(1)

La protección de la red o su funcionamiento frente a los daños, la protección de los datos personales y la privacidad de los usuarios y de los abonados y la protección contra el fraude son los elementos en los que se basa la protección contra los riesgos de ciberseguridad.

(2)

Como se indica en el considerando 13 de la Directiva 2014/53/UE, la protección de datos personales y de la privacidad de los usuarios y de los abonados a equipos radioeléctricos, así como la protección contra el fraude, pueden mejorarse mediante funciones especiales de los equipos radioeléctricos. Por tanto, según dicho considerando, los equipos radioeléctricos deben diseñarse de manera que sean compatibles con las funciones necesarias para acceder a tales servicios.

(3)

La red 5G desempeñará un papel clave en el desarrollo de la economía y la sociedad digitales de la Unión en los próximos años y podrá afectar a casi todos los aspectos de la vida de los ciudadanos de la Unión. El documento titulado «Ciberseguridad de las redes 5G: conjunto de instrumentos de la UE para las medidas de reducción del riesgo» (2) identifica un posible conjunto común de medidas capaces de mitigar los principales riesgos de ciberseguridad de las redes 5G y proporciona orientaciones para la selección de medidas que deben priorizarse en los planes de mitigación a escala nacional y de la Unión. Además de esas medidas, es muy importante seguir un enfoque armonizado de los requisitos esenciales relativos a los elementos de protección de la ciberseguridad aplicables a los equipos radioeléctricos 5G cuando se introduzcan en el mercado de la Unión.

(4)

El nivel de seguridad aplicable con arreglo a los requisitos esenciales de la Unión establecidos en el artículo 3, apartado 3, letras d), e) y f), para garantizar la protección de la red, las salvaguardias para la protección de los datos personales y de la privacidad y la protección contra el fraude no menoscabará el elevado nivel de seguridad exigido a escala nacional para las redes inteligentes descentralizadas en el ámbito de la energía en las que vayan a utilizarse contadores inteligentes sujetos a dichos requisitos, ni para los equipos de redes 5G utilizados por los proveedores de redes públicas de comunicaciones electrónicas y servicios de comunicaciones electrónicas disponibles para el público en el sentido de la Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo (3).

(5)

También se han expresado numerosas preocupaciones en relación con el aumento de los riesgos de ciberseguridad como consecuencia del mayor uso por parte de profesionales y consumidores, incluidos los niños, de equipos radioeléctricos que: i) pueden comunicarse por internet, independientemente de si se comunican directamente o a través de cualquier otro equipo («equipo radioeléctrico conectado a internet»), es decir, dichos equipos funcionan con protocolos necesarios para intercambiar datos con internet, ya sea directamente o mediante un equipo intermedio; ii) pueden ser un juguete con función radioeléctrica que también entra en el ámbito de aplicación de la Directiva 2009/48/CE del Parlamento Europeo y del Consejo (4) o están diseñados o destinados exclusivamente al cuidado infantil, como monitores de bebés, o iii) están diseñados o destinados, exclusivamente o no, a ser llevados, ajustados o colgados de cualquier parte del cuerpo humano (cabeza, cuello, tronco, brazos, manos, piernas o pies) o cualquier prenda de vestir (incluidos los accesorios para el cabello, para las manos o el calzado) que lleve la persona, como equipos de radio en forma de reloj de pulsera, anillos, cintas, auriculares o gafas («equipos radioelectrónicos ponibles»).

(6)

A este respecto, deben considerarse equipos radioeléctricos conectados a internet todos los equipos radioeléctricos para el cuidado de niños, los equipos radioeléctricos contemplados en la Directiva 2009/48/CE o los equipos radioeléctricos ponibles, capaces de comunicarse por internet, independientemente de que se comuniquen directamente o a través de cualquier otro equipo. Los implantes, por ejemplo, no deben considerarse equipos radioeléctricos ponibles, ya que no se llevan, se ajustan o se cuelgan de ninguna parte del cuerpo humano o de ninguna prenda de vestir. No obstante, debe considerarse que los implantes son equipos radioeléctricos conectados a internet si son capaces de comunicarse por internet, independientemente de si se comunican directamente o a través de cualquier otro equipo.

(7)

Habida cuenta de las preocupaciones planteadas por el hecho de que los equipos radioeléctricos no garantizan la protección contra los elementos de riesgo para la ciberseguridad, es necesario hacer aplicables a los equipos radioeléctricos de determinadas categorías o clases los requisitos esenciales de la Directiva 2014/53/UE asociados a la protección contra los daños a la red, la protección de datos personales y la privacidad de los usuarios y de los abonados, así como la protección contra el fraude.

(8)

La Directiva 2014/53/UE se aplica a los productos que se ajustan a la definición de «equipo radioeléctrico» del artículo 2 de dicha Directiva, sin perjuicio de las exclusiones específicas indicadas en el artículo 1, apartado 2, y en el artículo 1, apartado 3, de dicha Directiva. Si bien la definición de equipo radioeléctrico que figura en el artículo 2 de la Directiva 2014/53/UE se refiere a los equipos que pueden comunicarse mediante ondas radioeléctricas, ningún requisito de la Directiva 2014/53/UE establece una distinción entre las funciones radioeléctricas y no radioeléctricas de los equipos radioeléctricos y, por tanto, todos los aspectos y partes de los equipos deben cumplir los requisitos esenciales establecidos en el presente Reglamento Delegado.

(9)

Por lo que se refiere a los daños a la red o a su funcionamiento o al uso inadecuado de los recursos de red, la degradación inaceptable de los servicios puede deberse a equipos radioeléctricos conectados a internet que no garanticen que las redes no se vean perjudicadas o utilizadas indebidamente. Por ejemplo, un atacante puede inundar maliciosamente la red de internet para impedir el tráfico legítimo de la red, perturbar las conexiones entre dos productos radioeléctricos, impidiendo así el acceso a un servicio, impedir que una persona concreta acceda a un servicio, perturbar un servicio a un sistema o persona determinado o perturbar la información. En consecuencia, la degradación de los servicios en línea puede dar lugar a ciberataques malintencionados, lo que provocará mayores costes, inconvenientes o riesgos para los operadores, los proveedores de servicios o los usuarios. Por consiguiente, el artículo 3, apartado 3, letra d), de la Directiva 2014/53/UE, que exige que los equipos radioeléctricos no dañen la red ni su funcionamiento, ni utilicen inadecuadamente los recursos de la red de manera que cause una degradación inaceptable del servicio, debe aplicarse a los equipos radioeléctricos conectados a internet.

(10)

También se han planteado preocupaciones en relación con la protección de los datos personales y la privacidad de los usuarios y los abonados de equipos radioeléctricos conectados a internet debido a la capacidad de dichos equipos radioeléctricos para grabar, almacenar y compartir información, interactuar con el usuario, incluidos los niños, cuando dichos equipos radioeléctricos tienen incorporados altavoces, micrófonos y otros sensores. Estas preocupaciones se refieren, en particular, a la capacidad de dichos equipos radioeléctricos para grabar fotos, vídeos, datos de localización, datos relacionados con la experiencia del juego, así como el ritmo cardíaco, los hábitos de sueño u otros datos personales. Por ejemplo, se puede acceder a los ajustes avanzados de los equipos radioeléctricos a través de una contraseña predeterminada si la conexión o los datos no están cifrados o si no existe un mecanismo de autenticación fuerte.

(11)

Por tanto, es importante que los equipos radioeléctricos conectados a internet que se introduzcan en el mercado de la Unión incorporen salvaguardias para garantizar la protección de los datos personales y de la privacidad cuando puedan tratar datos personales, tal como se definen en el artículo 4, punto 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (5), o datos, tal como se definen en el artículo 2, letras b) y c), de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (6). En consecuencia, el artículo 3, apartado 3, letra e), de la Directiva 2014/53/UE debe aplicarse a los equipos radioeléctricos conectados a internet.

(12)

Además, por lo que se refiere a la protección de los datos personales y la privacidad, los equipos radioeléctricos para el cuidado de niños, los equipos radioeléctricos contemplados en la Directiva 2009/48/CE y los equipos radioeléctricos ponibles plantean riesgos de seguridad incluso en ausencia de conexión a internet. Los datos personales pueden interceptarse cuando el equipo radioeléctrico emite o recibe ondas de radio y carece de salvaguardias que garanticen la protección de datos personales y de la privacidad. Los equipos radioeléctricos para el cuidado de niños, los equipos radioeléctricos contemplados en la Directiva 2009/48/CE y los equipos radioeléctricos ponibles pueden controlar y registrar una serie de datos (personales) sensibles del usuario a lo largo del tiempo y retransmitirlos mediante tecnologías de comunicación que pueden resultar poco seguras. Los equipos radioeléctricos para el cuidado de niños, los equipos radioeléctricos contemplados en la Directiva 2009/48/CE y los equipos radioeléctricos ponibles también deben garantizar la protección de datos personales y de la privacidad cuando sean capaces de tratar, en el sentido del artículo 4, punto 2, del Reglamento (UE) 2016/679, datos personales, tal como se definen en el artículo 4, punto 1, del Reglamento (UE) 2016/679, o datos de tráfico y localización, tal como se definen en el artículo 2, letras b) y c), de la Directiva 2002/58/CE. En consecuencia, el artículo 3, apartado 3, letra e), de la Directiva 2014/53/UE debe aplicarse a dichos equipos radioeléctricos.

(13)

Por lo que se refiere al fraude, la información que incluye datos personales puede sustraerse de equipos radioeléctricos conectados a internet que no garanticen la protección contra el fraude. Los tipos específicos de fraude se refieren a los equipos radioeléctricos conectados a internet cuando se utilizan para realizar pagos a través de internet. Los costes pueden ser elevados y no solo afectan a la persona que ha sufrido el fraude, sino también a la sociedad en su conjunto (por ejemplo, el coste de la investigación policial, los costes de los servicios a las víctimas, los costes de los juicios para determinar responsabilidades). Por este motivo, es necesario garantizar transacciones fiables y minimizar el riesgo de contraer pérdidas económicas por parte de los usuarios de equipos radioeléctricos conectados a internet que ejecuten el pago a través de dicho equipo radioeléctrico y del receptor del pago efectuado a través de dicho equipo radioeléctrico.

(14)

Los equipos radioeléctricos conectados a internet introducidos en el mercado de la Unión deben incluir características que garanticen la protección contra el fraude cuando permitan al titular o usuario transferir dinero, valor monetario o monedas virtuales, tal como se definen en el artículo 2, letra d), de la Directiva (UE) 2019/713 del Parlamento Europeo y del Consejo (7). En consecuencia, el artículo 3, apartado 3, letra f), de la Directiva 2014/53/UE debe aplicarse a dichos equipos radioeléctricos.

(15)

El Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo (8) establece normas sobre los productos sanitarios y el Reglamento (UE) 2017/746 del Parlamento Europeo y del Consejo (9) establece normas sobre los productos sanitarios para diagnóstico in vitro. Ambos Reglamentos (UE) 2017/745 y (UE) 2017/746 abordan determinados elementos de los riesgos de ciberseguridad asociados a los riesgos contemplados en el artículo 3, apartado 3, letras d), e) y f), de la Directiva 2014/53/UE. En consecuencia, los equipos radioeléctricos a los que se apliquen cualquiera de esos Reglamentos no deben pertenecer a las categorías o clases de equipos radioeléctricos que deben cumplir los requisitos esenciales establecidos en el artículo 3, apartado 3, letras d), e) y f), de la Directiva 2014/53/UE.

(16)

El Reglamento (UE) 2019/2144 del Parlamento Europeo y del Consejo (10) establece requisitos para la homologación de tipo de los vehículos, así como de sus sistemas y componentes. Asimismo, el principal objetivo del Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo (11) es establecer y mantener un nivel de seguridad aérea elevado y uniforme en la Unión. Además, la Directiva (UE) 2019/520 del Parlamento Europeo y del Consejo (12) establece las condiciones para la interoperabilidad de los sistemas de telepeaje de carretera y para facilitar el intercambio transfronterizo de información sobre el impago de cánones de carretera en la Unión. Los Reglamentos (UE) 2019/2144 y (UE) 2018/1139 y la Directiva (UE) 2019/520 abordan elementos de los riesgos de ciberseguridad asociados a los riesgos establecidos en el artículo 3, apartado 3, letras e) y f), de la Directiva 2014/53/UE. Por tanto, los equipos radioeléctricos a los que se aplican los Reglamentos (UE) 2019/2144 y (UE) 2018/1139 o la Directiva (UE) 2019/520 no deben pertenecer a las categorías o clases de equipos radioeléctricos que deben cumplir los requisitos esenciales establecidos en el artículo 3, apartado 3, letras e) y f), de la Directiva 2014/53/UE.

(17)

El artículo 3 de la Directiva 2014/53/UE establece los requisitos esenciales que deben cumplir los agentes económicos. Para facilitar la evaluación de la conformidad con dichos requisitos, establece una presunción de conformidad para los equipos radioeléctricos que cumplan las normas armonizadas voluntarias que se adopten con arreglo al Reglamento (UE) n.o 1025/2012 del Parlamento Europeo y del Consejo (13) a fin de establecer especificaciones técnicas detalladas de esos requisitos. Las especificaciones tendrán en cuenta y abordarán el nivel de riesgo que corresponda al uso previsto de cada categoría o clase de equipo radioeléctrico a que se refiere el presente Reglamento.

(18)

Los agentes económicos deben disponer de tiempo suficiente para adaptarse a los requisitos del presente Reglamento. Por tanto, debe aplazarse la aplicación del presente Reglamento. El presente Reglamento no impedirá que los agentes económicos lo cumplan a partir de la fecha de su entrada en vigor.

(19)

La Comisión ha llevado a cabo las consultas oportunas durante los trabajos preparatorios de las medidas establecidas en el presente Reglamento y ha consultado al Grupo de Expertos sobre Equipos Radioeléctricos.