Radiolelujen kyberturvallisuus – RED, EN 18031 ja siirtymä CRA-sääntelyyn
Opas radiolelujen RED-kyberturvavaatimuksiin: tietosuoja ilman internetiä, EN 18031 -näyttö ja CRA-siirtymä 2027.
Radio-ohjattua lelua ei tarvitse yhdistää internetiin, jotta osa radiolaitedirektiivin RED kyberturvallisuusvaatimuksista voisi tulla sovellettavaksi. Valmistajan ja maahantuojan on arvioitava erikseen verkon suojaus 3 artiklan 3 kohdan d alakohdan, yksityisyydensuoja e alakohdan sekä petostentorjunta f alakohdan mukaan. Ratkaisevia ovat tuotteen todelliset radiotoiminnot, henkilötietojen käsittely ja ensimmäinen EU-markkinoille saattamispäivä, eivät pelkät Bluetooth- tai älylaite-nimitykset.
Keitä vaatimukset koskevat ja milloin?
Opas on tarkoitettu Ruotsissa ja EU:ssa toimiville radio-ohjattujen autojen, Bluetooth-lelujen ja sovelluksilla ohjattavien lelujen valmistajille, maahantuojille, jakelijoille ja laadunvalvojille. Direktiivi 2014/53/EU (RED) ja delegoitu asetus (EU) 2022/30 ovat asettaneet kyberturvallisuusvaatimuksia tietyille radiolaiteryhmille 1.8.2025 lähtien. Kaikki lelut eivät täytä kaikkien vaatimusten ehtoja. Ilman radiotoimintoa oleva lelu ei kuulu näihin erityissäännöksiin pelkän lelustatuksensa vuoksi. Leluturvallisuutta, yleistä tuoteturvallisuutta ja GDPR:ää on arvioitava erikseen tarpeen mukaan.
Delegoitu asetus (EU) 2026/339 kumoaa RED:n delegoidun kyberturvallisuusasetuksen 11.12.2027 alkaen, jolloin kyberkestävyyssäädöksen CRA (EU) 2024/2847 pääasialliset vaatimukset tulevat sovellettaviksi. Kumoaminen ei poista aikaisemman RED-kauden aikana markkinoille saatettujen laitteiden valvontaa.
Päätöstaulukko: kolme eri velvoitetta
| Tuotetta koskeva kysymys | Mahdollinen vaatimus | Tarvittava näyttö |
|---|---|---|
| Voiko radiolaite kommunikoida internetin kanssa suoraan tai toisen laitteen kautta? | RED 3(3)(d): verkon suojaus | Yhteyskaavio, sovellus/yhdyskäytävä, ominaisuudet ja testit. |
| Voiko radiolelu käsitellä henkilö-, liikenne- tai sijaintitietoja? | RED 3(3)(e): yksityisyys myös ilman internetiä tietyissä tilanteissa | Tosiasialliset tietotyypit, käyttöoikeudet, tallennus ja suojaukset. |
| Voiko internetiin yhdistetty radiolaite siirtää rahaa, rahallista arvoa tai virtuaalivaluuttaa? | RED 3(3)(f): petostentorjunta ehtojen täyttyessä | Maksutoiminto, tapahtumavirta ja suojatoimet. |
Arvioi jokainen vaatimus erikseen. Internet-yhteyden puuttuminen voi rajata 3(3)(d):n pois, mutta ei automaattisesti 3(3)(e):tä henkilötietoja käsittelevältä radiolelulta.
Mitä EN 18031-1 ja EN 18031-2 osoittavat?
Yhdenmukaistetut standardit EN 18031-1:2024, EN 18031-2:2024 ja EN 18031-3:2024 käsittelevät eri turvallisuusalueita. Standardi ei itsessään ole pakollinen sertifikaatti. Yhdenmukaistetun standardin käyttö voi osoittaa vaatimustenmukaisuutta, mutta RED sallii myös muita arviointitapoja. Komission päätös (EU) 2025/138 rajoittaa vaatimustenmukaisuusolettamaa tietyissä tilanteissa, esimerkiksi salasana- ja huoltajan käyttöoikeusratkaisuissa.
Älä tyydy toimittajan yleiseen ilmoitukseen ”EN 18031 compliant”. Pyydä tarkka malli ja laiteohjelmisto, sovelletut kohdat, yksilöidyt testiraportit, poikkeamat sekä asianmukainen vaatimustenmukaisuuden arviointimenettely. Selvitä, tarvitaanko ilmoitettua laitosta. Excel-taulukko tai toimittajan ilmoitus ei korvaa aitoa teknistä dokumentaatiota tai EU-vaatimustenmukaisuusvakuutusta.
Seitsemän tarkistusta ennen mallin hyväksymistä
- Kirjaa malli, SKU, laiteohjelmisto, radioliitännät, valmistaja, maahantuoja, erä ja ensimmäinen EU-markkinoille saattamispäivä.
- Kartoita suorat ja epäsuorat internetyhteydet sovellusten, puhelinten, reitittimien ja muiden laitteiden kautta.
- Tunnista ääni, kuvat, tilit, laitetunnisteet, liikenne- ja sijaintitiedot sekä niiden käsittelijät.
- Dokumentoi erikseen perusteltu kyllä/ei-ratkaisu 3(3)(d), (e) ja (f) -kohtiin ja mahdollisiin poikkeuksiin.
- Hanki aidot suunnittelu- ja testiraportit, standardiversiot, tarvittaessa ilmoitetun laitoksen asiakirjat ja EU-vakuutus.
- Kirjaa avoimet poikkeamat, korjaavat toimet, mahdollinen erän sisäinen pysäytys ja hyväksyjä.
- Arvioi CRA-velvoitteet uudelleen uusille EU-markkinoille saattamisille 11.12.2027 alkaen.
Kolme käytännön esimerkkiä
Paikallisella radiolla ohjattava leluauto
Ilman internetpolkua 3(3)(d):n soveltumista ei pidä olettaa. Arvioi silti mahdollinen henkilötietojen, liikennetietojen tai sijaintitietojen käsittely 3(3)(e):n perusteella; myös tämä vaatimus voi jäädä soveltumatta, jos ehdot eivät täyty.
Mikrofonilla varustettu sovelluslelu
Sovellus lähettää tietoja internetiin ja tallentaa käyttäjätiliin liitettyä ääntä. Sekä verkko- että tietosuojavaatimukset voivat tulla kyseeseen. Sovellus, pilvi, laiteohjelmisto ja näyttö on tutkittava yhdessä.
Päiväämätön toimittajan todistus
Yleinen EN 18031 -väite ilman mallia, ohjelmistoversiota, testausalaa tai myöntäjää ei muodosta riittävää todistusketjua. Pyydä täsmennykset ja arvioi erän pidättämistä.
Usein kysyttyä
Voiko RED koskea Bluetooth-lelua ilman internetiä?
Kyllä. Kohta 3(3)(e) voi koskea radiolelua, joka käsittelee merkityksellisiä henkilö-, liikenne- tai sijaintitietoja ilman internetyhteyttä. Verkkosuojaus 3(3)(d) arvioidaan erikseen.
Onko EN 18031-1 pakollinen kaikille valmistajille?
Ei. Se liittyy internetiin yhdistettyjen radiolaitteiden verkon suojaukseen; yhdenmukaistettujen standardien käyttö ei yleensä ole pakollista. Sovellettavat oikeudelliset vaatimukset ja arviointimenettely on silti täytettävä.
Voiko vanhoja malleja myydä 11.12.2027 jälkeen?
Selvitä kunkin tuotteen ensimmäinen EU-markkinoille saattaminen ja mahdolliset muutokset. Kumoaminen ei takautuvasti poista vanhan RED-jakson vastuuta; CRA on myös arvioitava tarvittaessa.
Riittääkö toimittajan tarkistuslista CE-merkintään?
Ei. Luettelo auttaa hallinnossa mutta ei korvaa todellista teknistä dokumentaatiota, vaatimustenmukaisuuden arviointia tai muita tuotekohtaisia vaatimuksia.
Aiheeseen liittyvät asiakirjamallit
Käytännön dokumentointiin on saatavilla aihekohtainen mallipaketti: RED-kyberturvallisuus radiouhut 2026/2027 – EN 18031, toimittajan todiste & eräpysäytys | Word/PDF/Excel Mallit ovat vapaaehtoista työtukea; opas toimii myös ilman ostamista.
Viralliset lähteet ja tarkistus
- PTS – radio equipment cybersecurity requirements
- EU 2022/30
- EU 2025/138 – EN 18031
- EU 2026/339 – repeal
- RED 2014/53/EU · CRA 2024/2847
Lähteiden toimituksellinen tarkistus 11.11.2026, PTS ja EUR-Lex. Yleistä tietoa, ei yksilöllistä oikeudellista neuvontaa tai vaatimustenmukaisuuden arviointia. Varmista tuotteen tiedot teknisen ja oikeudellisen asiantuntijan kanssa ennen markkinoille saattamista.
