Blog · 4. August 2026
RED und CRA: Was auf Gerätehersteller zukommt — und wann
Zwei EU-Regelwerke verlangen Cybersicherheit direkt im Gerät: die Funkgeräterichtlinie RED für alles, was funkt, und der Cyber Resilience Act für praktisch jedes Produkt mit digitaler Schnittstelle. Die erste Frist ist bereits abgelaufen, die nächste steht kurz bevor. Hier steht, was gilt, ab wann — und was ein Hersteller jetzt tun sollte, je nachdem, ob sein Gerät schon in Serie ist oder gerade entsteht.
Was die beiden Regelwerke sind
Die RED (Radio Equipment Directive, 2014/53/EU) ist die Richtlinie, unter der jedes Funkgerät in der EU auf den Markt kommt — vom Bluetooth-Sensor bis zum Mobilfunkmodul. Neu sind ihre Cybersicherheitsanforderungen aus Artikel 3 Absatz 3: Geräte mit Internetanbindung müssen das Netz schützen, persönliche Daten schützen und Betrugsschutz bieten. Konkret geprüft wird das üblicherweise gegen die Normenreihe EN 18031.
Der CRA (Cyber Resilience Act, Verordnung (EU) 2024/2847) geht weiter: Er gilt nicht nur für Funkgeräte, sondern für nahezu alle „Produkte mit digitalen Elementen" — auch für ein Gerät, das nur eine USB-Buchse oder eine RS-485-Schnittstelle hat. Er verlangt Sicherheit ab dem Entwurf, eine Schwachstellenbehandlung über den Lebenszyklus und Sicherheitsupdates über Jahre.
Die Fristen
| Datum | Was gilt |
|---|---|
| 1. August 2025 | RED Artikel 3(3) d/e/f ist verpflichtend — bereits in Kraft. Funkgeräte mit Internetanbindung, die seitdem in Verkehr gebracht werden, müssen die Anforderungen erfüllen |
| 11. September 2026 | CRA-Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle müssen an ENISA und das nationale CSIRT gemeldet werden |
| 11. Dezember 2027 | CRA vollständig anwendbar: Ohne Konformität kein Inverkehrbringen in der EU. Mindestens fünf Jahre Unterstützungszeitraum, Sicherheitsupdates müssen zehn Jahre verfügbar bleiben |
Ein Punkt, der in Zusammenfassungen oft falsch steht: Die EN 18031 ist nicht selbst verpflichtend. Verbindlich sind die Anforderungen der RED — die Norm verschafft die Vermutung, dass man sie erfüllt, und ihre Harmonisierung gilt nur mit Einschränkungen. Wer es genau braucht, liest den Durchführungsbeschluss oder fragt sein Prüfhaus.
Was das heißt, wenn Ihr Gerät schon in Serie ist
Der CRA gilt für Produkte, die ab seinen Stichtagen in Verkehr gebracht werden — jedes Gerät, das Sie nach dem 11. Dezember 2027 verkaufen, muss konform sein. „Das haben wir schon immer so gebaut" ist dann kein Argument mehr. Für eine laufende Serie stellen sich drei Fragen:
- Hat das Gerät einen Update-Weg? Ohne die Möglichkeit, Firmware im Feld zu aktualisieren, ist die Pflicht zu Sicherheitsupdates nicht erfüllbar. Das ist der harte Kern — alles andere ist Papier.
- Prüft das Gerät, was es einspielt? Ein Update-Weg ohne Signaturprüfung ist selbst eine Schwachstelle.
- Wissen Sie, was in Ihrer Firmware steckt? Fremde Bibliotheken, alte Protokollstapel — die Schwachstellenmeldung ab September 2026 setzt voraus, dass man sein eigenes Gerät kennt.
Ein Update-Weg lässt sich in vielen Fällen nachrüsten — abhängig von Mikrocontroller, freiem Speicher und vorhandener Schnittstelle. Das ist keine Zauberei, aber es ist Arbeit am Bootloader, und sie braucht Zeit vor dem Stichtag, nicht danach.
Was das heißt, wenn Sie gerade entwickeln
Dann ist die Lage besser: Sicherheit ab Entwurf kostet jetzt wenig und später viel. Konkret heißt das — Update-Mechanismus und Signaturprüfung von Anfang an einplanen, Schnittstellen absichern statt offen lassen, Abhängigkeiten dokumentieren, und die Zulassungsstrategie festlegen, bevor das Layout eingefroren wird. Wer heute ein Gerät ohne Update-Weg neu entwirft, entwirft ein Gerät, das ab Ende 2027 nicht mehr verkauft werden darf.
Wo wir helfen können — und wo nicht. Wir sind keine Normenberater und legen keine Paragraphen aus; dafür gibt es Prüfhäuser und Fachanwälte. Was wir bauen, ist die technische Voraussetzung, ohne die jede CRA-Strategie leer bleibt: der sichere Update-Weg ins Feld. Den haben wir zweimal umgesetzt — in Serie über Mobilfunk, mit Signaturprüfung auf dem Gerät, und im Klinikeinsatz über eine eigene Basisstation. Und wir haben zwei Produkte durch die TÜV-Zertifizierung gebracht — die Entwicklung lag dabei in einer Hand. Wenn Ihr Gerät noch keinen Update-Weg hat: Nach einem Blick auf Firmware und Speicher sagen wir Ihnen, ob sich einer nachrüsten lässt.
Und bei Ihnen?
Uns interessiert die Praxis: Wie gehen Sie mit den Fristen um — nachrüsten, neu auflegen, oder abwarten? Schreiben Sie uns; wir sammeln die Fälle.
Stand der Fristen: 4. August 2026, gegen die Verordnungstexte geprüft. Dieser Beitrag ist eine technische Einordnung, keine Rechtsberatung.
Transparenzhinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt und vor der Veröffentlichung fachlich geprüft.