Cyberbezpieczeństwo zabawek radiowych – RED, EN 18031 i przejście do CRA
Przewodnik po wymaganiach RED dla zabawek radiowych: prywatność bez Internetu, dowody EN 18031 i zmiana przepisów w 2027 r.
Zabawka sterowana radiowo nie musi mieć połączenia z Internetem, aby niektóre wymagania cyberbezpieczeństwa dyrektywy RED mogły mieć zastosowanie. Producenci i importerzy powinni oddzielnie ocenić ochronę sieci na podstawie art. 3 ust. 3 lit. d), prywatność na podstawie lit. e) i ochronę przed oszustwem na podstawie lit. f). Liczą się rzeczywiste funkcje radiowe, przetwarzane dane oraz data pierwszego wprowadzenia na rynek UE, a nie same oznaczenia „Bluetooth” czy „smart”.
Kogo dotyczą przepisy i od kiedy?
Przewodnik jest skierowany do producentów, importerów, dystrybutorów i osób odpowiedzialnych za jakość samochodów radiowych, zabawek Bluetooth i zabawek obsługiwanych aplikacją w Szwecji i UE. Dyrektywa 2014/53/UE (RED) oraz rozporządzenie delegowane (UE) 2022/30 ustanawiają szczególne wymagania dotyczące niektórych urządzeń radiowych od 1 sierpnia 2025 r. Nie wszystkie zabawki spełniają przesłanki wszystkich trzech wymagań. Zabawka bez urządzenia radiowego nie podlega im wyłącznie dlatego, że jest zabawką. Bezpieczeństwo zabawek, ogólne bezpieczeństwo produktów i RODO należy oceniać odrębnie, gdy jest to potrzebne.
Rozporządzenie delegowane (UE) 2026/339 uchyla rozporządzenie RED dotyczące cyberbezpieczeństwa od 11 grudnia 2027 r., kiedy zaczynają mieć zastosowanie główne obowiązki aktu o cyberodporności CRA (UE) 2024/2847. Uchylenie nie wyklucza nadzoru rynku nad urządzeniami wprowadzonymi do obrotu w poprzednim okresie RED.
Macierz decyzyjna: trzy odrębne wymagania
| Pytanie o produkt | Możliwy wymóg | Wymagane dowody |
|---|---|---|
| Czy urządzenie radiowe może łączyć się z Internetem bezpośrednio lub przez inne urządzenie? | RED 3(3)(d): ochrona sieci | Schemat połączeń, aplikacja/bramka, funkcje i raporty badań. |
| Czy zabawka radiowa może przetwarzać dane osobowe, o ruchu lub lokalizacji? | RED 3(3)(e): prywatność, także bez Internetu w określonych sytuacjach | Rzeczywiste kategorie danych, uprawnienia, przechowywanie i zabezpieczenia. |
| Czy urządzenie połączone z Internetem umożliwia transfer pieniędzy, wartości pieniężnej lub waluty wirtualnej? | RED 3(3)(f): ochrona przed oszustwem, gdy spełniono przesłanki | Funkcja płatności, przebieg transakcji i środki ochrony. |
Każdy warunek oceń osobno. Brak Internetu może wykluczyć 3(3)(d), ale nie wyklucza automatycznie 3(3)(e) w zabawce radiowej przetwarzającej odpowiednie dane.
Co oznaczają normy EN 18031-1 i EN 18031-2?
Normy zharmonizowane EN 18031-1:2024, EN 18031-2:2024 i EN 18031-3:2024 odnoszą się do odpowiednich obszarów. Sama norma nie jest obowiązkowym certyfikatem. Stosowanie norm zharmonizowanych może służyć wykazaniu zgodności, choć RED dopuszcza inne ścieżki oceny. Decyzja wykonawcza (UE) 2025/138 ogranicza domniemanie zgodności w określonych przypadkach, m.in. dotyczących haseł oraz rodzicielskiej kontroli dostępu.
Nie poprzestawaj na ogólnym oświadczeniu dostawcy „EN 18031 compliant”. Zażądaj identyfikacji modelu i firmware, użytych punktów normy, numerów raportów badań, odchyleń i właściwej procedury oceny zgodności. Sprawdź, czy konieczny jest udział jednostki notyfikowanej. Arkusz Excel lub deklaracja dostawcy nie zastępuje rzeczywistej dokumentacji technicznej ani deklaracji zgodności UE.
Siedem kroków przed dopuszczeniem modelu
- Zapisz model, SKU, firmware, interfejsy radiowe, producenta, importera, partię i datę pierwszego wprowadzenia na rynek UE.
- Zmapuj bezpośredni i pośredni dostęp do Internetu przez aplikacje, telefony, routery lub inne urządzenia.
- Zidentyfikuj głos, zdjęcia, konta, identyfikatory urządzeń, dane ruchowe i lokalizacyjne oraz podmioty przetwarzające.
- Uzasadnij osobną odpowiedź tak/nie dla 3(3)(d), (e) i (f), wraz z możliwymi wyjątkami.
- Uzyskaj autentyczne raporty projektowe i z badań, wersję normy, dowody od jednostki notyfikowanej w razie potrzeby i deklarację UE.
- Zarejestruj otwarte niezgodności, działania korygujące, ewentualne wewnętrzne wstrzymanie partii i decyzję osoby uprawnionej.
- Ponownie oceń obowiązki CRA przy nowych wprowadzeniach na rynek od 11 grudnia 2027 r.
Trzy przykłady praktyczne
Samochód z lokalnym pilotem radiowym
Bez połączenia internetowego nie zakładaj automatycznie zastosowania 3(3)(d). Sprawdź jednak możliwość przetwarzania danych osobowych, o ruchu lub lokalizacji w ramach 3(3)(e); ten wymóg także może nie mieć zastosowania, jeśli przesłanki nie zachodzą.
Zabawka z mikrofonem i aplikacją
Aplikacja wysyła dane przez Internet i przechowuje dźwięk powiązany z kontem. Mogą być istotne zarówno wymagania sieciowe, jak i prywatności. Oceń łącznie aplikację, chmurę, firmware i dowody.
Ogólny certyfikat bez daty
Deklaracja EN 18031 bez modelu, firmware, zakresu badania i wystawcy nie stanowi wiarygodnej dokumentacji. Poproś o konkretne dowody i rozważ wstrzymanie partii.
Najczęstsze pytania
Czy RED może dotyczyć zabawki Bluetooth bez Internetu?
Tak. Art. 3 ust. 3 lit. e) może dotyczyć zabawek radiowych przetwarzających odpowiednie dane osobowe, ruchowe lub lokalizacyjne bez Internetu. Ochronę sieci z lit. d) ocenia się odrębnie.
Czy EN 18031-1 jest obowiązkowa dla wszystkich?
Nie. Dotyczy ochrony sieci internetowych urządzeń radiowych, a stosowanie norm zharmonizowanych nie jest zawsze obowiązkowe. Trzeba jednak spełnić właściwe przepisy i procedurę oceny zgodności.
Czy po 11 grudnia 2027 r. wolno nadal sprzedawać starsze modele?
Sprawdź pierwsze wprowadzenie każdej sztuki na rynek UE i późniejsze zmiany. Uchylenie nie usuwa z mocą wsteczną odpowiedzialności za wcześniejszy okres RED; w stosownych przypadkach oceń CRA.
Czy lista kontrolna wystarczy do oznakowania CE?
Nie. Jest narzędziem organizacyjnym, które nie zastępuje autentycznych dokumentów technicznych, prawidłowej oceny zgodności ani innych wymagań.
Powiązane wzory dokumentów
Do praktycznego dokumentowania służy tematyczny pakiet wzorów: RED-zabawki radiowe z funkcjami cyberbezpieczeństwa 2026/2027 – EN 18031, oświadczenie dostawcy i blokada partii | Word/PDF/Excel Wzory są opcjonalną pomocą; poradnik jest przydatny bez zakupu.
Źródła urzędowe i weryfikacja
- PTS – radio equipment cybersecurity requirements
- EU 2022/30
- EU 2025/138 – EN 18031
- EU 2026/339 – repeal
- RED 2014/53/EU · CRA 2024/2847
Redakcyjna weryfikacja źródeł: 11 listopada 2026 r., PTS i EUR-Lex. Informacje ogólne, nie indywidualna porada prawna ani ocena zgodności. Przed wprowadzeniem produktu na rynek konieczna jest analiza specjalistów technicznych i prawnych.
