Cybersicherheitsanforderungen der RED-Richtlinie: Normenreihe EN 18031 jetzt verpflichtend
Für internetfähige Funkgeräte geltende Anforderungen; EN 18031-1/2/3 wurde als harmonisierte Norm zur Grundlage der CE-Erklärung.
Die Funkanlagenrichtlinie (RED) führt für bestimmte Funkgeräte Cybersicherheitsanforderungen unter den Titeln Netzwerkschutz, Schutz personenbezogener Daten und Betrugsschutz ein. Die Normenreihe EN 18031 ist der harmonisierte Normensatz, der diesen Anforderungen entspricht.
Die Anwendung der harmonisierten Norm verschafft eine Konformitätsvermutung: Ein nach der Norm bewertetes Produkt gilt als der einschlägigen grundlegenden Anforderung entsprechend. Wird die Norm nicht angewendet, muss der Hersteller die Konformität auf anderem Weg nachweisen.
Die Reihe ist je nach Gerätetyp in verschiedene Teile gegliedert; welcher Teil anzuwenden ist, hängt von der Funktion des Geräts und der Art der Datenverarbeitung ab.
Die ruhenden Artikel der Richtlinie sind in Kraft getreten
Die Funkanlagenrichtlinie 2014/53/EU trug seit Jahren drei Schutzziele zur Cybersicherheit in ihrem Text, doch sie wurden nicht angewendet. Die delegierte Verordnung (EU) 2022/30 der Kommission machte diese Artikel für bestimmte Klassen von Funkgeräten ab dem 1. August 2025 anwendbar.
Die drei in Kraft getretenen Ziele sind: 3.3(d) Schutz des Netzes, 3.3(e) Schutz personenbezogener Daten und der Privatsphäre, 3.3(f) Schutz vor Betrug. Alle drei können gemeinsam auf dasselbe Produkt zutreffen, und welche gelten, bestimmt sich nach der Funktion des Produkts.
Das bedeutet, dass der Konformitätsakte von internetfähigen Funkprodukten ein neuer Abschnitt hinzugefügt wird. Die Funk- und EMV-Seite ändert sich nicht; daneben tritt eine Cybersicherheitsbewertung.
Was die Normenreihe EN 18031 leistet
Als harmonisierte Norm legt EN 18031-1:2024 gemeinsame Sicherheitsanforderungen für internetfähige Funkgeräte fest. EN 18031-2:2024 behandelt Geräte, die personenbezogene Daten, Verkehrsdaten oder Standortdaten verarbeiten, EN 18031-3:2024 Geräte, die virtuelle Währung oder Geldwert verarbeiten.
Dass die Reihe harmonisiert ist, verschafft dem Hersteller, der die Norm vollständig anwendet, eine Konformitätsvermutung: Er gilt als anforderungskonform, und die Akte kann durch Eigenerklärung geschlossen werden.
Die Grenze der Vermutung: eingeschränkte Klauseln
Die Konformitätsvermutung der Reihe ist nicht bedingungslos. Löst ein Produkt eine der eingeschränkten Klauseln aus — etwa ein Design, das dem Nutzer erlaubt, die Passwortfestlegung zu überspringen — entsteht die automatische Konformitätsvermutung nicht.
Entsteht die Vermutung nicht, führt der Weg über eine benannte Stelle. Das ist ein Unterschied, der sowohl Zeitplan als auch Kosten verändert: Eine Akte, die per Eigenerklärung geschlossen worden wäre, wird wegen einer einzigen Designentscheidung zu einer Bewertung durch Dritte.
Deshalb ist es viel günstiger, die eingeschränkten Klauseln der Norm in der Entwurfsphase zu lesen als in der Testphase. Standardpasswörter, eine überspringbare Ersteinrichtung und das Fehlen eines Update-Mechanismus sind die häufigsten Auslöser.
Warum die harmonisierte Norm so wichtig ist
Das EU-Recht schreibt die grundlegenden Anforderungen, Normen liefern ihr technisches Gegenstück. Tritt eine Anforderung in Kraft, während die harmonisierte Norm noch nicht veröffentlicht ist, gerät der Hersteller auf einen schwierigen Weg: Er muss die Erfüllung der grundlegenden Anforderung mit eigener technischer Akte nachweisen oder eine benannte Stelle einschalten.
Wird die harmonisierte Norm veröffentlicht, entsteht eine Konformitätsvermutung: Ein der Norm entsprechendes Produkt gilt als der grundlegenden Anforderung entsprechend, und die Beweislast kehrt sich um. Der Hersteller kann seine eigene Erklärung abgeben.
Deshalb hat es eine eigene Bedeutung, dass die Cybersicherheitsartikel eine harmonisierte Norm erhalten haben, unabhängig von der Pflicht selbst: Die Pflicht bestand bereits, nun gibt es einen standardisierten Weg, sie zu erfüllen.
Was die drei Anforderungsrubriken verlangen
Die Rubrik Netzwerkschutz verlangt, dass das Produkt das Netz, mit dem es verbunden ist, nicht schädigt und Netzressourcen nicht missbraucht. Schwache Standardanmeldedaten, unnötig offene Ports und nicht authentifizierter Fernzugriff sind typische Feststellungen unter dieser Rubrik.
Die Rubrik Schutz personenbezogener Daten verlangt, dass das Produkt die von ihm verarbeiteten personenbezogenen Daten und die Privatsphäre der Nutzer schützt: Verschlüsselung der Datenübertragung, Schutz der lokalen Speicherung, Kontrolle des Nutzers über seine Daten.
Die Rubrik Betrugsschutz verlangt Transaktionsintegrität und Autorisierung bei Produkten mit Zahlungs- oder Wertübertragungsfunktion. Die drei Rubriken gelten für unterschiedliche Produktgruppen; welche Rubrik bei welchem Produkt gilt, ist Gegenstand der Anwendungsbereichsbestimmung.
Wie die Nachweisakte aufgebaut wird
Der Cybersicherheitsnachweis ist kein Messergebnis; er besteht aus der Liste angewendeter Anforderungen, den erfassten Schnittstellen, den durchgeführten Prüfungen und der Aufzeichnung der Behebung von Feststellungen. Ein Bericht ohne Geltungsbereichserklärung ist nicht lesbar.
Die vom Bericht festzuhaltenden Angaben sind: welche Hardwareversion, welche Softwareversion, welche Schnittstellen und welche Konfiguration geprüft wurden. Ein Nachweis ohne Versionsangabe kann seine Gültigkeit nach dem nächsten Software-Update nicht verteidigen.
Die Akte schließt nicht mit dem Inverkehrbringen: Die Pflicht zu offener Überwachung und Aktualisierung besteht während der gesamten Unterstützungsdauer fort, und dies ist der lebendige Teil der technischen Akte.
Was ist zu tun?
- 1Bestimmen Sie, unter welchen Teil von EN 18031 Ihr Gerät fällt.
- 2Behandeln Sie Sicherheitsanforderungen in der Entwurfsphase.
- 3Fügen Sie Ihrer technischen Akte die Cybersicherheitsbewertung hinzu.
Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Wie eine Vorschrift auf Ihr Produkt angewendet wird, hängt von den technischen Merkmalen des Produkts und dem Zielmarkt ab; der genaue Geltungsbereich kann nur durch Prüfung des Produkts bestimmt werden.