Funkanlagenrichtlinie. Cybersicherheit. CE-Konformität – Beratung zur DIN EN 18031
Seit dem 1. August 2025 gelten die Cybersicherheitsanforderungen der Funkanlagenrichtlinie (RED Delegated Act, Verordnung (EU) 2022/30) verbindlich. uwuWARE unterstützt Hersteller, Importeure und Händler bei der Einordnung ihrer Produkte, der Umsetzung der DIN EN 18031 sowie beim Aufbau der technischen Dokumentation für die CE-Kennzeichnung.
Scoping und Gap-Analyse: Fällt Ihr Produkt unter den RED-DA?
Umsetzung der Sicherheitsmechanismen nach DIN EN 18031
Technische Dokumentation, Entscheidungsbäume und Konformitätsnachweise
Vorbereitung auf den Cyber Resilience Act und die EN 40000
RED-DA-Beratung für Hersteller vernetzter Funkanlagen
Die Delegierte Verordnung (EU) 2022/30 aktiviert die Cybersicherheitsanforderungen aus Artikel 3 Absatz 3 (d), (e) und (f) der Funkanlagenrichtlinie 2014/53/EU. Sie gelten seit dem 1. August 2025 für alle betroffenen Geräte, die neu in Verkehr gebracht werden.
Für Hersteller bedeutet das: Ohne belastbaren Konformitätsnachweis kein CE-Zeichen, ohne CE-Zeichen kein EU-Marktzugang. Nicht-konforme Produkte riskieren Vertriebsstopps, Rückrufe, Bußgelder und Reputationsschäden.
uwuWARE ist ein IT-Dienstleister mit Schwerpunkt auf sicherer, wartbarer Infrastruktur und Softwareentwicklung. Unsere Kunden kommen überwiegend aus dem öffentlichen Sektor und dem Gesundheitswesen: Umfeldern, in denen Nachweisbarkeit, Dokumentationsqualität und regulatorische Belastbarkeit den Unterschied machen. Wir begleiten Sie durch diesen Prozess: von der Frage, ob Ihr Produkt überhaupt betroffen ist, über die technische Umsetzung der Sicherheitsmechanismen bis zur prüffähigen Dokumentation.
Wir verbinden regulatorisches Verständnis mit technischer Umsetzungskompetenz: Wir erklären Ihnen nicht nur, was die Norm fordert, sondern arbeiten mit Ihrer Entwicklung an der konkreten Implementierung.
Welche Produkte sind betroffen?
Erfasst sind Funkanlagen, die direkt oder indirekt mit dem Internet kommunizieren können. Gerade die indirekte Anbindung, etwa über ein Gateway, eine Bridge oder eine Smartphone-App, wird in der Praxis häufig unterschätzt.
- Consumer Electronics: Smartphones, Tablets, Wearables, Wireless-Headsets
- IoT & Smart Home: Thermostate, Kameras, smarte Schlösser, vernetzte Haushaltsgeräte
- Netzwerktechnik: WLAN-Router, Access Points, Mesh-Systeme, Zigbee- und Bluetooth-Hubs
- Industrie & Gebäudetechnik: vernetzte Sensorik, Brandmelder, Zutrittssysteme
- Medizin- und Gesundheitsprodukte: Fitness- und Vitaldatentracker
- Zahlungsgeräte: mPOS-Terminals, kontaktlose Kartenleser, NFC-Transaktionsgeräte
Ausgenommen sind unter anderem Funkanlagen ohne Internetanbindung, rein militärisch genutzte Geräte, Produkte unter sektorspezifischen Rahmenwerken sowie Medizinprodukte im Anwendungsbereich der EU-Medizinprodukteverordnungen.
Die harmonisierte Normenreihe DIN EN 18031 ist der praktikabelste Weg zum Konformitätsnachweis. Die Normen arbeiten mit Sicherheitsmechanismen (u. a. Zugangskontrolle, Authentifizierung, sichere Updates, sichere Speicherung, sichere Kommunikation, Resilienz, Kryptografie) und mit Entscheidungsbäumen, über die für jedes Produkt individuell bestimmt wird, welche Anforderung anwendbar ist. Genau hier entstehen die meisten Fehler: Hier setzt unsere Beratung an.
Konformitätsvermutung — aber mit Einschränkungen
Mit dem Durchführungsbeschluss (EU) 2025/138 wurde die DIN EN 18031 als harmonisierte Norm gelistet. Wer sie vollständig anwendet, kann grundsätzlich über Modul A (interne Fertigungskontrolle) ohne Benannte Stelle bewerten.
Die Konformitätsvermutung gilt jedoch nicht uneingeschränkt. Sie entfällt unter anderem, wenn ein Gerät es zulässt, gar kein Passwort zu setzen, bei bestimmten Zugangskontrollkonstellationen für Kinderspielzeug (DIN EN 18031-2) sowie bei einzelnen Prüfkriterien für sichere Updates in der DIN EN 18031-3. Auch die Abschnitte Rationale und Guidance der Normen tragen keine Konformitätsvermutung.
Fällt Ihr Produkt in eine dieser Konstellationen, ist eine Benannte Stelle einzubeziehen. Wir bewerten diese Frage früh im Projekt, bevor daraus ein Zeit- und Kostenrisiko wird.
Marktüberwachung findet bereits statt
Seit dem 1. August 2025 prüft die Marktüberwachung auch die Cyberanforderungen. In Deutschland ist die Bundesnetzagentur zuständig; Verdachtsfälle können von jeder natürlichen oder juristischen Person gemeldet werden, ausdrücklich auch von Wettbewerbern, Verbänden und Prüfstellen. Verfahren werden in der Regel nicht öffentlich kommuniziert. Dass Sie nichts hören, bedeutet nicht, dass nicht geprüft wird.
Von RED-DA zum Cyber Resilience Act
Mit der Delegierten Verordnung (EU) 2026/339 hat die Kommission die Aufhebung der Verordnung 2022/30 zum 11. Dezember 2027 beschlossen, dem Tag, an dem der Cyber Resilience Act vollumfänglich gilt.
- Bis 10. Dezember 2027: Der RED-DA bleibt vollständig anwendbar, Nachweis über DIN EN 18031.
- Ab 11. Dezember 2027: Funkanlagen mit digitalen Elementen fallen unter den CRA (Anhang I, künftig EN 40000).
- Bestandsprodukte: Geräte, die zwischen dem 1. August 2025 und dem 10. Dezember 2027 in Verkehr gebracht wurden, bleiben auch danach am RED-DA messbar.
Die gute Nachricht: Die EN 40000 baut konzeptionell auf der DIN EN 18031 auf. Wer heute sauber nach DIN EN 18031 arbeitet, verwendet einen Großteil der technischen Nachweise später für die CRA-Konformität weiter. Wir planen Ihr Projekt deshalb von Anfang an mit Blick auf beide Regelwerke.
Unsere Leistungen im Detail
- Applicability-Assessment: Klärung, ob und über welchen Pfad Ihr Produkt in den Anwendungsbereich fällt
- Gap-Analyse: Abgleich von Hard- und Firmware gegen die anwendbaren Mechanismen der DIN EN 18031
- Bedrohungsanalyse: strukturierte Betrachtung nach STRIDE, Asset- und Schnittstellenaufnahme
- Technische Umsetzung: Beratung zu sicherem Update, Secure Boot, Schlüsselmanagement, Kryptografie, Härtung von Diensten und Schnittstellen
- Dokumentation: Entscheidungsbäume, Nachweisführung, technische Unterlagen, Zuarbeit zur EU-Konformitätserklärung
- Vorbereitung auf Prüflabor oder Benannte Stelle: Sie gehen mit vollständigen Unterlagen in die Prüfung, nicht mit offenen Punkten
- CRA-Readiness: Bewertung, welche Maßnahmen für EN 40000 wiederverwendbar sind
Ablauf
- Kostenfreies Erstgespräch. Produkt, Schnittstellen, Zeitplan, Marktzugang — wir ordnen Ihre Ausgangslage ein.
- Scoping & Gap-Analyse. Wir bestimmen die anwendbaren Normteile und Mechanismen und dokumentieren die Lücken.
- Umsetzung. Gemeinsam mit Ihrer Entwicklung schließen wir die technischen und dokumentarischen Lücken.
- Nachweis. Sie erhalten eine prüffähige technische Dokumentation als Grundlage für CE-Kennzeichnung und Marktüberwachung.
Häufige Fragen
Gilt der RED-DA auch für Bestandsprodukte?
Maßgeblich ist der Zeitpunkt des Inverkehrbringens. Funkanlagen, die vor dem 1. August 2025 in Verkehr gebracht wurden, unterliegen weiterhin den bisherigen Anforderungen, solange kein erneutes Inverkehrbringen erfolgt.
Brauche ich zwingend eine Benannte Stelle?
Nicht, wenn die DIN EN 18031 vollständig angewandt wird und keine der bekannten Einschränkungen der Konformitätsvermutung greift. Wird die Norm nur teilweise angewandt, ist eine Benannte Stelle erforderlich.
Mein Gerät geht nur über eine App ins Internet. Bin ich betroffen?
Sehr wahrscheinlich ja. Erfasst sind auch Funkanlagen, die indirekt über ein anderes Gerät mit dem Internet kommunizieren.
Lohnt sich RED-DA-Compliance noch, wenn der CRA 2027 übernimmt?
Ja. Der RED-DA gilt bis zum 10. Dezember 2027 uneingeschränkt, Bestandsprodukte bleiben darüber hinaus prüfbar, und die Arbeit fließt in die CRA-Konformität ein.
Führt uwuWARE selbst die Konformitätsprüfung durch?
Wir beraten, analysieren und bereiten die Nachweisführung vor. Für akkreditierte Prüfungen und Zertifizierungen arbeiten wir mit Prüflaboren und Benannten Stellen zusammen.