EN 18031 und RED-Cybersicherheit: Funkanlagen und der CRA

01Die Cybersicherheitsanforderungen der RED

Die Delegierte Verordnung (EU) 2022/30 hat drei grundlegende Anforderungen aus Artikel 3 Absatz 3 der Funkanlagenrichtlinie (Richtlinie 2014/53/EU) für bestimmte Funkanlagen für anwendbar erklärt. Sie sind seit dem 1. August 2025 verpflichtend:

• Artikel 3 Absatz 3 Buchstabe d: Die Funkanlage darf weder das Netz oder seinen Betrieb schädigen noch Netzressourcen missbrauchen. Gilt für Funkanlagen, die über das Internet kommunizieren können.
• Artikel 3 Absatz 3 Buchstabe e: Schutzvorkehrungen für die personenbezogenen Daten und die Privatsphäre des Nutzers. Gilt für Funkanlagen, die personenbezogene Daten verarbeiten, sowie für Funkanlagen zur Kinderbetreuung, Spielzeug und am Körper getragene Funkanlagen (Wearables).
• Artikel 3 Absatz 3 Buchstabe f: Schutz vor Betrug. Gilt für Funkanlagen, die die Übertragung von Geld, monetärem Wert oder virtueller Währung ermöglichen.

02Die Normenreihe EN 18031

Die Normen legen Sicherheitsmechanismen fest, etwa Zugriffskontrolle, Authentifizierung, sichere Aktualisierung, sichere Speicherung, sichere Kommunikation, Resilienz, Netzüberwachung, Verkehrssteuerung, Schutz vertraulicher kryptografischer Schlüssel und aktuelle Kryptografie. Dazu kommen Entscheidungsbäume, mit denen sich für jeden Mechanismus prüfen lässt, ob er anwendbar ist.

Die Fundstellen aller drei Normen wurden mit dem Durchführungsbeschluss (EU) 2025/138 der Kommission mit Einschränkungen im Amtsblatt der Europäischen Union veröffentlicht. Greift eine Einschränkung bei Ihrem Produkt, begründet die Norm keine Konformitätsvermutung, und eine EU-Baumusterprüfung durch eine notifizierte Stelle ist erforderlich.

Typisch betroffen sind zum Beispiel Optionen, mit denen Nutzer das Produkt betreiben können, ohne ein Passwort festzulegen. Prüfen Sie anhand des Wortlauts des Durchführungsbeschlusses, ob Ihr Produkt betroffen ist.

Welcher Teil gilt, hängt davon ab, was das Produkt tut, nicht von seiner Funktechnik. Eine WLAN-Kamera, die sich mit dem Internet verbindet und Aufnahmen speichert, benötigt in der Regel EN 18031-1 und EN 18031-2; ein Wearable mit Bezahlfunktion kann alle drei Teile benötigen.

03So weisen Sie die Konformität nach

Für Artikel 3 Absatz 3 Buchstaben d, e und f sieht die RED drei Wege vor:

• Interne Fertigungskontrolle (Modul A): nur möglich, wenn Sie die einschlägigen Teile der EN 18031 vollständig anwenden und keine der Einschränkungen aus dem Durchführungsbeschluss (EU) 2025/138 auf Ihr Produkt zutrifft.
• EU-Baumusterprüfung (Modul B + C): Eine notifizierte Stelle prüft das Baumuster des Produkts. Erforderlich, wenn Sie die Normen nicht oder nur teilweise anwenden oder eine Einschränkung greift.
• Umfassende Qualitätssicherung (Modul H): Eine notifizierte Stelle genehmigt und überwacht Ihr Qualitätssicherungssystem.

Router, Modems und Smart-Home-Geräte mit WLAN oder Bluetooth sind typische Produkte im Anwendungsbereich. Wie RED und CRA in diesen Bereichen zusammenwirken, lesen Sie unter Netzwerk- und Telekommunikationsgeräte und Smart Home und Haushaltsgeräte.

04Zeitplan: vom delegierten Rechtsakt zur RED bis zum CRA

05Der Übergang zum CRA

Der CRA erfasst auch Funkanlagen, und sein Anhang I enthält alle Elemente von Artikel 3 Absatz 3 Buchstaben d, e und f der RED. Damit sich nicht zwei Regelwerke überschneiden, hebt die Delegierte Verordnung (EU) 2026/339 der Kommission die Delegierte Verordnung (EU) 2022/30 mit Wirkung vom 11. Dezember 2027 auf; ab diesem Tag gilt der CRA vollständig.

Für die Praxis bedeutet das:

• Funkanlagen, die bis zum 10. Dezember 2027 in Verkehr gebracht werden, müssen die Cybersicherheitsanforderungen der RED erfüllen; EN 18031 bleibt der Weg zur Konformitätsvermutung. Die Marktüberwachung dieser Funkanlagen nach der RED läuft auch nach der Aufhebung weiter.
• Die Meldepflichten nach Artikel 14 des CRA gelten seit dem 11. September 2026 auch für Funkanlagen. Die Konformität mit der RED entbindet nicht davon. Siehe den Leitfaden zu Artikel 14.
• Die Arbeit für EN 18031 lässt sich weitgehend auf Anhang I Teil I des CRA übertragen. Zusätzlich verlangt der CRA die Behandlung von Schwachstellen (Anhang I Teil II), eine SBOM, einen Unterstützungszeitraum und Meldungen.
• EN 18031 ist keine harmonisierte Norm im Sinne des CRA. Die Normen für den CRA werden derzeit von CEN, CENELEC und ETSI erarbeitet.

06Häufige Fragen