Mythos oder Fakt: „Für die RED DA ist immer ein Notified Body nötig“

18. September 2026 · Lesedauer: 16-20 Minuten

„Für die Cybersicherheit brauchen wir einen Notified Body, das wird teuer und dauert Monate.“ Diese Annahme begegnet uns in Herstellergesprächen fast so oft wie der Satz vom CE-Zeichen, das angeblich schon alles belegt. Sie führt in zwei Richtungen zu Fehlentscheidungen: Die einen verschieben den Marktstart, um auf einen Prüftermin zu warten, den sie gar nicht benötigen. Die anderen verlassen sich darauf, dass ohne benannte Stelle alles in Ordnung sei, und übersehen eine Produkteigenschaft, die genau diese Einbindung erzwingt. Dieser Artikel ordnet ein, wo die Grenze tatsächlich verläuft.

Kurz gesagt: Mythos

Nein, eine benannte Stelle ist für die Cybersicherheitsanforderungen der RED DA nicht immer nötig. Wer die einschlägigen Teile von DIN EN 18031 vollständig anwendet und keine der Einschränkungen der Konformitätsvermutung berührt, kann die Konformität mit Artikel 3 Absatz 3 (d), (e) und (f) über Modul A (interne Fertigungskontrolle) nachweisen, also in eigener Verantwortung ohne Beteiligung Dritter. Zwingend wird eine benannte Stelle in drei Konstellationen:

• Die harmonisierte Norm wird nicht angewandt. Der Hersteller führt den Nachweis auf einem eigenen Weg.
  Modul A ist dann ausgeschlossen.
• Die harmonisierte Norm wird nur teilweise angewandt. Einzelne Anforderungen werden abweichend gelöst oder ausgelassen.
  Auch das schließt Modul A aus.
• Das Produkt berührt eine Einschränkung der Fundstelle. Der Durchführungsbeschluss (EU) 2025/138 nimmt bestimmte Konstellationen von der Konformitätsvermutung aus.
  Für diese Teile trägt die Norm den Nachweis nicht.

Der wahre Kern des Mythos: Die dritte Konstellation ist häufiger, als viele Hersteller annehmen, und sie entsteht oft durch eine einzige Designentscheidung, etwa die Option, auf ein Passwort zu verzichten.

Der Ursprung des Mythos

Die Annahme hat mehrere Wurzeln. Die erste liegt in der Entstehungsgeschichte: Bis die Normenreihe DIN EN 18031 am 30. Januar 2025 über den Durchführungsbeschluss (EU) 2025/138 gelistet wurde, gab es für die Cybersicherheitsanforderungen keine harmonisierte Norm im Amtsblatt. Wer sich in dieser Phase mit der RED DA beschäftigte, hörte zu Recht, dass ohne harmonisierte Norm eine benannte Stelle einzubinden sei. Diese Aussage hat sich in vielen Köpfen gehalten, obwohl ihre Voraussetzung inzwischen entfallen ist.

Die zweite Wurzel ist sprachlich. Die deutsche Fassung der Funkanlagenrichtlinie spricht von der „notifizierten Stelle“, in der Praxis ist ebenso „benannte Stelle“ oder englisch „Notified Body“ geläufig. Gemeint ist in allen Fällen dasselbe: eine Konformitätsbewertungsstelle, die ein Mitgliedstaat nach Artikel 22 der Richtlinie als unabhängigen Dritten notifiziert hat. Viele Prüflabore sind zugleich benannte Stellen. Wer mit einem Labor über einen Prüfbericht spricht, hat deshalb schnell den Eindruck, eine Notified-Body-Prüfung sei ohnehin Teil des Verfahrens.

Die dritte Wurzel ist das Sicherheitsbedürfnis. Eine externe Bescheinigung fühlt sich belastbarer an als eine Eigenerklärung. Regulatorisch verschiebt sie die Verantwortung allerdings nicht, wie weiter unten deutlich wird.

Artikel 17 macht die benannte Stelle zur Ausnahme, nicht zur Regel

Die Funkanlagenrichtlinie legt in Artikel 17 fest, welche Konformitätsbewertungsverfahren zur Wahl stehen. Für die Cybersicherheitsanforderungen aus Artikel 3 Absatz 3 unterscheidet sie zwei Fälle.

Nach Absatz 3 gilt: Hat der Hersteller harmonisierte Normen angewandt, deren Fundstellen im Amtsblatt veröffentlicht wurden, wählt er frei zwischen drei Verfahren. Das sind die interne Fertigungskontrolle nach Anhang II (Modul A), die EU-Baumusterprüfung mit anschließender Konformität mit dem Baumuster nach Anhang III (Module B und C) sowie die umfassende Qualitätssicherung nach Anhang IV (Modul H).

Nach Absatz 4 gilt: Hat der Hersteller solche Normen nicht oder nur zum Teil angewandt oder sind sie nicht vorhanden, bleiben nur die Module B und C oder Modul H. Beide setzen eine benannte Stelle voraus.

Die Norm selbst bestätigt diese Logik. Nach Anhang ZA von DIN EN 18031-1 ist sie „one voluntary means“, also ein freiwilliges Mittel, um die grundlegenden Anforderungen zu erfüllen. Ihre Anwendung ist nicht vorgeschrieben, sie eröffnet aber den Weg über Modul A. Zudem gilt die Konformitätsvermutung laut demselben Anhang nur, solange die Fundstelle im Amtsblatt geführt wird.

Wichtig für die Einordnung: Artikel 17 ordnet die Verfahren den Gruppen grundlegender Anforderungen zu. Für Sicherheit und elektromagnetische Verträglichkeit nach Artikel 3 Absatz 1 bleibt Modul A unabhängig von der Normanwendung zulässig. Die Frage nach der benannten Stelle stellt sich also nicht für das Produkt als Ganzes, sondern für die jeweils betroffenen Anforderungen. Welchen Umfang eine Baumusterprüfung im Einzelfall hat, sollten Hersteller und benannte Stelle vor Beginn der Arbeiten abstimmen.

Die Einschränkungen der Fundstelle sind eine Designentscheidung

Der Durchführungsbeschluss (EU) 2025/138 versieht alle drei Normteile mit Einschränkungen, die wir im Artikel zum Scoping-Entscheidungsbaum bereits aufgeführt haben. Für die Frage nach der benannten Stelle sind sie deshalb so wichtig, weil der Hersteller die meisten von ihnen selbst in der Hand hat.

Der Verzicht auf ein Passwort. Die Anforderungen [AUM-5-1] für Werkspasswörter und [AUM-5-2] für andere Passwörter enthalten in DIN EN 18031-1 jeweils eine Anmerkung, nach der der Nutzer wählen kann, gar kein Passwort zu verwenden. Genau hier setzt die Einschränkung an: Erlaubt ein Gerät dem Nutzer über die Abschnitte 6.2.5.1 und 6.2.5.2, kein Passwort festzulegen oder zu verwenden, entfällt die Konformitätsvermutung. Wer diese Option im Produkt anbietet, hat sich damit faktisch für eine benannte Stelle entschieden. Wer sie nicht anbietet, bleibt auf dem Weg über Modul A. Wie die Authentifizierungsanforderungen an den einzelnen Zugriff anknüpfen, haben wir im Artikel zum Authentifizierungs-Mythos beschrieben.

Die Zugangssteuerung bei Spielzeug und Kinderbetreuungsgeräten. Für diese Produkte entfällt die Vermutung nach DIN EN 18031-2, wenn die Zugangssteuerung durch Eltern oder Erziehungsberechtigte nicht über die dort benannten Abschnitte gewährleistet ist. Auch das ist eine Frage der Architektur und nicht des Zufalls.

Die sicheren Aktualisierungen in Teil 3. Für die Beurteilungskriterien in Abschnitt 6.3.2.4 von DIN EN 18031-3 besteht keine Vermutung. Hersteller mit Produkten, die unter Buchstabe (f) fallen, sollten diesen Punkt früh einplanen.

Die Abschnitte „rationale“ und „guidance“. Sie begründen keine Konformitätsvermutung. Wer seine Argumentation ausschließlich auf ein Beispiel aus der Guidance stützt, statt auf den Anforderungstext, bewegt sich außerhalb dessen, was die Norm als Vermutung trägt.

Daraus folgt eine praktische Konsequenz: Die Frage „brauchen wir eine benannte Stelle?“ gehört nicht an das Ende des Projekts, sondern in die Produktdefinition. Eine Konfigurationsoption, die im Lastenheft wie ein Komfortmerkmal aussieht, kann den gesamten Bewertungspfad verändern.

Eine benannte Stelle übernimmt keine Verantwortung

Auch dort, wo eine benannte Stelle zwingend ist, bleibt der Hersteller in der Pflicht. Die Richtlinie formuliert das deutlich: Nach Erwägungsgrund 29 soll die Konformitätsbewertung allein dem Hersteller obliegen, weil er den Entwurfs- und Fertigungsprozess am besten kennt. Nach Artikel 18 Absatz 4 übernimmt der Hersteller mit der Ausstellung der EU-Konformitätserklärung die Verantwortung für die Konformität der Funkanlage.

Was die benannte Stelle tatsächlich tut, hängt vom Modul ab:

• Modul B (EU-Baumusterprüfung): Die benannte Stelle untersucht den technischen Entwurf, grundsätzlich anhand der technischen Unterlagen und zusätzlicher Nachweise, und bescheinigt, dass er die grundlegenden Anforderungen erfüllt. Der Antrag geht an eine einzige benannte Stelle nach Wahl des Herstellers.
  Ergebnis ist eine EU-Baumusterprüfbescheinigung.
• Modul C (Konformität mit dem Baumuster): Der Hersteller stellt ohne weitere Beteiligung der benannten Stelle sicher, dass die Serie dem geprüften Baumuster entspricht.
• Modul H (umfassende Qualitätssicherung): Die benannte Stelle bewertet und überwacht das Qualitätssicherungssystem des Herstellers.
  Nur bei diesem Verfahren folgt nach Artikel 20 Absatz 3 die Kennnummer der benannten Stelle auf das CE-Zeichen.

Zwei Folgen dieser Systematik werden regelmäßig unterschätzt. Erstens: Bei den Modulen B und C steht keine Kennnummer neben dem CE-Zeichen, obwohl eine benannte Stelle beteiligt war. Wie wenig sich aus dem Zeichen ablesen lässt, haben wir bereits im Artikel zum CE-Mythos ausgeführt. Zweitens: Die Bescheinigung friert einen Entwurfsstand ein. Änderungen am zugelassenen Baumuster, die die Konformität beeinträchtigen können, sind der benannten Stelle mitzuteilen und erfordern eine Ergänzung der Bescheinigung. Bei Produkten mit regelmäßigen Firmware-Updates ist das ein wiederkehrender Aufwand, den Modul A nicht kennt.

Hinzu kommt eine klare Rollentrennung. Nach Artikel 26 Absatz 4 dürfen benannte Stellen sich nicht mit Tätigkeiten befassen, die ihre Unabhängigkeit beeinträchtigen könnten, und die Richtlinie nennt dabei ausdrücklich Beratungsdienstleistungen. Wer seine Nachweisführung aufbauen will, holt sich dafür also keine Hilfe bei der Stelle, die sie später bewertet.

Modul A bedeutet nicht „ohne Prüfung“

Der Umkehrschluss aus dem Mythos ist ebenso gefährlich: Ohne benannte Stelle prüfe niemand. Tatsächlich verlangt DIN EN 18031 auch unter Modul A die vollständige Bewertung jedes anwendbaren Mechanismus, mit konzeptueller Bewertung, Bewertung der funktionalen Vollständigkeit und Bewertung der funktionalen Angemessenheit. Ob der Hersteller diese Bewertungen selbst durchführt oder ein Labor beauftragt, ist seine Entscheidung. Ein Laborbericht unter Modul A ist ein Nachweis in der technischen Dokumentation, keine Beteiligung einer benannten Stelle im Sinne der Richtlinie.

Ebenso wenig ersetzt ein anderes Zertifikat den Nachweis. Anhang B von DIN EN 18031-1 hält fest, dass die Erfüllung von EN IEC 62443-4-2, etwa belegt durch ein Zertifikat, für sich genommen keine Konformität mit den Anforderungen von DIN EN 18031-1 begründet. Die Zuordnungstabelle im selben Anhang hilft, vorhandene Nachweise wiederzuverwenden, die Bewertung nach DIN EN 18031 muss dennoch vollständig geführt werden.

Schließlich kann die Drittprüfung auch nachträglich kommen. Erfüllen die technischen Unterlagen die Anforderungen nicht, kann die Marktüberwachungsbehörde nach Artikel 21 Absatz 4 der Richtlinie den Hersteller oder Einführer auffordern, die Konformität innerhalb einer Frist durch eine von der Behörde zugelassene Stelle auf eigene Kosten überprüfen zu lassen. Modul A spart die benannte Stelle also nur dann, wenn die Dokumentation trägt.

Machen Sie den Selbsttest

Mit fünf Fragen lässt sich einschätzen, ob Ihr Produkt über Modul A bewertet werden kann:

1. Normteile: Sind alle nach der Scoping-Entscheidung anwendbaren Teile von DIN EN 18031 identifiziert, und werden sie vollständig angewandt?
2. Abweichungen: Gibt es Anforderungen, die Sie bewusst anders lösen als im Normtext vorgesehen oder für die Sie nur mit Beispielen aus der Guidance argumentieren?
3. Passwort-Option: Kann ein Nutzer an irgendeiner Stelle des Produkts, auch in der App oder im Webinterface, auf ein Passwort verzichten?
4. Produktkategorie: Fällt das Produkt unter Spielzeug oder Kinderbetreuung, oder ermöglicht es Werttransfers nach Buchstabe (f)?
5. Änderungsrhythmus: Wie häufig ändern Sie Firmware oder Funktionsumfang, und wäre der Aufwand für Ergänzungen einer Baumusterprüfbescheinigung eingeplant?

Lautet die Antwort auf die Fragen 2 bis 4 jeweils „nein“, spricht viel für den Weg über Modul A. Gern gehen wir diese Prüfung gemeinsam mit Ihnen durch und klären, an welcher Stelle eine Designanpassung die Einbindung einer benannten Stelle vermeiden kann.

Typische Fehlannahmen rund um die benannte Stelle

In Projekten fallen dieselben Muster immer wieder auf:

• Benannte Stelle eingeplant, obwohl nicht erforderlich. Der Zeitplan richtet sich nach einem Prüftermin, obwohl die Norm vollständig angewandt wird und keine Einschränkung greift.
• Passwort-Option als Komfortfunktion gebaut. Die Möglichkeit, das Gerät ohne Passwort zu betreiben, wird im Produktmanagement beschlossen, ohne die Folgen für den Bewertungspfad zu prüfen.
• Laborbericht mit Notified-Body-Prüfung verwechselt. Ein Prüfbericht eines Labors, das auch benannte Stelle ist, wird als Baumusterprüfung verstanden, obwohl keine EU-Baumusterprüfbescheinigung ausgestellt wurde.
• Verantwortung ausgelagert. Nach einer Baumusterprüfung wird die technische Dokumentation nicht mehr gepflegt, weil die benannte Stelle „abgenommen“ habe.
• Firmware-Änderungen nicht nachgemeldet. Das zugelassene Baumuster ändert sich mit jedem Release, die Bescheinigung wird aber nie ergänzt.
• Fremdzertifikat als Ersatz genutzt. Ein Zertifikat nach EN IEC 62443-4-2 wird als Nachweis für DIN EN 18031 angeführt, ohne die Bewertung nach der Norm durchzuführen.

Häufige Fragen

Brauche ich für die RED DA eine benannte Stelle? Nicht zwingend. Wer die einschlägigen Teile von DIN EN 18031 vollständig anwendet und keine Einschränkung der Konformitätsvermutung berührt, kann nach Artikel 17 Absatz 3 der Funkanlagenrichtlinie Modul A wählen. Eine benannte Stelle ist dann nicht erforderlich.

Wann ist eine benannte Stelle nach der RED DA zwingend? Wenn die harmonisierte Norm nicht oder nur teilweise angewandt wird oder wenn eine Einschränkung aus dem Durchführungsbeschluss (EU) 2025/138 greift. In diesen Fällen bleiben nach Artikel 17 Absatz 4 nur die Module B und C oder Modul H.

Führt die Option, auf ein Passwort zu verzichten, zur Pflicht einer benannten Stelle? Ja. Erlaubt ein Gerät dem Nutzer über die Abschnitte 6.2.5.1 und 6.2.5.2, kein Passwort festzulegen oder zu verwenden, entfällt die Konformitätsvermutung. Für diese Anforderungen trägt die Norm den Nachweis dann nicht, und Modul A steht insoweit nicht zur Verfügung.

Steht bei einer Baumusterprüfung eine Kennnummer neben dem CE-Zeichen? Nein. Nach Artikel 20 Absatz 3 folgt die Kennnummer der benannten Stelle nur dann auf das CE-Zeichen, wenn das Verfahren nach Anhang IV, also Modul H, angewandt wird. Bei den Modulen B und C bleibt das CE-Zeichen ohne Nummer.

Ist ein Prüfbericht eines Testlabors dasselbe wie die Einbindung einer benannten Stelle? Nein. Unter Modul A kann der Hersteller Bewertungen an ein Labor vergeben, der Bericht ist dann Teil seiner technischen Dokumentation. Eine Beteiligung im Sinne der Module B und C liegt erst vor, wenn eine benannte Stelle eine EU-Baumusterprüfbescheinigung ausstellt.

Übernimmt die benannte Stelle die Verantwortung für die Konformität? Nein. Nach Artikel 18 Absatz 4 der Richtlinie übernimmt der Hersteller mit der Ausstellung der EU-Konformitätserklärung die Verantwortung, unabhängig vom gewählten Verfahren.

Kann ich freiwillig eine benannte Stelle einbeziehen? Ja. Auch bei vollständiger Anwendung der harmonisierten Norm lässt Artikel 17 Absatz 3 die Module B und C sowie Modul H zu. Das kann sinnvoll sein, wenn Handelspartner eine Drittbescheinigung verlangen. Die Folgekosten bei Produktänderungen sollten dabei mit eingeplant werden.

Fazit

„Für die RED DA ist immer ein Notified Body nötig“ ist ein Mythos. Artikel 17 der Funkanlagenrichtlinie macht die benannte Stelle für die Cybersicherheitsanforderungen zur Ausnahme: Wer DIN EN 18031 vollständig anwendet und keine Einschränkung der Konformitätsvermutung berührt, führt den Nachweis über Modul A in eigener Verantwortung. Zwingend wird die benannte Stelle erst, wenn die Norm nicht oder nur teilweise angewandt wird oder eine Einschränkung der Fundstelle greift, und genau diese Einschränkungen entstehen häufig durch Designentscheidungen wie die Option, auf ein Passwort zu verzichten. Umgekehrt gilt: Modul A heißt nicht „ohne Prüfung“, sondern Prüfung in eigener Verantwortung, mit einer Dokumentation, die auch einer späteren Nachprüfung durch die Behörde standhalten muss. Die Grundlage für diese Entscheidung liegt in der Scoping-Kette, die wir im vorherigen Artikel beschrieben haben, und in der Zuordnung der drei Normteile.

Im nächsten Artikel unserer RED-DA-Reihe schließen wir das erste Quartal mit einem Praxis-Assessment ab: Wir bewerten einen Wi-Fi-Smart-Plug Schritt für Schritt gegen DIN EN 18031-1, von der Scoping-Entscheidung über die Asset- und Schnittstellenaufnahme bis zu den Entscheidungsbäumen der einzelnen Mechanismen.

Unser kostenfreier RED-DA-Scope-Check ordnet in wenigen Schritten ein, welche Normteile für Ihr Produkt gelten und ob Anzeichen für eine Einschränkung der Konformitätsvermutung bestehen.

Wenn Sie den Bewertungspfad lieber direkt mit uns klären möchten: In einem kostenfreien Erstgespräch prüfen wir Produktdefinition, Normanwendung und kritische Designoptionen und ordnen ein, ob Modul A für Sie erreichbar ist. Mehr dazu auf unserer Seite zur RED-DA-Beratung.

---

Dieser Artikel gibt einen strukturierten Überblick und ersetzt keine Einzelfallbewertung. Maßgeblich sind der Wortlaut der Funkanlagenrichtlinie 2014/53/EU, der Delegierten Verordnung (EU) 2022/30, des Durchführungsbeschlusses (EU) 2025/138 sowie der Normteile DIN EN 18031-1, -2 und -3.