Fordert die Funkgeräterichtlinie (RED) die Erfüllung von Security?

Konkrete Inhalte der Verordnung

Die Verordnung wurde von der EU-Kommission im Amtsblatt der Europäischen Union als „Ergänzung der Richtlinie 2014/53/EU (…) im Hinblick auf die Anwendung der grundlegenden Anforderungen, auf die in Artikel 3 Absatz 3 Buchstaben d, e und f der Richtlinie Bezug genommen wird“, veröffentlicht.¹

In der Richtlinie wurde der Kommission die Befugnis zugeteilt, im Rahmen von delegierten Rechtsakten festzulegen, „welche Kategorien oder Klassen von Funkanlagen“ unter die in Artikel 3 genannten Anforderungen fallen.

Ein solcher Rechtsakt ist nun die Verordnung 2022/30: diese legt fest, dass „mit dem Internet verbundene Funkanlagen“ ebenfalls unter diese Anforderungen fallen.

Dies bedeutet im erweiterten Sinne, dass beispielsweise Maschinen, die über einen drahtlosen Netzwerkanschluss mit dem Internet verbunden sind, keine „schädlichen Auswirkungen auf das Netz oder seinen Betrieb“ ausüben dürfen sowie „Funktionen zum Schutz vor Betrug“ und den Schutz personenbezogener Daten gewährleisten müssen.

Selbstverständlich muss eine Maschine rechtlich nur dann die Cybersecurity-Anforderungen der RED erfüllen, wenn die Maschine eine Funkschnittstelle besitzt und damit als Funkanlage selbst unter die Funkgeräterichtlinie fällt. Verfügt eine Maschine ausschließlich über drahtgebundene Schnittstellen, so ist sie in diesem Fall keine Funkanlage und fällt somit nicht unter die RED. Es gelten dann die anderen einschlägigen Vorschriften, wie z. B. die Maschinenrichtlinie und die EMV-Richtlinie, in Zukunft auch die neue Maschinenverordnung und ggf. der neue Cyber Resilience Act.
 

Zeitpunkt des Inkrafttretens und weiterführende Informationen

Gemäß den Angaben der Kommission ist die Verordnung ab dem 20. Tag der Veröffentlichung im Amtsblatt wirksam (1.2.2022), ab 1.8.2025² müssen betroffene Produkte dann die neuen Anforderungen verpflichtend erfüllen.
 

Harmonisierte Normen für die Security-Anforderungen

Die europäischen Normungsorganisationen (ESO) CEN/CENELEC kündigten nach Veröffentlichung der Verordnung 2022/30 an, einschlägige Normen für diese Anforderungen zu erarbeiten. Das gemeinsame technische Komitee JTC13 (Cybersecurity und Datenschutz) entwickelte daraufhin folgende Normen: 

• EN 18031-1:2024 – Gemeinsame Sicherheitsanforderungen für Funkanlagen - Teil 1: Funkanlagen mit Internetanschluss
• EN 18031-2:2024 – Gemeinsame Sicherheitsanforderungen für datenverarbeitende Funkanlagen, namentlich mit dem Internet verbundene Funkanlagen, in der Kinderbetreuung eingesetzte Funkanlagen, in Spielzeug eingesetzte Funkanlagen sowie an einem Teil des menschlichen Körpers oder an Kleidungsstücken getragene Funkanlagen
• EN 18031-3:2024 – Gemeinsame Sicherheitsanforderungen für mit dem Internet verbundene Funkanlagen, die für die Datenverarbeitung im Zusammenhang mit virtuellen Währungen oder monetären Werten eingesetzt werden

Laut der Website vom Herausgeber CEN/CENELEC wurden diese Normen am 1.8.2024 ratifiziert, in den nächsten Wochen erfolgt die Auslieferung der finalen Versionen an die nationalen Mitglieder zur Publikation. Von dort können Anwender dann in weiterer Folge die jeweiligen Volltexte der Normen erwerben. 

Zur Listung der Normen im EU-Amtsblatt nach der Funkgeräterichtlinie wurden die Normen durch sogenannte HAS-Consultants (Experten der Wirtschaftsprüfungsgesellschaft EY) bewertet. Diese Bewertung der drei Teile durch die zuständigen Consultants fiel jedoch negativ aus, stattdessen raten sie dem zuständigen Technischen Komittee zur Neuformulierung von Inhalten. Somit bleibt abzuwarten, ob die Normen überhaupt im EU-Amtsblatt oder unter Umständen nur mit Einschränkung veröffentlicht werden.³ 

Sollten die Normen bis zum 01.08.2025 nicht im Amtsblatt der EU (OJEU) gelistet sein - also weiterhin keine Freigabe durch die HAS-Consultants vorliegen -, so muss die Konformität der betroffenen Funkanlagen bis zu einer eventuellen Listung durch eine benannte Stelle nachgewiesen werden. Auf den Seiten der EU-Kommission ist eine solche Liste der "Notified Bodies" zur Funkgeräterichtlinie einzusehen. 
 

Link zur delegierten Verordnung

Interessierte Leser können den Volltext der Verordnung im Portal EUR-LEX nachlesen.