ETSI EN 303 645, evaluación de ciberseguridad para IoT de consumo

La conectividad inalámbrica en la electrónica de consumo abre un amplio panorama de nuevas funcionalidades y nuevas aplicaciones. Desde relojes inteligentes que monitorizan datos de salud hasta la identificación biométrica o pagos sin contacto con wearables. La transmisión de datos personales sensibles, ya sea inalámbrica o a través de Internet, ha elevado sobre los potenciales riesgos de Ciberseguridad en dispositivos electrónicos.

¿Qué es la norma ETSI EN 303 645? 

Esta norma ETSI proporciona un base de referencia en seguridad para que los fabricantes demuestren que sus productos cumplen con un determinado nivel de resiliencia ante ciberataques. La conformidad con este estándar permite también incrementar la confianza de los consumidores y proteger la reputación de la empresa. 

Nuestro laboratorio está acreditado para evaluar el cumplimiento de la norma ETSI EN 303 645 y puede guiarle durante todo el proceso de evaluación, definido en la norma ETSI TS 103 701.

Este proceso implica:

• La organización proveedora (Supplier Organization, SO): entidad responsable de una parte significativa de la cadena de suministro del dispositivo sometido al ensayo.
• Un laboratorio de pruebas (Test Laboratory, TL): Una entidad de ensayos independiente, una organización de usuarios o una parte identificable de una SO que lleva a cabo la evaluación de la conformidad del dispositivo sometido al ensayo. Aunque las tres opciones cumplen las disposiciones de la norma ETSI, los laboratorios externos aportan un nivel de confianza adicional, ya que son independientes y están acreditados.

ETSI EN 303 645: una base para cumplir con las futuras normativas de ciberseguridad en todo el mundo  

La mayoría de los reglamentos y códigos que están desarrollando los gobiernos a nivel internacional han adoptado directamente la norma ETSI EN 303 645 o, al menos, la utilizan como referencia para desarrollar sus propias normas (Finlandia, Singapur, Reino Unido, India, Estados Unidos, UE, Australia, por mencionar algunos).  

Cada normativa puede tener sus propias especificidades técnicas y su propio calendario, pero los fabricantes que cumplan la norma ETSI EN 303 645 estarán a medio camino de cumplir los futuros requisitos obligatorios a nivel global.

ETSI EN 303 645 y la Directiva Europea RED

Para acceder al mercado de la Unión Europea, los fabricantes de dispositivos inalámbricos deberán cumplir los requisitos esenciales de la Directiva de Equipos Radioeléctricos (Radio Equipment Directive, RED) antes de proceder al marcado CE de su producto. 

La Comisión Europea introdujo en 2022 un Reglamento Delegado que completaba la directiva RED. De esta forma se activaron los artículos 3.3 (d), 3.3 (e) y 3.3 (f) que cubren aspectos de ciberseguridad como la protección de la red, los datos personales y la privacidad o la protección contra el fraude. 

La Comisión delegó en el CEN-CENELEC la tarea de emitir nuevas normas armonizadas, pero aún no se han publicado los primeros borradores de esas normas. Estas nuevas normas contendrán, al menos, la mayoría de los requisitos ya incluidos en la norma ETSI EN 303 645.  

Inicialmente estaba previsto que el cumplimiento de los requisitos de ciberseguridad de la Directiva de Equipos de Radio fuera obligatorio en agosto de 2024, pero recientemente se ha ampliado el periodo hasta agosto de 2025.

Applus+ Laboratories, un Organismo Notificado para la Directiva RED 

Como Organismo Notificado para la Directiva de Equipos Radioeléctricos (RED), Applus+ Laboratories puede certificar nuevos equipos inalámbricos conforme a todos los requisitos esenciales, incluidos los de ciberseguridad. De este modo, los fabricantes pueden preparar sus productos para las futuras normas armonizadas CEN/CENELEC y demostrar el cumplimiento de los requisitos de ciberseguridad antes de que sean obligatorios. 

Hasta que las normas armonizadas entren vigor, evaluar la seguridad del producto conforme a la norma ETSI EN 303 645 es una forma óptima de demostrar que el producto cumple los requisitos establecidos por la UE, allanando el camino hacia su certificación. 

Ventajas de evaluar su solución IoT con Applus+ Laboratories   

Apoyamos a los desarrolladores de IoT con soluciones de ensayo y certificación para garantizar un nivel de seguridad adecuado de sus soluciones, adaptado a sus objetivos de negocio y a los requisitos del mercado.   

• Ofrecemos un amplio abanico de soluciones de certificación para IoT, entre las que se incluyen la certificación Common Criteria, PSA Certified, SESIP, IEC 62443 o una evaluación ad-hoc por parte de nuestros expertos.  
• Podemos ayudarle a decidir qué opciones de certificación se ajustan mejor a sus requisitos y cómo aprovechar las sinergias entre ellas.