Mythos oder Fakt: „Ein CE-Zeichen bedeutet RED-DA-Konformität“

7. August 2026 · Lesedauer: 11-14 Minuten

„Unser Produkt hat CE, also sind wir konform.“ Dieser Satz fällt in Herstellergesprächen häufiger als jeder andere. Er klingt plausibel: Das Zeichen ist auf dem Typenschild, die Unterlagen liegen im Archiv, das Gerät verkauft sich seit Jahren in der EU. Trotzdem ist der Schluss falsch, und zwar in einer Richtung, die im Ernstfall teuer wird. Das CE-Zeichen ist kein Beweis für RED-DA-Konformität, es ist deren Ergebnis. Ein CE-Zeichen lässt sich auch ohne Grundlage aufkleben.

Kurz gesagt: Mythos

Ein CE-Zeichen sagt nichts darüber aus, ob die Cybersicherheitsanforderungen der RED DA jemals bewertet wurden. Das Zeichen ist eine Eigenerklärung des Herstellers, dass das Produkt alle im Zeitpunkt des Inverkehrbringens anwendbaren Anforderungen erfüllt. Welche Anforderungen das waren und wie sie nachgewiesen wurden, steht nicht am Zeichen, sondern in der EU-Konformitätserklärung und in der technischen Dokumentation. Ein CE-Zeichen, das vor dem 1. August 2025 angebracht wurde, konnte die Anforderungen aus Artikel 3 Absatz 3 (d), (e) und (f) der Funkanlagenrichtlinie gar nicht abdecken, weil diese damals noch nicht anwendbar waren.

Der Ursprung des Mythos

Das CE-Zeichen ist das sichtbarste Element der EU-Produktregulierung und gleichzeitig das am wenigsten aussagekräftige. Es ist ein einziges Symbol, hinter dem je nach Produkt mehrere Rechtsakte stehen: für eine Funkanlage typischerweise die Funkanlagenrichtlinie 2014/53/EU, dazu RoHS und je nach Bauart weitere. Man kann dem Zeichen nicht ansehen, welche dieser Rechtsakte bewertet wurden und welche Normen dabei zur Anwendung kamen.

Im Kern des Missverständnisses steht eine umgedrehte Kausalität im Umfeld von sich verändernden rechtlichen Rahmenbedingungen. Weil sich an der Hardware nichts geändert hat, wirkt das bestehende CE-Zeichen wie ein Dauerzustand. Regulatorisch ist es das nicht. Die RED DA hat den Prüfmaßstab verändert, nicht das Produkt. Die korrekte Betrachtungsreihenfolge ist:

1. Konformität mit allen anwendbaren Richtlinien inkl. RED-DA nachgewiesen
2. Technische Dokumentation vollständig und begründet
3. EU-Konformitätserklärung ausgestellt
4. CE-Zeichen angebracht

Das CE-Zeichen steht am Ende dieser Kette. Es ist der sichtbare Abschluss eines Nachweisprozesses, nicht sein Ersatz. Wer als Hersteller vom Zeichen auf die Konformität schließt, liest die Kette rückwärts und kommt zu einer Aussage, die das Zeichen nicht hergibt.

Das CE-Zeichen ist eine Erklärung, kein Prüfsiegel

Anders als ein Prüfzeichen einer Prüforganisation ist das CE-Zeichen kein Ergebnis einer unabhängigen Prüfung. Der Hersteller bringt es selbst an, in eigener Verantwortung, auf Grundlage des von ihm gewählten Konformitätsbewertungsverfahrens. Bei vollständiger Anwendung der harmonisierten Normen ist das in der Regel Modul A (interne Fertigungskontrolle), also ein Verfahren vollständig ohne Beteiligung Dritter.

Praktisch bedeutet das: Niemand hat Ihr Gerät gegen DIN EN 18031 geprüft, nur weil ein CE-Zeichen darauf angebracht ist. Und niemand hat es nicht geprüft, nur weil keine vierstellige Nummer daneben steht. Diese Nummer erscheint nur, wenn eine Benannte Stelle in der Fertigungskontrollphase eingebunden war. Aus der An- oder Abwesenheit der Nummer lässt sich der Prüfumfang deshalb nicht ableiten.

Das CE-Zeichen ist kein Qualitäts- und kein Sicherheitssiegel im Sinne einer Produktbewertung. Es signalisiert ausschließlich die erklärte Rechtskonformität. Es ist außerdem keine Herkunftsangabe. Die gelegentlich zu lesende Deutung als „China Export“ ist frei erfunden und eine irreführende, unzulässige Verwendung des CE-Zeichens.

Maßgeblich ist das Inverkehrbringen jedes einzelnen Geräts

Die Cybersicherheitsanforderungen aus Artikel 3 Absatz 3 der RED lagen jahrelang still. Erst die Delegierte Verordnung (EU) 2022/30 hat die Buchstaben (d), (e) und (f) aktiviert, verbindlich seit dem 1. August 2025. Die dazu passende harmonisierte Normenreihe DIN EN 18031-1, -2 und -3 wurde am 30. Januar 2025 über den Durchführungsbeschluss (EU) 2025/138 gelistet.

Daraus folgt eine unangenehme, aber eindeutige Konsequenz: Jedes CE-Zeichen, das vor diesem Stichtag auf Grundlage der bis dahin geltenden Anforderungen angebracht wurde, war zu diesem Zeitpunkt korrekt, deckt allerdings die Cybersicherheitsanforderungen dennoch nicht ab. Es konnte sie nicht abdecken. Für die betreffenden Geräte ist das kein Problem. Für die nächste Charge desselben Produkts schon.

Der entscheidende Bezugspunkt ist nicht das Produktdesign und nicht der Zeitpunkt der Markteinführung, sondern das Inverkehrbringen des einzelnen Geräts, also die erstmalige Bereitstellung dieses konkreten Exemplars auf dem EU-Markt.

Der zweite Fall ist der wirtschaftlich relevante: Ein seit Jahren unverändert produziertes, seit Jahren CE-gekennzeichnetes Gerät braucht für jede nach dem Stichtag ausgelieferte Einheit einen Nachweis, den es bisher nie gebraucht hat. Genau hier entstehen die Lücken, die in der Marktüberwachung auffallen.

Erst die Konformitätserklärung macht sichtbar, was tatsächlich bewertet wurde

Die inhaltliche Aussage steckt nicht im Zeichen, sondern in zwei Dokumenten:

1. Die EU-Konformitätserklärung benennt die angewandten Rechtsakte und die herangezogenen harmonisierten Normen samt Fundstelle. Tauchen dort DIN EN 18031-1, -2 oder -3 nicht auf, ist die RED DA schlicht nicht adressiert. Das ist der schnellste Selbsttest, den Sie als Hersteller machen können.
2. Die technische Dokumentation muss die Bewertung selbst tragen: Scope-Einordnung, Asset-Identifikation, die Entscheidungsbäume der anwendbaren Mechanismen, Begründungen für nicht anwendbare Anforderungen und die Belege für die umgesetzten Maßnahmen. Diese Unterlagen sind zehn Jahre aufzubewahren und auf Verlangen der Marktüberwachung vorzulegen.

Die Zuordnung zu den drei Normteilen, haben wir in einem Überblick beleuchtet; die Grundlage der technischen Bewertung, die Asset-Identifikation, war Thema des vorherigen Artikels unserer RED-DA-Reihe.

Machen Sie den Selbsttest

Prüfen Sie fünf Bereiche und klären Sie, ob ein bestehendes CE-Zeichen die RED DA wirklich trägt:

1. Scope: Ist dokumentiert, welche der Buchstaben (d), (e) und (f) anwendbar sind? Ist die Entscheidung begründet, nicht nur behauptet?
2. Konformitätserklärung: Sind DIN EN 18031-1 und, sofern anwendbar, -2 und -3 mit Fundstelle in Ihrer Konformitätserklärung gelistet?
3. Stichtag: Wird das Produkt nach dem 1. August 2025 weiterhin in Verkehr gebracht, auch als unveränderte Neuauflage?
4. Konformitätsvermutung: Gelten für Ihr Produkt Einschränkungen von der Konformitätsvermutung? Die Vermutung gilt nicht uneingeschränkt, etwa wenn ein Gerät zulässt, gar kein Passwort zu setzen, bei bestimmten Zugangskontrollkonstellationen für Kinderspielzeug in DIN EN 18031-2 und bei einzelnen Prüfkriterien für sichere Updates in DIN EN 18031-3.
5. Vorlagefähigkeit: Können Sie die technische Dokumentation innerhalb weniger Tage in prüffähiger Form herausgeben? Lautet die Antwort „wir müssen das erst zusammentragen“, ist die Lücke schon bekannt.

Gern führen wir die Überprüfung zur RED DA und DIN EN 18031 gemeinsam mit Ihnen durch.

Ein CE-Zeichen ohne Substanz ist keine Formalie, sondern eine falsche Erklärung

Das ist der eigentliche Knackpunkt. Ein CE-Zeichen ohne die dazugehörige Bewertung ist kein fehlendes Dokument, sondern eine unrichtige Erklärung gegenüber dem Markt und den Behörden.

Seit dem 1. August 2025 prüft die Marktüberwachung auch die Cybersicherheitsanforderungen. In Deutschland ist die Bundesnetzagentur zuständig, Verdachtsfälle können von jeder natürlichen oder juristischen Person gemeldet werden, ausdrücklich auch von Wettbewerbern, Verbänden und Prüfstellen. Verfahren werden in der Regel nicht öffentlich kommuniziert. Dass Sie nichts hören, bedeutet nicht, dass nicht geprüft wird. Am Ende der Eskalationsleiter stehen Vertriebsstopp, Rückruf und Bußgeld. Das trifft nicht die Dokumentation, sondern den Umsatz.

Hinzu kommt die Perspektive der Handelspartner. Importeure und Händler tragen eigene Prüfpflichten und fordern zunehmend die Konformitätserklärung mitsamt genannten Normen an, bevor sie ein Produkt listen. Eine Erklärung ohne DIN EN 18031 fällt dort auf, lange bevor eine Behörde fragt.

Häufige Fragen

Bedeutet ein CE-Zeichen, dass mein Produkt RED-DA-konform ist? Nein. Das CE-Zeichen ist eine Eigenerklärung des Herstellers und macht keine Angabe darüber, welche Anforderungen bewertet wurden. Ob die Cybersicherheitsanforderungen der RED DA abgedeckt sind, ergibt sich aus der EU-Konformitätserklärung und der technischen Dokumentation, nicht aus dem Zeichen.

Muss ich mein CE-Zeichen wegen der RED DA erneuern? Das Zeichen selbst bleibt gleich, es gibt keine neue Version davon. Erneuert werden müssen die Grundlagen: Bewertung nach DIN EN 18031, technische Dokumentation und EU-Konformitätserklärung, sobald das Produkt nach dem 1. August 2025 weiter in Verkehr gebracht wird.

Gilt mein bestehendes CE-Zeichen für Geräte, die ich vor dem 1. August 2025 verkauft habe? Ja. Maßgeblich ist die Rechtslage im Zeitpunkt des Inverkehrbringens des jeweiligen Geräts. Für diese Exemplare ändert die RED DA nichts, solange kein erneutes Inverkehrbringen erfolgt.

Prüft eine Behörde mein Produkt, bevor ich das CE-Zeichen anbringen darf? Nein. Bei vollständiger Anwendung der harmonisierten Normen läuft die Bewertung über Modul A, also in eigener Verantwortung ohne Beteiligung Dritter. Eine Benannte Stelle ist nur erforderlich, wenn die Normen nicht vollständig angewandt werden oder eine Einschränkung der Konformitätsvermutung greift.

Woran erkenne ich, ob eine Konformitätserklärung die RED DA abdeckt? An der Auflistung der angewandten harmonisierten Normen. Sind DIN EN 18031-1 und, je nach Produkt, -2 und -3 nicht mit Fundstelle genannt, ist Artikel 3 Absatz 3 der RED nicht über die harmonisierten Normen adressiert.

Ändert der Cyber Resilience Act etwas an dieser Logik? An der Logik nichts. Ab dem 11. Dezember 2027 verschiebt sich der Maßstab für Funkanlagen mit digitalen Elementen zum CRA, das CE-Zeichen bleibt aber weiterhin die Eigenerklärung am Ende eines Nachweisprozesses. Geräte, die zwischen dem 1. August 2025 und dem 10. Dezember 2027 in Verkehr gebracht wurden, bleiben am RED DA messbar.

Fazit

„CE bedeutet RED-DA-konform“ ist ein Mythos, und zwar einer mit direkter Umsatzwirkung. Das Zeichen ist eine Eigenerklärung über alle im Zeitpunkt des Inverkehrbringens anwendbaren Anforderungen, kein Nachweis über einen bestimmten Prüfumfang. Wer wissen will, ob die Cybersicherheitsanforderungen tatsächlich abgedeckt sind, schaut nicht auf das Typenschild, sondern in die Konformitätserklärung und in die technische Dokumentation. Und wer sein Produkt nach dem 1. August 2025 weiter ausliefert, braucht dort einen Nachweis nach DIN EN 18031, auch wenn sich an der Hardware seit Jahren nichts geändert hat.

Im nächsten Artikel unserer RED-DA-Reihe geht es zurück in den Scope: Bluetooth gilt vielen als harmlose Nahfeldtechnik, bringt Produkte aber regelmäßig in den Anwendungsbereich der RED DA. Wir klären, wann das der Fall ist und wann nicht.

Unser kostenfreier RED-DA-Scope-Check ordnet in wenigen Schritten ein, ob Ihr Produkt betroffen ist und ob Ihre bestehende Konformitätserklärung die Cybersicherheitsanforderungen abdeckt.

Wenn Sie die Bewertung lieber direkt mit uns durchgehen möchten: In einem kostenfreien Erstgespräch prüfen wir Produkt, Konformitätserklärung und Nachweisführung und ordnen Ihre Ausgangslage ein. Mehr dazu auf unserer Seite zur RED-DA-Beratung.

---

Dieser Artikel gibt einen strukturierten Überblick und ersetzt keine Einzelfallbewertung. Maßgeblich sind der Wortlaut der Funkanlagenrichtlinie 2014/53/EU, der Delegierten Verordnung (EU) 2022/30 sowie der Normteile DIN EN 18031-1, -2 und -3.