Die drei Schutzziele der RED und die Normenreihe EN 18031

Problem in der Praxis

Viele Hersteller behandeln die RED-Cybersicherheit als nachgelagerte Kennzeichnungsfrage und übersehen, dass die drei Schutzziele unterschiedliche Geräteklassen treffen. Die Verordnung adressiert nicht alle Funkanlagen, sondern definierte vernetzte und datenverarbeitende Klassen, und je Klasse greift eine andere Anforderung:

• Netzschutz (lit. d): internetfähige Funkanlagen, die direkt oder über andere Geräte über das Internet kommunizieren können.
• Datenschutz und Privatsphäre (lit. e): Funkanlagen, die personenbezogene Daten, Verkehrs- oder Standortdaten verarbeiten, namentlich internetfähige sowie Kinderbetreuungs-, Spielzeug- und wearable Funkanlagen.
• Betrugsschutz (lit. f): internetfähige Funkanlagen, die Geld, Geldwerte oder virtuelle Währung übertragen können.

Wer das Scoping unsauber macht, prüft zu viel oder übersieht eine einschlägige Anforderung; beides ist teuer. In Deutschland setzt das Funkanlagengesetz (FuAG) die RED um; Marktüberwachungsbehörde ist die Bundesnetzagentur in ihrer produktrechtlichen Rolle, nicht als NIS2-Sektoraufsicht.

CISO-Einordnung

Die drei Schutzziele sind als Risikologik statt als Norm-Checkliste zu lesen. Die RED-Anforderungen beschreiben Ziele, nicht Mechanismen; die technischen Festlegungen ergeben sich aus den harmonisierten Normen, deren Volltexte lizenzpflichtig sind und hier nicht reproduziert werden. Konzeptionell adressiert die Normenreihe Themen wie Zugangs- und Authentifizierungsmanagement, sichere Updates, sichere Speicherung und Kommunikation, Schutz personenbezogener und finanzieller Daten sowie Resilienz von Netzressourcen. Verbindliche Detailanforderungen, Tabellen und Klauseln stehen ausschließlich in der Norm.

Der wichtigste Steuerungspunkt ist die Konformitätsvermutung. Wendet ein Hersteller die einschlägige Norm vollständig an, greift die Vermutungswirkung, und der Nachweis ist in der Regel über die interne Fertigungskontrolle (Selbstbewertung) möglich. Andernfalls oder bei Abweichung ist regelmäßig eine benannte Stelle über eine EU-Baumusterprüfung einzubinden. Wesentlich: Die EN 18031-1/-2/-3 wurde mit Restriktionen gelistet. Die Vermutungswirkung gilt nur, soweit die Restriktion auf das Produkt nicht zutrifft. Hier kann ein vermeintlicher Selbstbewertungspfad in eine Fremdbewertung kippen.

Umsetzungsperspektive

Aus Steuerungssicht trägt ein schlanker, wiederholbarer Ablauf:

• Scoping je Produkt: Fällt die Funkanlage unter Artikel 1 Absatz 1, 2 oder 3, und welche Anforderung (d, e, f) ist einschlägig?
• Normzuordnung: EN 18031-1 (Netzschutz), -2 (Datenschutz/Privatsphäre), -3 (Betrugsschutz), jeweils mit Prüfung der Listungs-Restriktionen.
• Bewertungspfad: Vermutungswirkung über vollständige Normanwendung anstreben; wo Restriktionen greifen, frühzeitig eine benannte Stelle einplanen.
• Nachweismanagement: Konformitätsbewertung, technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung als prüfbare Belegkette führen.
• Lebenszyklus: Update-Fähigkeit, Schwachstellenbehandlung und sichere Voreinstellung als Daueraufgabe verankern.

Hilfreich ist, die produktbezogene RED-Pflicht an vorhandene Prozesse anzudocken. Ein sicherer Entwicklungs- und Schwachstellenprozess, wie ihn ISO/IEC 27001/27002, IEC 62443 oder die NIST-Baselines konzeptionell beschreiben, liefert die Grundlage für wiederholbare Nachweise.

Typische Fehler

1. Pauschales Scoping: alle drei Schutzziele auf jedes Gerät anwenden oder ein einschlägiges übersehen.
2. Die Konformitätsvermutung als garantiert annehmen, obwohl Listungs-Restriktionen Punkte aus der Selbstbewertung herausnehmen.
3. Die EN 18031 als alleinige Pflichtquelle missverstehen; verbindlich sind die RED-Anforderungen, die Norm ist nur ein Weg zur Vermutungswirkung.
4. Die Überlappung mit dem Cyber Resilience Act ignorieren und parallele Programme ohne gemeinsame Nachweisbasis bauen.
5. Cybersicherheit als einmaligen Prüfakt statt als Lebenszyklus-Pflicht behandeln.

Risiken und Trade-offs

Der zentrale Trade-off liegt zwischen Selbst- und Fremdbewertung. Vollständige Normanwendung ermöglicht meist die kostengünstigere interne Fertigungskontrolle, erfordert aber Disziplin in Dokumentation und Restriktionsprüfung. Eine benannte Stelle erhöht Kosten und Vorlaufzeit, schafft aber Sicherheit, wo Restriktionen die Vermutungswirkung nicht tragen.

Ein zweiter Trade-off betrifft den Zeithorizont. Die Delegierte Verordnung (EU) 2022/30 ist eine transitorische Brücke: Sie gilt seit dem 1. August 2025 und soll zum 11. Dezember 2027 aufgehoben werden, zeitgleich mit der vollen Geltung des Cyber Resilience Act (Verordnung (EU) 2024/2847). Den aufhebenden Rechtsakt hat die Kommission am 16. Februar 2026 angenommen (Dokument C(2026) 778 final); die finale Amtsblatt-Fundstelle ist zum Redaktionsstand noch nicht bestätigt. Wer nur für die RED-Brücke baut, riskiert kurzlebige Nachweise; wer auf den CRA wartet, verfehlt die seit 2025 geltende Pflicht.

Entscheidungspunkte

• Welche Schutzziele sind je Produktklasse einschlägig, und ist das Scoping dokumentiert?
• Wird die Vermutungswirkung über vollständige Normanwendung angestrebt, und welche Restriktionen entziehen sich diesem Pfad?
• Ist der gewählte Bewertungspfad (interne Fertigungskontrolle oder benannte Stelle) belastbar begründet?
• Wie bleiben die Nachweise auf den CRA ab Ende 2027 übertragbar?
• Welche organisatorischen Prozesse tragen die Nachweise dauerhaft?

Praktische Empfehlungen

1. Führen Sie pro Produkt ein dokumentiertes Scoping entlang Artikel 1 Absatz 1, 2 und 3 und ordnen Sie die Anforderungen d, e, f eindeutig zu.
2. Prüfen Sie die Listungs-Restriktionen der EN 18031, bevor Sie sich auf einen Selbstbewertungspfad festlegen.
3. Planen Sie eine benannte Stelle frühzeitig ein, wo Restriktionen die Vermutungswirkung nicht tragen.
4. Bauen Sie die Nachweisbasis CRA-anschlussfähig, damit Belege über den 11. Dezember 2027 hinaus nutzbar bleiben.
5. Verankern Sie Update-Fähigkeit, Schwachstellenbehandlung und sichere Voreinstellungen als Lebenszyklus-Pflicht.

Relevante Normreferenzen

• Delegierte Verordnung (EU) 2022/30 zur Ergänzung der Richtlinie 2014/53/EU (RED): aktiviert Artikel 3 Absatz 3 Buchstaben d, e und f; Amtsblatt L 7 vom 12.1.2022. EU-Recht, frei mit Quellenangabe zitierbar.
• Durchführungsbeschluss (EU) 2025/138 vom 28.1.2025: harmonisierte Listung der EN 18031-1/-2/-3 mit Restriktionen.
• Delegierte Verordnung (EU) 2023/2444: Verschiebung des Anwendungsdatums auf den 1.8.2025.
• EN 18031-1:2024 / -2:2024 / -3:2024 (CEN/CENELEC): Normenreihe für Netzschutz, Datenschutz/Privatsphäre und Betrugsschutz. Lizenzpflichtig, nur als Referenz, ohne Volltext, Anforderungslisten oder Klauselnummern.
• Verordnung (EU) 2024/2847 (Cyber Resilience Act): produktbezogene Cybersicherheit ab voller Geltung am 11.12.2027.