Vergleich
Cyberresilienz-Verordnung und Funkanlagenrichtlinie: die Richtlinie 2014/53/EU, ihr delegierter Rechtsakt und die Verordnung
Kurz gesagt: Die Funkanlagenrichtlinie 2014/53/EU (RED) enthält bereits Cybersicherheitsanforderungen für viele vernetzte Funkanlagen. Aufgrund der Delegierten Verordnung (EU) 2022/30 gelten die Anforderungen der Richtlinie zu Netzschutz, Datenschutz und Betrugsschutz seit dem 1. August 2025. Die Kommission hat diesen delegierten Rechtsakt mit Wirkung vom 11. Dezember 2027 aufgehoben, dem Tag, ab dem die Cyberresilienz-Verordnung vollständig gilt. Ab dann richtet sich die Cybersicherheit dieser Produkte nach der Cyberresilienz-Verordnung. Die übrigen grundlegenden Anforderungen der Funkanlagenrichtlinie bleiben bestehen.
Was die Funkanlagenrichtlinie regelt
Die Richtlinie 2014/53/EU regelt die Bereitstellung von Funkanlagen auf dem Unionsmarkt. Jede Funkanlage muss Gesundheit und Sicherheit schützen, elektromagnetisch verträglich sein und das Funkfrequenzspektrum effizient nutzen (Artikel 3 Absätze 1 und 2). Artikel 3 Absatz 3 nennt in den Buchstaben a bis i weitere grundlegende Anforderungen, die nur für die Kategorien oder Klassen von Funkanlagen gelten, die die Kommission in einem delegierten Rechtsakt bestimmt. Drei davon betreffen die Cybersicherheit:
- Buchstabe d: Die Funkanlage schädigt weder das Netz oder seinen Betrieb noch missbraucht sie Netzressourcen.
- Buchstabe e: Die Funkanlage enthält Sicherheitsvorrichtungen, die den Schutz personenbezogener Daten und der Privatsphäre des Nutzers und des Teilnehmers sicherstellen.
- Buchstabe f: Die Funkanlage unterstützt bestimmte Funktionen zum Schutz vor Betrug.
Vollständiger Wortlaut: Richtlinie 2014/53/EU, ABl. L 153 vom 22.5.2014 (Funkanlagenrichtlinie).
Der delegierte Rechtsakt: Delegierte Verordnung (EU) 2022/30
Die Delegierte Verordnung (EU) 2022/30 der Kommission vom 29. Oktober 2021 bestimmt, für welche Funkanlagen die Buchstaben d, e und f gelten.
- Buchstabe d gilt für internetfähige Funkanlagen: jede Funkanlage, die selbst über das Internet kommunizieren kann, direkt oder über ein anderes Gerät.
- Buchstabe e gilt, sofern die Anlage personenbezogene Daten, Verkehrsdaten oder Standortdaten verarbeiten kann, für internetfähige Funkanlagen, für ausschließlich zur Kinderbetreuung bestimmte Funkanlagen, für Funkanlagen, die unter die Spielzeugrichtlinie 2009/48/EG fallen, und für am Körper getragene Funkanlagen.
- Buchstabe f gilt für internetfähige Funkanlagen, mit denen der Inhaber oder Nutzer Geld, monetäre Werte oder virtuelle Währungen übertragen kann.
- Ausnahmen: Keiner der drei Buchstaben gilt für Medizinprodukte nach der Verordnung (EU) 2017/745 oder In-vitro-Diagnostika nach der Verordnung (EU) 2017/746. Die Buchstaben e und f gelten nicht für Funkanlagen, für die die Zivilluftfahrt-Verordnung (EU) 2018/1139, die Typgenehmigungs-Verordnung (EU) 2019/2144 oder die Richtlinie (EU) 2019/520 über elektronische Mautsysteme gilt.
Ursprünglich sollte der Rechtsakt ab dem 1. August 2024 gelten. Die Delegierte Verordnung (EU) 2023/2444 vom 20. Juli 2023 hat den Geltungsbeginn auf den 1. August 2025 verschoben, damit die Normungsorganisationen harmonisierte Normen fertigstellen konnten. Volltexte: Delegierte Verordnung (EU) 2022/30, ABl. L 7 vom 12.1.2022 und Delegierte Verordnung (EU) 2023/2444.
Die harmonisierten Normen EN 18031-1, -2 und -3
Der Durchführungsbeschluss (EU) 2025/138 der Kommission vom 28. Januar 2025, im Amtsblatt veröffentlicht am 30. Januar 2025, hat drei Normen in die Liste aufgenommen, die nach der Funkanlagenrichtlinie eine Konformitätsvermutung begründen:
- EN 18031-1:2024 für internetfähige Funkanlagen, zu Buchstabe d.
- EN 18031-2:2024 für datenverarbeitende Funkanlagen, also internetfähige Funkanlagen, Funkanlagen zur Kinderbetreuung, Funkspielzeug und am Körper getragene Funkanlagen, zu Buchstabe e.
- EN 18031-3:2024 für internetfähige Funkanlagen, die virtuelles Geld oder monetäre Werte verarbeiten, zu Buchstabe f.
Alle drei wurden mit Einschränkungen veröffentlicht. Die Abschnitte „rationale“ und „guidance“ begründen keine Konformitätsvermutung. Keine der drei Normen begründet eine Vermutung, wenn der Nutzer nach den Abschnitten 6.2.5.1 und 6.2.5.2 kein Passwort festlegen und verwenden muss. EN 18031-2 begründet für Funkspielzeug und Funkanlagen zur Kinderbetreuung keine Vermutung, wenn keine Zugriffskontrolle durch Eltern oder Aufsichtspersonen gewährleistet ist. EN 18031-3 begründet keine Vermutung hinsichtlich der Bewertungskriterien für sichere Aktualisierungen in Abschnitt 6.3.2.4. Hat ein Hersteller eine veröffentlichte Norm nicht oder nur teilweise angewandt, verweist Artikel 17 Absatz 4 der Funkanlagenrichtlinie auf die EU-Baumusterprüfung oder die umfassende Qualitätssicherung, also auf eine notifizierte Stelle. Volltext: Durchführungsbeschluss (EU) 2025/138.
Was die Cyberresilienz-Verordnung zur Funkanlagenrichtlinie sagt
Die Funkanlagenrichtlinie gehört nicht zu den Rechtsakten der Union, die Produkte von der Cyberresilienz-Verordnung ausnehmen. Art. 2 Abs. 2 bis 4 nennt Medizinprodukte, In-vitro-Diagnostika, die Typgenehmigung von Kraftfahrzeugen, zertifizierte Luftfahrtprodukte und Schiffsausrüstung.
„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“
Die Verordnung behandelt die Überschneidung in Erwägungsgrund 30, nicht in einem Artikel. Danach enthalten ihre grundlegenden Cybersicherheitsanforderungen bereits alles, was die Buchstaben d, e und f der Funkanlagenrichtlinie verlangen.
„Die in dieser Verordnung festgelegten grundlegenden Cybersicherheitsanforderungen umfassen alle Elemente der grundlegenden Anforderungen gemäß Artikel 3 Absatz 3 Buchstaben d, e und f der Richtlinie 2014/53/EU.“
Derselbe Erwägungsgrund geht davon aus, dass die Kommission die Delegierte Verordnung (EU) 2022/30 für Produkte im Anwendungsbereich der Cyberresilienz-Verordnung aufhebt oder ändert, und verlangt bis dahin Hilfe für Hersteller, die beiden unterliegen.
„Während des Übergangszeitraums für die Anwendung dieser Verordnung sollte die Kommission den Herstellern, die dieser Verordnung und auch der Delegierten Verordnung (EU) 2022/30 unterliegen, Leitlinien an die Hand geben, um den Nachweis der Einhaltung beider Verordnungen zu erleichtern.“
Die Aufhebung: Delegierte Verordnung (EU) 2026/339
Die Kommission hat sie aufgehoben. Die Delegierte Verordnung (EU) 2026/339 vom 16. Februar 2026, im Amtsblatt veröffentlicht am 29. April 2026, hebt die Delegierte Verordnung (EU) 2022/30 mit Wirkung vom 11. Dezember 2027 auf. Ihre Erwägungsgründe nennen den Zweck: Funkanlagen sollen nicht zugleich den Cybersicherheitsanforderungen der Funkanlagenrichtlinie und der Cyberresilienz-Verordnung unterliegen. Sie stellen außerdem klar, dass die Aufhebung die Marktüberwachung nach der Funkanlagenrichtlinie für Funkanlagen unberührt lässt, die zwischen dem 1. August 2025 und dem 10. Dezember 2027 in Verkehr gebracht wurden oder werden. Volltext: Delegierte Verordnung (EU) 2026/339.
Was noch offen ist
- Das Überschneidungsfenster. Bis zum 10. Dezember 2027 gelten die Cybersicherheitsanforderungen der Funkanlagenrichtlinie vollständig. Teile der Cyberresilienz-Verordnung gelten schon vorher, die Meldepflicht nach Artikel 14 seit dem 11. September 2026. Eine Funkanlage im Anwendungsbereich der Verordnung kann in diesem Fenster Pflichten aus beiden tragen.
- Das Konformitätsverfahren nach dem Wechsel. Ab dem 11. Dezember 2027 wird die Cybersicherheit eines solchen Produkts nach der Cyberresilienz-Verordnung bewertet, über die Verfahren für seine Produktklasse. EN 18031 wurde für die Funkanlagenrichtlinie geschrieben. Erwägungsgrund 30 verlangt, diese Arbeit bei der Ausarbeitung der harmonisierten Normen zur Cyberresilienz-Verordnung zu berücksichtigen, was EN 18031 nicht zu einer Norm dieser Verordnung macht.
- Leitlinien der Kommission. Nach Erwägungsgrund 30 soll die Kommission Leitlinien für Hersteller herausgeben, die beiden unterliegen. Prüfen Sie die Seiten der Kommission zur Funkanlagenrichtlinie, statt sich auf diese Seite zu verlassen.
„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“
Was das in der Praxis bedeutet
- Funkanlagen, die bis zum 10. Dezember 2027 in Verkehr gebracht werden und unter die Delegierte Verordnung (EU) 2022/30 fallen, müssen die Buchstaben d, e und f erfüllen, entweder durch vollständige Anwendung von EN 18031 innerhalb ihrer Einschränkungen oder über eine notifizierte Stelle.
- Wer Nutzern erlaubt, kein Passwort festzulegen, oder bei vernetztem Spielzeug auf die Kontrolle durch Eltern verzichtet, verliert die Konformitätsvermutung und braucht nach der Funkanlagenrichtlinie eine notifizierte Stelle.
- Für Funkanlagen, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, planen Sie den Cybersicherheitsnachweis nach der Cyberresilienz-Verordnung. Die Anforderungen der Funkanlagenrichtlinie zu Sicherheit, elektromagnetischer Verträglichkeit und Frequenznutzung gelten daneben weiter.
- Führen Sie die Cybiq-Prüfung für Ihren Status nach der Cyberresilienz-Verordnung durch: ob Ihr Produkt erfasst ist, seine Klasse und das Konformitätsverfahren, das auf Sie zukommt.
- Cybiq prüft ausschließlich die Cyberresilienz-Verordnung: Ob Ihr Produkt die Funkanlagenrichtlinie oder EN 18031 einhält, wird hier nicht bewertet.
Cybiq prüft ausschließlich die Cyberresilienz-Verordnung. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Angaben zur Funkanlagenrichtlinie, ihren delegierten Rechtsakten und Durchführungsrechtsakten und zu EN 18031 wurden an den Texten im Amtsblatt geprüft und werden nicht zitiert. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine verbindliche Bewertung wenden Sie sich an eine qualifizierte Rechtsberatung.