Większość porad o bezpieczeństwie inteligentnego domu dotyczy urządzeń, które już są w sieci: zmień hasło, przenieś urządzenie do osobnego VLAN-u, zaktualizuj oprogramowanie. Część najważniejszych decyzji zapada jednak wcześniej, w sklepie. Kamery, do której nigdy nie wyjdzie żadna aktualizacja, ani gniazdka, które przestaje działać w dniu wyłączenia usługi w chmurze, nie da się naprawić nawet najlepszymi ustawieniami sieci.

Poniżej znajdziesz wyjaśnienie, czego prawo UE już wymaga od urządzeń podłączonych do sieci, co zmieni się w 2027 roku i jak wykorzystać europejską normę bazowych wymagań bezpieczeństwa konsumenckiego IoT, ETSI EN 303 645, jako listę kontrolną przed zakupem.

Czego prawo UE wymaga już teraz

Dyrektywa radiowa: od 1 sierpnia 2025 roku

Rozporządzeniem delegowanym (UE) 2022/30 Komisja uruchomiła trzy wymagania cyberbezpieczeństwa z dyrektywy w sprawie urządzeń radiowych (RED), art. 3 ust. 3 lit. d, e i f. Dotyczą ochrony sieci, ochrony danych osobowych i prywatności oraz ochrony przed oszustwami. Według Komisji Europejskiej rozporządzenie stosuje się od sierpnia 2025 roku. Wymaganie dotyczące ochrony sieci obejmuje każde urządzenie radiowe, które może się komunikować przez internet, bezpośrednio albo za pośrednictwem innego urządzenia. W praktyce chodzi o gniazdka i kamery Wi-Fi, ale też o urządzenia Zigbee i Bluetooth, które łączą się z internetem przez bramkę albo telefon.

Producenci mogą wykazać zgodność za pomocą norm zharmonizowanych EN 18031-1, -2 i -3. Publikując je w Dzienniku Urzędowym (decyzja wykonawcza (UE) 2025/138), Komisja dodała ważne zastrzeżenie: jeśli w produkcie można w ogóle nie ustawiać hasła, stosowanie klauzul normy o hasłach nie daje domniemania zgodności.

Dla kupującego oznacza to, że nowe urządzenie radiowe sprzedawane w UE powinno mieć oznakowanie CE obejmujące także te wymagania bezpieczeństwa. Z oznakowania nie dowiesz się jednak, jak długo urządzenie będzie wspierane.

Akt o cyberodporności: zgłoszenia od września 2026 roku, reszta od grudnia 2027 roku

Akt o cyberodporności (CRA, rozporządzenie (UE) 2024/2847) wszedł w życie 10 grudnia 2024 roku. Obejmuje ogólnie produkty z elementami cyfrowymi, a nie tylko urządzenia radiowe. Harmonogram:

  • 11 września 2026 roku: producenci muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty. Według Komisji obowiązek dotyczy wszystkich produktów z elementami cyfrowymi udostępnianych w UE, także tych, które są już na rynku. Wczesne ostrzeżenie trzeba wysłać w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin.
  • 11 grudnia 2027 roku: zaczynają obowiązywać główne wymagania. Tego samego dnia przestaje obowiązywać rozporządzenie o cyberbezpieczeństwie urządzeń radiowych (uchyla je rozporządzenie delegowane (UE) 2026/339), żeby wymagania się nie dublowały.

Dla kupujących najważniejsze są dwie zasady CRA:

  • Okres wsparcia. Zgodnie z art. 13 ust. 8 producent musi obsługiwać podatności przez okres wsparcia, który odpowiada przewidywanemu czasowi użytkowania produktu. Ten okres musi wynosić co najmniej pięć lat, chyba że produkt ma być używany krócej.
  • Data końcowa w chwili zakupu. Zgodnie z art. 13 ust. 19 data zakończenia okresu wsparcia, co najmniej miesiąc i rok, musi być jasno podana w chwili zakupu, w stosownych przypadkach na produkcie, jego opakowaniu albo w formie cyfrowej. Jeśli jest to technicznie wykonalne, na urządzeniu ma się też wyświetlić powiadomienie o zakończeniu wsparcia.

Do grudnia 2027 roku producenci nie muszą jeszcze publikować tej daty i wielu tego nie robi. Urządzenie kupione w 2026 roku może już podlegać obowiązkowi zgłaszania podatności, ale nie daje to gwarancji aktualizacji przez określony czas.

Poza UE

Brytyjskie przepisy o bezpieczeństwie konsumenckich produktów podłączanych do sieci, wynikające z Product Security and Telecommunications Infrastructure Act 2022, obowiązują od 29 kwietnia 2024 roku. W wytycznych rządu Wielkiej Brytanii norma ETSI EN 303 645 jest wymieniona wśród dokumentów źródłowych.

ETSI EN 303 645 jako lista kontrolna przed zakupem

ETSI EN 303 645 „Cyber Security for Consumer Internet of Things: Baseline Requirements” (obecna wersja V3.1.3 z września 2024 roku) zawiera 13 grup postanowień dotyczących urządzeń oraz postanowienia o ochronie danych. W sklepie nie sprawdzisz urządzenia pod kątem zgodności z normą, ale kilka postanowień da się zamienić w pytania, na które odpowiedź znajdziesz na stronie produktu, w instrukcji albo na stronie producenta.

1. Brak jednego domyślnego hasła dla wszystkich

Postanowienie 5.1-1: jeśli urządzenie korzysta z haseł, muszą być unikalne dla każdego egzemplarza albo ustawiane przez użytkownika. Instrukcja z poleceniem „zaloguj się jako admin/admin” to sygnał ostrzegawczy. Szukaj unikalnego hasła na naklejce albo konfiguracji, w której trzeba wymyślić własne. Według postanowienia 5.1-4 zmiana hasła musi być prosta.

2. Sposób zgłaszania podatności

Postanowienie 5.2-1: producent musi opublikować zasady ujawniania podatności z co najmniej danymi kontaktowymi do zgłaszania problemów oraz terminami potwierdzenia zgłoszenia i przekazywania informacji o postępach. Poszukaj na stronie producenta zakładki „security” albo „vulnerability disclosure”. Publikowane biuletyny bezpieczeństwa to dodatkowy znak, że producent rzeczywiście usuwa błędy.

3. Opublikowany okres wsparcia

Postanowienie 5.3-13: producent musi opublikować zdefiniowany okres wsparcia, czyli minimalny czas (jako okres albo datę końcową), przez który producent dostarcza aktualizacje oprogramowania. W postanowieniu 5.3-16 jest wymóg, żeby oznaczenie modelu było łatwo rozpoznawalne na naklejce albo w interfejsie, bo bez dokładnego modelu nie sprawdzisz okresu wsparcia. Jeśli nie ma żadnej informacji o aktualizacjach, zakładaj najgorsze.

W przypadku urządzeń, których oprogramowania nie da się zaktualizować, w postanowieniu 5.3-14 jest zalecenie, by producent opublikował powód, a także informację, jak długo i w jaki sposób zapewnia wymianę sprzętu.

4. Aktualizacje, które naprawdę się pojawiają

Według postanowień 5.3-7 i 5.3-8 aktualizacje mają być zabezpieczone zgodnie z dobrymi praktykami kryptograficznymi i dostarczane bez zwłoki. Z zewnątrz najprościej sprawdzić to na stronie z historią zmian oprogramowania. Zobacz, kiedy ukazała się ostatnia aktualizacja dla danego modelu i czy były w niej poprawki bezpieczeństwa.

5. Działanie bez internetu

W postanowieniu 5.9-2 jest zalecenie, żeby urządzenia nadal działały lokalnie po utracie dostępu do sieci i poprawnie wracały do pracy po zaniku zasilania. W normie to tylko zalecenie, ale w automatyce domowej to jedna z najcenniejszych cech. Sprawdź, czy urządzeniem da się sterować lokalnie, na przykład przez Zigbee, Z-Wave, Matter, lokalne API albo MQTT, czy każde polecenie przechodzi przez usługę w chmurze.

6. Jak najmniej udostępnionych usług

W postanowieniu 5.6-1 jest wymóg wyłączenia nieużywanych interfejsów sieciowych i logicznych. Przed zakupem tego nie zobaczysz, ale w recenzjach i biuletynach bezpieczeństwa dla danego modelu możesz poszukać wzmianek na przykład o otwartym porcie telnet albo interfejsie WWW bez uwierzytelniania.

7. Łatwe usuwanie danych

Postanowienie 5.11-1: użytkownik musi mieć możliwość prostego usunięcia z urządzenia wszystkich swoich danych. W instrukcji powinien być opis przywracania ustawień fabrycznych, które usuwa dane logowania do Wi-Fi i dane konta. Ma to znaczenie przy sprzedaży, oddawaniu albo utylizacji urządzenia.

Krótka procedura przed zakupem

  1. Zapisz dokładne oznaczenie modelu.
  2. Poszukaj okresu wsparcia albo daty końca aktualizacji na stronie produktu, opakowaniu lub stronie producenta.
  3. Znajdź stronę producenta o bezpieczeństwie albo zasadach ujawniania podatności.
  4. Otwórz historię zmian oprogramowania i sprawdź datę ostatniej aktualizacji.
  5. Przeczytaj instrukcję: domyślne hasło, sterowanie lokalne, przywracanie ustawień fabrycznych.
  6. Wyszukaj nazwę modelu razem ze słowem „vulnerability” albo „CVE”, żeby sprawdzić, jak producent radził sobie z wcześniejszymi problemami.

Jeśli urządzenie nie przechodzi kilku z tych testów, nadal może się przydać, ale traktuj je jako niezaufane: umieść je w odizolowanej sieci, zablokuj mu dostęp do internetu, jeśli działa bez niego, i zaplanuj jego wymianę.

Czego tu nie ma

Pominięte są znaki certyfikacji inne niż oznakowanie CE oraz przepisy krajowe poszczególnych państw UE. Daty i wymagania prawne są streszczone na podstawie źródeł wymienionych niżej. Jeśli od nich zależy decyzja biznesowa, przeczytaj tekst rozporządzenia.