Zwanzig Jahre lang beantwortete die CE-Kennzeichnung eines Funkprodukts drei Fragen: Ist das Gerät elektrisch sicher, stört es seine Nachbargeräte nicht, nutzt es das Frequenzspektrum korrekt. Die Cybersicherheit gehörte nicht dazu.
Seit dem 1. August 2025 gilt das nicht mehr. Ein vernetzter Thermostat, ein industrieller Sensor, eine Ladestation oder ein kommunizierendes Spielzeug müssen heute ein bestimmtes Niveau an digitaler Sicherheit nachweisen, bevor sie auf den europäischen Markt gebracht werden. Für einen Schweizer Hersteller, der exportiert, ist das eine neue Bedingung für den Marktzugang, keine freiwillige gute Praxis.
Dieser Artikel erklärt, was diese Anforderungen umfassen, wie Sie erkennen, ob Ihr Produkt betroffen ist, und warum Sie sie auf keinen Fall mit dem Cyber Resilience Act verwechseln sollten.
Woher kommt diese Verpflichtung?
Die RED-Richtlinie, formell die Richtlinie 2014/53/EU, regelt das Inverkehrbringen von Funkanlagen in der Europäischen Union. Ihr Artikel 3(3) enthält eine Liste zusätzlicher grundlegender Anforderungen, die inaktiv bleiben, solange die Kommission sie nicht aktiviert.
Genau das ist geschehen. Die Delegierte Verordnung (EU) 2022/30, angenommen am 29. Oktober 2021, hat drei dieser Anforderungen aktiviert, die Punkte d, e und f. Ihre Anwendung war ursprünglich für den 1. August 2024 vorgesehen und wurde durch die Delegierte Verordnung (EU) 2023/2444 um ein Jahr verschoben, damit die harmonisierten Normen bereit sein konnten. Das heute massgebende Datum ist also der 1. August 2025.
Diese drei Anforderungen lassen sich so zusammenfassen:
- Punkt d: das Gerät darf das Netz nicht schädigen oder dessen Funktionieren nicht in unannehmbarer Weise beeinträchtigen;
- Punkt e: das Gerät muss Garantien enthalten, die personenbezogene Daten und die Privatsphäre der Nutzerinnen und Nutzer schützen;
- Punkt f: das Gerät muss Funktionen zum Schutz vor Betrug enthalten.
Ein und dasselbe Produkt kann von nur einer dieser Anforderungen betroffen sein, von zweien oder von allen drei. Das ist die erste Analysearbeit, die zu leisten ist, und sie bestimmt alles Weitere.
Bin ich betroffen? Die Frage des Anwendungsbereichs
Die Richtlinie definiert eine Funkanlage als ein elektrisches oder elektronisches Produkt, das absichtlich Funkwellen zum Zweck der Funkkommunikation oder Funkortung aussendet und/oder empfängt. In der Praxis gilt: Sobald WLAN, Bluetooth, LoRa, 4G oder NB-IoT in Ihrem Produkt steckt, sind Sie Hersteller von Funkanlagen, selbst wenn Sie sich nie so gesehen haben.
Die Delegierte Verordnung zielt anschliessend auf drei Produktfamilien ab, die den drei aktivierten Punkten entsprechen.
Von Punkt d betroffen sind Funkanlagen, die direkt oder indirekt über das Internet kommunizieren können: ein vernetzter Thermostat, eine Überwachungskamera, ein LoRaWAN-Gateway, eine fernsteuerbare Ladestation, eine Industriesteuerung, die ihre Messwerte in die Cloud überträgt.
Von Punkt e betroffen sind Kinderbetreuungsgeräte, Funkspielzeuge, am Körper getragene Geräte, und allgemeiner vernetzte Geräte, die personenbezogene Daten oder Standortdaten verarbeiten. Ein Babyphone, eine vernetzte Uhr, ein interaktives Spielzeug, ein Präsenzsensor in einem Gebäude.
Von Punkt f betroffen sind vernetzte Geräte, die Übertragungen von Geldwerten ermöglichen: ein kommunizierendes Zahlungsterminal, eine Ladestation mit integrierter Zahlungsfunktion, ein vernetzter Verkaufsautomat.
Die RED-Richtlinie gilt für das Produkt, das auf dem Markt der Union in Verkehr gebracht wird, nicht für den Sitz des Herstellers. Ein Hersteller aus der Waadt oder aus Freiburg, der nach Deutschland, Frankreich oder Italien verkauft, trägt genau dieselben Pflichten wie ein deutscher Hersteller. Wenn Sie exportieren, sind Sie betroffen. Achten Sie auch auf die Rolle Ihrer europäischen Vertriebspartner und Importeure: Die Verantwortung für die Konformität des Produkts bleibt bei Ihnen.
Die Verordnung sieht auch Ausnahmen vor. Ihr Artikel 2 schliesst aus ihrem Anwendungsbereich Funkanlagen aus, die bereits durch die Verordnungen über Medizinprodukte (EU) 2017/745 und (EU) 2017/746, durch die Zivilluftfahrtvorschriften (EU) 2018/1139, durch die Typgenehmigung von Kraftfahrzeugen (EU) 2019/2144 und durch Mautsysteme (EU) 2019/520 geregelt sind. Ein kommunizierendes Medizinprodukt entkommt der Cybersicherheit also nicht, behandelt sie aber in seinem eigenen sektorspezifischen Rahmen.
Die drei Normen EN 18031: wozu dienen sie?
Eine grundlegende Anforderung ist allgemein formuliert. Sie beschreibt das erwartete Ergebnis, nicht den Weg dorthin. Genau diese Lücke zu schliessen ist die Aufgabe der harmonisierten Normen.
Drei Normen wurden entwickelt, und ihre Fundstellen wurden durch den Durchführungsbeschluss (EU) 2025/138 vom 28. Januar 2025 im Amtsblatt der Europäischen Union veröffentlicht. Jede von ihnen deckt eine der drei Anforderungen ab.
| Norm | Abgedeckte Anforderung | Betroffene Produktarten | Allgemeines Ziel |
|---|---|---|---|
| EN 18031-1 | Artikel 3(3)(d) | Mit dem Internet verbundene Funkanlagen | Verhindern, dass das Gerät das Netz schädigt oder als Relais für einen Angriff dient |
| EN 18031-2 | Artikel 3(3)(e) | Geräte, die personenbezogene Daten verarbeiten, Spielzeuge, Kinderbetreuungsgeräte | Personenbezogene Daten und die Privatsphäre der Nutzerinnen und Nutzer schützen |
| EN 18031-3 | Artikel 3(3)(f) | Geräte, die Übertragungen von Geldwerten ermöglichen | Betrug und die Manipulation von Transaktionen verhindern |
Diese Normen sind kostenpflichtige Dokumente, die von den Normungsorganisationen verkauft werden. Ihr Inhalt kann hier nicht wiedergegeben werden, und es hat ohnehin wenig Sinn, ihre Klauseln nur zu überfliegen. Was für eine Unternehmensleitung zählt, ist ihre Logik.
Diese Logik ist die einer auf das Produkt angewandten Risikoanalyse. Sie identifizieren, was in Ihrem Gerät zu schützen ist: Zugangsdaten, kryptografische Schlüssel, Nutzerdaten, Netzwerkschnittstellen, Update-Mechanismen. Anschliessend legen Sie fest, welche Bedrohungen auf jedem dieser Elemente lasten, und zeigen, welche Mechanismen Ihres Produkts diesen begegnen. Jede Anforderung der Norm wird so behandelt: Entweder Sie weisen nach, dass ein geeigneter Mechanismus besteht, oder Sie begründen genau, warum er auf Ihr Produkt nicht anwendbar ist.
Es ist ebenso eine Übung in Dokumentation wie in Technik. Die meisten festgestellten Fehlschläge liegen nicht an einem unsicheren Produkt, sondern an einem Dossier, das nicht zeigen kann, was das Produkt bereits leistet.
Die Fundstellen der drei Normen wurden mit Einschränkungen veröffentlicht. Sie betreffen insbesondere Situationen, in denen die Nutzerin oder der Nutzer auf die Festlegung eines Passworts verzichten kann, sowie die elterliche Zugangskontrolle für bestimmte Geräte. Konkret: Betrifft Sie keine Einschränkung, können Sie die Konformität selbst durch interne Fertigungskontrolle erklären. Betrifft Sie eine Einschränkung, muss eine benannte Stelle eingeschaltet werden, mit der entsprechenden Frist und den entsprechenden Kosten. Prüfen Sie diesen Punkt, bevor Sie Ihren Launch-Zeitplan festlegen.
Nicht mit dem Cyber Resilience Act verwechseln
Das ist die häufigste Verwechslung, und sie ist teuer, weil sie zum Abwarten verleitet.
Die Verordnung (EU) 2024/2847, genannt Cyber Resilience Act, ist ein von der RED-Richtlinie eigenständiger Rechtsakt. Sie ändert diese nicht und ersetzt sie heute nicht. Sie deckt einen deutlich breiteren Bereich ab, nämlich alle Produkte mit digitalen Elementen, ob Funk oder nicht, Hardware oder Software. Ihre Pflichten und Fristen sind eigenständig.
Drei Unterschiede, die man sich merken sollte:
- Der Anwendungsbereich. Die RED-Richtlinie betrifft Funkanlagen. Der Cyber Resilience Act betrifft sämtliche Produkte mit digitalen Elementen.
- Der Zeitplan. Die Anforderungen der RED-Richtlinie gelten seit dem
- August 2025. Jene des Cyber Resilience Act werden nach ihrem eigenen Zeitplan schrittweise eingeführt.
- Der Gegenstand. Die RED-Richtlinie betrifft die Konformität des Produkts zum Zeitpunkt seines Inverkehrbringens. Der Cyber Resilience Act legt mehr Gewicht auf den Lebenszyklus, das Schwachstellenmanagement und die Meldepflichten.
Die praktische Schlussfolgerung ist einfach: Kümmern Sie sich jetzt um die RED-Richtlinie, da sie Ihre aktuelle CE-Kennzeichnung bestimmt, bauen Sie Ihre Dokumentation aber so auf, dass sie Ihnen später wieder nützt. Die Produktrisikoanalyse, das Inventar der Softwarekomponenten und der Prozess für sichere Updates dienen beiden Rechtsakten. Wir werden dem Cyber Resilience Act einen eigenen Artikel widmen.
Wo konkret anfangen
Wenn Sie bei einem bestehenden Produkt von null anfangen, liefert diese Reihenfolge das beste Ergebnis.
- Qualifizieren Sie Ihr Produkt. Ist es eine Funkanlage im Sinne der Richtlinie? Welcher oder welche der Punkte d, e und f betreffen Sie? Allein diese Antwort bestimmt alles Weitere.
- Prüfen Sie die Ausnahmen. Fällt Ihr Produkt unter eine der sektorspezifischen Verordnungen, die durch Artikel 2 der Delegierten Verordnung ausgeschlossen sind?
- Erstellen Sie das Inventar dessen, was zu schützen ist. Zugangsdaten, Schlüssel, Nutzerdaten, Kommunikationsschnittstellen, Debug-Schnittstellen, Update-Mechanismus.
- Führen Sie die Produktrisikoanalyse durch. Welche Bedrohungen, welche realistischen Angriffsszenarien, welche bereits in Ihrem Design bestehenden Massnahmen.
- Beheben Sie die Lücken. Ein bei einer ganzen Serie identisches Standardpasswort, eine offen gebliebene Debug-Schnittstelle und unsignierte Updates sind die drei häufigsten Lücken und die am einfachsten frühzeitig zu behebenden.
- Entscheiden Sie sich für den Bewertungsweg. Interne Kontrolle oder benannte Stelle, je nach geltenden Einschränkungen.
- Erstellen Sie die technische Dokumentation. Genau diese wird eine Marktüberwachungsbehörde verlangen, manchmal Jahre nach der Markteinführung.
Ein letzter methodischer Punkt. Die Sicherheit Ihres Produkts hängt auch von Ihren Lieferanten von Komponenten und Softwaremodulen ab. Eine verwundbare Drittanbieter-Bibliothek in Ihrer Firmware ist Ihr Problem, nicht das ihres Urhebers. Das Thema knüpft an Angriffe über die Lieferkette an, und es lohnt sich, von Ihren Lieferanten die Informationen einzufordern, die Ihnen fehlen.
Wenn Ihr Produkt Daten an Ihre Server übermittelt, enden Ihre Pflichten übrigens nicht bei der CE-Kennzeichnung: Die Verarbeitung dieser Daten unterliegt in der Schweiz auch Ihren nDSG-Pflichten. Für industrielle Umgebungen bietet die Norm IEC 62443 einen ergänzenden Rahmen.
Dieser Artikel fasst den Stand der Rechtstexte zum 18. Juli 2026 für Geschäftsleitungen und Produktverantwortliche zusammen. Die genaue Einordnung eines Geräts, die Anwendbarkeit der Ausnahmen und die Wahl des Bewertungsverfahrens hängen von den genauen Eigenschaften Ihres Geräts ab. Lassen Sie Ihre Analyse validieren, bevor Sie Ihre EU-Konformitätserklärung festlegen.
Das allgemeine Klima ermutigt nicht zum Zuwarten. Das Nationale Zentrum für Cybersicherheit (NCSC) erhielt 2025 64’733 freiwillige Meldungen, gegenüber 62’954 im Jahr 2024. Schlecht gesicherte vernetzte Geräte tragen zu einem Teil dieser Vorfälle bei, und die europäische Regulierung übersetzt diese Feststellung lediglich in eine Bedingung für den Marktzugang.
Um Ihr Unternehmen bei den Sicherheitsgrundlagen einzuordnen, gibt Ihnen der Cyber-Check-up in wenigen Minuten einen Score und Ihre drei Prioritäten. Die weiteren für Schweizer Unternehmen geltenden Rechtstexte sind im Themenbereich Vorschriften zusammengefasst.