Certificación EN 18031
Consultoría EN 18031 para el cumplimiento de la Directiva RED
La serie EN 18031 establece los requisitos y criterios de evaluación de ciberseguridad aplicables a los equipos radioeléctricos. Su aplicación ayuda a los fabricantes a demostrar el cumplimiento de los requisitos esenciales establecidos en los artículos 3.3(d), 3.3(e) y 3.3(f) de la Directiva 2014/53/UE sobre equipos radioeléctricos (RED).
Estos requisitos, activados mediante el Reglamento Delegado (UE) 2022/30, son aplicables desde el 1 de agosto de 2025 y afectan a una amplia variedad de productos inalámbricos comercializados en la Unión Europea.
Digital Cubes ayuda a fabricantes y desarrolladores a determinar qué requisitos son aplicables a su producto, identificar posibles incumplimientos, preparar las evidencias técnicas y documentales y afrontar el proceso de evaluación de conformidad.
¿Qué es EN 18031?
EN 18031 es una serie de normas europeas desarrolladas para demostrar el cumplimiento de los requisitos de ciberseguridad de la Directiva RED. Está formada por tres partes:
- EN 18031-1:2024: Protección de las redes y prevención de daños o usos indebidos de sus recursos.
- EN 18031-2:2024: Protección de los datos personales, los datos de tráfico, los datos de localización y la privacidad.
- EN 18031-3:2024: Protección frente al fraude en equipos que permiten transferir dinero, valor monetario o moneda virtual
Dependiendo de las funciones y características del producto, puede resultar aplicable una sola parte o varias partes simultáneamente.
¿A qué productos se aplica?
En términos generales, la norma afecta a productos que incorporan una interfaz radio (como Wi-Fi, Bluetooth, Zigbee, Thread, LTE/5G o tecnologías similares) y que presentan una o varias de las siguientes características:
- Disponen de conectividad a Internet, ya sea de forma directa o a través de otro equipo, y pueden afectar a la seguridad o al funcionamiento de las redes de comunicación.
- Procesan, almacenan o transmiten datos personales, datos de tráfico o datos de localización de los usuarios.
- Permiten realizar, autorizar, almacenar o facilitar transacciones financieras, o gestionan dinero electrónico o activos de moneda virtual.
La presencia de Wi-Fi, Bluetooth, NFC, redes móviles u otra tecnología inalámbrica no determina por sí sola qué partes de EN 18031 son aplicables. Es necesario analizar la finalidad del producto, sus interfaces, los datos tratados, sus activos y las funciones que proporciona.
¿Qué requisitos de seguridad contempla EN 18031?
La evaluación analiza la aplicabilidad y suficiencia de los mecanismos de seguridad implementados por el producto. Entre las principales áreas evaluadas se encuentran el control de acceso, la autenticación, la gestión de credenciales, las comunicaciones y el almacenamiento seguros, la criptografía, la actualización de software, la protección de datos personales, la eliminación segura de información, la resiliencia, la monitorización de red y la reducción de la superficie de ataque.
No todos los mecanismos son aplicables a todos los productos. Las normas incluyen árboles de decisión y criterios de evaluación para determinar qué requisitos deben analizarse y qué evidencias debe aportar el fabricante.
La evaluación se estructura en dos etapas. Primero se determina si cada mecanismo resulta aplicable al producto. A continuación, se evalúa si su implementación es adecuada y suficiente para cumplir el requisito correspondiente.
Normas armonizadas y presunción de conformidad
La serie EN 18031 fue publicada como norma armonizada mediante la Decisión de Ejecución (UE) 2025/138, aunque su publicación incluye determinadas restricciones.
Cuando el fabricante aplica completamente la parte correspondiente de EN 18031 y el producto no se encuentra afectado por estas restricciones, puede beneficiarse de la presunción de conformidad con el requisito esencial correspondiente de la Directiva RED.
Puede ser necesaria la intervención de un Organismo Notificado cuando la norma no se aplica completamente, se utilizan otras especificaciones técnicas o alguna restricción impide beneficiarse de la presunción de conformidad.
Digital Cubes analiza estas circunstancias durante la fase inicial del proyecto y ayuda al fabricante a definir la ruta de evaluación de conformidad más adecuada.
EN 18031 y Cyber Resilience Act
EN 18031 y el Cyber Resilience Act (CRA) pertenecen a marcos regulatorios diferentes, aunque comparten numerosos principios de seguridad.
La aplicación de EN 18031 puede proporcionar una base útil para cumplir requisitos del CRA relacionados con el diseño seguro, el control de acceso, la protección de datos y comunicaciones, la gestión de vulnerabilidades, las actualizaciones de seguridad y la reducción de la superficie de ataque.
Sin embargo, cumplir EN 18031 no implica automáticamente cumplir todas las obligaciones del CRA. Este último incorpora requisitos adicionales relacionados con el ciclo de vida, la gestión y notificación de vulnerabilidades, el periodo de soporte, la documentación técnica y la información proporcionada al usuario.
Digital Cubes puede coordinar ambos marcos para reutilizar evidencias y evitar actividades duplicadas.
Nuestros servicios de consultoría EN 18031
Digital Cubes ofrece un servicio integral y adaptable al grado de madurez del producto, desde el análisis inicial de aplicabilidad hasta el acompañamiento durante la evaluación formal. Las principales actividades se describen a continuación.
Análisis de alcance y aplicabilidad
Analizamos el producto, su configuración, sus funciones, las tecnologías de comunicación utilizadas y los datos que procesa para determinar si se encuentra dentro del ámbito de los requisitos de ciberseguridad de RED.
El análisis identifica qué partes de EN 18031 son aplicables, qué activos deben protegerse, qué mecanismos deben evaluarse y si alguna de las restricciones de armonización afecta al producto. También permite determinar si puede seguirse una ruta basada en la presunción de conformidad o si debe intervenir un Organismo Notificado.
Como resultado se genera un informe de alcance y aplicabilidad, acompañado de una matriz de requisitos y una estrategia inicial de evaluación de conformidad.
Preparación y revisión de documentación
Digital Cubes prepara o revisa la documentación necesaria para demostrar el cumplimiento de los requisitos aplicables.
Dependiendo del producto y de la ruta de evaluación, la documentación puede incluir la descripción y configuración del producto, la arquitectura de seguridad, el inventario de activos, la matriz de aplicabilidad, las justificaciones de aplicabilidad y no aplicabilidad, la descripción de los mecanismos de seguridad, las interfaces y flujos de comunicación, los procedimientos de actualización, las evidencias de prueba y las instrucciones de instalación, configuración, operación y mantenimiento seguros.
La documentación se prepara de forma coherente con el producto evaluado y puede utilizarse como soporte del expediente técnico exigido por la Directiva RED.
Preevaluación y pruebas internas
Antes de remitir el producto al laboratorio o al Organismo Notificado, realizamos una preevaluación para comprobar su nivel de preparación.
Durante esta fase revisamos las respuestas a los árboles de decisión, las evidencias de aplicabilidad, la implementación de los mecanismos de seguridad, los casos y resultados de prueba y la coherencia entre el producto y su documentación.
Como resultado se identifican anticipadamente posibles incumplimientos y se establece si el producto está preparado para iniciar la evaluación formal.
Coordinación con laboratorios y organismos notificados
Digital Cubes puede actuar como interlocutor técnico del fabricante durante el proceso de evaluación.
El servicio comprende la preparación del paquete inicial de evidencias, la coordinación con el laboratorio o el Organismo Notificado, la revisión de solicitudes de información, la preparación de respuestas técnicas, la participación en reuniones y el seguimiento de las acciones correctivas.
Digital Cubes es una consultora independiente y no actúa como laboratorio de evaluación ni como Organismo Notificado. Esta independencia nos permite concentrarnos en la preparación del producto y en el soporte técnico al fabricante.
Resolución de observaciones e incumplimientos
La recepción de preguntas, observaciones o findings forma parte habitual de una evaluación de seguridad.
Cuando se identifica un incumplimiento, ayudamos al fabricante a analizar su causa, determinar si requiere cambios técnicos o documentales, definir la solución, actualizar las evidencias y preparar una respuesta consistente para el evaluador.
Nuestro objetivo es facilitar el cierre de las observaciones y evitar retrasos o repeticiones innecesarias de las actividades de evaluación.
Preguntas frecuentes
¿Desde cuándo son aplicables los requisitos de ciberseguridad de RED?
Los requisitos activados mediante el Reglamento Delegado (UE) 2022/30 son aplicables desde el 1 de agosto de 2025. Los productos incluidos en su ámbito deben demostrar conformidad antes de introducirse en el mercado de la Unión Europea.
¿EN 18031 se aplica a cualquier producto con Wi-Fi o Bluetooth?
No necesariamente. El producto debe encontrarse dentro del ámbito de la Directiva RED y del Reglamento Delegado. La aplicación de EN 18031-1, EN 18031-2 o EN 18031-3 dependerá de su conectividad, los datos que procese y las operaciones que permita realizar.
¿Qué diferencia existe entre las tres partes de EN 18031?
EN 18031-1 aborda la protección de las redes; EN 18031-2, la protección de los datos personales y la privacidad; y EN 18031-3, la protección frente al fraude en productos que permiten transferencias de dinero, valor monetario o moneda virtual.
Un mismo producto puede estar sujeto a varias partes.
¿EN 18031 exige siempre una certificación por terceros?
No. Cuando se aplica completamente la norma armonizada correspondiente y el producto no está afectado por las restricciones publicadas, el fabricante puede beneficiarse de la presunción de conformidad.
Cuando la norma no se aplica completamente, se utilizan otras especificaciones o existen restricciones aplicables, puede ser necesaria la intervención de un Organismo Notificado.
¿Qué es la presunción de conformidad?
Es el efecto jurídico asociado a la correcta aplicación de una norma armonizada. Permite presumir que el producto cumple los requisitos esenciales de la legislación europea cubiertos por dicha norma.
La presunción únicamente alcanza los requisitos cubiertos por la norma y está condicionada por las restricciones publicadas en el Diario Oficial de la Unión Europea.
¿Digital Cubes realiza la certificación o los ensayos oficiales?
Digital Cubes proporciona consultoría, preparación documental, preevaluación y soporte técnico. Cuando se requieren ensayos formales o la intervención de un Organismo Notificado, coordinamos el proceso con entidades independientes habilitadas para realizar esas actividades.
¿Qué documentación necesita el fabricante?
Dependerá del producto y de los requisitos aplicables. Normalmente será necesario documentar la arquitectura, los activos protegidos, las interfaces, los mecanismos de seguridad, las decisiones de aplicabilidad, los procedimientos de actualización, las pruebas realizadas y las instrucciones de uso seguro.
Esta documentación se integra o sirve de apoyo al expediente técnico exigido por la Directiva RED.
¿Se puede comenzar si el producto todavía está en desarrollo?
Sí. Comenzar durante la fase de diseño permite incorporar los requisitos de seguridad antes de cerrar la arquitectura y reduce el coste de las correcciones posteriores.
También es posible evaluar productos ya desarrollados mediante un análisis GAP y un plan de adecuación.
¿Un módulo radio certificado garantiza el cumplimiento del producto final?
No. Las evaluaciones realizadas sobre el módulo pueden aportar evidencias útiles, pero el fabricante sigue siendo responsable de demostrar la conformidad del equipo completo, incluida su integración, configuración, software, interfaces y servicios asociados.
¿Una aplicación móvil o un servicio cloud pueden formar parte de la evaluación?
Sí. Pueden resultar relevantes cuando intervienen en la autenticación, configuración, actualización, tratamiento de datos o prestación de funciones de seguridad. Su función debe analizarse dentro de la arquitectura completa del producto.
¿EN 18031 sustituye a ETSI EN 303 645?
No. ETSI EN 303 645 continúa siendo una referencia importante para la ciberseguridad de productos IoT de consumo. Sin embargo, EN 18031 es la serie de normas armonizadas específicamente vinculada a los requisitos de ciberseguridad de la Directiva RED.
¿Qué ocurre si el laboratorio identifica incumplimientos?
Digital Cubes ayuda a analizar cada observación, definir las acciones correctivas, actualizar la documentación y preparar las nuevas evidencias o pruebas necesarias hasta resolver las cuestiones planteadas por el evaluador.