة للأجهزة التي تدمج الذكاء الصناعي، تصبح الصورة أكثر تعقيدًا، كما هو موضح في نظرتنا العامة على التداخل بين RED وقانون الذكاء الصناعي. التعامل مع امتثال RED كأساس، بدلاً من كونه موعدًا نهائيًا لتخفيفه ونسيانه، هو الوضع الأكثر عملية على المدى الطويل.

ملخص

الوفاء بامتثال RED ليس مجرد اختبار واحد للنجاح والمضي قدمًا. إن متطلبات الأمن السيبراني الخاصة بتوجيه المعدات الراديوية (عبر المادة 3.3(d)، (e)، و(f)) تطالب بالأمن الذي يُصمم من البداية، يتم التحقق منه ضد EN 18031 والمعايير المتجانسة ذات الصلة، ويوثق بشكل صحيح، وقادر على دعم إدارة الثغرات المستمرة طوال دورة حياة المنتج. المصنعون الذين يتبعون هذه الطريقة يتجنبون التصحيحات المكلفة التي تنتج عن معاملته كفكرة لاحقة.

كيف يمكن لمختبر CCMA أن يساعدك على تحقيق أهدافك

في مختبر الأمن السيبراني QIMA CCLab ، نحن ندعم المصنعين في كل مرحلة من مراحل تلبية متطلبات الأمن السيبراني RED:

• تحليل النطاق والثغرات: نحن نساعدك على تحديد ما إذا كان منتجك يقع في إطار الحد من الانبعاثات الناتجة عن إزالة الغابات وتدهورها، التي تنص عليها المادة 3. تنطبق الشروط، وإلى أي مدى يكون تصميمك الحالي غير ممتثل.

• اختبار ضد EN 18031 و ETSI الأمن الحاسوبي: مختبرنا مقيد بواسطة شهادة الجسم المبلغة RED (ID: 2806)، بمعنى أنه يمكن قبول نتائج اختبارنا مباشرة لامتحان نوع الإتحاد الأوروبي.

• إعداد الوثائق التقنية: نحن ندعم إعداد واستعراض الوثائق الأمنية الكاملة المطلوبة لتقييم المطابقة، من تقارير الاختبار إلى إعلان التوافق.

• الدعم الكامل ل RED: من التشاور الأولي حتى تقديم كيان معتمد، ندير دورة منح الشهادات الكاملة بحيث لا يفقد المصنعون الوقت في التنقل عبر العمليات غير المألوفة.

الأسئلة الشائعة

ما هو توجيه معدات الراديو (RED)؟

ويمثل التوجيه المتعلق بالمعدات اللاسلكية (2014/53/الاتحاد الأوروبي) الإطار التنظيمي للاتحاد الأوروبي الذي يحدد المتطلبات الأساسية للمعدات اللاسلكية الموضوعة في السوق الأوروبية. وبالإضافة إلى السلامة والتوافق الكهرومغناطيسي، فإن قانونها بتفويض السلطة (اللائحة الأوروبية 2022/30) يتطلب الآن معدات لاسلكية متصلة بالإنترنت للوفاء بالالتزامات الملزمة بأمن الفضاء الحاسوبي بموجب المادة 3-3.

ما هي المنتجات التي تخضع لمتطلبات الأمن الحاسوبي للريد؟

وتنطبق متطلبات الأمن الحاسوبي في مجال إزالة الغابات وتدهورها على المعدات اللاسلكية الموصولة بالإنترنت، والمعدات اللاسلكية لرعاية الأطفال، والمعدات اللاسلكية القابلة للارتداء. ويشمل ذلك مجموعة واسعة من المنتجات - الأجهزة المنزلية الذكية وأجهزة توجيه Wi-Fi والقابلة للارتداء والأجهزة الصحية المتصلة والمزيد. وينبغي أن تتحقق الجهات المصنعة من النطاق بعناية، ولا سيما عندما يكون الاتصال بالإنترنت اختياريا أو غير مباشر.

ما هي متطلبات الأمن السيبراني للمادة 3.3؟

وتقتضي المادة 3-3(ه ) توفير ضمانات للبيانات الشخصية والخصوصية الشخصية. (و) يحتاج الأمر إلى حماية من الاحتيال، وتنطبق الثلاثة جميعها في آن واحد على الأجهزة المحيطة، كما أن البرهنة على الامتثال لكل منها أمر ضروري لوسم هذه الأجهزة.

كيف تساعد EN 18031 في الامتثال لـ RED؟

ومجموعة EN 18031 هي مجموعة من المعايير المتناسقة التي صدر بها تكليف بشأن الأمن الحاسوبي في مجال إزالة الغابات وتدهورها. وتستفيد المنتجات التي تمتثل للوثيقة EN 18031-1 وEN 18031-2 وEN 18031-3 من قرينة الامتثال للمادة 3. وهذا هو أكثر الطرق مباشرة من خلال تقييم المطابقة.

هل أحتاج إلى جهة مخولة للحصول على إصدار الشهادات للأمن السيبراني لـRED؟

يعتمد ذلك على ما إذا كنت قد طبقت المعايير المنسقة ذات الصلة تطبيقاً كاملاً. إذا كان EN 18031 ينطبق على منتجك ويمكنك إثبات الامتثال الكامل، فقد يكون الإعلان الذاتي (Module A) متاحاً. إذا لم ينطبق أي معيار متناسق، أو إذا اندرج منتجك في فئة طرف ثالث إلزامية، فإن فحص نوع الاتحاد الأوروبي مطلوب من قبل هيئة إشعارية.

ما هي الوثائق التقنية التي يتطلبها RED؟

ويجب على المصنعين أن يعدوا ويحافظوا على ملف تقني يتضمن مواصفات التصميم، وتقارير الاختبار. (أ) قائمة بالمعايير المنطبقة وكيفية تطبيقها، وتقييمات المخاطر، وإعلان التوافق. ويجب أن تظل هذه الوثائق متاحة لسلطات مراقبة السوق لمدة عشر سنوات على الأقل بعد عرض المنتج على السوق.

متى أصبحت متطلبات الأمن السيبراني لـRED إلزامية؟

وأصبحت الأحكام المتعلقة بالأمن السيبراني في قانون تفويض السلطة في جمهورية الكونغو الديمقراطية إلزامية في 1 آب/أغسطس 2025. ويجب أن تمتثل المنتجات المعروضة على سوق الاتحاد الأوروبي بعد ذلك التاريخ لأحكام المادة 3-3(د) و(ه ) و(و)، أو لا يمكن أن تحمل علامة الجماعة الأوروبية.

هل يمكن للمصنعين إعلان التوافق الذاتي مع متطلبات الأمن السيبراني لـRED؟

نعم، إذا كانت قد طبقت بالكامل المعايير المنسقة ذات الصلة (EN 18031). والإقرار الذاتي من خلال إجراء مراقبة الإنتاج الداخلي (النموذج ألف) مسموح به في تلك الظروف. وحيثما لا يتوفر معيار متناسق أو عندما تتطلب فئة المنتج تقييما من طرف ثالث، يجب إشراك الهيئة المُخطرة. ومختبر CCLab's مؤهل من قبل CerTrust (معرف الجسم المُخطر 2806) لتوفير نتائج الاختبار المقبولة للفحص من نوع الاتحاد الأوروبي.