Ciberseguridad de juguetes con radio – RED, EN 18031 y transición al CRA
Guía para fabricantes e importadores de juguetes con radio: requisitos RED, EN 18031, datos sin conexión a Internet y transición al CRA.
Un juguete radiocontrolado no necesita conexión a Internet para que puedan aplicarse determinadas exigencias de ciberseguridad de RED. Fabricantes e importadores deben evaluar por separado la protección de redes del artículo 3.3(d), la privacidad del 3.3(e) y la prevención del fraude del 3.3(f). Importan las funciones de radio, el tratamiento real de datos y cuándo se introduce el producto en el mercado de la UE, no solo las palabras «Bluetooth» o «inteligente».
¿A quién se aplica y desde cuándo?
Esta guía se dirige a fabricantes, importadores, distribuidores y responsables de calidad de coches radiocontrolados, juguetes Bluetooth y juguetes manejados mediante aplicaciones en Suecia y la UE. La Directiva 2014/53/UE (RED) y el Reglamento Delegado (UE) 2022/30 aplican requisitos específicos a determinadas categorías de equipos radioeléctricos desde el 1 de agosto de 2025. No todos los juguetes cumplen todas las condiciones; un juguete sin equipo radioeléctrico no queda incluido solo por ser juguete. La seguridad de juguetes, la seguridad general de productos y el RGPD pueden requerir evaluaciones independientes.
El Reglamento Delegado (UE) 2026/339 deroga las disposiciones delegadas de ciberseguridad de RED a partir del 11 de diciembre de 2027, cuando empiezan a aplicarse las principales obligaciones del Reglamento de Ciberresiliencia (UE) 2024/2847. La derogación no impide la vigilancia del mercado respecto de equipos introducidos durante el período RED anterior.
Matriz de decisión: tres exigencias diferentes
| Pregunta sobre el producto | Posible requisito | Prueba necesaria |
|---|---|---|
| ¿Puede el equipo de radio comunicarse con Internet directamente o a través de otro dispositivo? | RED 3.3(d): protección de redes | Mapa de conexiones, aplicación o pasarela, funciones y ensayos. |
| ¿Puede el juguete de radio tratar datos personales, de tráfico o de localización? | RED 3.3(e): privacidad, incluso sin Internet en ciertos casos | Tipos de datos, accesos, almacenamiento y protecciones. |
| ¿Permite el equipo conectado transferir dinero, valor monetario o moneda virtual? | RED 3.3(f): protección contra el fraude si se cumplen sus condiciones | Función de pago, flujo de operaciones y salvaguardas. |
Evalúe cada requisito por separado. La falta de Internet puede descartar 3.3(d), pero no excluye automáticamente 3.3(e) cuando el juguete radioeléctrico trata los datos pertinentes.
¿Qué aportan las normas EN 18031-1 y EN 18031-2?
Las normas armonizadas EN 18031-1:2024, EN 18031-2:2024 y EN 18031-3:2024 abordan las respectivas categorías. Una norma no es por sí sola un certificado obligatorio. Su utilización puede permitir demostrar conformidad, aunque RED admite otras vías de evaluación. La Decisión de Ejecución (UE) 2025/138 limita expresamente la presunción de conformidad en determinados supuestos, incluidos controles de contraseñas y acceso parental.
No acepte únicamente una declaración genérica «cumple EN 18031». Pida modelo y firmware exactos, apartados aplicados, identificación de los informes de ensayo, desviaciones y procedimiento de evaluación. Determine si debe intervenir un organismo notificado. Una hoja de cálculo o declaración del proveedor no sustituye la documentación técnica real ni la declaración UE de conformidad.
Siete controles antes de liberar un modelo
- Identifique modelo, SKU, firmware, interfaces de radio, fabricante, importador, lote y fecha de primera introducción en la UE.
- Mapee accesos directos e indirectos a Internet mediante aplicaciones, móviles, routers u otros equipos.
- Identifique voz, imágenes, cuentas, identificadores, datos de tráfico o ubicación y quién los trata.
- Documente una conclusión independiente y motivada para 3.3(d), (e) y (f), con posibles excepciones.
- Solicite informes auténticos de diseño y ensayo, versión de la norma, prueba de organismo notificado cuando proceda y declaración UE.
- Registre fallos pendientes, medidas correctoras, bloqueo interno de lotes y responsable de autorización.
- Revise las obligaciones pertinentes del CRA para nuevas introducciones en el mercado desde el 11 de diciembre de 2027.
Tres casos prácticos
Coche con radiomando local
Sin vía de Internet no debe asumirse automáticamente 3.3(d). Investigue si procesa datos personales, de tráfico o ubicación para decidir sobre 3.3(e); este requisito tampoco se aplica si faltan sus condiciones.
Juguete con micrófono y aplicación
La app envía datos a Internet y almacena audio asociado a una cuenta. Pueden ser pertinentes tanto redes como privacidad. Deben evaluarse conjuntamente aplicación, nube, firmware y ensayos.
Certificado genérico sin fecha
Una mención a EN 18031 sin modelo, firmware, alcance de las pruebas o emisor no constituye prueba suficiente. Solicite documentos específicos y decida si bloquear provisionalmente el lote.
Preguntas frecuentes
¿Pueden aplicarse las reglas RED a juguetes Bluetooth sin Internet?
Sí. El artículo 3.3(e) puede aplicarse a juguetes radioeléctricos que traten los datos personales, de tráfico o localización relevantes sin conexión a Internet. La protección de redes 3.3(d) se examina aparte.
¿Es obligatorio EN 18031-1 para todos?
No. EN 18031-1 se refiere a redes en equipos conectados y no hay una obligación general de usar normas armonizadas. Sí deben cumplirse las exigencias legales y el procedimiento de evaluación pertinente.
¿Podemos seguir vendiendo modelos anteriores después del 11 de diciembre de 2027?
Examine cuándo se introdujo cada producto en el mercado de la UE y si se ha modificado. La derogación no elimina retroactivamente las responsabilidades RED previas; valore también el CRA si procede.
¿Basta una lista de control para el marcado CE?
No. Una lista organiza pruebas, pero no reemplaza la documentación técnica auténtica, la evaluación de conformidad ni otros requisitos aplicables.
Plantillas documentales relacionadas
Para documentar este proceso existe un paquete especializado de plantillas: RED-juguetes de radio ciberseguridad 2026/2027 – EN 18031, prueba de proveedor y bloqueo de lote | Word/PDF/Excel Las plantillas son ayudas opcionales; la guía sirve también sin comprar nada.
Fuentes oficiales y fecha de revisión
- PTS – cybersecurity requirements for radio equipment
- Delegated Regulation (EU) 2022/30
- Commission Decision (EU) 2025/138 – EN 18031
- Delegated Regulation (EU) 2026/339 – repeal
- RED 2014/53/EU · CRA 2024/2847
Control editorial de fuentes: 11 de noviembre de 2026, con PTS y EUR-Lex. Información general, no asesoramiento jurídico individual ni evaluación de conformidad. Recurra a especialistas técnicos y legales antes de comercializar el producto.
