Neue Cybersicherheitsregeln für unser vernetztes Gerät
Seit dem 1. August 2025 wendet die Delegierte Verordnung (EU) 2022/30 die Anforderungen der Funkanlagenrichtlinie an Netz, Datenschutz und Betrugsschutz auf internetfähige Funkanlagen sowie auf Spielzeug, Kinderbetreuungs- und tragbare Funkprodukte an, die personenbezogene Daten verarbeiten. Der Cyber-Resilience-Act, Verordnung (EU) 2024/2847, bringt ab dem 11. September 2026 Meldepflichten und gilt ab dem 11. Dezember 2027 vollständig; dann hebt die Delegierte Verordnung (EU) 2026/339 die Verordnung 2022/30 auf.
Free account · no card · opens in the Demo Company
Geprüft am 4. Oktober 2026 durch Conphora compliance team · Keine Rechtsberatung
Warum das passiert
Die Funkanlagenrichtlinie 2014/53/EU enthält in Artikel 3 Absatz 3 seit jeher Cybersicherheitsanforderungen: Funkanlagen dürfen weder das Netz schädigen noch Netzressourcen missbrauchen (Buchstabe d), müssen Schutzvorrichtungen für personenbezogene Daten und die Privatsphäre enthalten (Buchstabe e) und müssen bestimmte Funktionen zum Schutz vor Betrug unterstützen (Buchstabe f). Diese Anforderungen greifen aber nur für die Kategorien, die die Kommission durch einen delegierten Rechtsakt benennt.[1]
Die Delegierte Verordnung (EU) 2022/30 benennt sie. Buchstabe d gilt für internetfähige Funkanlagen; Buchstabe e gilt für internetfähige Funkanlagen, Funkanlagen für die Kinderbetreuung, Funkspielzeug und tragbare Funkgeräte, die personenbezogene Daten, Verkehrsdaten oder Standortdaten verarbeiten können; Buchstabe f gilt für internetfähige Funkanlagen, mit denen der Inhaber Geld, einen monetären Wert oder virtuelle Währung übertragen kann (Artikel 1). Medizinprodukte und In-vitro-Diagnostika sind ausgenommen, und Funkanlagen, die auch unter die Verordnung (EU) 2018/1139 (Zivilluftfahrt), die Verordnung (EU) 2019/2144 (Typgenehmigung von Kraftfahrzeugen) oder die Richtlinie (EU) 2019/520 (elektronische Mautsysteme) fallen, sind von den Buchstaben e und f ausgenommen (Artikel 2). Nach einer Änderung durch die Delegierte Verordnung (EU) 2023/2444 gilt sie ab dem 1. August 2025 (Artikel 3).[2]
Die harmonisierten Normen EN 18031-1, -2 und -3:2024 wurden mit Einschränkungen veröffentlicht. Sie begründen keine Konformitätsvermutung für ihre Abschnitte zur Begründung und zu den Leitlinien und auch nicht, wenn der Nutzer kein Passwort festlegen und verwenden muss; die EN 18031-2 begründet sie zudem nicht für die Geräte, die unter ihre Abschnitte 6.1.3 bis 6.1.6 fallen, wenn die Zugangskontrolle durch Eltern oder Erziehungsberechtigte nicht gewährleistet ist (Durchführungsbeschluss (EU) 2025/138, Anhang). Hat ein Hersteller die harmonisierten Normen für die Anforderungen nach Artikel 3 Absatz 3 nicht oder nur teilweise angewandt, muss die Anlage eine EU-Baumusterprüfung oder eine umfassende Qualitätssicherung durchlaufen (Funkanlagenrichtlinie Artikel 17 Absatz 4).[3]
Der Cyber-Resilience-Act, Verordnung (EU) 2024/2847, ist die nächste Ebene. Er gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz umfasst (Artikel 2 Absatz 1). Er gilt ab dem 11. Dezember 2027, die Meldepflichten nach Artikel 14 gelten jedoch ab dem 11. September 2026 und die Vorschriften über notifizierte Stellen ab dem 11. Juni 2026 (Artikel 71 Absatz 2). Hersteller melden aktiv ausgenutzte Schwachstellen mit einer Frühwarnung innerhalb von 24 Stunden und einer Meldung innerhalb von 72 Stunden, nachdem sie davon Kenntnis erlangt haben, sowie einem Abschlussbericht innerhalb von 14 Tagen, nachdem eine Abhilfemaßnahme verfügbar ist (Artikel 14 Absätze 1 und 2); schwerwiegende Sicherheitsvorfälle werden auf dieselbe Weise gemeldet (Artikel 14 Absätze 3 und 4). Die Delegierte Verordnung (EU) 2026/339 hebt die Delegierte Verordnung (EU) 2022/30 mit Wirkung vom 11. Dezember 2027 auf (Artikel 1).[4][5]
Wie Sie es lösen
-
Klären Sie, welche Anforderungen Ihr Produkt auslöst
Der Schutz des Netzes gilt für Funkanlagen, die direkt oder über andere Geräte über das Internet kommunizieren können. Der Schutz der Privatsphäre gilt für internetfähige Funkanlagen, Funkanlagen für die Kinderbetreuung, Funkspielzeug und tragbare Funkgeräte, die personenbezogene Daten, Verkehrsdaten oder Standortdaten verarbeiten können. Der Betrugsschutz gilt für internetfähige Funkanlagen, mit denen der Nutzer Geld oder virtuelle Währung übertragen kann. Medizinprodukte und In-vitro-Diagnostika sind ausgenommen.
VorschriftenleitfädenKnow-how Free Offen -
Wählen Sie Ihren Konformitätsweg unter Beachtung der Einschränkungen
EN 18031-1, -2 und -3:2024 begründen eine Konformitätsvermutung, aber mit Einschränkungen: nicht, wenn der Nutzer kein Passwort festlegen und verwenden muss, nicht für die Abschnitte zur Begründung und zu den Leitlinien und, bei Geräten, die unter die Abschnitte 6.1.3 bis 6.1.6 der EN 18031-2 fallen, nicht, wenn die Zugangskontrolle durch Eltern oder Erziehungsberechtigte nicht gewährleistet ist. Wenden Sie die Normen nicht vollständig an, muss eine notifizierte Stelle durch EU-Baumusterprüfung oder umfassende Qualitätssicherung eingebunden werden.
-
Bewerten Sie jede Konfiguration, und dokumentieren Sie sie
Führen Sie die Konformitätsbewertung für alle vorgesehenen Betriebsbedingungen und jede Konfiguration durch, die das Gerät annehmen kann. Halten Sie die technischen Unterlagen vor und nach dem Inverkehrbringen aktuell, einschließlich der Prüfberichte und der Beschreibung der Sicherheitsmaßnahmen.
-
Bereiten Sie das Produkt auf den Cyber-Resilience-Act vor
Der Cyber-Resilience-Act gilt für Produkte mit einer Datenverbindung zu einem Gerät oder Netz. Entwickeln Sie nach den wesentlichen Anforderungen von Anhang I Teil I, legen Sie einen Unterstützungszeitraum von mindestens fünf Jahren fest, es sei denn, das Produkt wird voraussichtlich kürzer genutzt, erstellen Sie eine Software-Stückliste (SBOM), und führen Sie eine Richtlinie zur koordinierten Offenlegung von Schwachstellen ein.
Compliance RadarKnow-how Free Offen -
Seien Sie ab dem 11. September 2026 bereit, ausgenutzte Schwachstellen zu melden
Ab dem 11. September 2026 meldet ein Hersteller eine aktiv ausgenutzte Schwachstelle über die einheitliche Meldeplattform dem koordinierenden CSIRT und der ENISA: eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden, nachdem er davon Kenntnis erlangt hat, und einen Abschlussbericht innerhalb von 14 Tagen, nachdem eine Abhilfemaßnahme verfügbar ist. Schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen, werden auf dieselbe Weise gemeldet. Das gilt auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Arbeiten Sie die Schritte in der Plattform mit Ihrem eigenen Produkt durch.
Was Sie vorlegen müssen
| Dokument | Woher es kommt | Rechtsgrundlage |
|---|---|---|
| Technische Unterlagen mit Sicherheitsbewertung und Prüfberichten | Der Hersteller | Funkanlagenrichtlinie Artikel 17 Absatz 1 und Artikel 21 |
| EU-Konformitätserklärung | Der Hersteller | Funkanlagenrichtlinie Artikel 10 Absatz 3 |
| Software-Stückliste und Richtlinie zur Offenlegung von Schwachstellen (Cyber-Resilience-Act) | Der Hersteller | Verordnung (EU) 2024/2847 Anhang I Teil II Nummern 1 und 5 |
Wenn Sie nichts tun
Die Norm schützt keine Option ohne Passwort
EN 18031-1, -2 und -3:2024 begründen keine Konformitätsvermutung, wenn der Nutzer unter Anwendung der Abschnitte 6.2.5.1 und 6.2.5.2 kein Passwort festlegen und verwenden muss (Durchführungsbeschluss (EU) 2025/138, Anhang).[3]
Auch ältere Produkte unterliegen der Meldepflicht
Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen dem Cyber-Resilience-Act erst nach einer wesentlichen Änderung, die Meldepflichten nach Artikel 14 gelten jedoch für alle in den Anwendungsbereich fallenden Produkte, die vor diesem Datum in Verkehr gebracht wurden (Verordnung (EU) 2024/2847, Artikel 69 Absätze 2 und 3).[4]
Sanktionen nach nationalem Recht
Die Mitgliedstaaten legen wirksame, verhältnismäßige und abschreckende Sanktionen für Verstöße gegen die Funkanlagenrichtlinie fest, die bei schweren Verstößen auch strafrechtliche Sanktionen umfassen können (Artikel 46).[1]
Fragen zu diesem Problem
Unser Produkt nutzt nur Bluetooth und geht nie online. Ist es erfasst?
Die Anforderung zum Schutz des Netzes erfasst Funkanlagen, die direkt oder über andere Geräte über das Internet kommunizieren können (Delegierte Verordnung (EU) 2022/30, Artikel 1 Absatz 1). Produkte für die Kinderbetreuung, Funkspielzeug und tragbare Funkgeräte, die personenbezogene Daten verarbeiten können, fallen auch dann unter die Anforderung zum Schutz der Privatsphäre, wenn sie nicht mit dem Internet verbunden sind (Artikel 1 Absatz 2 Buchstaben b bis d).
Ersetzt der Cyber-Resilience-Act die RED-Vorschriften?
Ab dem 11. Dezember 2027. Die Delegierte Verordnung (EU) 2026/339 hebt die Delegierte Verordnung (EU) 2022/30 mit Wirkung von diesem Datum auf, wenn der Cyber-Resilience-Act vollständig gilt, damit dieselbe Anlage nicht beiden unterliegt (Artikel 1 und Erwägungsgrund 4). Bis dahin gelten die RED-Anforderungen, und Anlagen, die zwischen dem 1. August 2025 und dem 10. Dezember 2027 in Verkehr gebracht werden, bleiben insoweit der Marktüberwachung nach diesen Anforderungen unterworfen (Erwägungsgrund 5).
Wie lange müssen wir Sicherheitsupdates bereitstellen?
Nach dem Cyber-Resilience-Act legt der Hersteller einen Unterstützungszeitraum fest, der der erwarteten Nutzungsdauer des Produkts entspricht und mindestens fünf Jahre beträgt, es sei denn, das Produkt wird voraussichtlich kürzer genutzt (Verordnung (EU) 2024/2847, Artikel 13 Absatz 8).
Unser Produkt ist ein Smart-Lock oder ein Babyfon. Ändert das etwas?
Smart-Home-Produkte mit Sicherheitsfunktionen, darunter intelligente Türschlösser, Überwachungskameras und Babyüberwachungssysteme, sind als wichtige Produkte der Klasse I in Anhang III des Cyber-Resilience-Act aufgeführt. Prüfen Sie die für wichtige Produkte geltenden Regeln zur Konformitätsbewertung rechtzeitig vor dem 11. Dezember 2027.
Sind Medizinprodukte erfasst?
Nein. Die Cybersicherheitsanforderungen der RED gelten nicht für Funkanlagen, die unter die Verordnungen (EU) 2017/745 oder 2017/746 fallen (Delegierte Verordnung (EU) 2022/30, Artikel 2 Absatz 1), und auch der Cyber-Resilience-Act schließt diese Produkte aus (Artikel 2 Absatz 2).
Quellen
- Richtlinie 2014/53/EU über Funkanlagen (konsolidierte Fassung vom 30. Mai 2026) EUR-Lex · abgerufen am 4. Oktober 2026
- Delegierte Verordnung (EU) 2022/30 über die wesentlichen Anforderungen nach Artikel 3 Absatz 3 Buchstaben d, e und f der Richtlinie 2014/53/EU (konsolidierte Fassung vom 27. Oktober 2023) EUR-Lex · abgerufen am 4. Oktober 2026
- Durchführungsbeschluss (EU) 2025/138 über harmonisierte Normen für die Cybersicherheit von Funkanlagen (EN 18031) EUR-Lex · abgerufen am 4. Oktober 2026
- Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber-Resilience-Act) EUR-Lex · abgerufen am 4. Oktober 2026
- Delegierte Verordnung (EU) 2026/339 zur Aufhebung der Delegierten Verordnung (EU) 2022/30 EUR-Lex · abgerufen am 4. Oktober 2026
Über diese Seite
- Prüfer
- Conphora compliance team
- Geprüft
- 4. Oktober 2026
Allgemeine Informationen, keine Rechtsberatung. Prüfen Sie den Gesetzestext oder fragen Sie für Ihr eigenes Produkt einen Berater.
Conphora (2026). Neue Cybersicherheitsregeln für unser vernetztes Gerät. Abgerufen am 13. Oktober 2026 von https://www.conphora.com/de/solutions/problem/radio-cybersecurity/
Conphora (2026) Neue Cybersicherheitsregeln für unser vernetztes Gerät. Verfügbar unter: https://www.conphora.com/de/solutions/problem/radio-cybersecurity/ (abgerufen am 13. Oktober 2026).
@misc{conphora2026neuecybersicherheitsrege,
author = {Conphora},
title = {Neue Cybersicherheitsregeln für unser vernetztes Gerät},
year = {2026},
url = {https://www.conphora.com/de/solutions/problem/radio-cybersecurity/},
note = {Abgerufen am 13. Oktober 2026}
} See it working before you add a product
The Demo Company is a complete, read-only example — products, documents, supplier requests and deadlines. Open it with a free account; no card, no trial clock.
Free account · no card · opens in the Demo Company