RED

Was ist die Radio Equipment Directive (RED)?

Die EU-Richtlinie 2014/53/EU – bekannt als Radio Equipment Directive (RED) – ist das zentrale Regelwerk für das Inverkehrbringen von Funkanlagen im Europäischen Wirtschaftsraum. Sie definiert grundlegende Anforderungen an Sicherheit, elektromagnetische Verträglichkeit und die effiziente Nutzung von Funkfrequenzen. In Deutschland transponiert das Funkanlagengesetz (FuAG) die Richtlinie; Marktüberwachungsbehörde ist die Bundesnetzagentur.

Mit der Delegierten Verordnung (EU) 2022/30 der Kommission (im Folgenden RED-DA) sind die bislang nur platzhalterhaft enthaltenen Artikel 3 Absatz 3 Buchstaben d, e und f der RED aktiviert worden und gelten seit dem 1. August 2025 (zuvor 1. August 2024, durch Delegierte Verordnung (EU) 2023/2444 um ein Jahr verschoben) verbindlich für Hersteller, Importeure und Händler bestimmter Funkanlagen. Die drei Schutzziele lauten:

• Art. 3(3)(d), Netzschutz: Die Funkanlage darf das Funknetz nicht beeinträchtigen und keine Netzressourcen missbrauchen.
• Art. 3(3)(e), Schutz personenbezogener Daten und Privatsphäre: Eingebaute Schutzmaßnahmen für die Verarbeitung personenbezogener Daten und der Privatsphäre der Nutzer und Teilnehmer.
• Art. 3(3)(f), Schutz vor Betrug: Eingebaute Schutzmaßnahmen gegen betrügerische Nutzung, insbesondere bei Funkanlagen, die Geld, geldwerte Beträge oder Kryptowerte verwalten oder übertragen.

Damit ist die RED-DA die erste verbindliche Produkt-Cybersicherheitsregulierung in der EU, die für relevante Funkanlagen vor dem CyberResilienceAct(CRA) greift. Mit der vollen Anwendbarkeit des CRA ab dem 11. Dezember 2027 wird die RED-DA voraussichtlich aufgehoben. Die CRA-Anforderungen für Produkte mit digitalen Elementen lösen die RED-Cybersicherheitsanforderungen dann ab, unabhängig von der Kommunikationstechnologie.

Bei SCHUTZWERK verstehen wir die Herausforderungen der RED-Cybersicherheitsanforderungen, von der Klärung, ob ein Produkt überhaupt unter Art. 3(3)(d/e/f) fällt, über die technische Umsetzung bis zur Konformitätsbewertung gemäß den harmonisierten Normen EN 18031-1/2/3. Unser Embedded-Security-Team begleitet Hersteller bei Bedrohungs-undRisikoanalyse , Penetrationstest und der Vorbereitung der technischen Dokumentation.

Cybersicherheit nach RED – ein neues Pflichtprogramm

Mit der erweiterten RED treten ab August 2025 erstmals konkrete Sicherheitsanforderungen für funkfähige Geräte in Kraft. Ziel ist es, ein einheitliches Sicherheitsniveau für vernetzte Produkte mit Funktechnologien in der EU zu etablieren.

Die RED verpflichtet Hersteller dazu, sicherzustellen, dass ihre Funkprodukte:

• Netzwerke nicht stören oder gefährden,
• personenbezogene Daten und Privatsphäre der Nutzer schützen,
• nicht zur betrügerischen Nutzung missbraucht werden können.

Diese Anforderungen greifen tief in Design, Entwicklung und Betrieb vernetzter Produkte ein. Besonders betroffen sind Geräte mit Internetzugang, App-Anbindung, Benutzerkonten oder Zahlungsfunktionen. Zur Umsetzung der Anforderungen können sich Hersteller an den Maßnahmen orientieren, die durch die harmonisierten Standards EN 18031-1/2/3 definiert werden. Diese stellen sicher, dass Produkte “Security by Design” und “by Default” erfüllen.

Schutz von Netzwerken, Daten und vor Betrug

Hersteller müssen künftig sicherstellen, dass ihre Produkte keine negativen Auswirkungen auf Kommunikationsnetze haben, die Privatsphäre der Nutzer wahren und vor Betrug schützen – insbesondere bei Geräten, die für Zahlungen oder vertrauliche Kommunikation verwendet werden. Wir unterstützen bei der Entwicklung entsprechender Schutzmaßnahmen und der sicherheitstechnischenArchitektur Ihrer Produkte. Für Ihre bereits entwickelten Produkte führen wir Sicherheitsbewertungen zum Beispiel in Form eines Penetrationstests durch.

Sicherheitsanforderungen im Entwicklungsprozess

Cybersicherheit muss künftig „by Design“ in Produktentwicklungsprozesse integriert werden. SCHUTZWERK bietet Ihnen fundierte Bedrohungs-undRisikoanalysen sowie technische Beratung zur Umsetzung sicherer Hardware- und Softwarearchitekturen. Unser Embedded-Security-Team analysiert gezielt potenzielle Schwachstellen – von tiefgehenden Analysen der Firmware bis hin zu drahtlosen Schnittstellen.

Konformitätsbewertung und technische Dokumentation

Die Umsetzung der RED-Anforderungen erfordert eine strukturierte Konformitätsbewertung – entweder intern (Modul A) oder durch eine benannte Stelle. Wir helfen bei der Auswahl des geeigneten Verfahrens, der Erstellung der CE-Konformitätserklärung und der technischen Dokumentation gemäß RED.

Geltungsbereich der RED-Cybersicherheitsanforderungen

Die Delegierte Verordnung (EU) 2022/30 aktiviert die Schutzziele aus Art. 3(3)(d), (e) und (f) nicht für alle Funkanlagen, sondern adressiert sie produktspezifisch:

Vom Anwendungsbereich der DelVO ausgenommen sind insbesondere Funkanlagen, die bereits einer gleichwertigen sektoralen Regulierung unterliegen, etwa Medizinprodukte (Verordnung (EU) 2017/745 und 2017/746) und Kraftfahrzeuge im typgenehmigungspflichtigen Bereich (UNECE R155 i. V. m. Verordnung (EU) 2019/2144).

Konformitätsvermutung über harmonisierte Normen EN 18031

Die im August 2024 im Amtsblatt der EU notifizierten harmonisierten Normen EN 18031-1, EN 18031-2 und EN 18031-3 geben, bei vollständiger und korrekter Anwendung, Konformitätsvermutung für die jeweils zugeordneten Schutzziele:

• EN 18031-1: Anforderungen an den Netzschutz (Art. 3(3)(d)), adressiert internetfähige Funkanlagen.
• EN 18031-2: Anforderungen an den Schutz personenbezogener Daten und der Privatsphäre (Art. 3(3)(e)), adressiert datenverarbeitende, Kinder-spezifische und am Körper getragene Funkanlagen.
• EN 18031-3: Anforderungen an den Schutz vor Betrug (Art. 3(3)(f)), adressiert Funkanlagen für Geld- und Krypto-Transaktionen.

Die Normen lehnen sich inhaltlich an die etablierte ETSI EN 303 645 (Consumer-IoT-Cybersicherheits-Baseline) an und konkretisieren u. a. Anforderungen an sichere Authentifizierung, sichere Standardeinstellungen, sichere Updates, Schwachstellenmanagement und Datenschutz-by-Default.

Rechtliches Gutachten zur RED-Betroffenheit und CRA-Übergang durch Fachanwalt

Wenn Sie über die technische Einordnung hinaus eine belastbare Einschätzung benötigen (etwa zur Klärung, ob Ihr Funkprodukt in eine der Kategorien der Delegierten Verordnung (EU) 2022/30 fällt, zur Abgrenzung von sektoralen Ausnahmen (Medizinprodukt nach MDR/IVDR, Kraftfahrzeug nach UNECE R155), für die strategische Planung des Übergangs RED → CRA ab dem 11. Dezember 2027, oder für die Vorlage gegenüber Geschäftsleitung, Aufsichtsrat oder der Bundesnetzagentur), bieten wir auf Wunsch ein rechtliches Gutachten zur RED-Betroffenheit durch einen auf IT- und Cyber-Regulierung spezialisierten Fachanwalt an.

Hintergrund: In Deutschland ist Rechtsberatung nach dem Rechtsdienstleistungsgesetz (RDG) zugelassenen Rechtsanwältinnen und Rechtsanwälten vorbehalten. Eine fundierte RED-Betroffenheitsprüfung erfordert in der Praxis aber sowohl technische Sachverhaltsanalyse (Funktechnologien, Datenflüsse, Update-Architektur) als auch rechtliche Würdigung (Auslegung von 2022/30 und der Mapping-Bestimmungen zu CRA, MDR, R155 sowie dem Funkanlagengesetz). Typischerweise führt das zu einem aufwendigen Hin und Her zwischen Ihrem technischen Berater und einem extern beauftragten Anwalt, mit dem Risiko, dass Sachinformationen unterwegs an Schärfe verlieren.

Unser Modell: Wir arbeiten mit einer auf Regulierungs- und IT-Recht spezialisierten Kanzlei zusammen, deren Fachanwalt direkt als Teil unseres Projektteams agieren kann und auf Wunsch über SCHUTZWERK abgerechnet wird, ohne dass Sie einen weiteren Lieferanten anlegen oder onboarden müssen. Die anwaltliche Beratung selbst erfolgt RDG-konform auf Basis einer Mandatsvereinbarung direkt zwischen Ihnen und der Kanzlei, sodass das Gutachten klar dokumentiert und in Ihr SCHUTZWERK-Projekt eingebettet ist. Ergebnis: eine konsolidierte technisch-rechtliche Einschätzung zur RED-Betroffenheit und zum CRA-Übergang aus einer Hand, ohne Flüsterpost zwischen Beratern.

Häufige Fragen zur RED-Cybersicherheit

Von der Produktklassifizierung zur Konformität: RED-Begleitung durch SCHUTZWERK

Die RED-DA verweist für die technische Umsetzung primär auf die harmonisierten Normen EN 18031-1/2/3, die wiederum auf der etablierten ETSI EN 303 645 (Consumer-IoT-Cybersicherheits-Baseline) aufsetzen. Für funkfähige Industrieprodukte bleiben darüber hinaus die IEC 62443-Familie und für den ISMS-Trägerprozess ISO/IEC 27001 relevante Bezugspunkte. SCHUTZWERK begleitet RED-Adressaten entlang dieser Standards mit dedizierten Embedded- und Funktechnik-Spezialisten sowie zertifizierten ISO 27001 Lead Auditoren.

Ein typisches RED-Cybersicherheits-Paket umfasst vier aufeinander aufbauende Bausteine, die wir gemeinsam oder einzeln anbieten:

1. Betroffenheitsprüfung und Produktklassifizierung: Einordnung des Produkts in die Kategorien der Delegierten Verordnung (EU) 2022/30 (internetfähig, datenverarbeitend/Wearable, Kinder-Produkt, Geld-/Krypto-Verarbeitung) und Abgrenzung zu sektoralen Sonderregimen (MDR/IVDR, UNECE R155); auf Wunsch ergänzt um ein anwaltliches Gutachten durch unseren Fachanwaltspartner (siehe Abschnitt oben).
2. Standortbestimmung: produktbezogene Bedrohungs-undRisikoanalyse entlang ETSI EN 303 645 / EN 18031 sowie Gap-Analyse der Hardware-, Firmware- und Funktechnik-Sicherheit gegen die jeweils einschlägigen EN 18031-Anforderungen.
3. Technische Prüfung: gezielte EmbeddedSecurityAssessments und Penetrationstests, einschließlich Funkprotokoll-Tests (Bluetooth, Wi-Fi, Zigbee, LTE) sowie Firmware- und Hardware-Sicherheitsanalysen in unserem spezialisierten Embedded-Labor.
4. Nachsorge und CRA-Übergangsplanung: Aufbau und Betrieb des Produktsicherheitsprozesses (Coordinated Vulnerability Disclosure, Update-Pipeline), Erstellung bzw. Pflege der technischen Dokumentation und CE-Konformitätserklärung nach RED sowie strategische Vorbereitung des ÜbergangszumCyberResilienceAct ab dem 11. Dezember 2027.

Welche Bausteine in welcher Tiefe sinnvoll sind, hängt von Produktart (Consumer-IoT, Industrieprodukt, Payment-Hardware), genutzten Funktechnologien und der Time-to-Market Ihrer Produkte ab.

Implementierungsansatz

Unser Ansatz zur Umsetzung der RED-Cybersicherheitsanforderungen basiert auf einem strukturierten Vier-Stufen-Modell:

1. Analyse des Produkts und Abgleich mit dem Geltungsbereich der RED und EN 18031
2. Technische Sicherheitsbewertung und Durchführung gezielter Penetrationstests
3. Beratung zu Sicherheitsarchitektur und Schutzmaßnahmen
4. Begleitung bei Konformitätsbewertung, CE-Dokumentation und zukünftiger CRA-Strategie

So stellen wir sicher, dass Ihr Produkt sowohl gesetzeskonform als auch sicher im Markt positioniert ist.

Vorteile der Zusammenarbeit mit SCHUTZWERK

Mit SCHUTZWERK als Partner profitieren Sie von:

• Tiefgreifendem Verständnis sowohl der technischen Sicherheitsanforderungen als auch regulatorischer Frameworks
• Erfahrung mit regulatorischen Rahmenwerken wie RED, EN 18031 und CRA
• Praktischer Erfahrung bei der Implementierung von Produktsicherheitsmaßnahmen
• Umfassenden Test- und Bewertungsfähigkeiten
• Kontinuierlicher Unterstützung und Beratung während Ihrer Compliance-Reise
• Unabhängiger und objektiver Sicherheitsexpertise

Unser Ziel ist es, Ihre Produkte nicht nur konform, sondern auch widerstandsfähig und vertrauenswürdig zu machen – für einen nachhaltigen Marktzugang in Europa.

Fördermöglichkeit für KMU: Über das EU-Programm SECURE4SME können kleine und mittlere Unternehmen Zuschüsse von bis zu 30.000 Euro für Cybersicherheitsmaßnahmen im Rahmen des CRA erhalten – auch relevant für Produkte im Geltungsbereich der RED. Erfahren Sie mehr auf unserer FörderseitezuSECURE4SME .