Prüflabor und Beratung · Granges-Paccot

Gespräch buchen

Richtlinie 2014/53/EU · Delegierte Verordnung (EU) 2022/30

Funkanlagenrichtlinie (RED) und EN 18031

Seit dem 1. August 2025 muss eine Funkanlage mit Internetverbindung das Netz und die personenbezogenen Daten schützen und, wenn sie Zahlungen ermöglicht, vor Betrug schützen. Die EN 18031 ermöglichen diesen Nachweis, sofern man ihre Einschränkungen kennt. Säfeli bewertet Ihr Produkt Mechanismus für Mechanismus, unterstützt Sie bei den Korrekturen und erstellt die Dokumentation.

30-Minuten-Gespräch buchenUnsere Leistungen
Cybersicherheitsanforderungen verbindlich
01.08.2025
Harmonisierte Normen EN 18031
3
Mechanismus-Familien in der EN 18031-1
11
Ablösung durch den Cyber Resilience Act
11.12.2027

Für wen

Welche Funkanlagen betroffen sind

  • Vernetzte Geräte

    WLAN, Bluetooth, Zigbee, Mobilfunk: Smart Home, Sensoren, Gateways, per App gesteuerte Geräte.

  • Produkte für Kinder

    Funkspielzeug, Babyphones und Geräte zur Kinderbetreuung, mit elterlicher Kontrolle.

  • Am Körper getragene Geräte

    Uhren, Armbänder und am Körper getragene Sensoren, die personenbezogene Daten verarbeiten.

  • Zahlung und monetärer Wert

    Geräte, mit denen Geld oder virtuelle Währung übertragen werden kann.

Unsere Leistungen

Von der Anwendbarkeit zur technischen Dokumentation

Eine strukturierte Bewertung nach EN 18031, mit den nötigen Tests und einer Dokumentation, die bereit ist für die technische Dokumentation.

Vernetztes Gerät bei einer Funkprüfung
Anwendbarkeit

Welche Anforderungen gelten für Ihr Produkt?

Internetverbindung, direkt oder über ein anderes Gerät, verarbeitete Daten, Zahlungsfunktionen: Wir klären, welche der Buchstaben d), e) und f) gelten, welche EN 18031 anzuwenden sind und welche Einschränkungen im Amtsblatt der EU Sie betreffen.

Was Sie erhalten

  • Anwendbarkeitsanalyse der Buchstaben d), e) und f)
  • Anzuwendende Normen EN 18031
  • Kritische Punkte von Anfang an identifiziert

Referenzen

  • Delegierte Verordnung (EU) 2022/30
  • Durchführungsbeschluss (EU) 2025/138
Geöffnete vernetzte Kamera, für eine Sicherheitsbewertung an einen Computer angeschlossen
Bewertung

Bewertung nach EN 18031, Mechanismus für Mechanismus

Assets, Schnittstellen, Zugriffskontrolle, Authentifizierung, Updates, Speicherung, Kommunikation, Kryptografie: Wir wenden die Entscheidungsbäume der Norm auf Ihr Produkt an und dokumentieren jede Entscheidung zu Anwendbarkeit und Angemessenheit.

Was Sie erhalten

  • Inventar der Assets und Schnittstellen
  • Entscheidungen und Begründungen je Anforderung
  • Liste der Lücken und Korrekturmassnahmen

Referenzen

  • EN 18031-1:2024
  • EN 18031-2:2024
  • EN 18031-3:2024
Ingenieur testet ein elektronisches Gehäuse, das an einen Laptop angeschlossen ist
Tests

Sicherheitstests am Produkt

Die Wirksamkeit der Massnahmen wird am Produkt geprüft: exponierte Dienste, Passwörter, Verschlüsselung der Kommunikation, Updates, Debug-Schnittstellen. Unsere Tests bestätigen, was die Dokumentation aussagt.

Was Sie erhalten

  • Testplan mit Bezug zu den Anforderungen
  • Testbericht
  • Nachtest nach den Korrekturen

Referenzen

  • EN 18031-1:2024, Anhang A
Unsere Penetrationstests für Produkte
Berater vergleicht eine technische Dokumentation mit einer Anforderungsliste
Dokumentation

Dokumentation und EU-Konformitätserklärung

Bewertungsbericht, Begründungen, Testergebnisse und Informationen für Nutzer: Wir integrieren die Cybersicherheit in die technische Dokumentation nach Funkanlagenrichtlinie und in die EU-Konformitätserklärung, zusammen mit Funk, EMV und elektrischer Sicherheit.

Was Sie erhalten

  • Bewertungsbericht EN 18031
  • Beitrag zur technischen Dokumentation nach RED
  • EU-Konformitätserklärung

Referenzen

  • Richtlinie 2014/53/EU, Art. 17 und 21
Die CE-Kennzeichnung vernetzter Produkte

Ausserdem

Artikel 3.3

Die drei Cybersicherheitsanforderungen der Funkanlagenrichtlinie

Die Delegierte Verordnung (EU) 2022/30 aktiviert die Buchstaben d), e) und f) von Artikel 3.3 der Funkanlagenrichtlinie. Jeder Buchstabe betrifft andere Geräte und entspricht einer Norm EN 18031.

  1. 30.01.2025EN 18031 im Amtsblatt der EU veröffentlicht
  2. 01.08.2025Anforderungen anwendbar
  3. 11.12.2027Ablösung durch den Cyber Resilience Act

  • Art. 3.3 d) Schutz des Netzes

    Jede Funkanlage, die über das Internet kommunizieren kann, darf weder dem Netz oder seinem Betrieb schaden noch eine missbräuchliche Nutzung von Netzressourcen bewirken.

    Delegierte Verordnung (EU) 2022/30, Art. 1 Abs. 1; EN 18031-1

  • Art. 3.3 e) Personenbezogene Daten

    Vernetzte Geräte, die personenbezogene Daten, Verkehrs- oder Standortdaten verarbeiten, sowie Geräte zur Kinderbetreuung, Funkspielzeug und am Körper getragene Geräte.

    Delegierte Verordnung (EU) 2022/30, Art. 1 Abs. 2; EN 18031-2

  • Art. 3.3 f) Schutz vor Betrug

    Vernetzte Geräte, mit denen Geld, monetärer Wert oder virtuelle Währung übertragen werden kann.

    Delegierte Verordnung (EU) 2022/30, Art. 1 Abs. 3; EN 18031-3

  • Direkt oder über ein anderes Gerät

    Ein Bluetooth-Produkt, dessen App die Daten in die Cloud weiterleitet oder die Updates überträgt, kommuniziert grundsätzlich mit dem Internet: Es ist betroffen.

    Delegierte Verordnung (EU) 2022/30, Art. 1 Abs. 1

  • Ausnahmen

    Medizinprodukte und In-vitro-Diagnostika für alle drei Anforderungen; Luftfahrterzeugnisse, Fahrzeuge und elektronische Mautsysteme für Datenschutz und Betrugsschutz.

    Delegierte Verordnung (EU) 2022/30, Art. 1 Abs. 2 und 3 sowie Art. 2

  • Nach dem 11. Dezember 2027

    Der Cybersicherheitsteil der Funkanlagenrichtlinie wird aufgehoben und der CRA übernimmt. Seit dem 1. August 2025 in Verkehr gebrachte Funkanlagen bleiben nach der Funkanlagenrichtlinie überprüfbar.

    Delegierte Verordnung (EU) 2026/339

Quellen: Delegierte Verordnung (EU) 2022/30, Art. 1 und 2; Durchführungsbeschluss (EU) 2025/138; Delegierte Verordnung (EU) 2026/339.

EN 18031-1

Was die EN 18031 prüft

Elf Familien von Sicherheitsmechanismen, bewertet anhand der Assets und Schnittstellen Ihres Produkts. Die EN 18031-2 ergänzt insbesondere Protokollierung, Datenlöschung und elterliche Kontrolle.

  • Zugriffskontrolle und Authentifizierung

    Wer worauf mit welchen Zugangsdaten zugreifen darf: robuste Passwörter, Änderung der Standardwerte, Schutz vor Brute-Force-Angriffen.

    ACM, AUM

  • Sichere Updates

    Mechanismus für Software-Updates, Prüfung der Authentizität und Integrität der Updates, automatische Updates.

    SUM

  • Speicherung und Kommunikation

    Integrität und Vertraulichkeit gespeicherter und übertragener Assets, Schutz vor Replay-Angriffen.

    SSM, SCM

  • Resilienz und Netzwerkverkehr

    Denial-of-Service-Angriffen standhalten, das Netz überwachen und schädlichen Verkehr begrenzen, insbesondere bei Netzwerkgeräten.

    RLM, NMM, TCM

  • Schlüssel und Kryptografie

    Kein statischer vertraulicher Standardschlüssel, Algorithmen und Protokolle nach bewährter Praxis.

    CCK, CRY

  • Allgemeine Fähigkeiten

    Aktuelle Software ohne bekannte Schwachstellen, exponierte Dienste und Schnittstellen auf das Nötigste beschränkt und dokumentiert, Eingabevalidierung.

    GEC

Normen

Die Cybersicherheitsnormen der Funkanlagenrichtlinie

Die drei EN 18031 sind seit dem 30. Januar 2025 harmonisiert, mit Einschränkungen. Sie verweisen auf andere bekannte Regelwerke.

StatusNormGegenstand
HarmonisiertEN 18031-1:2024Funkanlagen mit Internetverbindung, Art. 3.3 d)
HarmonisiertEN 18031-2:2024Geräte, die personenbezogene Daten verarbeiten, Art. 3.3 e)
HarmonisiertEN 18031-3:2024Geräte, die virtuelle Währung oder monetären Wert verarbeiten, Art. 3.3 f)
EntsprechungEN IEC 62443-4-2:2019Technische Anforderungen an industrielle Komponenten (EN 18031-1, Anhang B)
EntsprechungETSI EN 303 645 V3.1.3Cybersicherheit für Verbraucher-IoT (EN 18031-1, Anhang C)
ReferenzETSI TS 103 701*Prüffälle für ETSI EN 303 645

* Version für Ihr Projekt zu prüfen. Einschränkungen gemäss Durchführungsbeschluss (EU) 2025/138: Die Abschnitte «rationale» und «guidance» begründen keine Vermutung, ebenso wenig die oben beschriebenen Fälle. Bisher wurde keine neue Ausgabe der EN 18031 im Amtsblatt der EU veröffentlicht (zum Zeitpunkt Ihres Projekts zu prüfen).

Einschränkungen

Die Einschränkungen, an denen eine Dokumentation scheitert

Die EN 18031 sind mit Einschränkungen harmonisiert. Wer sie von Anfang an kennt, muss die Software nicht neu entwickeln und keine benannte Stelle einbeziehen.

  • Optionale Passwörter

    Kann der Nutzer wählen, gar kein Passwort festzulegen, begründen EN 18031-1 und EN 18031-2 keine Konformitätsvermutung.

    Durchführungsbeschluss (EU) 2025/138, Abschnitte 6.2.5.1 und 6.2.5.2

  • Elterliche Kontrolle

    Bei Spielzeug, Geräten zur Kinderbetreuung und am Körper getragenen Geräten begründet die EN 18031-2 keine Vermutung, wenn die elterliche Zugriffskontrolle nicht gewährleistet ist.

    Durchführungsbeschluss (EU) 2025/138, Abschnitte 6.1.3 bis 6.1.6

  • Schutz vor Betrug

    Bestimmte Bewertungskriterien der EN 18031-3 begründen keine Konformitätsvermutung: Sie müssen auf andere Weise nachgewiesen werden.

    Durchführungsbeschluss (EU) 2025/138, Abschnitt 6.3.2.4

  • Ohne Vermutung: benannte Stelle

    Wird eine Norm nicht vollständig angewendet, läuft die betreffende Anforderung über eine EU-Baumusterprüfung oder eine umfassende Qualitätssicherung mit einer benannten Stelle. Eine gut vorbereitete Konstruktion vermeidet das.

    Richtlinie 2014/53/EU, Art. 17 Abs. 3 und 4

Unser Vorgehen

Ihre RED-Bewertung in vier Schritten

  1. Erstgespräch

    Ihr Produkt, seine Verbindungen, seine Daten und Ihr Zeitplan. 30 Minuten.

  2. Anwendbarkeit

    Buchstaben d), e) und f), anzuwendende Normen, Einschränkungen und kritische Punkte.

  3. Bewertung und Tests

    Mechanismen nach EN 18031, Tests am Produkt, Korrekturen mit Ihren Teams.

  4. Dokumentation

    Bewertungsbericht, technische Dokumentation und EU-Konformitätserklärung.

Schweizer Markt

RED-Cybersicherheit in der Schweiz

Die Verordnung des BAKOM über Fernmeldeanlagen (VFAV) übernimmt die Cybersicherheitsanforderungen der Delegierten Verordnung (EU) 2022/30, anwendbar seit dem 1. August 2025. Die EN 18031 sind als Schweizer Normen übernommen: Dieselbe Bewertung gilt für die Schweiz und für die EU.

Quellen: VFAV, SR 784.101.21, Anhang 1, Ziff. 7 bis 9, und Art. 10b; EN 18031-1:2024, Vorwort.

Häufige Fragen

Häufige Fragen zur RED-Cybersicherheit

Ihr Produkt wirft eine besondere Frage auf? Stellen Sie sie direkt einem Ingenieur.

Gespräch buchen
Seit wann gelten die Cybersicherheitsanforderungen der Funkanlagenrichtlinie?

Seit dem 1. August 2025, für jede Funkanlage, die ab diesem Datum in Verkehr gebracht wird. Sie bleiben bis zum 11. Dezember 2027 anwendbar; dann übernimmt der Cyber Resilience Act.

Quellen: Delegierte Verordnung (EU) 2022/30; Delegierte Verordnung (EU) 2026/339

Welche EN 18031 muss ich anwenden?

Die EN 18031-1 für jede Funkanlage mit Internetverbindung (Schutz des Netzes), die EN 18031-2, wenn sie personenbezogene Daten, Verkehrs- oder Standortdaten verarbeitet oder wenn es sich um Spielzeug, ein Gerät zur Kinderbetreuung oder ein am Körper getragenes Gerät handelt, die EN 18031-3, wenn sie Zahlungen ermöglicht. Ein Produkt fällt oft unter zwei oder sogar alle drei Normen.

Quellen: Delegierte Verordnung (EU) 2022/30, Art. 1; EN 18031-1, -2 und -3:2024

Ist die EN 18031 verbindlich?

Nein, verbindlich sind die Anforderungen der Richtlinie, nicht die Norm. Doch nur die vollständig angewendete EN 18031 erlaubt es dem Hersteller, die Konformität mit den Anforderungen von Artikel 3.3 selbst zu bewerten. Ohne sie, oder bei einem Abschnitt mit Einschränkung, wird eine benannte Stelle in die Bewertung einbezogen.

Quellen: Richtlinie 2014/53/EU, Art. 17 Abs. 3 und 4; Durchführungsbeschluss (EU) 2025/138

Bei meinem Produkt kann man auf ein Passwort verzichten: Ist das ein Problem?

Ja, für die Konformitätsvermutung. Die Veröffentlichung der EN 18031-1 und -2 im Amtsblatt der EU schliesst diesen Fall aus. Die einfachste Lösung ist oft, den Authentifizierungsmechanismus schon in der Entwicklung anzupassen; andernfalls muss für die betreffende Anforderung eine benannte Stelle einbezogen werden.

Quellen: Durchführungsbeschluss (EU) 2025/138

Wie läuft eine Bewertung nach EN 18031 ab?

Für jeden Mechanismus geht die Norm von den Assets und Schnittstellen des Produkts aus: Ein Entscheidungsbaum legt fest, ob die Anforderung gilt und ob die Umsetzung angemessen ist. Die Bewertung erfolgt auf drei Ebenen: Konstruktion, Vollständigkeit der Massnahmen, dann ihre Wirksamkeit, was eine Prüfung des Produkts aus Sicht eines Angreifers einschliesst.

Quellen: EN 18031-1:2024, Abschnitt 5 und Anhang A

Lässt sich die Arbeit für die EN 18031 für den CRA weiterverwenden?

Weitgehend. Die Mechanismen der EN 18031 decken einen grossen Teil der Konstruktionsanforderungen des CRA ab. Der CRA verlangt vor allem zusätzlich die dokumentierte Risikoanalyse, den Umgang mit Schwachstellen während des Unterstützungszeitraums und die Meldepflichten. Wir erstellen Ihre RED-Dokumentation so, dass sie als Grundlage für den CRA dient.

Quellen: Verordnung (EU) 2024/2847, Art. 13 und Anhang I (Abgleich: Auslegung von Säfeli)

Gelten diese Anforderungen auch in der Schweiz?

Ja. Die Verordnung des BAKOM über Fernmeldeanlagen übernimmt die Cybersicherheitsanforderungen der Funkanlagenrichtlinie, anwendbar seit dem 1. August 2025. Die EN 18031 sind auch Schweizer Normen.

Quellen: VFAV, SR 784.101.21, Anhang 1, Ziff. 7 bis 9, und Art. 10b

Gespräch buchen

Erzählen Sie uns von Ihrer Funkanlage

Wählen Sie direkt einen 30-minütigen Termin mit einem Ingenieur. Kein Hin und Her per E-Mail: Sie wählen die Zeit, wir bereiten das Gespräch vor.

Termin wählen

Kontaktdaten

Adresse
Säfeli Sàrl
Route d'Englisberg 3
1763 Granges-Paccot
Sprachen
Französisch, Deutsch, Englisch
Gespräch buchen