Le norme europee RED sulla sicurezza informatica si applicano ora anche alle colonnine di ricarica per veicoli elettrici connessi.

Riepilogo

A partire dal 1° agosto 2025, le disposizioni della Direttiva UE sulle apparecchiature radio (RED) in materia di sicurezza informatica per i prodotti connessi sono diventate operative. Per la ricarica dei veicoli elettrici, qualsiasi caricabatterie dotato di Wi-Fi, rete cellulare o BLE deve soddisfare i requisiti di sicurezza fin dalla progettazione; i dispositivi che elaborano dati personali devono integrare protezioni per la privacy; e i prodotti che consentono i pagamenti devono implementare controlli antifrode.

La Commissione europea ha inserito la norma EN 18031-1/-2/-3:2024 nell'elenco delle norme armonizzate per le quali si presume la conformità. L'elenco della Gazzetta ufficiale include delle restrizioni, pertanto solo le clausole normative correttamente applicate garantiscono la presunzione. I dispositivi senza moduli wireless sono generalmente esclusi dall'articolo 3(3), ma la conformità a livello di sistema si applica comunque al caricabatterie nel suo complesso.

Cosa è cambiato e perché è importante

• L'ambito di applicazione ora va oltre la conformità RF. Le funzionalità connesse prevedono controlli obbligatori in materia di sicurezza, privacy e antifrode.

• Esiste un percorso di conformità ben definito. L'adozione della norma EN 18031 può fornire una presunzione di conformità; in caso contrario, è necessario ricorrere a un organismo notificato.

• Le procedure di appalto diventeranno più rigide. Le gare d'appalto e gli audit dell'UE richiederanno aggiornamenti firmati, politiche sulle credenziali, SBOM (Safety Board of Management), gestione delle vulnerabilità e linee guida per gli utenti.

Chi è interessato nell'ecosistema di ricarica?

• Caricabatterie CC e CA con connettività integrata (LTE, Wi-Fi, BLE).

• Funzionalità integrate di back-office che si basano su credenziali del dispositivo, registri o aggiornamenti OTA.

• Caricabatterie che accettano pagamenti ad hoc o supportano i token di pagamento.

• Gli accessori hardware senza moduli wireless sono generalmente esclusi dall'ambito di applicazione, mentre il caricabatterie, inteso come sistema, rimane incluso.

Date e traguardi chiave

Nota: l'elenco EN 18031 nella Gazzetta Ufficiale include delle restrizioni; solo le disposizioni normative correttamente applicate garantiscono la presunzione di conformità.

Traguardo | Cosa significa per la ricarica dei veicoli elettrici

30 gennaio 2025 | La norma EN 18031-1/-2/-3:2024 è stata inserita nella Gazzetta Ufficiale, consentendo la presunzione di conformità se applicata correttamente.

1 agosto 2025 | Le disposizioni sulla sicurezza informatica della direttiva RED (articoli 3(3)(d)(e)(f)) sono applicabili alle apparecchiature radio rientranti nell'ambito di applicazione, compresi i caricabatterie collegati.

2025–2026 | Produttori e operatori allineano i pacchetti di documentazione (valutazione del rischio, rapporti di prova, SBOM, aggiornamento delle politiche) e avviano le misure di protezione sul campo.

Criteri di valutazione dei fornitori per i caricabatterie per veicoli elettrici conformi alla direttiva RED dell'UE (lista di controllo EN 18031)

Utilizzate la seguente checklist EN 18031 per esaminare rapidamente i sistemi.

Sicurezza e aggiornamenti del firmware (immagini firmate, protezione dal rollback, canali crittografati, rotazione delle chiavi).

Chiarimento: prevenire l'accesso non autorizzato al codice e garantire un ripristino sicuro.

Controllo degli accessi (nessuna password predefinita o vuota, modifica al primo accesso, blocco e limitazione della frequenza di accesso, account con privilegi minimi).

Chiaritore: blocca le facili intrusioni e limita i movimenti laterali.

Protezione dagli abusi di rete per OCPP/MQTT/HTTPS (limitazione della velocità, rilevamento delle anomalie, protezione da replay e flooding, servizi rinforzati).

Chiarimento: interrompere la registrazione di botnet e le tempeste di traffico.

Privacy e registri (minimizzazione dei dati, periodi di conservazione, informativa sulla privacy per l'utente, esportazione sicura dei registri).

Chiarimento: raccogli solo ciò di cui hai bisogno e conservalo in un luogo sicuro.

Pagamenti, se presenti (crittografia e firma end-to-end, design a prova di manomissione, doppio controllo per rimborsi e liquidazioni).

Chiarimento: proteggere il trasferimento di valore e ridurre il rischio di frode.

Documentazione probatoria (matrice di copertura EN 18031, rapporti di prova, divulgazione delle vulnerabilità e SLA delle patch, sezione sicurezza del manuale utente, dichiarazione di conformità UE, indice dei file tecnici).

Chiarimento: mostrate prove, non promesse.

Mappatura dei requisiti e dei casi d'uso

Requisiti RED | Caso d'uso tipico della ricarica di veicoli elettrici | Esempi di controlli accettabili

3(3)(d) Uso improprio della rete | Prevenire la registrazione di botnet o DDoS tramite il modem del caricabatterie | Firewalling, limiti di velocità, autenticazione reciproca TLS, servizi rinforzati

3(3)(e) Protezione dei dati | Gestire gli identificatori del driver, i dati di sessione, i metadati | Minimizzazione dei dati, pseudonimizzazione, registrazione degli accessi, politica di conservazione

3(3)(f) Prevenzione delle frodi | Pagamenti ad hoc basati su codice QR o carta | Prove crittografiche, elementi sicuri o HSM, doppio controllo sui rimborsi

Come rendere operativa la conformità (flusso pronto per l'uso sul campo)

Identificazione dell'ambito → Valutazione delle minacce e delle lacune → Implementazione dei controlli (firmware, credenziali, comunicazioni, pagamenti, privacy) → Validazione (test interni e, se necessario, un organismo notificato) → Compilazione del fascicolo tecnico (analisi dei rischi, SBOM, rapporti di prova, mappatura EN 18031, istruzioni per l'utente) → Emissione del DoC UE ed etichettatura → Monitoraggio e applicazione delle patch con SLA di divulgazione e correzione definiti.

Piano d'azione di 30-60-90 giorni

Giorni 0–30: Confermare quali modelli includono moduli wireless; mappare l'applicabilità dell'articolo 3(3)(d)(e)(f); redigere SBOM e valutazione iniziale del rischio; allineare la copertura EN 18031.

Giorni 31-60: Inviare le policy delle credenziali e aggiornarle in modo sicuro; rafforzare OCPP/MQTT/HTTPS; minimizzare e documentare i dati; definire i controlli antifrode per i flussi di pagamento; programmare la revisione da parte di terzi o di un organismo notificato se non completamente conforme alla norma EN 18031.

Giorni 61-90: Finalizzazione dei test, del file tecnico e della Dichiarazione di Conformità UE; etichettatura e rilascio; test pilota di rafforzamento della sicurezza sul campo in siti selezionati; pubblicazione degli SLA relativi alla gestione delle vulnerabilità e alle patch.

Impatto sulle roadmap di prodotto

• I caricabatterie compatibili con lo standard 15118 e i back-end OCPP 2.x daranno maggiore enfasi alla gestione delle credenziali e dei certificati.

• Le richieste di offerta (RFP) terranno conto delle operazioni di aggiornamento della sicurezza e della qualità delle prove tanto quanto della notorietà del marchio.

• Un OTA affidabile riduce le visite in loco e contribuisce a ridurre i costi totali di gestione.

Nota dell'ape operaia

Workersbee supporta i progetti destinati all'UE con assemblaggi di connettori e cavi e allinea le linee guida per l'integrazione dei caricabatterie ai controlli di sicurezza informatica RED. Per i programmi in corrente continua che richiedono la presunzione di conformità, il nostro team di ingegneri può fornire una checklist concisa per la conformità alla norma EN 18031 e un esempio di formulazione per la documentazione tecnica tramite i seguenti link: Guida tecnica Workersbee, Know-how sui connettori in corrente continua di Workersbee.

FAQ

D: Se un caricabatterie non ha una funzione di pagamento, si applica comunque l'articolo 3(3)(f)?

A: No. Solo i dispositivi che consentono pagamenti o trasferimenti di valore monetario rientrano nel punto 3(3)(f). Lo stesso caricabatterie potrebbe comunque dover soddisfare i punti 3(3)(d) e 3(3)(e).

D: Ho bisogno di un organismo notificato se adotto integralmente la norma EN 18031?

A: L'applicazione completa e corretta delle norme armonizzate può garantire la presunzione di conformità. In caso di adozione parziale o di incertezza, la procedura tramite un organismo notificato riduce il rischio.

D: Le restrizioni imposte dalla OJ implicano che la norma EN 18031 da sola sia sempre sufficiente?

R: No. Solo le clausole normative applicate correttamente concedono la presunzione. In caso di discrepanza o di situazioni ambigue, è necessario ricorrere alla procedura dell'organismo notificato.

D: Quali prove richiedono solitamente i revisori contabili per prime?

A: Politica di aggiornamento firmato, politica delle password, SBOM, flusso di lavoro per la gestione delle vulnerabilità, tabella di mappatura EN 18031 e Dichiarazione di conformità UE.