El BSMI propone nuevas reglas de ciberseguridad para productos informáticos y audiovisuales conectados

La Oficina de Normas, Metrología e Inspección (BSMI) del Ministerio de Asuntos Económicos ha publicado proyectos de modificación del «Reglamento de inspección de productos de tecnologías de la información sujetos a inspección obligatoria» y del «Reglamento de inspección de productos audiovisuales sujetos a inspección obligatoria». Las modificaciones afectan a productos informáticos, equipos audiovisuales y dispositivos electrónicos de consumo con funciones de conectividad, incluidos cámaras digitales, videocámaras, routers, puentes de red, conmutadores, concentradores, pasarelas, altavoces inteligentes, asistentes para el hogar inteligente, grabadores y reproductores de vídeo, monitores y televisores.

A medida que los productos electrónicos de consumo incorporan Wi-Fi, Bluetooth, Ethernet, conexiones a la nube, control mediante aplicaciones, actualizaciones remotas e integración con sistemas domésticos inteligentes, la inspección deja de centrarse exclusivamente en la seguridad eléctrica y la compatibilidad electromagnética. La ciberseguridad de los productos conectados, la protección de las transmisiones de datos, la gestión de las actualizaciones del firmware y el control de los riesgos para los usuarios también están adquiriendo importancia dentro de la certificación.

La conectividad es un criterio fundamental de la modificación

Los proyectos distinguen específicamente entre los productos que disponen de funciones de conectividad y aquellos que no las tienen. Según la documentación del BSMI, se considera que un producto dispone de conectividad cuando se conecta a una red mediante el protocolo de Internet TCP/IP. Por tanto, cualquier producto que pueda conectarse a Internet mediante una red cableada, inalámbrica u otro sistema podría quedar sujeto a los requisitos aplicables a los productos conectados.

Para las empresas, la existencia de funciones de conectividad influirá directamente en las normas aplicables, el procedimiento de inspección, los ensayos necesarios y la documentación del certificado. Por ejemplo, las videocámaras digitales, los altavoces inteligentes, los asistentes domésticos, los monitores conectados y los televisores conectados podrían tener que cumplir requisitos adicionales de ciberseguridad, además de los ensayos tradicionales de seguridad y compatibilidad electromagnética (EMC).

La modificación de los productos informáticos abarca cámaras y equipos de red

En el ámbito de los productos de tecnologías de la información, el proyecto afecta a cámaras digitales, videocámaras y equipos de red como routers, puentes, conmutadores, concentradores y pasarelas. Las categorías correspondientes a routers, puentes, conmutadores, concentradores y pasarelas también incluyen productos como altavoces inteligentes y asistentes para el hogar inteligente.

Estos productos se utilizan habitualmente en hogares, oficinas, espacios comerciales, sistemas de vigilancia y aplicaciones para entornos inteligentes. Si incorporan transmisión de datos, acceso remoto, captura de imágenes, recepción de sonido, sincronización en la nube o funciones de control inteligente, durante su desarrollo y preparación para la comercialización deberán considerarse conjuntamente la seguridad eléctrica, la compatibilidad electromagnética, la declaración RoHS y los ensayos de ciberseguridad.

La modificación de los productos audiovisuales incluye monitores y televisores conectados

En el ámbito audiovisual, el proyecto afecta a grabadores, reproductores de vídeo, monitores y televisores. Asimismo, incorpora requisitos de ensayo de ciberseguridad para determinados monitores y televisores que disponen de funciones de conectividad.

Los televisores inteligentes, monitores conectados y equipos audiovisuales con funciones de transmisión en línea deberán cumplir los requisitos básicos de seguridad, compatibilidad electromagnética, eficiencia energética y declaración de sustancias restringidas. Además, sus funciones de conectividad podrían someterlos a normas de ciberseguridad, requisitos de advertencia, medidas de protección de los datos de los usuarios y obligaciones relacionadas con la gestión posterior de las actualizaciones de software.

Las normas de ciberseguridad se incorporan al proceso de certificación

Según los proyectos de modificación, los productos conectados podrían quedar sujetos a normas de ciberseguridad como CNS 16190, CNS 18031-1 y CNS 18031-2. Determinadas cámaras digitales también podrían estar sujetas, según sus características, a CNS 16120 y a la serie CNS 16132.

Esto significa que, al realizar ensayos de tipo, solicitar la homologación de tipo o tramitar el registro de certificación de productos conectados, las empresas no deberán preparar únicamente los informes tradicionales de seguridad eléctrica y EMC. También tendrán que comprobar con antelación aspectos como la conexión a redes, las cuentas de usuario, la configuración de contraseñas, la transmisión de datos, las actualizaciones del firmware, el control remoto, las advertencias de ciberseguridad y los ajustes de seguridad predeterminados.

Los certificados y las declaraciones de conformidad existentes deben revisarse con antelación

Para las empresas que ya dispongan de una homologación de tipo, un registro de certificación o una declaración de conformidad, los proyectos también prevén disposiciones relativas a la transición entre las normas anteriores y las modificadas, la vigencia de los certificados, su sustitución, la validez de las declaraciones de conformidad y la presentación de nuevas solicitudes.

Aunque un producto ya haya obtenido un certificado conforme a las reglas anteriores, deberá comprobarse si queda afectado por la modificación y si será necesario presentar informes adicionales de ensayos de tipo, documentación de ciberseguridad, documentos del sistema de gestión de calidad, información de inspección de fábrica o una solicitud de sustitución del certificado. No completar los procedimientos necesarios dentro del plazo establecido podría afectar posteriormente la importación, la salida de fábrica, la exposición o la venta del producto.

Recomendaciones para la certificación de productos

Action Tech. recomienda que fabricantes, importadores, titulares de marcas, agentes y canales de comercio electrónico que comercialicen productos informáticos, equipos audiovisuales o dispositivos electrónicos de consumo conectados evalúen con antelación los posibles efectos de los proyectos sobre la certificación y el calendario de comercialización.

• Confirmar si el producto dispone de conectividad: si puede conectarse mediante Wi-Fi, una red cableada, una aplicación, la nube o el protocolo TCP/IP, debe comprobarse prioritariamente si le corresponden los requisitos de inspección para productos conectados.
• Revisar las categorías y los modelos: las cámaras digitales, videocámaras, equipos de red, altavoces inteligentes, asistentes para el hogar inteligente, monitores, televisores y dispositivos de grabación o reproducción de vídeo deberán evaluarse individualmente según sus funciones y especificaciones.
• Planificar conjuntamente los ensayos de seguridad, EMC y ciberseguridad: si el producto está sujeto simultáneamente a requisitos de seguridad eléctrica, compatibilidad electromagnética, declaración de sustancias restringidas y ciberseguridad, conviene coordinar los ensayos para evitar repeticiones y retrasos en la comercialización.
• Revisar la declaración RoHS y las advertencias: los productos correspondientes deberán seguir declarando la presencia de sustancias restringidas conforme a la sección 5 de CNS 15663 y comprobar si están sujetos a requisitos adicionales de advertencia para productos informáticos, de comunicaciones y electrónicos de consumo.
• Comprobar si deben sustituirse los certificados existentes: los productos que ya cuenten con homologación de tipo, registro de certificación o declaración de conformidad deberán verificar el calendario de aplicación de las normas modificadas y si será necesario presentar informes adicionales o solicitar un nuevo certificado.
• Reservar tiempo para los ensayos y la documentación de ciberseguridad: estos ensayos pueden afectar a las funciones del producto, la versión del firmware, las cuentas y contraseñas, las conexiones remotas, la transmisión de datos y los mecanismos de actualización. Se recomienda incorporarlos a la planificación desde la fase de desarrollo.

La certificación de productos conectados debe comenzar durante el diseño

Las funciones de conectividad son cada vez más habituales en los productos electrónicos de consumo, y la certificación se está ampliando desde los ensayos de seguridad del hardware hasta el software, el firmware, la transmisión de datos y la gestión de la ciberseguridad. Si las carencias relativas a las normas, el etiquetado o la documentación se detectan al final del desarrollo, puede resultar necesario modificar el diseño, actualizar el firmware, realizar ensayos adicionales o retrasar la comercialización.

Por ello, en el caso de videocámaras digitales, equipos de red, dispositivos para hogares inteligentes, monitores, televisores y otros productos electrónicos de consumo conectados, se recomienda confirmar desde las primeras fases del diseño las normas aplicables, los ensayos, el procedimiento de certificación y los requisitos documentales, reduciendo así los riesgos de incumplimiento después de iniciar la producción en serie.

Action Technology Patent Co., Ltd. seguirá de cerca las normas de inspección del BSMI aplicables a productos informáticos, equipos audiovisuales y productos conectados. Asimismo, ayudará a las empresas con los ensayos de compatibilidad electromagnética (EMC), los ensayos de seguridad (SAFETY), la evaluación para la certificación BSMI, la verificación del etiquetado RoHS, la preparación de la documentación para los ensayos de tipo y la planificación del cumplimiento previa a la comercialización, facilitando una entrada más fluida al mercado.

Fuente: Oficina de Normas, Metrología e Inspección｜Proyectos de modificación del «Reglamento de inspección de productos de tecnologías de la información sujetos a inspección obligatoria» y del «Reglamento de inspección de productos audiovisuales sujetos a inspección obligatoria»