(1)

La protezione dai danni alla rete o al suo funzionamento, la protezione dei dati personali e della vita privata dell’utente e dell’abbonato e la tutela dalle frodi sono elementi a sostegno della protezione dai rischi per la cibersicurezza.

(2)

Come indicato nel considerando 13 della direttiva 2014/53/UE, la protezione dei dati personali e della vita privata degli utilizzatori e degli abbonati alle apparecchiature radio e la tutela dalle frodi possono essere migliorate mediante caratteristiche specifiche delle apparecchiature radio. Secondo tale considerando, le apparecchiature radio dovrebbero pertanto essere progettate, se del caso, in modo da supportare tali caratteristiche.

(3)

Il 5G svolgerà un ruolo chiave nello sviluppo dell’economia e della società digitali dell’Unione negli anni a venire e inciderà potenzialmente su quasi tutti gli aspetti delle vite dei cittadini dell’Unione. Il documento intitolato «Cybersecurity of 5G networks EU Toolbox of risk mitigating measures» (2) individua una possibile serie comune di misure in grado di attenuare i principali rischi connessi alla cibersicurezza delle reti 5G e fornisce orientamenti per la selezione di misure cui attribuire priorità nei piani di attenuazione a livello nazionale e dell’Unione. Oltre a tali misure, è molto importante adottare un approccio armonizzato ai requisiti essenziali relativi agli elementi di protezione della cibersicurezza applicabili alle apparecchiature radio 5G al momento della loro immissione sul mercato dell’Unione.

(4)

Il livello di sicurezza applicabile a norma dei requisiti essenziali dell’Unione di cui all’articolo 3, paragrafo 3, lettere d), e) ed f), per garantire la protezione della rete, gli elementi di salvaguardia per la protezione dei dati personali e della vita privata e la tutela dalle frodi non deve pregiudicare l’elevato livello di sicurezza richiesto a livello nazionale per le reti intelligenti decentrate nel settore dell’energia, in cui devono essere utilizzati contatori intelligenti soggetti a tali requisiti, e per le apparecchiature di rete 5G utilizzate dai fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico ai sensi della direttiva (UE) 2018/1972 del Parlamento europeo e del Consiglio (3).

(5)

Sono state inoltre espresse numerose preoccupazioni in merito ai maggiori rischi per la cibersicurezza derivanti da un aumento dell’uso professionale e di consumo, anche da parte di bambini, di apparecchiature radio che: i) sono di per sé in grado di comunicare tramite Internet, indipendentemente dal fatto che comunichino direttamente o tramite qualsiasi altra apparecchiatura («apparecchiature radio connesse a Internet»), vale a dire che tali apparecchiature connesse a Internet utilizzano protocolli necessari per lo scambio di dati con la rete Internet direttamente o tramite un’apparecchiatura intermedia; ii) possono essere giocattoli con funzione radio che rientrano anche nell’ambito di applicazione della direttiva 2009/48/CE del Parlamento europeo e del Consiglio (4) oppure sono progettate o destinate esclusivamente alla cura dei bambini, come i monitor per bambini; o iii) sono progettate o destinate, esclusivamente o non esclusivamente, ad essere indossate, oppure assicurate o appese a qualsiasi parte del corpo umano (compresa la testa, il collo, il tronco, le braccia, le mani, le gambe e i piedi) o a qualsiasi indumento (compresi copricapi, guanti e calzature) indossato da esseri umani, quali apparecchiature radio sotto forma di orologi da polso, anelli, braccialetti, cuffie, auricolari o occhiali («apparecchiature radio indossabili»).

(6)

A tal proposito le apparecchiature radio per la cura dei bambini, le apparecchiature radio disciplinate dalla direttiva 2009/48/CE o le apparecchiature radio indossabili che sono di per sé in grado di comunicare tramite Internet, indipendentemente dal fatto che comunichino direttamente o tramite qualsiasi altra apparecchiatura, dovrebbero essere considerate apparecchiature radio connesse a Internet. Le protesi e gli impianti, ad esempio, non dovrebbero essere considerati apparecchiature radio indossabili in quanto non vengono indossati, né assicurati o appesi a parti del corpo umano o indumenti. Essi dovrebbero tuttavia essere considerati apparecchiature radio connesse a Internet se sono in grado di comunicare tramite Internet, indipendentemente dal fatto che comunichino direttamente o tramite qualsiasi altra apparecchiatura.

(7)

Date le preoccupazioni sollevate dal fatto che le apparecchiature radio non garantiscono la protezione da elementi di rischio per la cibersicurezza, è necessario rendere applicabili, per le apparecchiature radio appartenenti a determinate categorie o classi, i requisiti essenziali della direttiva 2014/53/UE relativi alla protezione dai danni alla rete, alla protezione dei dati personali e della vita privata degli utenti e degli abbonati e alla tutela dalle frodi.

(8)

La direttiva 2014/53/UE si applica ai prodotti che corrispondono alla definizione di «apparecchiatura radio» di cui all’articolo 2 di tale direttiva, fatte salve le esclusioni specifiche di cui all’articolo 1, paragrafi 2 e 3, di tale direttiva. Sebbene la definizione di apparecchiatura radio di cui all’articolo 2 della direttiva 2014/53/UE faccia riferimento alle apparecchiature in grado di comunicare con onde radio, nessuna disposizione della direttiva 2014/53/UE opera una distinzione tra le funzioni radio e non radio delle apparecchiature radio e pertanto tutti gli aspetti e le parti dell’apparecchiatura dovrebbero essere conformi ai requisiti essenziali di cui al presente regolamento delegato.

(9)

Per quanto riguarda i danni alla rete o al suo funzionamento, o l’abuso delle risorse di rete, un deterioramento inaccettabile dei servizi può essere causato da apparecchiature radio connesse a Internet che non garantiscono che le reti non siano danneggiate o non siano utilizzate in modo improprio. Un attacco malevolo può ad esempio saturare la rete Internet per impedire il traffico di rete legittimo, perturbare le connessioni tra due prodotti radio, impedendo in questo modo l’accesso a un servizio, impedire a una determinata persona di accedere a un servizio, perturbare un servizio destinato a un sistema o a una persona specifici o alterare le informazioni. Il deterioramento dei servizi online può quindi portare a attacchi informatici malevoli, con conseguente aumento dei costi, dei disagi o dei rischi per gli operatori, i fornitori di servizi o gli utenti. L’articolo 3, paragrafo 3, lettera d), della direttiva 2014/53/UE, che impone che le apparecchiature radio non danneggino la rete o il suo funzionamento né abusino delle risorse di rete, arrecando quindi un deterioramento inaccettabile del servizio, dovrebbe pertanto applicarsi alle apparecchiature radio connesse a Internet.

(10)

Sono state sollevate preoccupazioni anche per quanto riguarda la protezione dei dati personali e della vita privata dell’utente delle apparecchiature radio connesse a Internet e dell’abbonato alle stesse a causa della capacità di tali apparecchiature radio di registrare, conservare e condividere informazioni e di interagire con gli utenti, compresi i bambini, quando in tali apparecchiature radio sono integrati altoparlanti, microfoni e altri sensori. Tali preoccupazioni riguardano, in particolare, la capacità di tali apparecchiature radio di registrare foto, video, dati di localizzazione, dati legati all’esperienza di gioco nonché frequenza cardiaca, abitudini legate al sonno o altri dati personali. Se la connessione o i dati non sono criptati o se non è presente un meccanismo di autenticazione forte, una password predefinita è sufficiente, ad esempio, per accedere alle impostazioni avanzate dell’apparecchiatura radio.

(11)

È pertanto importante che le apparecchiature radio connesse a Internet immesse sul mercato dell’Unione includano elementi di salvaguardia per garantire che i dati personali e la vita privata siano protetti se tali apparecchiature possono trattare i dati personali definiti all’articolo 4, punto 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (5) o i dati definiti all’articolo 2, lettere b) e c), della direttiva 2002/58/CE del Parlamento europeo e del Consiglio (6). L’articolo 3, paragrafo 3, lettera e), della direttiva 2014/53/UE dovrebbe pertanto applicarsi alle apparecchiature radio connesse a Internet.

(12)

Inoltre, per quanto riguarda la protezione dei dati personali e della vita privata, le apparecchiature radio per la cura dei bambini, le apparecchiature radio disciplinate dalla direttiva 2009/48/CE e le apparecchiature radio indossabili presentano rischi per la sicurezza anche in assenza di una connessione Internet. I dati personali possono essere intercettati quando tali apparecchiature radio emettono o ricevono onde radio e non dispongono di elementi di salvaguardia che garantiscano la protezione dei dati personali e della vita privata. Le apparecchiature radio per cura dei bambini, le apparecchiature radio disciplinate dalla direttiva 2009/48/CE e le apparecchiature radio indossabili possono monitorare e registrare nel tempo una serie di dati sensibili (personali) dell’utente e ritrasmetterli attraverso tecnologie di comunicazione che potrebbero non essere sicure. Le apparecchiature radio per la cura dei bambini, le apparecchiature radio disciplinate dalla direttiva 2009/48/CE e le apparecchiature radio indossabili dovrebbero inoltre garantire la protezione dei dati personali e della vita privata se tali apparecchiature possono effettuare il trattamento, ai sensi dell’articolo 4, punto 2, del regolamento (UE) 2016/679, di dati personali quali definiti all’articolo 4, punto 1, del regolamento (UE) 2016/679, o di dati relativi al traffico e dati relativi all’ubicazione, quali definiti all’articolo 2, lettere b) e c), della direttiva 2002/58/CE. L’articolo 3, paragrafo 3, lettera e), della direttiva 2014/53/UE dovrebbe pertanto applicarsi a tali apparecchiature radio.

(13)

Per quanto riguarda le frodi, le informazioni, compresi i dati personali, possono essere sottratte alle apparecchiature radio connesse a Internet, che non garantiscono la tutela dalle frodi. Tipi specifici di frode riguardano le apparecchiature radio connesse a Internet utilizzate per effettuare pagamenti tramite Internet. I costi di questi tipi di frode possono essere elevati e riguardare non solo la persona che ha subito la frode, ma anche la società nel suo insieme (ad esempio, i costi delle indagini di polizia, i costi dei servizi alle vittime, i costi dei processi per stabilire le responsabilità). È pertanto necessario garantire transazioni affidabili e ridurre al minimo il rischio di perdite finanziarie per gli utenti delle apparecchiature radio connesse a Internet che effettuano pagamenti tramite tali apparecchiature radio e per i destinatari dei pagamenti così effettuati.

(14)

Le apparecchiature radio connesse a Internet immesse sul mercato dell’Unione dovrebbero supportare caratteristiche atte a garantire la tutela dalle frodi quando tali apparecchiature consentono al detentore o all’utente di trasferire denaro, valore monetario o valuta virtuale quale definita all’articolo 2, lettera d), della direttiva (UE) 2019/713 del Parlamento europeo e del Consiglio (7). L’articolo 3, paragrafo 3, lettera f), della direttiva 2014/53/UE dovrebbe pertanto applicarsi a tali apparecchiature radio.

(15)

Il regolamento (UE) 2017/745 del Parlamento europeo e del Consiglio (8) stabilisce norme relative ai dispositivi medici e il regolamento (UE) 2017/746 del Parlamento europeo e del Consiglio stabilisce norme relative ai dispositivi medico-diagnostici in vitro (9). Entrambi i regolamenti (UE) 2017/745 e (UE) 2017/746 affrontano determinati elementi di rischio per la cibersicurezza associati ai rischi di cui all’articolo 3, paragrafo 3, lettere d), e) ed f), della direttiva 2014/53/UE. Le apparecchiature radio cui si applica l’uno o l’altro di tali regolamenti non dovrebbero pertanto rientrare nelle categorie o classi di apparecchiature radio che dovrebbero soddisfare i requisiti essenziali di cui all’articolo 3, paragrafo 3, lettere d), e) ed f), della direttiva 2014/53/UE.

(16)

Il regolamento (UE) 2019/2144 del Parlamento europeo e del Consiglio (10) stabilisce i requisiti di omologazione dei veicoli, nonché dei loro sistemi e componenti. Inoltre il regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio (11) ha come obiettivo principale stabilire e mantenere un livello elevato ed uniforme di sicurezza aerea nell’Unione. La direttiva (UE) 2019/520 del Parlamento europeo e del Consiglio (12) stabilisce infine le condizioni per l’interoperabilità dei sistemi di telepedaggio stradale e per agevolare lo scambio transfrontaliero di informazioni sul mancato pagamento dei pedaggi stradali nell’Unione. I regolamenti (UE) 2019/2144 e (UE) 2018/1139 e la direttiva (UE) 2019/520 affrontano elementi di rischio per la cibersicurezza associati ai rischi di cui all’articolo 3, paragrafo 3, lettere e) ed f), della direttiva 2014/53/UE. Le apparecchiature radio cui si applicano i regolamenti (UE) 2019/2144 e (UE) 2018/1139 o la direttiva (UE) 2019/520 non dovrebbero pertanto rientrare nelle categorie o classi di apparecchiature radio che devono soddisfare i requisiti essenziali di cui all’articolo 3, paragrafo 3, lettere e) ed f), della direttiva 2014/53/UE.

(17)

L’articolo 3 della direttiva 2014/53/UE stabilisce i requisiti essenziali a cui gli operatori economici devono conformarsi. Per agevolare la valutazione della conformità a tali requisiti, essa prevede una presunzione di conformità per le apparecchiature radio che sono conformi alle norme armonizzate volontarie adottate ai sensi del regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio (13) al fine di formulare specifiche tecniche dettagliate per tali requisiti. Le specifiche terranno conto e affronteranno i livelli di rischio che corrispondono all’uso previsto per ciascuna categoria o classe di apparecchiature radio interessata dal presente regolamento.

(18)

Agli operatori economici dovrebbe essere concesso un periodo di tempo sufficiente per adeguarsi ai requisiti del presente regolamento. L’applicazione del presente regolamento dovrebbe pertanto essere differita. Il presente regolamento non impedisce agli operatori economici di conformarsi allo stesso a decorrere dalla data della sua entrata in vigore.

(19)

Durante i lavori preparatori delle misure di cui al presente regolamento la Commissione ha svolto adeguate consultazioni e ha consultato il gruppo di esperti sulle apparecchiature radio,