Terminali di pagamento, hardware POS e chioschi

• Directive 2014/53/EU — Radio Equipment
• Directive 2014/35/EU — Low Voltage
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR
• Directive (EU) 2015/2366 — PSD2 for the payment service itself

Chi deve nominarlo

Fabbricanti al di fuori dell'Unione che immettono terminali di pagamento, chioschi self-service o lettori di carte nel mercato UE. Gli obblighi hardware spettano al fabbricante; gli obblighi del servizio di pagamento spettano all'istituzione di pagamento, che è un'entità regolamentata separata, e i fornitori confondono frequentemente i due.

Soglie ed esenzioni

Nessuno per l'hardware. L'autorizzazione PSD2 si applica al fornitore di servizi di pagamento piuttosto che al produttore del terminale, a meno che il fornitore non gestisca anche fondi o accesso ai conti.

Cosa deve comparire in etichetta

Marcatura CE, dettagli del produttore e del rappresentante UE, modello e numero di serie, parametri radio dove wireless, e dal dicembre 2027 il periodo di supporto CRA e il punto di contatto per le vulnerabilità.

Campi sui marketplace

Gli acquirenti e gli schemi di pagamento impongono l'approvazione PCI PIN Transaction Security come prerequisito commerciale, che è un requisito dello schema piuttosto che una legge dell'UE ma è decisivo nella pratica: un terminale non approvato non può essere distribuito indipendentemente dalla marcatura CE.

Documentazione da tenere

Dichiarazione di conformità UE, fascicolo tecnico, rapporti di test radio e di sicurezza, documentazione sulla cybersecurity ai sensi della EN 18031 e, dal 2026, il processo di gestione delle vulnerabilità CRA e SBOM. Dove il fornitore gestisce un cloud di gestione, il registro dell'Art. 30, la designazione dell'Art. 27 e il meccanismo di trasferimento.

Norme e prove

EN IEC 62368-1 per la sicurezza, gli standard radio applicabili, EN 55032 e EN 55035 per l'EMC, EN 18031 per i requisiti di cybersecurity RED, e separatamente la valutazione PCI PTS per il dispositivo di inserimento PIN.

Requisiti linguistici

Istruzioni e documentazione per i commercianti nella lingua di ciascuno stato membro di distribuzione.

Da quando si applica

Documentazione hardware prima dell'immissione sul mercato. Segnalazione delle vulnerabilità CRA dal 11 settembre 2026 e il regime completo dal 11 dicembre 2027, il che per i terminali con cicli di vita di distribuzione lunghi significa che il periodo di supporto deve essere pianificato ora.

Per quanto si conservano i documenti

Dieci anni per la documentazione tecnica, o il periodo di supporto CRA se più lungo, che per l'hardware di pagamento è tipicamente l'intera vita di distribuzione.

Cosa succede se non sei in regola

Ritiro e rifiuto doganale per l'hardware. Ai sensi del CRA, fino a €15 milioni o il 2,5% del fatturato. Separatamente, una vulnerabilità nei terminali distribuiti è un evento reputazionale e contrattuale con gli acquirenti che di solito supera il costo normativo.

Chi controlla

Autorità di sorveglianza del mercato e regolatori radio, CSIRT per la segnalazione CRA, autorità per la protezione dei dati dove vengono trattati dati personali, e autorità competenti nazionali per il lato del servizio di pagamento.

Dove passa il confine

Essere marcati CE e approvati PCI non rende il fornitore un'istituzione di pagamento, e viceversa detenere una licenza PSD2 non esenta l'hardware dalla conformità al prodotto. I lunghi cicli di distribuzione rendono il periodo di supporto CRA il più difficile impegno in questa categoria, poiché i terminali rimangono sul campo per un decennio.

Le domande che ci fanno

L'approvazione PCI è un requisito legale nell'UE?

No, è un requisito dello schema imposto dalle reti di carte e dagli acquirenti. È decisivo commercialmente ma non sostituisce la marcatura CE o gli obblighi CRA.

Chi segnala una vulnerabilità nei terminali distribuiti?

Il produttore, ai sensi dell'Art. 14 CRA dal settembre 2026, entro 24 ore dal momento in cui diventa consapevole che viene sfruttata.