Was EN 18031 eigentlich ist
EN 18031 ist keine eigenständige Verordnung, sondern eine harmonisierte Normenreihe, die drei wesentliche Anforderungen der europäischen Funkanlagenrichtlinie, kurz RED, technisch konkretisiert. Grundlage ist die Delegierte Verordnung (EU) 2022/30, die festlegt, für welche Produkte diese Anforderungen überhaupt gelten.
Die Normenreihe besteht aus drei Teilen, die jeweils einen eigenen Absatz von Artikel 3 Absatz 3 der Funkanlagenrichtlinie abdecken:
- EN 18031-1 konkretisiert den Netzwerkschutz nach Artikel 3 Absatz 3 Buchstabe d – Schutz vor schädlichen Auswirkungen auf Netzwerke oder Netzwerkdienste.
- EN 18031-2 konkretisiert den Schutz personenbezogener Daten und der Privatsphäre nach Artikel 3 Absatz 3 Buchstabe e.
- EN 18031-3 konkretisiert den Betrugsschutz nach Artikel 3 Absatz 3 Buchstabe f, relevant für Geräte, die Geldtransfers ermöglichen.
Seit dem 1. August 2025 begründet die Einhaltung dieser drei Normen eine Konformitätsvermutung für die jeweiligen RED-Anforderungen. Das bedeutet: Wer EN 18031 anwendet, kann davon ausgehen, dass er die zugehörige gesetzliche Anforderung erfüllt, ohne diese separat technisch nachweisen zu müssen.
Für wen die Norm gilt
Die Delegierte Verordnung 2022/30 definiert den Anwendungsbereich präzise, aber weiter als viele Hersteller zunächst annehmen. Betroffen ist grundsätzlich jede internetfähige Funkanlage – also jedes Gerät, das selbst über das Internet kommunizieren kann, egal ob direkt oder über ein Zwischengerät.
Direkt betroffene Gerätekategorien
- Vernetzte Consumer-Elektronik und Smart-Home-Geräte
- WLAN-Router, vernetzte Fernseher und smarte Lautsprecher
- Mobiltelefone, Tablets und Laptops mit Funkschnittstelle
- Kinderbetreuungsgeräte, Spielzeug und Wearables mit Internetzugang
- Industrielle IoT-Sensoren und -Steuerungen mit Online-Anbindung
- Zahlungsterminals und Geräte mit Geldtransferfunktion
Besonders wichtig ist die Klausel zur indirekten Verbindung: Auch Geräte, die nicht selbst direkt mit dem Internet verbunden sind, aber über ein anderes Gerät kommunizieren – etwa ein Sensor, der über ein Gateway sendet – fallen unter die Definition „internetfähige Funkanlage". Das betrifft insbesondere Komponenten und Baugruppen, die selbst nicht als Endprodukt wahrgenommen werden, aber Teil einer vernetzten Architektur sind – etwa Mobilfunkmodems, Router und Datenerfassungseinheiten in Schaltschränken und Zählerräumen.
Nicht jede der drei Teilanforderungen gilt automatisch für jedes Gerät. Der Betrugsschutz nach EN 18031-3 greift beispielsweise nur, wenn das Gerät tatsächlich Geldtransfers ermöglicht; der Schutz personenbezogener Daten nach EN 18031-2 nur, wenn das Gerät solche Daten verarbeitet.
Warum der Termin so wichtig ist
Der 1. August 2025 markiert keinen symbolischen Stichtag, sondern eine sofort wirksame gesetzliche Pflicht ohne Übergangsfrist. Anders als beim Cyber Resilience Act, dessen zentrale Anforderungen erst am 11. Dezember 2027 vollständig greifen, oder bei NIS2, deren Anwendungsbereich sich erst über die nationale Umsetzung konkretisiert, ist EN 18031 bereits heute geltendes Recht.
Diese zeitliche Verschiebung hat einen entscheidenden Effekt: Unternehmen, die ihre Compliance-Planung ausschließlich an den CRA-Terminen 2026 und 2027 ausrichten, laufen Gefahr, eine bereits geltende Pflicht zu übersehen. Wer heute ein internetfähiges Gerät entwickelt und auf „CRA 2027" wartet, hat den eigentlich relevanten Termin bereits verpasst.
Was danach passiert: die Brücke zum CRA
Die Delegierte Verordnung 2022/30 wird schrittweise durch den CRA abgelöst. Am 16. Februar 2026 hat die Europäische Kommission eine Delegierte Verordnung angenommen, die die RED-Delegierte-Verordnung mit Wirkung zum 11. Dezember 2027 aufhebt. Bis zu diesem Datum bleibt die Delegierte Verordnung 2022/30 in Kraft, und EN 18031 bleibt der maßgebliche Nachweisweg für RED-konforme Cybersicherheit.
Für Hersteller bedeutet das: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht werden, können weiterhin über EN 18031 bewertet und dokumentiert werden. Danach übernimmt der CRA die entsprechenden Anforderungen für Produkte mit digitalen Elementen.
EN 18031, CRA und NIS2 im Vergleich
| EN 18031 / RED | Cyber Resilience Act (CRA) | NIS2 | |
| Rechtsgrundlage | Delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie | Verordnung (EU) 2024/2847 | Richtlinie, national umgesetzt |
| Gilt seit | 1. August 2025, ohne Übergangsfrist | In Kraft seit 10. Dezember 2024; Meldepflichten ab 11. September 2026; vollständig ab 11. Dezember 2027 | National unterschiedlich, EU-weite Umsetzungsfrist bereits verstrichen |
| Wen betrifft es? | Hersteller internetfähiger Funkanlagen | Secure-by-design, Schwachstellenmanagement, technische Dokumentation | Organisatorische Cyber-Resilienz, Risikomanagement, Meldeprozesse |
| Was steht im Fokus? | Netzwerkschutz, Schutz personenbezogener Daten, Betrugsschutz | Secure-by-design, Schwachstellenmanagement, technische Dokumentation | Organisatorische Cyber-Resilienz, Risikomanagement, Meldeprozesse |
| Wie wird Konformität nachgewiesen? | Anwendung von EN 18031-1/-2/-3 begründet Konformitätsvermutung | Technische Dokumentation, Konformitätsbewertung je nach Risikoklasse | Angemessene Sicherheitsmaßnahmen und Nachweisfähigkeit |
| Was passiert danach? | Ablösung durch CRA-Anforderungen ab 11. Dezember 2027 | Wird zum verbindlichen Rahmen für digitale Produkte | Läuft parallel, unabhängig vom Produktlebenszyklus |
EN 18031 ist damit kein Ersatz für CRA oder NIS2, sondern die aktuell geltende technische Antwort auf einen Teilbereich, den der CRA später vollständig übernimmt.
Was Hersteller technisch nachweisen müssen
Die drei Normteile übersetzen sich in konkrete technische Mechanismen, die ein Gerät umsetzen muss:
- Keine wiederverwendbaren Standardpasswörter. Geräte dürfen nicht mit werkseitig voreingestellten, für alle Exemplare identischen Zugangsdaten ausgeliefert werden. Ein Gerät, das dem Nutzer erlaubt, kein Passwort zu setzen oder zu verwenden, erfüllt die Anforderung an den Netzwerkschutz nicht.
- Sichere Firmware-Update-Mechanismen. Updates müssen authentifiziert und vor Manipulation geschützt eingespielt werden können.
- Geschützte Speicherung sensibler Daten. Personenbezogene Daten, Zugangsdaten und kryptografisches Material müssen angemessen gesichert sein.
Diese drei Mechanismen sind nicht nur Prüfkriterien für die Konformitätsbewertung. Sie sind auch die Punkte, an denen sich in einer Betriebsprüfung oder einem Audit am schnellsten zeigt, ob ein Produkt tatsächlich normkonform entwickelt und produziert wurde – und wie belastbar diese Nachweise in der Lieferkette dokumentiert sind.
Der Bezug zur Bauteil-Lieferkette
Ein Gerät kann noch so sauber entworfen sein: Wenn die Firmware, die tatsächlich auf dem physischen Bauteil landet, nicht nachvollziehbar dokumentiert ist, bleibt die Konformitätsbewertung angreifbar. Für die Anforderungen aus EN 18031-1 wird deshalb relevant, wer wann welche Firmware-Version auf welches Bauteil programmiert hat und wie diese Übergabe vor Manipulation geschützt wurde.
Mit btv SEEL® kann die technische Nachweisführung ab der Programmierung unterstützt werden: durch dokumentierte Firmware-Transfers, eine nachvollziehbare Zuordnung zu Bauteilen und eine manipulationsgeschützte Prozessdokumentation. Die Verantwortung für das Endprodukt und dessen Konformitätsbewertung nach RED bzw. EN 18031 bleibt beim Hersteller.
Was das für einzelne Branchen bedeutet
EN 18031 betrifft nicht nur klassische Consumer-Elektronik. Besonders relevant ist die Norm für:
- Telekommunikation und Netzwerktechnik: Router, Modems und Gateways fallen unmittelbar unter die Netzwerkschutz-Anforderung.
- Industrielle Automatisierung: Vernetzte Sensoren, Steuerungen und Datenerfassungseinheiten mit indirekter Internetverbindung sind über die Zwischengeräte-Klausel betroffen, auch wenn sie selbst nicht wie klassische „Internetgeräte" wirken.
- Smart Home und Consumer-IoT: Von vernetzten Haushaltsgeräten bis zu Sicherheitssystemen – hier ist der Anwendungsbereich am unmittelbarsten sichtbar.
- Zahlungsterminals und Finanztechnik: Für Geräte mit Geldtransferfunktion kommt zusätzlich der Betrugsschutz nach EN 18031-3 zum Tragen.
Häufige Fragen zu EN 18031
Der Termin, der schon da war
EN 18031 zeigt exemplarisch, wie leicht sich Compliance-Planung an den lautesten statt an den nächsten Terminen orientiert. Während der CRA die öffentliche Aufmerksamkeit dominiert, ist die technische Grundlage für vernetzte Produkte bereits seit über einem Jahr verbindlich.
Sprechen Sie mit uns darüber, ob Ihre Produkte und Ihre Bauteil-Lieferkette die Anforderungen aus EN 18031 bereits nachweisbar erfüllen – und was für die spätere CRA-Umstellung schon heute vorbereitet werden kann.
