Boj s kyberzločinem začíná u všech připojených rádiových zařízení: Co přinášejí nová pravidla od 1. srpna

Od 1. srpna nesmí být uváděny na trh nové produkty s radiovým rozhraním, která nesplňují požadavky na kybernetickou bezpečnost podle směrnice EU o rádiových zařízeních RED (2014/53/EU). Nová pravidla se týkají všech zařízení využívajících technologie jako Wi-Fi či Bluetooth. Základní požadavky na kybernetickou bezpečnost musí tedy splňovat například i chytré hodinky, chůvičky, televizory, kamery či zařízení chytré domácnosti. Nad dodržováním těchto pravidel bude dohlížet Česká obchodní inspekce (ČOI) ve spolupráci s Českým telekomunikačním úřadem (ČTÚ).

Podle statistiky, kterou si nechala v roce 2022 zpracovat EU z 11 491 kontrolovaných zařízení, jich 7 138 nesplňovalo požadavky směrnice, tedy více než 60 % produktů. Výrobci, dovozci a distributoři budou nově povinni například chránit zařízení před neoprávněným přístupem, zajišťovat bezpečné aktualizace softwaru či chránit osobní údaje uživatelů v souladu s GDPR. Směrnice se vztahuje na všechna zařízení, která sbírají data nebo jsou připojena k internetu.

Podle Petra Lockenbauera, etického hackera ze společnosti TÜV SÜD, je bezpečnost rádiových zařízení obecně podceňována. „Existuje povědomí, že proti kybernetickým útokům musí být zabezpečeny například notebooky či mobilní telefony. Stejně se ale snadno dají zneužít například průmyslové či bezpečnostní kamery nebo elektronické dětské hračky. V minulosti například dokázali ruští hackeři díky slabinám v zabezpečení napadnout statisíce kamer a následně zveřejnit pořizované záběry – útok se dotkl i kamer umístěných v České republice. Nejde jen o zneužití samotného zařízení, ale také o to, že jeho prostřednictvím lze například získat citlivá data uložená v připojených počítačích či telefonech,“ vysvětluje Petr Lockenbauer. Výrobci a distributoři, kteří nesplní nová pravidla, mohou čelit pokutám až do výše 50 milionů korun nebo požadavku na stažení výrobků z trhu.

Všechna připojená zařízení představují potenciální riziko

Nedostatečně zabezpečené technologie, jako je Wi-Fi, Bluetooth a další, podle expertů představují cestu, jak získat citlivá data nebo ovládat připojené přístroje na dálku. „Hacker může například využít slabé stránky v heslech nebo zranitelnosti v softwaru k přístupu do sítě, případně odposlouchávat komunikaci nebo ovládat zařízení na dálku,“ vysvětluje Petr Lockenbauer.

Podle nedávno zveřejněného průzkumu společnosti Ipsos pro firmu eD system čelila více než čtvrtina firem (27 %) v poslední době kybernetickému útoku. „Hackeři mohou na firmy útočit nejen přes výpočetní techniku, ale například i prostřednictvím různých připojených zařízení. Tyto přístroje by měla řešit komplexně nově platná směrnice. Firmy a instituce jsou samozřejmě nejvíce ohroženy. S rostoucím využíváním „internetu věcí“ lze očekávat i větší počet útoků na domácnosti,“ říká Petr Lockenbauer.

Podle společnosti TÜV SÜD by se firmy vyrábějící a dovážející rádiová zařízení připojená k internetu nyní měly více zaměřit na kontrolu, zda jejich produkty nespadají pod nová pravidla, následně pak prověřit zda splňují nové požadavky a jsou tedy správně zabezpečeny.  

Při hodnocení, zda jsou produkty v souladu s novými body směrnice RED, se podle Petra Lockenbauera bude ověřovat například to, zda produkty využívají adekvátní šifrovanou komunikaci, mají zabezpečená úložiště dat, dokáží odolat DoS útoku nebo neobsahují nějakou veřejně známou zranitelnost.

Pro konečné spotřebitele by v budoucnu měla být důležitým vodítkem značka shody, tedy označení CE, umístěná na produktu. Tu by měly mít pouze produkty, které základní bezpečnostní parametry splňují. „Bohužel se dá předpokládat, že na trhu je nyní mnoho nedostatečně chráněných produktů. Spotřebitel určitě neudělá chybu, pokud bude kupovat výrobky připojené k internetu pouze od důvěryhodných prodejců a preferovat ty, jež lze zabezpečit heslem. Samozřejmostí by pak mělo být dodržování pravidel při nastavování hesel,“ uzavírá Petr Lockenbauer.

Příklady požadavků na radiové zařízení podle směrnice RED

Produkty uváděné na trh od 1.8. 2025 musí mimo jiné:

• Odolat neoprávněné manipulaci, útokům i pokusům o prolomení hesel.

• Podporovat bezpečné aktualizace softwaru včetně ověřování integrity a pravosti.

• Zajistit důvěrnost a ochranu citlivých dat.

• Používat zabezpečené komunikační protokoly jako HTTPS, SIPS nebo SRTP.

• Využívat kryptografii odpovídající aktuálním průmyslovým standardům. (3.8.2025)