Die Funkgeräte-Richtlinie erläutert: Alles, was Sie über RED Cybersicherheits-Anforderungen wissen müssen

Rote Cyber-Security-Anforderungen: Von Artikel 3.3 bis CE-Kennzeichnung

Wenn Sie ein radioaktives Produkt in der EU verkaufen, du bist bereits unter der Funkgeräterichtlinie (RED). Dieser Teil ist nicht neu. Was sich im August 2025 geändert hat, ist, dass die Cybersicherheit nicht nur eine Empfehlung, sondern eine gesetzliche Anforderung wurde. Die RED-DA (das delegierte Gesetz) wurde formell als Verordnung (EU) 2022/30 angenommen und hat die Cybersicherheitsbestimmungen von Artikel 3 aktiviert., das Ende von Jahren der freiwilligen Einhaltung und die Umwandlung von ehrgeizigen Zielen in durchsetzbare Verpflichtungen. Für Hersteller ist dies keine kleine administrative Aktualisierung. Es wirkt sich auf Produktdesign, Testung, Dokumentation und Marktzugang aus. Irrtum bedeutet, dass das CE-Zeichen nicht legal angewendet werden kann, was bedeutet, dass das Produkt nicht legal in der EU verkauft werden kann.

Was die Funkgeräte-Richtlinie tatsächlich abdeckt,

Die Funkanlagenrichtlinie (RED) 2014/53/EU stellt wesentliche Anforderungen an jedes Produkt, das das Funkfrequenzspektrum nutzt, ob absichtlich oder nicht. Mobiltelefone, WLAN-Router, Bluetooth-Tracker, Sensoren für Smart Home, GPS-Empfänger, Babyphone, Wearables: Wenn es drahtlos kommuniziert und auf den EU-Markt gelangt, fällt es mit hoher Wahrscheinlichkeit unter die RED. Die Richtlinie befasste sich nie ausschließlich mit der RF-Sicherheit. Sie umfasste stets Gesundheit, elektromagnetische Verträglichkeit und Spektrumseffizienz. Doch Artikel 3.3 gab der Europäischen Kommission die Befugnis, diese Anforderungen weiter zu erweitern, und die RED-DA nutzte diese Macht, um Sicherheit von drahtlosen Geräten erstmals als verbindliche Verpflichtung in den Geltungsbereich einzubeziehen.

Das Delegierte Gesetz gilt insbesondere für internetangeschlossene Funkgeräte. Eine eigenständige Bluetooth-Fernbedienung ohne Netzwerkverbindung könnte außerhalb dieses Anwendungsbereichs sitzen; ein Wi-Fi-kompatibler Thermostat ist mit ziemlicher Sicherheit nicht. Hersteller müssen sorgfältig überprüfen, ob ihr Produkt qualifiziert ist, bevor sie von der Ausnahmeregelung ausgehen, wie unser früheres Werk auf Anpassung an Artikel 3. (d), (e) und (f) deckt detailliert ab.

Artikel 3.3 und die drei Cybersicherheits-Verpflichtungen

Artikel 3.3 der RED gibt der Kommission die Befugnis, zusätzliche wesentliche Anforderungen an bestimmte Produktkategorien zu stellen. Die RED-Cybersicherheitsanforderungen, die durch die RED-DA aktiviert werden, berufen sich auf drei dieser Klauseln für internetverbundene Funkanlagen.

Artikel 3.3(d) verlangt, dass Funkanlagen das Netzwerk nicht schädigen oder dessen Betrieb beeinträchtigen. Geräte dürfen nicht zu Vektoren für Netzwerkanriffe werden, müssen unter Stress vorhersehbar verhalten und dürfen nicht auf eine Weise senden, die die gemeinsame Infrastruktur beeinträchtigt.

Artikel 3.3(e) behandelt Vorkehrungen für persönliche Daten und Datenschutz. Diese Klausel geht weiter als einfache Verschlüsselung. Geräte müssen Benutzerdaten während der Übertragung und im Ruhezustand schützen, die Datenerfassung auf das unbedingt Notwendige beschränken und Anmeldedaten während ihrer gesamten Lebensdauer sicher handhaben.

Artikel 3.3 Buchstabe f) zielt auf Betrugsbekämpfung ab. Funkgeräte müssen Schutzmaßnahmen beinhalten, die verhindern, dass sie zur Erleichterung von Betrug gegen Nutzer oder Dritte genutzt werden. eine Klausel, die insbesondere für zahlungsfähige Geräte, Sprachassistenten und angeschlossene Finanzgeräte relevant wird.

Diese drei Verpflichtungen gelten parallel: Ein Gerät kann 3.3 (d) nicht befriedigen, ohne 3.3 (e) alle drei Säulen zu ignorieren. Wie wir in unserem Artikel über die Challenges in der Umsetzung von RED's Cybersecurity Anforderungenbeschrieben haben, , die Interaktion zwischen diesen Klauseln ist genau dort, wo die meisten Hersteller in Schwierigkeiten geraten.

Wie EN 18031 und Harmonisierte Standards Bridge der Gap

Zu wissen, was Sie erreichen müssen, ist nur ein Teil des Problems. Zu wissen, wie Sie nachweisen können, dass Sie es erreicht haben, ist der andere Teil, und hier werden harmonisierte Normen unerlässlich.

Die von der Kommission vorgeschriebenen ETSI-Cybersicherheitsnormen, die als EN 18031 bezeichnet werden, sind die harmonisierten Standards für RED-Cybersicherheit. EN 18031-1 deckt den Netzwerkschutz ab (in Übereinstimmung mit 3.3(d)), EN 18031-2 befasst sich mit persönlichen Daten und Datenschutz (3.3(e)), und EN 18031-3 behandelt Betrugsprävention (3.3(f)). Zusammen übersetzen sie die gesetzlichen Klauseln der RED-DA in spezifische, testbare technische Anforderungen.

Die praktische Bedeutung davon ist real. Nach EU-Recht profitieren Produkte, die mit einem harmonisierten Standard übereinstimmen, von einer „Vermutung der Konformität“ mit den entsprechenden wesentlichen Anforderungen. Der Nachweis der EN 18031-Konformität ist der direkteste Weg, um Artikel 3.3 zu erfüllen, ohne dass eine Benannte Stelle die eigene Interpretation des Herstellers prüfen muss. Wie wir in unserem Beitrag über wie EN 18031 die Sicherheit von drahtlosen Produkten beeinflusst, ist der Standard keine optionale Lektüre für jeden, der eine Konformitätsbewertung durchläuft.

Die aus EN 18031 resultierenden RED-Testanforderungen sind spezifisch. Sie umfassen Zugriffskontrolle, Mechanismen zur Software-Aktualisierung, sicheres Booten, Datenminimierung, die Speicherung von Anmeldedaten und mehr. Hersteller, die diese Anforderungen erst in der Vorzertifizierungsphase entdecken, stehen vor einem wiederholten Ergebnis: Neugestaltung. Der Test versagt nicht die Dokumentation, sondern das Produkt.

Konformitätsbewertung, CE-Kennzeichnung und die Dokumentationsvoraussetzung

Das Ende eines Entwicklungszyklus ohne Compliance-Strategie zu erreichen, ist kostspielig. Die Struktur der RED Compliance verlangt von den Herstellern, zwei Dinge gleichzeitig zu bearbeiten: die technische Sicherheitsarbeit und die Dokumentation, die nachweist, dass sie ordnungsgemäß durchgeführt wurde.

Für die meisten internetangeschlossenen Funkgeräte Konformitätsbewertung unter RED erfordert entweder Selbstdeklaration (Modul A) oder Beteiligung eines Benachrichtigten Gremiums über EU-Typprüfung (Modul B). Modul A ist nur verfügbar, wenn der Hersteller die entsprechenden harmonisierten Standardsvollständig anwendet. Wenn kein harmonisierter Standard gilt, oder wenn das Produkt in eine Kategorie fällt, in der das Modul A nicht zulässig ist, ist die Miteinbeziehung von Notified Body obligatorisch.

RED technische Dokumentation ist keine Formalität. Es ist die Beweisdatei, die das CE-Zeichen rechtfertigt, und sie muss Designspezifikationen enthalten, eine Liste der anwendbaren Standards mit ihren Abdeckungen, Testergebnissen, Risikobewertungen und der Konformitätserklärung. Ein unvollständiges oder intern inkonsistentes Dokumentationspaket ist das gleiche wie kein Paket aus Sicht der Marktüberwachung.

Die Forderung nach CE-Kennzeichnung RED ist das letzte Tor: Erst wenn Konformität festgestellt und vollständig dokumentiert ist, kann die Marke angewendet werden. Ihre frühzeitige Anwendung führt zu rechtlichem Auftreten in der gesamten Lieferkette; Hersteller, Importeure und Distributoren tragen allesamt die Verantwortung.

Es ist auch erwähnenswert, dass diese Arbeit nicht schnell obsolet wird. Wie wir in Warum RED der Plan für den CRA-Erfolg ist untersucht haben, passen die technischen Grundlagen, die für die IoT-Gerätekonformität unter RED entwickelt wurden, eng zu dem, was das Cyber Resilience Act erfordert. Für Geräte, die KI integrieren, wird das Bild noch komplexer, wie in unserem Überblick über den RED- und KI-Gesetzesüberschneidung dargelegt. Die Behandlung der RED-Konformität als Fundament, anstatt als Frist, die es zu überwinden und zu vergessen gilt, ist die praktischere langfristige Position.

Zusammenfassung

Meeting RED Compliance geht es nicht darum, einen einzigen Test zu bestehen und weiter zu gehen. Die Funkgeräterichtlinie's Cybersicherheitsanforderungen (über Artikel 3. (d), (e)und (f)) fordern Sicherheit, die von Anfang an entwickelt wurde, geprüft gegen EN 18031 und die entsprechenden harmonisierten Standards, ordnungsgemäß dokumentiert und in der Lage ist, das laufende Sicherheitslückenmanagement während des gesamten Produktlebenszyklus zu unterstützen. Hersteller, die sich diesem Problem methodisch nähern, vermeiden die kostspieligen Korrekturen, die sich daraus ergeben, dass sie als Nachdenken behandelt werden.

Wie QIMA CCLab Ihnen helfen kann, Ihre Ziele zu erreichen

Im QIMA CCLab Cybersecurity Labor unterstützen wir Hersteller in jeder Phase der Erfüllung von RED Cybersecurity Anforderungen:

• Reichweite und Lückenanalyse: Wir helfen Ihnen, zu ermitteln, ob Ihr Produkt unter die RED-DA fällt, den Artikel 3. -Klauseln gelten und wie weit Ihr aktuelles Design von der Einhaltung abweicht.

• Tests nach EN 18031 und ETSI-Cybersicherheits-Normen: Unser Labor ist durch das RED Notified Body CerTrust (ID: 2806), qualifiziert d.h. unsere Testergebnisse können direkt für EU-Prüfungen akzeptiert werden.

• RED technische Dokumentation Vorbereitung: Wir unterstützen die Erstellung und Überprüfung der gesamten Sicherheitsdokumentation, die für die Konformitätsbewertung erforderlich ist, von Testberichten bis zur Konformitätserklärung.

• Ende-zu-Ende-RED-Unterstützung: von der ersten Konsultation bis zur Benachrichtigungsinformation, wir den vollständigen Zertifizierungs-Lebenszyklus verwalten, so dass Hersteller keine Zeit verlieren, unbekannte Prozesse zu navigieren.

FAQ

Was ist die Funkgeräterichtlinie (RED)?

Die Richtlinie über Funkgeräte (2014/53/EU) ist der EU-Rechtsrahmen, der wesentliche Anforderungen an Funkgeräte, die auf den europäischen Markt gebracht werden, festlegt. Über die Sicherheit und elektromagnetische Verträglichkeit hinaus verlangt das delegierte Gesetz (Verordnung EU 2022/30) nun Internetfunkgeräte, um bindenden Verpflichtungen gemäß Artikel 3.3 zur Netzsicherheit nachzukommen.

Welche Produkte unterliegen den Anforderungen der RED Cybersicherheits?

Die Anforderungen an die Netzsicherheit RED-DA gelten für internetangeschlossene Funkgeräte, Kinderbetreuungsfunkgeräte und tragbare Funkgeräte. Dazu gehört eine breite Produktpalette – intelligente Heimgeräte, Wi-Fi-Router, Wearables, angeschlossene Gesundheitsgeräte und vieles mehr. Hersteller sollten den Geltungsbereich sorgfältig überprüfen, insbesondere dort, wo Internetverbindung optional oder indirekt ist.

Was sind die Anforderungen an Artikel 3.3 Cybersicherheits?

Artikel 3.3 Buchstabe d) sieht vor, dass Geräte Netzwerke vor Schäden schützen. Artikel 3.3 Buchstabe e verlangt Garantien für personenbezogene Daten und Privatsphäre. (f) erfordert den Schutz vor Betrug, alle drei gelten gleichzeitig für In-scope Geräte und die Nachweis der Einhaltung jedes einzelnen ist für die CE-Kennzeichnung notwendig.

Wie hilft EN 18031 bei der RED Compliance?

Die EN 18031 Serie ist ein Satz harmonisierter Normen für RED Cybersecurity. Produkte, die EN 18031-1, EN 18031-2 und EN 18031-3 entsprechen, profitieren von einer Konformität mit Artikel 3. Dies ist der direkteste Weg durch Konformitätsbewertung.

Benötige ich eine Benachrichtigungsinstanz für die RED Cyber-Security-Zertifizierung?

Es hängt davon ab, ob Sie die entsprechenden harmonisierten Standards vollständig umgesetzt haben. Wenn die EN 18031 auf Ihr Produkt angewendet wird und Sie die vollständige Einhaltung nachweisen können, kann die Selbstanmeldung (Modul A) verfügbar sein. Wenn keine harmonisierten Standards gelten oder wenn Ihr Produkt in eine obligatorische Drittkategorie fällt, ist eine EU-Typenprüfung durch eine Benachrichtigungsstelle erforderlich.

Welche technische Dokumentation benötigt RED?

Hersteller müssen eine technische Datei mit Designspezifikationen, Testberichten, erstellen und pflegen eine Liste der anwendbaren Normen und wie sie angewendet wurden, Risikobewertungen und die Konformitätserklärung. Diese Dokumentation muss mindestens zehn Jahre nach dem Inverkehrbringen des Produkts für Marktüberwachungsbehörden verfügbar bleiben.

Wann wurden die Anforderungen an die Netzsicherheit RED obligatorisch?

Die Cybersicherheitsbestimmungen des delegierten RED-Gesetzes wurden am 1. August 2025 verbindlich. Produkte, die nach diesem Zeitpunkt auf den EU-Markt gebracht werden, müssen Artikel 3.3 Buchstabe d), Buchstabe e e e und f entsprechen oder dürfen nicht das CE-Zeichen tragen.

Können Hersteller sich selbst für die Einhaltung der Anforderungen an die Netzsicherheit RED aussprechen?

Ja, wenn sie die entsprechenden harmonisierten Normen vollständig angewendet haben (EN 18031). Unter diesen Umständen ist eine Selbstanmeldung durch das interne Produktionskontrollverfahren (Modul A) erlaubt. Ist kein harmonisierter Standard verfügbar oder erfordert die Produktkategorie eine Prüfung durch Dritte, muss ein Benachrichtigungsinstitut einbezogen werden. Das CCLab Labor ist von CerTrust (Notified Body ID 2806) qualifiziert, um die für EU-Typprüfung akzeptierten Ergebnisse zu liefern.