RED & Funkanlagen-Cybersicherheit: Pflichten, EN 18031 & Fristen

Kaum eine EU-Regulierung betrifft in der Praxis so viele Produkte, obwohl ihr Name das kaum vermuten lässt: Die RED-Cybersicherheits-Delegierte-Verordnung (Commission Delegated Regulation (EU) 2022/30) macht seit dem 1. August 2025 Cybersicherheitsanforderungen für einen Großteil aller vernetzten Funkanlagen verbindlich – vom Smartphone über die Smartwatch bis zur vernetzten Überwachungskamera. Diese Seite erklärt, was „Funkanlage" in diesem Zusammenhang bedeutet, welche drei Anforderungen konkret gelten, wie die Normenreihe EN 18031 beim Nachweis hilft – und wie sich RED zu NIS2 und dem Cyber Resilience Act verhält. Gerade für kleinere Hersteller und Importeure vernetzter Geräte lohnt sich ein genauer Blick, denn anders als NIS2 knüpft die RED nicht an Mitarbeiterzahl oder Umsatz an, sondern allein daran, ob ein Produkt Funktechnologie enthält und in der EU auf den Markt gebracht wird.

Was regelt die RED-Cybersicherheits-Delegierte-Verordnung?

Grundlage ist die Funkanlagenrichtlinie (Radio Equipment Directive, RED, 2014/53/EU), die in Deutschland durch das Funkanlagengesetz (FuAG) umgesetzt ist. Die RED enthält seit ihrem Erlass 2014 drei grundlegende Anforderungen in Art. 3(3)(d), (e) und (f), die zunächst „inaktiv" waren, weil die Kommission sie erst per Delegiertem Rechtsakt aktivieren musste. Genau das geschah mit der Delegierten Verordnung (EU) 2022/30, die am 7. Januar 2022 in Kraft trat. Der Begriff „Funkanlage" ist dabei viel weiter zu verstehen, als der Name vermuten lässt: Er umfasst jedes Gerät, das absichtlich Funkwellen zur Kommunikation oder Funkortung aussendet oder empfängt – also praktisch alles mit WLAN, Bluetooth, Mobilfunk oder ähnlichen Funktechnologien. Betroffen sind damit Smartphones, Tablets, Wearables (Fitness-Tracker, Smartwatches), Smart-Home-Geräte (vernetzte Thermostate, Türschlösser, Steckdosen, Alarmanlagen), vernetztes Spielzeug, WLAN-Router, drahtlose Sicherheitskameras, Babyphones und praktisch jedes andere IoT-Gerät mit eingebauter Funkschnittstelle. Nicht relevant ist dagegen, ob das Produkt in erster Linie als „Cybersicherheitsprodukt" vermarktet wird – entscheidend ist allein das technische Vorhandensein einer Funkschnittstelle mit Internetanbindung.

Die drei aktivierten Anforderungen im Detail

Hintergrund der Regelung sind reale Vorfälle mit unsicheren IoT-Geräten: Kompromittierte Kameras, Router und Smart-Home-Hubs wurden in der Vergangenheit wiederholt zu Botnetzen zusammengeschaltet und für groß angelegte DDoS-Angriffe missbraucht, während unzureichend abgesicherte Babyphones und Wearables sensible Bild-, Ton- und Gesundheitsdaten preisgaben. Die Delegierte Verordnung aktiviert deshalb drei separate Anforderungen, deren Anwendungsbereich unterschiedlich weit reicht:

Anforderung	Inhalt	Betroffene Geräte
Art. 3(3)(d) – Netzwerksicherheit	Die Funkanlage darf das Netz oder dessen Funktionieren nicht schädigen und Netzressourcen nicht missbrauchen, sodass eine inakzeptable Verschlechterung des Diensts entsteht (z. B. durch DDoS-artige Effekte oder unkontrollierte Wiederholversuche).	Praktisch jede internetfähige Funkanlage
Art. 3(3)(e) – Datenschutz & Privatsphäre	Schutzvorkehrungen, die den Schutz personenbezogener Daten und der Privatsphäre von Nutzern und Teilnehmern sicherstellen.	Internetfähige Funkanlagen sowie zusätzlich Kinderbetreuungsgeräte (Babyphones), Spielzeug und Wearables
Art. 3(3)(f) – Betrugsschutz	Unterstützung bestimmter Funktionen, die vor Betrug schützen, sofern die Anlage selbst Geldtransfers oder virtuelle Werte ermöglicht.	Internetfähige Funkanlagen, die monetäre Transaktionen unterstützen

Wichtig für die Praxis: Anforderung (d) hat den weitesten Anwendungsbereich und betrifft nahezu jedes vernetzte Gerät. Die Anforderungen (e) und (f) gelten dagegen nur für engere Gerätekategorien – hier lohnt sich für Hersteller eine genaue Einzelfallprüfung, welche der drei Anforderungen für das jeweilige Produkt überhaupt einschlägig sind.

Harmonisierte Normen: Die EN-18031-Reihe

Zum Nachweis der Konformität hat CEN/CENELEC die dreiteilige Normenreihe EN 18031 entwickelt, die seit dem 30. Januar 2025 (mit gewissen Einschränkungen für einzelne Klauseln zum Passwortmanagement) als harmonisierte Norm im EU-Amtsblatt gelistet ist: EN 18031-1 für Netzwerksicherheit (Art. 3(3)(d)), EN 18031-2 für Datenschutz (Art. 3(3)(e)) und EN 18031-3 für Betrugsschutz (Art. 3(3)(f)). Wer sein Produkt vollständig nach der einschlägigen Norm auslegt und testet, profitiert von der sogenannten Konformitätsvermutung: Die Einhaltung der Norm gilt dann automatisch als Nachweis der Erfüllung der grundlegenden RED-Anforderung, und der Hersteller kann die Konformität im Regelfall selbst erklären (Selbsterklärung), ohne dass eine Benannte Stelle eingeschaltet werden muss – ein deutlicher Vorteil gerade für Serien- und Massenprodukte. Alternativ können Hersteller die Anforderungen auch auf anderem Weg nachweisen, tragen dann aber die volle Darlegungslast selbst und müssen in der Regel eine Benannte Stelle einbeziehen.

Zeitplan: Von der Aktivierung bis zur verbindlichen Pflicht

Ursprünglich sollte die Delegierte Verordnung bereits ab dem 1. August 2024 gelten. Weil die harmonisierten Normen zu diesem Zeitpunkt noch nicht fertig waren, verschob die Kommission die Anwendung per Delegierter Verordnung (EU) 2023/2444 um zwölf Monate. Seit dem 1. August 2025 sind die Cybersicherheitsanforderungen für alle ab diesem Datum in Verkehr gebrachten betroffenen Funkanlagen verbindlich – und können seither auch im Rahmen der regulären Marktüberwachung geprüft werden.

Sanktionen und Durchsetzung

Wer eine nicht konforme Funkanlage in Verkehr bringt, riskiert zunächst die CE-Kennzeichnung und damit die Marktfähigkeit des Produkts in der gesamten EU. In Deutschland überwacht die Bundesnetzagentur die Einhaltung des Funkanlagengesetzes (FuAG) und kann bei Verstößen Korrekturmaßnahmen anordnen, den Vertrieb untersagen, einen Rückruf verlangen oder ein Bußgeldverfahren einleiten. Nach §37 FuAG sind Ordnungswidrigkeiten in besonders schwerwiegenden Fällen (u. a. Inverkehrbringen ohne erforderliche Konformitätsbewertung oder ohne CE-Kennzeichnung) mit einem Bußgeld bis zu 100.000 € bedroht, in den übrigen Fällen bis zu 10.000 €. Zusätzlich koordinieren die Marktüberwachungsbehörden der Mitgliedstaaten im ADCO-Netzwerk gemeinsame europaweite Prüfkampagnen für ausgewählte Produktkategorien, sodass ein einmal aufgefallenes Produkt schnell EU-weit auffällig wird und nicht nur in einem einzelnen Mitgliedstaat.

Verhältnis zu NIS2 und dem Cyber Resilience Act

Praktische nächste Schritte

1. Prüfen, ob die eigenen Produkte als „Funkanlage" im Sinne der RED gelten – meist reicht bereits WLAN, Bluetooth, Zigbee, LoRa oder Mobilfunk als eingebaute Funktechnologie, unabhängig davon, ob das Gerät primär als „Elektronikprodukt" oder als „vernetztes Gerät" wahrgenommen wird.
2. Für jedes betroffene Produkt einzeln klären, welche der drei Anforderungen (d), (e) und/oder (f) einschlägig sind, statt pauschal von einer Anwendung aller drei Anforderungen auszugehen.
3. Konformität nach der jeweils passenden EN-18031-Teilnorm testen und dokumentieren, um von der Konformitätsvermutung und der Möglichkeit zur Selbsterklärung zu profitieren, statt eine Benannte Stelle einbeziehen zu müssen.
4. Technische Dokumentation, Risikobewertung und CE-Kennzeichnung vor Markteinführung sicherstellen und für Marktüberwachungsanfragen der Bundesnetzagentur griffbereit halten.
5. Bei zukünftigen Produktgenerationen bereits jetzt die kommenden CRA-Anforderungen mitdenken, um vor dem 11. Dezember 2027 keine doppelte Nacharbeit zu riskieren – wer heute nach EN 18031 entwickelt, schafft dafür eine solide technische Grundlage.

Häufig gestellte Fragen zu RED & Funkanlagen-Cybersicherheit