Die drei Standards im Überblick: EN 18031-1, -2, -3 und wann welcher gilt

July 10, 2026 · Reading Time: 8-10 minutes

Viele Hersteller sprechen von „der EN 18031“, als wäre es ein einzelnes Dokument. Tatsächlich handelt es sich um eine Normenreihe aus drei Teilen: EN 18031-1, EN 18031-2 und EN 18031-3, von denen für Ihr Produkt einer, zwei oder alle drei gelten können. Wer das falsch einordnet, prüft entweder zu viel (unnötiger Aufwand) oder zu wenig (Lücke im Konformitätsnachweis, angreifbar in der Marktüberwachung). Dieser Beitrag erklärt die Struktur der Reihe und die Frage, die am Anfang jedes RED-DA-Projekts steht: Welcher Teil gilt wann?

Kurz gesagt

Die drei Teile der EN 18031 decken drei unterschiedliche Schutzziele der Funkanlagenrichtlinie (RED, 2014/53/EU) ab, aktiviert durch die Delegierte Verordnung (EU) 2022/30:

• EN 18031-1: internetfähige Funkanlagen. Schutzziel: das Netz (keine schädlichen Auswirkungen auf Netze).
  RED Artikel 3.3 (d)
• EN 18031-2: datenverarbeitende Funkanlagen. Schutzziel: personenbezogene Daten und Privatsphäre.
  RED Artikel 3.3 (e)
• EN 18031-3: Funkanlagen, die virtuelles Geld oder Geldwerte verarbeiten. Schutzziel: Schutz vor Betrug.
  RED Artikel 3.3 (f)

Welcher Teil gilt, hängt nicht vom Produktnamen ab, sondern davon, welche Funktionen das Gerät hat, und damit, welche der drei RED-Anforderungen für das Gerät aktiviert sind. Mehrfachzuordnungen sind der Normalfall, nicht die Ausnahme.

Warum drei Teile? Der Ursprung in der RED

Die Funkanlagenrichtlinie regelte lange vor allem Funkstörungen und elektromagnetische Verträglichkeit. Mit der Delegierten Verordnung (EU) 2022/30 wurden die bis dahin ruhenden Cybersicherheits­anforderungen aus Artikel 3 Absatz 3 der RED scharf geschaltet, konkret die Buchstaben (d), (e) und (f). Seit dem 1. August 2025 sind sie für betroffene Geräte verbindlich.

Diese drei Buchstaben verfolgen unterschiedliche Ziele, und genau daran ist die Normenreihe aufgehängt. Jeder Teil der EN 18031 ist einem Buchstaben zugeordnet und liefert das Prüfverfahren, um die jeweilige Anforderung nachzuweisen. Das lässt sich am Anhang ZA der Normen ablesen: Er verweist ausdrücklich auf Artikel 3(3), Buchstaben (d), (e) und (f), und ordnet die Normklauseln den einzelnen Anforderungen zu.

EN 18031-1: internetfähige Funkanlagen (Netzschutz)

Zuordnung: RED Artikel 3.3 (d). Der Kern dieser Anforderung: Eine Funkanlage darf dem Netz und seinem Betrieb nicht schaden. Es geht nicht in erster Linie um den Schutz Ihrer Nutzerdaten, sondern darum, dass Ihr Gerät nicht selbst zur Gefahr für die Infrastruktur wird, etwa als Teil eines Botnetzes, als Verstärker für Denial-of-Service-Angriffe oder als schlecht abgesicherter Einstiegspunkt.

Teil 1 ist damit der breiteste Anwendungsfall: Nahezu jede Funkanlage, die direkt oder indirekt mit dem Internet kommunizieren kann, fällt darunter. „Indirekt“ schließt ausdrücklich Geräte ein, die nur über ein Gateway, eine Bridge oder eine Smartphone-App ans Netz gehen, ein in der Praxis häufig unterschätzter Punkt.

Charakteristisch für Teil 1 sind Mechanismen zur Netz-Resilienz, die es in den anderen Teilen nicht gibt: Resilience (RLM), Network Monitoring (NMM) und Traffic Control (TCM).

EN 18031-2: datenverarbeitende Funkanlagen (Datenschutz)

Zuordnung: RED Artikel 3.3 (e). Hier steht der Schutz personenbezogener Daten und der Privatsphäre im Mittelpunkt. Teil 2 greift für Geräte, die personenbezogene Daten, Verkehrsdaten oder Standortdaten verarbeiten, und zusätzlich für bestimmte Produktgruppen, die der Gesetzgeber ausdrücklich adressiert: Funkanlagen für die Kinderbetreuung, Spielzeug mit Funkfunktion und tragbare Geräte (Wearables).

Weil hier Daten im Spiel sind, bringt Teil 2 Mechanismen mit, die auf den Datenlebenszyklus zielen und in Teil 1 fehlen: Logging (LGM), sichere Löschung (DLM) und Benutzerbenachrichtigung (UNM). Für Kinderspielzeug gilt zudem eine Besonderheit bei der Konformitätsvermutung: Wird die Zugangskontrolle nicht so umgesetzt, dass ausschließlich Eltern oder Erziehungsberechtigte sie ausüben, greift die Vermutung nicht automatisch.

EN 18031-3: geldwertverarbeitende Funkanlagen (Betrugsschutz)

Zuordnung: RED Artikel 3.3 (f). Teil 3 adressiert Geräte, mit denen Nutzer Geld, Geldwerte oder virtuelle Währungen transferieren, vom mPOS-Terminal über kontaktlose Kartenleser bis zu NFC-Transaktionsgeräten und Wallet-Hardware. Schutzziel ist der Schutz vor Betrug.

Teil 3 teilt sich das große gemeinsame Fundament mit den anderen Teilen (Zugangskontrolle, Authentifizierung, sichere Updates, sichere Speicherung, sichere Kommunikation, Kryptografie) und ergänzt es mit Logging (LGM). Auch hier gibt es eine Einschränkung der Konformitätsvermutung: Die Prüfkriterien für sichere Updates führen nicht automatisch zur Vermutung nach Artikel 3.3 (f).

Wann gilt welcher Teil? Die Entscheidungslogik

Die entscheidende Erkenntnis: Sie wählen den Teil nicht aus, Ihr Produkt wählt ihn. Ausschlaggebend sind die Funktionen des Geräts, denn sie bestimmen, welche der RED-Buchstaben (d), (e), (f) aktiviert sind.

Eine praktikable Reihenfolge für die Erst-Einordnung:

1. Kommuniziert das Gerät (auch indirekt) mit dem Internet?
   Teil 1 gilt fast immer.
2. Verarbeitet es personenbezogene Daten, Verkehrs- oder Standortdaten, oder ist es Spielzeug, Kinderbetreuungs- oder Wearable-Gerät?
   zusätzlich Teil 2.
3. Ermöglicht es Geld-, Geldwert- oder Kryptowährungs­transfers?
   zusätzlich Teil 3.

Mehrfachzuordnungen sind der Regelfall. Drei Beispiele:

• Wi-Fi-Smart-Plug ohne personenbezogene Daten und ohne Zahlungsfunktion
  in der Regel nur Teil 1.
• Fitness-Tracker / Wearable mit App und Gesundheitsdaten
  Teil 1 + Teil 2.
• Mobiles Zahlungsterminal mit Konto, Nutzerdaten und Internetanbindung
  Teil 1 + Teil 2 + Teil 3.

Die Mechanismen sind nicht in jedem Teil gleich

Alle drei Teile arbeiten mit denselben 14 Sicherheits­mechanismen als gemeinsamem Baukasten, aber nicht jeder Mechanismus ist in jedem Teil enthalten. Genau deshalb reicht es nicht, „einmal EN 18031“ nachzuweisen und davon auszugehen, damit sei alles abgedeckt. Die folgende Übersicht zeigt, welcher Mechanismus in welchem Teil gefordert wird:

Acht Mechanismen bilden das gemeinsame Fundament aller drei Teile. Die Unterschiede liegen an den Rändern: Resilienz und Netzüberwachung (RLM/NMM/TCM) nur in Teil 1, Löschung und Benutzerbenachrichtigung (DLM/UNM) nur in Teil 2, Logging in Teil 2 und Teil 3. Ob ein Mechanismus im Ergebnis tatsächlich für Ihr konkretes Gerät greift, entscheidet zusätzlich der jeweilige Entscheidungsbaum der Norm. Die Tabelle sagt also, welche Mechanismen der Teil überhaupt kennt, nicht, dass jeder davon automatisch für Ihr Produkt anwendbar ist.

Bedeutung für die Nachweisführung

Aus der Struktur folgen drei praktische Konsequenzen:

• Der Scope Ihres Produkts bestimmt den Umfang der Prüfung. Ordnen Sie Teil und Mechanismen zu Beginn sauber zu, bevor Aufwand in irrelevante Nachweise fließt oder ein relevanter Teil übersehen wird.
• Ein Nachweis pro Teil, nicht einer für alles. Fällt Ihr Gerät unter mehrere Teile, brauchen Sie die jeweils zusätzlichen Mechanismen auch in der technischen Dokumentation.
• Die Zuordnung gehört dokumentiert. In der Marktüberwachung, in Deutschland durch die Bundesnetzagentur, ist die begründete Entscheidung, welcher Teil warum gilt, selbst Teil des Nachweises.

Harmonisiert ist die Reihe seit dem 30. Januar 2025 über den Durchführungsbeschluss (EU) 2025/138; wer sie vollständig anwendet, kann grundsätzlich über Modul A (interne Fertigungskontrolle) ohne Benannte Stelle bewerten, mit den bekannten Ausnahmen bei der Konformitätsvermutung.

Nächster Schritt

Die Zuordnung zu Teil 1, 2 und/oder 3 ist der erste inhaltliche Schritt jedes RED-DA-Projekts und die Grundlage dafür, dass die spätere Gap-Analyse den richtigen Umfang hat. Unsere EN-18031-Zuordnungs-Checkliste führt Sie in wenigen Schritten durch die Fragen, aus denen sich der Scope Ihres Produkts ergibt.

Wenn Sie die Einordnung lieber direkt mit uns durchgehen möchten: In einem kostenfreien Erstgespräch klären wir Produkt, Schnittstellen und Marktzugang und ordnen Ihre Ausgangslage ein. Mehr dazu auf unserer Seite zur RED-DA-Beratung.

Dieser Beitrag gibt einen strukturierten Überblick und ersetzt keine Einzelfallbewertung. Maßgeblich sind der Wortlaut der Funkanlagenrichtlinie 2014/53/EU, der Delegierten Verordnung (EU) 2022/30 sowie der Normteile DIN EN 18031-1, -2 und -3.