RED-DA-Beratung zur DIN EN 18031: Cybersicherheit und CE-Konformität für Funkanlagen
Seit dem 1. August 2025 gelten die Cybersicherheitsanforderungen der Funkanlagenrichtlinie (RED Delegated Act, Verordnung (EU) 2022/30) verbindlich. uwuWARE unterstützt Sie als Hersteller, Importeur oder Händler bei der Einordnung Ihrer Produkte, der Umsetzung der DIN EN 18031 sowie beim Aufbau der technischen Dokumentation für die CE-Kennzeichnung. Das Ergebnis: nachweisbare RED-DA-Konformität, statt offener Punkte in der Marktüberwachung.
Scoping und Gap-Analyse: Fällt Ihr Produkt unter den RED-DA?
Umsetzung der Sicherheitsmechanismen nach DIN EN 18031
Technische Dokumentation, Entscheidungsbäume und Konformitätsnachweise
Vorbereitung auf den Cyber Resilience Act und die EN 40000
RED-DA-Beratung für Hersteller vernetzter Funkanlagen
Die Delegierte Verordnung (EU) 2022/30 aktiviert die Cybersicherheitsanforderungen aus Artikel 3 Absatz 3 (d), (e) und (f) der Funkanlagenrichtlinie 2014/53/EU. Sie gelten seit dem 1. August 2025 für alle betroffenen Geräte, die neu in Verkehr gebracht werden.
Für Sie als Hersteller bedeutet das: Ohne belastbaren Konformitätsnachweis kein CE-Zeichen, ohne CE-Zeichen kein EU-Marktzugang. Nicht-konforme Produkte riskieren Vertriebsstopps, Rückrufe, Bußgelder und Reputationsschäden.
uwuWARE ist ein IT-Dienstleister mit Schwerpunkt auf sicherer, wartbarer Infrastruktur und Softwareentwicklung. Unsere Kunden kommen überwiegend aus dem öffentlichen Sektor und dem Gesundheitswesen: Umfeldern, in denen Nachweisbarkeit, Dokumentationsqualität und regulatorische Belastbarkeit den Unterschied machen. Wir begleiten Sie durch diesen Prozess: von der Frage, ob Ihr Produkt überhaupt betroffen ist, über die technische Umsetzung der Sicherheitsmechanismen bis zur prüffähigen Dokumentation.
Wir verbinden regulatorisches Verständnis mit technischer Umsetzungskompetenz: Wir erklären Ihnen nicht nur, was die Norm fordert, sondern arbeiten mit Ihrer Entwicklung an der konkreten Implementierung.
Welche Produkte sind betroffen?
Erfasst sind Funkanlagen, die direkt oder indirekt mit dem Internet kommunizieren können. Gerade die indirekte Anbindung, etwa über ein Gateway, eine Bridge oder eine Smartphone-App, wird in der Praxis häufig unterschätzt. Auch die Funktechnologie ist nicht entscheidend: Nicht nur WLAN, sondern ebenso Bluetooth, Zigbee, Z-Wave, Thread, NFC oder Mobilfunk können ein Produkt in den RED-DA-Scope bringen.
- Consumer Electronics: Smartphones, Tablets, Wearables, Wireless-Headsets
- IoT & Smart Home: Thermostate, Kameras, smarte Schlösser, vernetzte Haushaltsgeräte
- Netzwerktechnik: WLAN-Router, Access Points, Mesh-Systeme, Zigbee- und Bluetooth-Hubs
- Industrie & Gebäudetechnik: vernetzte Sensorik, Brandmelder, Zutrittssysteme
- Medizin- und Gesundheitsprodukte: Fitness- und Vitaldatentracker
- Zahlungsgeräte: mPOS-Terminals, kontaktlose Kartenleser, NFC-Transaktionsgeräte
Ausgenommen sind unter anderem Funkanlagen ohne Internetanbindung, rein militärisch genutzte Geräte, Produkte unter sektorspezifischen Rahmenwerken sowie Medizinprodukte im Anwendungsbereich der EU-Medizinprodukteverordnungen.
Die harmonisierte Normenreihe DIN EN 18031 ist der praktikabelste Weg zum Konformitätsnachweis. Die Normen arbeiten mit Sicherheitsmechanismen (u. a. Zugangskontrolle, Authentifizierung, sichere Updates, sichere Speicherung, sichere Kommunikation, Resilienz, Kryptografie) und mit Entscheidungsbäumen, über die für jedes Produkt individuell bestimmt wird, welche Anforderung anwendbar ist. Genau hier entstehen die meisten Fehler: Hier setzt unsere Beratung an.
DIN EN 18031-1, -2, -3: Welcher Teil gilt für Ihr Produkt?
DIN EN 18031 ist keine einzelne Norm, sondern eine Reihe aus drei Teilen. Jeder Teil ist einem Schutzziel der Funkanlagenrichtlinie zugeordnet. Für Ihr Produkt können einer, zwei oder alle drei Teile gelten. Nicht der Produktname entscheidet, sondern die Funktionen des Geräts.
DIN EN 18031-1
Internetfähige Funkanlagen. Schutzziel: das Netz. Aktiviert durch RED Artikel 3.3 (d), der breiteste Anwendungsfall.
DIN EN 18031-2
Datenverarbeitende Funkanlagen. Schutzziel: personenbezogene Daten und Privatsphäre. RED Artikel 3.3 (e), auch für Spielzeug und Wearables.
DIN EN 18031-3
Geldwertverarbeitende Funkanlagen. Schutzziel: Betrugsschutz. RED Artikel 3.3 (f), etwa für mPOS-Terminals und NFC-Transaktionsgeräte.
Die saubere Zuordnung steht am Anfang jedes Projekts: Sie bestimmt den Umfang der Prüfung und verhindert, dass Aufwand in irrelevante Nachweise fließt oder ein relevanter Teil übersehen wird. Wie sich Teil 1, 2 und 3 unterscheiden und wann welcher gilt, erklären wir im Detail in unserem Artikel DIN EN 18031-1, -2, -3: Wann gilt welcher Teil?.
Konformitätsvermutung, aber mit Einschränkungen
Mit dem Durchführungsbeschluss (EU) 2025/138 wurde die DIN EN 18031 als harmonisierte Norm gelistet. Wer sie vollständig anwendet, kann grundsätzlich über Modul A (interne Fertigungskontrolle) ohne Benannte Stelle bewerten.
Die Konformitätsvermutung gilt jedoch nicht uneingeschränkt. Sie entfällt unter anderem, wenn ein Gerät es zulässt, gar kein Passwort zu setzen, bei bestimmten Zugangskontrollkonstellationen für Kinderspielzeug (DIN EN 18031-2) sowie bei einzelnen Prüfkriterien für sichere Updates in der DIN EN 18031-3. Auch die Abschnitte Rationale und Guidance der Normen tragen keine Konformitätsvermutung.
Fällt Ihr Produkt in eine dieser Konstellationen, ist eine Benannte Stelle einzubeziehen. Wir bewerten diese Frage früh im Projekt, bevor daraus ein Zeit- und Kostenrisiko wird.
Marktüberwachung findet bereits statt
Seit dem 1. August 2025 prüft die Marktüberwachung auch die Cyberanforderungen. In Deutschland ist die Bundesnetzagentur zuständig; Verdachtsfälle können von jeder natürlichen oder juristischen Person gemeldet werden, ausdrücklich auch von Wettbewerbern, Verbänden und Prüfstellen. Verfahren werden in der Regel nicht öffentlich kommuniziert. Dass Sie nichts hören, bedeutet nicht, dass nicht geprüft wird.
Von RED-DA zum Cyber Resilience Act
Mit der Delegierten Verordnung (EU) 2026/339 hat die Kommission die Aufhebung der Verordnung 2022/30 zum 11. Dezember 2027 beschlossen, dem Tag, an dem der Cyber Resilience Act vollumfänglich gilt.
- Bis 10. Dezember 2027: Der RED-DA bleibt vollständig anwendbar, Nachweis über DIN EN 18031.
- Ab 11. Dezember 2027: Funkanlagen mit digitalen Elementen fallen unter den CRA (Anhang I, künftig EN 40000).
- Bestandsprodukte: Geräte, die zwischen dem 1. August 2025 und dem 10. Dezember 2027 in Verkehr gebracht wurden, bleiben auch danach am RED-DA messbar.
Die gute Nachricht: Die EN 40000 baut konzeptionell auf der DIN EN 18031 auf. Wer heute sauber nach DIN EN 18031 arbeitet, verwendet einen Großteil der technischen Nachweise später für die CRA-Konformität weiter. Wir planen Ihr Projekt deshalb von Anfang an mit Blick auf beide Regelwerke.
Unsere Leistungen im Detail
- Applicability-Assessment: Wir klären, ob und über welchen Pfad Ihr Produkt in den Anwendungsbereich fällt
- Gap-Analyse: Abgleich von Hard- und Firmware gegen die anwendbaren Mechanismen der DIN EN 18031
- Bedrohungsanalyse: strukturierte Betrachtung nach STRIDE, Asset- und Schnittstellenaufnahme
- Technische Umsetzung: Beratung zu sicherem Update, Secure Boot, Schlüsselmanagement, Kryptografie, Härtung von Diensten und Schnittstellen
- Dokumentation: Entscheidungsbäume, Nachweisführung, technische Unterlagen, Zuarbeit zur EU-Konformitätserklärung
- Vorbereitung auf Prüflabor oder Benannte Stelle: Sie gehen mit vollständigen Unterlagen in die Prüfung, nicht mit offenen Punkten
- CRA-Readiness: Bewertung, welche Maßnahmen für EN 40000 wiederverwendbar sind
Ablauf
- Kostenfreies Erstgespräch. Produkt, Schnittstellen, Zeitplan, Marktzugang: wir ordnen Ihre Ausgangslage ein.
- Scoping & Gap-Analyse. Wir bestimmen die anwendbaren Normteile und Mechanismen und dokumentieren die Lücken.
- Umsetzung. Gemeinsam mit Ihrer Entwicklung schließen wir die technischen und dokumentarischen Lücken.
- Nachweis. Sie erhalten eine prüffähige technische Dokumentation als Grundlage für CE-Kennzeichnung und Marktüberwachung.
Vertiefung: RED-DA und DIN EN 18031 im Detail
In unserem Blog erscheint wöchentlich ein neuer Artikel zu RED-DA und DIN EN 18031, geschrieben für Hersteller vernetzter Funkanlagen. Die Reihe führt vom Scope und den Grundlagen über die Sicherheitsmechanismen der DIN EN 18031 bis hin zu Risikobewertung, Dokumentation und Assessment, aufbereitet in kompakten und praxisnahen FAQs, Praxis-Guides und Mythos-oder-Fakt-Artikeln.
Häufige Fragen
Was bedeutet RED-DA-Compliance konkret?
RED-DA-Compliance bedeutet, für eine vernetzte Funkanlage die Cybersicherheitsanforderungen der Funkanlagenrichtlinie (RED Delegated Act, Verordnung (EU) 2022/30) nachzuweisen. In der Praxis erfolgt dieser Nachweis über die harmonisierte Normenreihe DIN EN 18031 und mündet in eine prüffähige technische Dokumentation als Grundlage für die CE-Kennzeichnung.
Gilt der RED-DA auch für Bestandsprodukte?
Maßgeblich ist der Zeitpunkt des Inverkehrbringens. Funkanlagen, die vor dem 1. August 2025 in Verkehr gebracht wurden, unterliegen weiterhin den bisherigen Anforderungen, solange kein erneutes Inverkehrbringen erfolgt.
Brauche ich zwingend eine Benannte Stelle?
Nicht, wenn die DIN EN 18031 vollständig angewandt wird und keine der bekannten Einschränkungen der Konformitätsvermutung greift. Wird die Norm nur teilweise angewandt, ist eine Benannte Stelle erforderlich.
Mein Gerät geht nur über eine App ins Internet. Bin ich betroffen?
Sehr wahrscheinlich ja. Erfasst sind auch Funkanlagen, die indirekt über ein anderes Gerät mit dem Internet kommunizieren.
Lohnt sich RED-DA-Compliance noch, wenn der CRA 2027 übernimmt?
Ja. Der RED-DA gilt bis zum 10. Dezember 2027 uneingeschränkt, Bestandsprodukte bleiben darüber hinaus prüfbar, und die Arbeit fließt in die CRA-Konformität ein.
Führt uwuWARE selbst die Konformitätsprüfung durch?
Wir beraten, analysieren und bereiten die Nachweisführung vor. Für akkreditierte Prüfungen und Zertifizierungen arbeiten wir mit Prüflaboren und Benannten Stellen zusammen.