Ciberseguridad RED para cargadores conectados: EN 18031 ahora, la Ley de Ciberresiliencia después
Desde el 1 de agosto de 2025, los equipos radioeléctricos conectados que se venden en la UE deben cumplir los requisitos de ciberseguridad de la RED. Qué se aplica a los cargadores de VE, dónde se queda corta EN 18031 y qué cambia en 2027.
- 01Desde el 1 de agosto de 2025, los equipos radioeléctricos conectados a internet en la UE deben cumplir el artículo 3.3, letras d), e) y f), de la RED.
- 02Un cargador con wifi, conexión móvil u otra radio que se conecte a internet está incluido.
- 03EN 18031-1/-2/-3 se citaron el 30 de enero de 2025 con restricciones que pueden eliminar la vía de autodeclaración.
- 04Si el usuario puede no configurar contraseña, la norma no da presunción de conformidad y hace falta un organismo notificado.
- 05El Reglamento Delegado 2026/339 deroga estas reglas desde el 11 de diciembre de 2027, cuando la Ley de Ciberresiliencia se aplique plenamente.
Qué cambió el 1 de agosto de 2025
El Reglamento Delegado (UE) 2022/30 activó tres requisitos de ciberseguridad de la Directiva de equipos radioeléctricos (RED). Debía aplicarse desde el 1 de agosto de 2024; el Reglamento Delegado (UE) 2023/2444 lo aplazó al 1 de agosto de 2025. Todo producto incluido que se introduzca en el mercado de la UE desde esa fecha debe cumplirlos.
| Requisito | Protege | Se aplica a |
|---|---|---|
| Artículo 3.3.d) | La red | Equipos radioeléctricos capaces de comunicarse por internet, directamente o a través de otro equipo |
| Artículo 3.3.e) | Datos personales y privacidad | Equipos conectados que tratan datos personales o de tráfico y localización, además de equipos de puericultura, juguetes y wearables |
| Artículo 3.3.f) | Contra el fraude | Equipos conectados que permiten transferir dinero, valor monetario o moneda virtual |
¿Afecta a mi cargador?
La prueba es radio más internet. Un cargador con wifi o módem móvil que se comunica con un sistema de gestión entra en d). Si además gestiona cuentas de usuario, identificadores de tarjeta o datos de sesión vinculados a una persona, es probable que se aplique e). Si el usuario puede pagar a través del cargador, es probable que se aplique f).
Un cargador sin ninguna radio, conectado solo por cable, no es equipo radioeléctrico y queda fuera de la RED. Confirme la clasificación producto a producto.
EN 18031: citada con restricciones
La Comisión citó EN 18031-1, EN 18031-2 y EN 18031-3:2024 en el Diario Oficial el 30 de enero de 2025 (Decisión de Ejecución (UE) 2025/138), con avisos que limitan la presunción de conformidad:
| Norma | Aviso |
|---|---|
| Las tres | Las partes de «justificación» y «orientación» no otorgan presunción de conformidad |
| Las tres | No hay presunción si se permite al usuario no establecer ni usar contraseña |
| EN 18031-2 | No hay presunción para los equipos afectados si no se garantiza el control de acceso parental o del tutor |
| EN 18031-3 | No hay presunción para los criterios de evaluación de actualizaciones seguras (apartado 6.3.2.4) |
Esto decide la vía de evaluación. El fabricante solo puede autodeclarar aplicando en su totalidad una norma armonizada citada. Si se aplica una restricción o la norma no se aplica por completo, debe intervenir un organismo notificado.
Lo siguiente: la Ley de Ciberresiliencia
El Reglamento (UE) 2024/2847 (CRA) abarca de forma más amplia los productos con elementos digitales:
| Fecha | Qué ocurre |
|---|---|
| 11 de septiembre de 2026 | Empiezan las obligaciones de notificar vulnerabilidades explotadas activamente e incidentes graves |
| 11 de diciembre de 2027 | Los requisitos del CRA se aplican plenamente |
| 11 de diciembre de 2027 | Se deroga el Reglamento 2022/30 (Reglamento Delegado (UE) 2026/339) |
Los productos introducidos en el mercado entre el 1 de agosto de 2025 y el 10 de diciembre de 2027 siguen sujetos a los requisitos RED a efectos de vigilancia del mercado.
Qué hacer ahora
- Elimine la opción sin contraseña. Credenciales únicas o la obligación de fijar contraseña evitan la restricción de EN 18031.
- Documente las actualizaciones seguras. La integridad y autenticidad del firmware requieren su propia evidencia.
- Construya una vez hasta 2027. La evaluación de riesgos, la gestión de vulnerabilidades y la política de actualizaciones de EN 18031 pasan al CRA.
Ayudamos a los fabricantes de cargadores a planificar la vía CE para la UE, junto con ensayos de CEM y seguridad en nuestra red de laboratorios asociados.
Preguntas frecuentes
¿Un cargador con wifi está incluido?
Sí, si puede comunicarse por internet. Se aplica el artículo 3.3.d); e) y f) dependen de si trata datos personales o permite pagar.
¿Puedo autodeclarar con EN 18031?
Solo aplicando por completo las normas citadas y evitando las restricciones, por ejemplo sin permitir omitir la contraseña. Si no, hace falta un organismo notificado.
¿Qué ocurre en diciembre de 2027?
El CRA se aplica plenamente y el Reglamento 2022/30 queda derogado desde el 11 de diciembre de 2027.
Fuentes
- Commission Delegated Regulation (EU) 2022/30 — EUR-Lex
- Commission Delegated Regulation (EU) 2023/2444 (application date moved to 1 August 2025) — EUR-Lex
- Commission Implementing Decision (EU) 2025/138 (EN 18031 citation and restrictions) — EUR-Lex
- Commission Delegated Regulation (EU) 2026/339 (repeal of 2022/30) — EUR-Lex
- McCann FitzGerald: Cyber Resilience Act reporting obligations apply from 11 September 2026
CertificaciónUE CE y TÜV 
