Dieser Artikel ist ein praxisorientierter technischer Überblick und keine Rechtsberatung. Welche Teile der Norm gelten, hängt von Ihrem Produkt und seiner bestimmungsgemäßen Verwendung ab.
Seit dem 1. August 2025 müssen Funkanlagen, die über das Internet kommunizieren können, die Cybersicherheitsanforderungen der Delegierten Verordnung (EU) 2022/30 zur RED erfüllen. Die harmonisierten Normen sind EN 18031-1, -2 und -3. Sie wurden mit Einschränkungen im Amtsblatt veröffentlicht. In manchen Konfigurationen begründet die Norm allein keine Konformitätsvermutung; dann muss eine benannte Stelle eingebunden werden.
Welcher Teil gilt?
| Norm | Anforderung (RED Art. 3 Abs. 3) | Typische Produkte |
|---|---|---|
| EN 18031-1 | (d) – keine Schädigung des Netzes | Jedes internetfähige Funkprodukt |
| EN 18031-2 | (e) – Schutz personenbezogener Daten und der Privatsphäre | Produkte, die personenbezogene Daten verarbeiten; Spielzeug, Produkte zur Kinderbetreuung, Wearables |
| EN 18031-3 | (f) – Schutz vor Betrug | Produkte, die Geld oder virtuelle Währung übertragen |
Die Checkliste
Die Norm ist in Sicherheitsmechanismen mit Entscheidungsbäumen gegliedert. Technisch betrachtet sind dies die Fragen, die für jedes Produkt zu beantworten sind:
- Zugriffskontrolle und Authentifizierung – Sind alle Netzwerk- und lokalen Schnittstellen (WLAN-Einrichtung, App, USB, Serviceport) geschützt? Gibt es irgendwo universelle Standardpasswörter – auch in Service- und Fertigungswerkzeugen?
- Sicheres Update – Lässt sich jede Firmware-Komponente aktualisieren, einschließlich des Funkmoduls? Sind Updates authentifiziert und gegen Rollback geschützt?
- Sichere Speicherung – Wo werden Schlüssel, Zertifikate und Zugangsdaten gespeichert, und wer kann sie lesen?
- Sichere Kommunikation – Ist der Datenverkehr zur Cloud und zur App mit aktueller Kryptografie verschlüsselt und authentifiziert?
- Resilienz – Übersteht das Gerät fehlerhafte Eingaben, Flooding und Verbindungsabbrüche ohne unsicheres Verhalten?
- Offene Dienste – Sind nur die notwendigen Ports und Dienste offen? Sind Debug-Schnittstellen in Serienprodukten deaktiviert?
- Keine bekannten Schwachstellen – Sind die Bibliotheken und Stacks in der Firmware aktuell und werden sie überwacht?
- Personenbezogene Daten (EN 18031-2) – Protokollierung, Löschung von Nutzerdaten und Benachrichtigung der Nutzer, wo personenbezogene Daten verarbeitet werden.
Typische Befunde
Bei der Bewertung vernetzter Geräte tauchen immer wieder dieselben Probleme auf. Ein gemeinsames Servicepasswort steht im Handbuch. Ein Funkmodul läuft mit Firmware, die sich im Feld nicht aktualisieren lässt. Geheimnisse werden unverschlüsselt über eine interne UART- oder USB-Verbindung übertragen. Ein Fertigungswerkzeug hat mehr Rechte als das Gerät selbst. Nichts davon ist exotisch, aber jede Behebung kostet Entwicklungszeit.
Von EN 18031 zum CRA
Der größte Teil dieser Arbeit lässt sich direkt auf den Cyber Resilience Act übertragen, der ab Dezember 2027 vollständig gilt. Wer Authentifizierung, Updates und sichere Speicherung jetzt für EN 18031 in Ordnung bringt, hat auch einen großen Teil der CRA-Hausaufgaben erledigt.
EN-18031-Vorbewertung
Wir gehen die Entscheidungsbäume mit Ihren Entwicklern durch und liefern eine Liste der Lücken mit konkreten Maßnahmen für Firmware und Tooling.
CRA-Serie: Teil 1 – Was Hersteller tun müssen und bis wann · Teil 2 – Meldungen nach Artikel 14 · Teil 3 – EN-18031-Checkliste