Importare oggetti per la casa connessa dalla Cina: RED e cybersicurezza 2025

Un oggetto per la casa connessa è, ai sensi del diritto europeo, un'apparecchiatura radioelettrica non appena emette o riceve onde per comunicare con un altro dispositivo o una rete. Una presa pilotabile, una telecamera di sorveglianza, un sensore di movimento o di fumo, un termostato, una lampadina o un robot aspirapolvere connessi in Wi-Fi, Bluetooth, Zigbee o Thread rientrano tutti in questa definizione, qualunque sia la loro funzione domestica.

Questa qualificazione fa scattare un quadro preciso: il prodotto deve rispettare la direttiva RED prima della sua immissione sul mercato europeo, e dal 1° agosto 2025, si applica agli oggetti connessi di consumo uno strato supplementare di requisiti di cybersicurezza.

La direttiva RED, Radio Equipment Directive 2014/53/UE, disciplina l'immissione sul mercato di ogni apparecchiatura radioelettrica nell'Unione Europea. Si applica dal 13 giugno 2016 e ha sostituito la direttiva R&TTE 1999/5/CE. Il suo obiettivo originario copre tre aspetti: la sicurezza e la salute degli utenti, l'uso efficiente dello spettro radioelettrico, e la compatibilità elettromagnetica dell'apparecchio.

Ancor prima della cybersicurezza, un oggetto connesso deve già soddisfare questi requisiti di base per portare la marcatura CE. Il fabbricante, o l'importatore che agisce come tale quando nessun fabbricante stabilito nell'Unione assume questo ruolo, deve produrre una dichiarazione UE di conformità e un dossier tecnico disponibile per le autorità.

Il regolamento delegato (UE) 2022/30 aggiunge tre requisiti essenziali all'articolo 3, paragrafo 3, lettere d, e e f della direttiva RED. Sono entrati in applicazione il 1° agosto 2025 per gli oggetti connessi di consumo, i wearable, i giocattoli connessi e i baby monitor.

Questi tre requisiti si aggiungono, senza sostituirlo, al quadro esistente della RED. Un prodotto che non li rispetta non può portare la marcatura CE, anche se soddisfa altrimenti i requisiti radio ed elettrici classici.

La serie di norme armonizzate EN 18031, pubblicata sulla Gazzetta Ufficiale dell'Unione Europea il 30 gennaio 2025, declina i tre requisiti sopra in criteri tecnici verificabili: EN 18031-1 per la rete, EN 18031-2 per i dati e la vita privata, EN 18031-3 per le garanzie antifrode. Dal 1° agosto 2025, rispettarla fa presumere la conformità al regolamento delegato 2022/30.

Nella maggior parte dei casi, il rispetto di EN 18031 permette un'autodichiarazione: il fabbricante effettua da solo la valutazione, costituisce il dossier tecnico e firma la dichiarazione UE di conformità, senza organismo notificato. Un organismo notificato diventa necessario se il prodotto si discosta da una clausola restrittiva della norma, per esempio se permette di non impostare una password: la presunzione automatica cade allora, e diventa necessario un esame UE del tipo.

Per un oggetto connesso con una funzione radio, Wi-Fi o Bluetooth per esempio, la compatibilità elettromagnetica è coperta dalla stessa RED. Per un apparecchio elettrico senza funzione radio, è la direttiva CEM 2014/30/UE ad applicarsi separatamente per le emissioni e l'immunità.

Un oggetto connesso alimentato dalla rete elettrica resta inoltre soggetto alla direttiva bassa tensione 2014/35/UE per i rischi elettrici, nonché alle direttive RoHS e RAEE sulle sostanze pericolose e la fine vita, come ogni prodotto elettronico. Questi testi si cumulano con la RED, non la sostituiscono.

In Francia, l'ANFR sorveglia il mercato delle apparecchiature radioelettriche: sanzione massima di 1.500 euro per una persona fisica, 7.500 euro per una persona giuridica, oltre a possibili sanzioni penali. Il Cyber Resilience Act prevede un regime distinto, fino a 15 milioni di euro o il 2,5% del fatturato mondiale.

Il Cyber Resilience Act, regolamento (UE) 2024/2847 sui prodotti con elementi digitali, è entrato in vigore il 10 dicembre 2024. Due tappe contano per il sourcing della casa connessa: dall'11 settembre 2026, obbligo di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi all'ENISA o al CSIRT nazionale; dall'11 dicembre 2027, applicazione completa dei requisiti essenziali, della valutazione di conformità, della marcatura CE e della documentazione tecnica del CRA.

Il regolamento delegato 2022/30, che oggi porta la cybersicurezza della RED, sarà abrogato l'11 dicembre 2027 e assorbito dal CRA. Un prodotto già immesso sul mercato prima di quella data resta sotto il regime RED finché non subisce una modifica sostanziale dopo l'11 dicembre 2027; l'obbligo di segnalazione si applica, invece, già dall'11 settembre 2026, qualunque sia la data di immissione sul mercato.

Una fabbrica che produce già oggetti connessi per marchi europei ha normalmente fatto testare le sue referenze da un laboratorio accreditato e dispone di rapporti EN 18031 riutilizzabili o adattabili. Una fabbrica che scopre questi requisiti al momento del vostro ordine rappresenta un rischio di ritardo e di non conformità più elevato.

La politica di aggiornamento del firmware merita un'attenzione particolare: proteggere la rete presuppone che l'apparecchio possa ricevere correttivi di sicurezza dopo la sua immissione sul mercato. Fate precisare per iscritto per quanto tempo la fabbrica si impegna a fornire questi aggiornamenti.

Sorva è una casa di intermediazione e trading tra l'Europa e la Cina, con un team sinofono a Guangzhou e un ufficio a Parigi. Il nostro studio di conformità normativa verifica la classificazione RED del prodotto, la presunzione EN 18031 applicabile e i testi che si cumulano, CEM, bassa tensione, RoHS, prima di ogni impegno di produzione. Un dossier tecnico prodotto raccoglie poi i documenti attesi dalle autorità: rapporti di test, dichiarazione di conformità, scheda radio.

Nella maggior parte dei casi, non pagate onorari sulla merce stessa: aprite una pratica, noi negoziamo l'acquisto per voi presso la fabbrica e prendiamo una commissione sul suo valore franco fabbrica. Lo studio di conformità e il dossier tecnico restano prestazioni a parte, utili già dalla selezione del fornitore.