CRA und RED: Was für Funkanlagen jetzt gilt

Zwei Regelwerke, ein Produkt: die Lage im Sommer 2026

Hersteller von WLAN-Gateways, Bluetooth-Sensoren oder Smart-Home-Geräten stehen aktuell in einer regulatorischen Doppelphase. Seit dem 1. August 2025 müssen internetfähige Funkanlagen die Cybersecurity-Anforderungen der Funkanlagenrichtlinie (RED) erfüllen — aktiviert durch die Delegierte Verordnung (EU) 2022/30.¹ Ab dem 11. Dezember 2027 kommen die deutlich breiteren Pflichten des Cyber Resilience Act hinzu.

Wer heute ein Funkprodukt in Verkehr bringt, muss also zuerst die RED-Anforderungen erfüllen — und sollte jede Investition so anlegen, dass sie auf den CRA einzahlt. Das ist machbar, wenn man versteht, wie die beiden Regelwerke zusammenhängen und wo sie sich unterscheiden.

Was die RED seit August 2025 verlangt

Die Delegierte Verordnung aktiviert drei Schutzziele aus Artikel 3 Absatz 3 der RED:¹

• Buchstabe d — Netzschutz: Die Funkanlage darf das Netz nicht schädigen und keine Netzressourcen missbrauchen. In der Praxis: Schutz gegen Botnet-Rekrutierung, wie sie Mirai 2016 mit hunderttausenden IoT-Geräten vorgeführt hat.
• Buchstabe e — Schutz personenbezogener Daten: Geräte, die personenbezogene Daten verarbeiten, müssen deren Schutz technisch sicherstellen. Betrifft ausdrücklich auch internetfähiges Spielzeug, Wearables und Kinderbetreuungsgeräte.
• Buchstabe f — Betrugsschutz: Geräte mit Zahlungsfunktion — etwa Smartwatches mit Bezahl-Feature — müssen Manipulationen an Transaktionen entgegenwirken.

Erfasst sind Funkanlagen, die direkt oder über andere Geräte mit dem Internet kommunizieren können. Das ist bei modernen Produkten fast immer der Fall: Auch ein Bluetooth-Sensor, der seine Daten über eine Smartphone-App ins Netz schickt, zählt dazu.

EN 18031: die harmonisierte Norm — mit Fußnoten

Für die Konformitätsvermutung hat CEN/CENELEC die Normenreihe EN 18031 entwickelt: Teil 1 für den Netzschutz, Teil 2 für den Datenschutz, Teil 3 für den Betrugsschutz. Die Kommission hat die drei Normen am 30. Januar 2025 im Amtsblatt gelistet — allerdings mit Einschränkungen.²

Der praktisch wichtigste Vorbehalt: Erlaubt ein Gerät dem Nutzer, kein Passwort zu setzen, greift die Konformitätsvermutung für die betroffenen Anforderungen nicht in vollem Umfang. Für solche Konfigurationen — und für Produkte, bei denen die Einschränkungen zu Kindersicherungs- und elterlichen Kontrollfunktionen relevant sind — bleibt dann doch nur der Weg über eine notifizierte Stelle nach RED.

Das erklärt, warum seit 2025 auch Hersteller mit sauberer EN-18031-Umsetzung teilweise bei Prüfstellen anstehen: Nicht weil ihre Technik schlecht wäre, sondern weil die Vermutungswirkung der Norm Lücken hat. Wer die Passwort-Thematik im Produktdesign sauber löst — kein passwortloser Auslieferungszustand —, erspart sich diesen Umweg in vielen Fällen.

Wo der CRA über die RED hinausgeht

Die RED-Anforderungen sind Produkteigenschaften zum Zeitpunkt des Inverkehrbringens. Der CRA denkt in Lebenszyklen. Die Unterschiede in Kurzform:

Die Details zu den CRA-Seiten dieser Tabelle: Anhang I erklärt, Schwachstellen-Meldepflicht und SBOM erstellen.

Der geplante Übergang: RED-DA wird abgelöst

Der CRA ist als das umfassendere Nachfolgeregime konzipiert. Die Kommission hat angekündigt, die Delegierte Verordnung (EU) 2022/30 aufzuheben, sobald die CRA-Hauptpflichten gelten — also zum 11. Dezember 2027.³ Die Logik: Ein Produkt, das den CRA erfüllt, deckt die drei RED-Schutzziele ohnehin ab; eine doppelte Konformitätsbewertung wäre reine Bürokratie.

Bis dahin gilt aber beides nacheinander: Wer 2026 oder 2027 eine Funkanlage in Verkehr bringt, braucht die RED-Konformität — und sollte die CRA-Anforderungen bereits in dieselbe Produktgeneration einbauen. Zwei getrennte Compliance-Projekte für dasselbe Produkt kann sich kein KMU leisten.

Praktische Konsequenz: eine Dokumentation, zwei Adressaten

Mein Rat an Hersteller, die jetzt planen:

1. EN-18031-Nachweise CRA-tauglich strukturieren. Die Risikobetrachtungen und Testnachweise aus der RED-Konformität sind der Grundstock der technischen Dokumentation nach Anhang VII — wenn man sie von Anfang an so ablegt.
2. Die CRA-Lücken parallel schließen. SBOM-Pipeline, Update-Mechanismus, CVD-Policy und Meldeprozess stehen ohnehin bis September 2026 bzw. Dezember 2027 an — die Reihenfolge liefert die CRA-Checkliste.
3. Risikoklasse früh klären. Viele Funkprodukte (Smart-Home-Steuerungen, Router) landen unter dem CRA in Important Class I — mit Folgen für das Bewertungsverfahren. Die Einordnung erklärt der Artikel zu den Risikoklassen, die schnelle Einschätzung liefert der RouteCheck.

Quellen

1. Delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie 2014/53/EU, Artikel 3 Absatz 3 Buchstaben d, e, f: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R0030
2. Durchführungsbeschluss (EU) 2025/138 der Kommission vom 28. Januar 2025, veröffentlicht im Amtsblatt am 30. Januar 2025 (Listung EN 18031-1/-2/-3 mit Einschränkungen): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32025D0138
3. EU-Verordnung 2024/2847 (Cyber Resilience Act), Erwägungsgründe zum Verhältnis zur Funkanlagenrichtlinie: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
4. BSI — Cybersicherheitsanforderungen an Funkanlagen (RED): https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Funkanlagen-RED/