Funkanlagenrichtlinie (RED): Der Überblick für Hersteller

Jedes Gerät, das absichtlich Funkwellen aussendet oder empfängt, um Informationen zu übertragen – vom WLAN-Router über das Smart-Home-Gateway bis zum Bluetooth-Kopfhörer – fällt unter die Funkanlagenrichtlinie 2014/53/EU, kurz RED (Radio Equipment Directive). Sie ist neben den allgemeinen CE-Grundlagen eine der Rechtsgrundlagen, die für die CE-Kennzeichnung von Funkanlagen sorgt – und sie hat sich in den letzten Jahren deutlich weiterentwickelt: Seit einer delegierten Verordnung der Kommission müssen bestimmte Kategorien internetfähiger Funkanlagen zusätzlich definierte Cybersicherheitsanforderungen erfüllen.

Dieser Beitrag ordnet die RED als Ganzes ein: was sie regelt, für welche Geräte sie gilt, welche Rolle die neuen Cybersicherheitsanforderungen spielen und wie sich die Richtlinie zum Cyber Resilience Act verhält – einer Verordnung, mit der sie inhaltlich eng verzahnt ist.

Was die Funkanlagenrichtlinie regelt

Die RED legt die grundlegenden Anforderungen fest, die eine Funkanlage erfüllen muss, bevor sie in der EU in Verkehr gebracht werden darf. Anders als die Maschinenverordnung ist sie als Richtlinie erlassen, wird also über nationales Recht umgesetzt – in Deutschland etwa über das Funkanlagengesetz (FuAG). Sie hat 2016 die vorherige R&TTE-Richtlinie 1999/5/EG abgelöst, die Funk- und Telekommunikationsendeinrichtungen bis dahin geregelt hatte, und den Anwendungsbereich seitdem auf alle Funkanlagen im engeren Sinne vereinheitlicht.

Im Kern unterscheidet Art. 3 der RED zwei Gruppen von Anforderungen:

Die grundlegenden Anforderungen nach Art. 3 Abs. 1 und 2: Schutz der Gesundheit und Sicherheit von Personen (vergleichbar den Anforderungen der Niederspannungsrichtlinie), elektromagnetische Verträglichkeit (EMV) sowie die effiziente Nutzung des Funkfrequenzspektrums, um Störungen zu vermeiden. Diese drei Anforderungen gelten für praktisch jede Funkanlage im Anwendungsbereich der Richtlinie.
Zusätzliche Anforderungen nach Art. 3 Abs. 3: Ein Katalog weiterer möglicher Anforderungen – etwa zum Schutz von Netzwerken, zur Interoperabilität oder zum Schutz der Privatsphäre –, die jedoch erst wirksam werden, wenn die EU-Kommission sie per delegiertem Rechtsakt für bestimmte Gerätekategorien aktiviert. Genau das ist mit den Cybersicherheitsanforderungen geschehen, die weiter unten beschrieben sind.

Anwendungsbereich: Was als Funkanlage gilt

Als Funkanlage im Sinne der RED gilt jedes elektrische oder elektronische Erzeugnis, das absichtlich Funkwellen aussendet oder empfängt, um Informationen zu senden oder zu empfangen. Das reicht von klassischen Funkgeräten über WLAN- und Bluetooth-fähige Consumer-Elektronik bis zu IoT-Geräten, die Daten über ein Mobilfunk- oder Funknetz übertragen. Nicht jedes elektronische Gerät mit einer Funkschnittstelle wird dadurch automatisch von derselben Rechtsgrundlage erfasst wie ein reines Endgerät – Geräte, die zugleich Maschine im Sinne der Maschinenverordnung oder Medizinprodukt sind, können zusätzlich unter weitere Rechtsakte fallen, deren Anforderungen dann kumulativ zu erfüllen sind.

Ob ein konkretes Produkt als Funkanlage im Sinne der RED einzuordnen ist und welche der zusätzlichen Anforderungen aus Art. 3 Abs. 3 dafür überhaupt aktiviert wurden, lässt sich nur anhand der genauen Produktausstattung und -funktion bestimmen.

Die neuen Cybersicherheitsanforderungen

Mit der Delegierten Verordnung (EU) 2022/30 hat die Kommission drei der in Art. 3 Abs. 3 RED angelegten zusätzlichen Anforderungen erstmals aktiviert – und damit für bestimmte Gerätekategorien verbindlich gemacht:

Netzwerkschutz (Art. 3 Abs. 3 Buchst. d): Die Funkanlage darf das Netzwerk, mit dem sie verbunden ist, nicht schädigen oder dessen Funktion beeinträchtigen.
Schutz der Privatsphäre und personenbezogener Daten (Art. 3 Abs. 3 Buchst. e): Die Funkanlage muss Vorkehrungen enthalten, die den Schutz personenbezogener Daten der Nutzer sicherstellen.
Schutz vor Betrug (Art. 3 Abs. 3 Buchst. f): Bestimmte Funktionen zur Betrugsprävention müssen unterstützt werden.

Betroffen sind vor allem internetfähige Funkanlagen (Netzwerkschutz gilt breit für diese Kategorie) sowie – speziell für Privatsphäre- und Betrugsschutz – Kinderbetreuungsgeräte, Spielzeug mit Fernsteuerungs- oder Überwachungsfunktion und tragbare Funkanlagen (Wearables). Anwendbar sind diese Anforderungen seit dem 1. August 2025 – ein Stichtag, der gegenüber der ursprünglichen Planung bereits einmal verschoben wurde, unter anderem weil die passenden harmonisierten Normen zunächst nicht rechtzeitig vorlagen.

Konformitätsbewertung und harmonisierte Normen

Wie bei anderen CE-relevanten Rechtsakten kann die Konformitätsbewertung für Funkanlagen in aller Regel als Selbstbewertung durch den Hersteller erfolgen (Modul A), sofern harmonisierte Normen angewendet werden, die eine Konformitätsvermutung auslösen. Fehlen anwendbare harmonisierte Normen oder wählt der Hersteller sie nicht vollständig an, ist die Einbindung einer Benannten Stelle erforderlich.

Für die neuen Cybersicherheitsanforderungen liegt inzwischen – anders als etwa bei der Maschinenverordnung oder dem CRA, wo entsprechende Normen noch weitgehend fehlen – mit der ETSI-Normenreihe EN 18031 ein konkretes Normenpaket vor, das Netzwerkschutz, Schutz der Privatsphäre und Datenschutz sowie Schutz vor Betrug jeweils in eigenen Teilnormen abbildet. Ob die für ein konkretes Produkt einschlägigen Teile dieser Normenreihe bereits im Amtsblatt zitiert sind und damit eine Konformitätsvermutung auslösen, sollte im Einzelfall aktuell geprüft werden – der Stand entwickelt sich fortlaufend weiter.

Unabhängig vom gewählten Bewertungsverfahren bleibt der Dokumentationskern derselbe wie bei anderen CE-relevanten Rechtsakten: technische Unterlagen, die Erfüllung und Prüfmethodik der einschlägigen Anforderungen belegen, eine EU-Konformitätserklärung sowie die sichtbare Anbringung der CE-Kennzeichnung auf dem Produkt oder, wo das nicht möglich ist, auf Verpackung und Begleitunterlagen. Welche Inhalte Anhang V der RED dafür konkret verlangt, ordnet der Beitrag zur technischen Dokumentation nach RED ein. Für Funkanlagen kommt eine Besonderheit hinzu: Werden bestimmte Frequenzbänder außerhalb der EU-weiten Harmonisierung nicht in allen Mitgliedstaaten gleichermaßen genutzt, muss das Gerät oder seine Verpackung zusätzlich mit einem Hinweis auf etwaige Nutzungsbeschränkungen versehen werden.

Das Verhältnis zum Cyber Resilience Act

Wer die Cybersicherheitsanforderungen der RED liest, erkennt schnell die inhaltliche Nähe zum Cyber Resilience Act: Beide Rechtsakte adressieren Cybersicherheit als Voraussetzung für die CE-Kennzeichnung. Um doppelte, möglicherweise widersprüchliche Prüfpflichten für dasselbe Produkt zu vermeiden, sieht der CRA vor, dass Produkte, deren Cybersicherheitsrisiken bereits durch andere einschlägige Unionsvorschriften abgedeckt sind, nicht zusätzlich denselben Anforderungen des CRA unterliegen – die RED-Cybersicherheitsanforderungen sind ein zentraler Anwendungsfall dieser Abgrenzung. Dies gilt jedoch nur bis zum finalen Inkrafttreten des Cyber Resilience Act: Die EU-Kommission hat bereits angekündigt, die Cybersicherheitsanforderungen der Funkanlagenrichtlinie zum 11. Dezember 2027 außer Kraft zu setzen. Funkanlagen, die nach diesem Datum in Verkehr gebracht werden müssen zusätzlich zur Funkanlagenrichtlinie auch die Schutzziele der CRA erfüllen.

Diese Abgrenzung ist jedoch kein Freifahrtschein: Deckt die RED nicht alle Cybersicherheitsrisiken eines konkreten Produkts ab – etwa weil es Funktionen hat, die über eine reine Funkanlage hinausgehen – bleibt der CRA für die nicht abgedeckten Aspekte relevant. Welches Regelwerk im Einzelfall greift, lässt sich nur anhand der konkreten Produktarchitektur bestimmen.

Was das für Ihr Unternehmen bedeutet

Für Hersteller internetfähiger Funkanlagen sind die Cybersicherheitsanforderungen der RED längst keine Zukunftsfrage mehr: Sie gelten bereits. Wer ein betroffenes Produkt entwickelt oder auf den Markt bringt, sollte klären, ob die passenden Teile der EN-18031-Normenreihe für das eigene Produkt anwendbar und im Amtsblatt zitiert sind – und, davon unabhängig, ob das Produkt zusätzlich in den Anwendungsbereich des Cyber Resilience Act fällt.

Ob und in welchem Umfang die RED, der CRA oder beide Regelwerke gleichzeitig für Ihr Produkt gelten, hängt von der konkreten Funktionsausstattung ab – das lässt sich pauschal nicht beantworten. In einem unverbindlichen Erstgespräch ordnen wir gemeinsam ein, welche Anforderungen für Ihre Funkanlage konkret greifen und welcher Prüf- und Dokumentationsaufwand realistisch ist.

Dieser Artikel ist die Übersichtsseite zum Thema Funkanlagenrichtlinie (RED). Vertiefend geht der Beitrag zur technischen Dokumentation nach RED auf Anhang V ein; weitere Beiträge – etwa zur Abgrenzung gegenüber dem Cyber Resilience Act oder zur EN-18031-Normenreihe – folgen, sobald sie verfügbar sind.