Hersteller von Funkanlagen haben die EN 18031 gerade hinter sich: Mechanismen benannt, Anwendbarkeit begründet, Nachweise abgelegt. Ab dem 11. Dezember 2027 gilt der Cyber Resilience Act (CRA), und dafür entsteht mit der EN 40000-Reihe ein eigenes Normenpaket. Welche dieser Nachweise Sie mitnehmen können, entscheidet deren Teil 1-4.
Um die Frage zu beantworten, muss man wissen, woraus die EN 18031 besteht. Sie ist eine dreiteilige europäische Normenreihe, die Funkanlagen absichert, und deckt die drei Anforderungen an die Cybersicherheit ab, die die Delegierte Verordnung (EU) 2022/30 unter der Funkanlagenrichtlinie (RED) aktiviert hat: Sie schützt das Netz, sie schützt personenbezogene Daten und die Privatsphäre, und sie schützt vor Betrug.
| Teil | Grundlegende Anforderung nach Artikel 3 Absatz 3 RED | Mechanismenfamilien |
|---|---|---|
| EN 18031-1 | Buchstabe d, Schutz des Netzes vor Schädigung und Missbrauch von Netzressourcen | ACM, AUM, SUM, SSM, SCM, RLM, NMM, TCM, CCK, GEC, CRY |
| EN 18031-2 | Buchstabe e, Schutz personenbezogener Daten und der Privatsphäre | Familien aus Teil 1 ohne RLM, NMM und TCM, dafür LGM, DLM und UNM |
| EN 18031-3 | Buchstabe f, Schutz vor Betrug | Teilmenge der Familien aus Teil 1 und Teil 2 |
Entscheidend für alles Weitere ist der Aufbau innerhalb einer Familie. Zuerst kommt eine Anforderung zur Anwendbarkeit, die klärt, ob der Mechanismus für dieses Produkt überhaupt gilt. Erst danach folgen die Anforderungen an die Angemessenheit. Wer die Anwendbarkeit verneinte und die Begründung dokumentierte, war für diese Familie fertig.
Warum der CRA die EN 18031 einsammelt
Erwägungsgrund 30 des Cyber Resilience Act hält fest, dass die grundlegenden Anforderungen des CRA alle Elemente der drei RED-Anforderungen umfassen, und verlangt, die Normungsarbeit aus dem Durchführungsbeschluss C(2022) 5637 zu berücksichtigen. Aus diesem Auftrag ist die EN 18031-Reihe hervorgegangen.
Die CRA-Normung läuft unter einem eigenen Normungsauftrag der Kommission vom Februar 2025, den die Normungsgremien als Mandat M/606 führen. Dort entsteht die EN 40000-1-4 als horizontale Norm für die technischen Anforderungen. Sie liegt aktuell im Entwurf vor, Arbeitsstand Juli 2026.
Die EN 40000-1-4 macht diesen Bezug ausdrücklich: Sie übernimmt die Kennungen der EN 18031 und enthält einen Anhang, der jede alte Anforderung als namensgleich, umbenannt, zusammengeführt, gestrichen oder neu kennzeichnet. Namensgleich heißt dabei nicht inhaltlich unverändert, auch dort wurden die Inhalte an den CRA angepasst. Den Stand der horizontalen Normen der EN 40000-Reihe ordnen wir separat ein.
Was sich in den Anforderungskategorien geändert hat
Die EN 40000-1-4 führt 18 Control-Familien. Vierzehn davon stammen aus der EN 18031, vier sind neu. Die Zahl der Einzelanforderungen wächst von 44 auf 65.
| Was mit der Familie passiert ist | Familien | Anforderungen EN 18031 zu EN 40000-1-4 |
|---|---|---|
| Neu hinzugekommen | Datenminimierung (DTM), Überwachung (MON), Schutz verarbeiteter Daten (SPD), Begrenzung der Auswirkungen auf fremde Systeme (LIM) | 0 zu 11 |
| Übernommen und ausgebaut | allgemeine Produkteigenschaften (GEC), Aktualisierung (SUM), Widerstandsfähigkeit (RLM), Protokollierung (LGM), Kryptografie (CRY) | GEC 8 zu 14, SUM 3 zu 7, RLM 1 zu 6, LGM 4 zu 6, CRY 1 zu 2 |
| Anwendbarkeit gestrichen | Zugriffskontrolle (ACM), Authentisierung (AUM), Kommunikation (SCM), Speicherung (SSM) | ACM 6 zu 1, AUM 6 zu 5, SCM 4 zu 3, SSM 3 zu 2 |
| Anwendbarkeit umgeschrieben | Löschung (DLM), Nutzerbenachrichtigung (UNM), Netzüberwachung (NMM), Verkehrssteuerung (TCM) | zusammen 5 zu 5 |
| Unverändert übernommen | kryptografische Schlüssel (CCK) | 3 zu 3 |
Der Rückgang in der dritten Gruppe täuscht. Dort ist keine Anforderung an das Produkt entfallen, sondern die vorgeschaltete Frage, ob die Familie überhaupt gilt. Nur bei der Zugriffskontrolle kommt echter Wegfall hinzu: Die vier Anforderungen zu Spielzeug und Kinderbetreuung aus der EN 18031-2 sind gestrichen. Auch in der zweiten Gruppe verschwindet die Vorschaltfrage übrigens, bei Protokollierung und Widerstandsfähigkeit; dort geht sie im Zuwachs unter.
Der eigentliche Bruch liegt bei der Anwendbarkeit
Die EN 40000-1-4 versteht sich als Katalog. Sie beschreibt, was ein technisches Control leisten soll, verlangt aber nicht, dass jedes Produkt jedes Control umsetzt. Das „shall” greift erst, wenn die Bewertung der Cybersicherheitsrisiken das Control ausgewählt hat. Für das eine Produkt bleibt der Katalog deshalb kurz, für das andere lang.
Die zweistufige Logik der EN 18031 verschwindet dabei auf zwei Wegen. Vier dieser Anforderungen entfallen als eigenständige Anforderung, bei der Zugriffskontrolle wandert ihr Inhalt in die Sachanforderung. Sieben weitere sind in Sachanforderungen umgeschrieben: Aus der Anwendbarkeit der Update-Mechanismen wird die Anforderung, dass alle nicht unveränderlichen Softwarekomponenten aktualisierbar sein müssen. Die Entscheidung selbst verlangt jetzt der CRA an anderer Stelle. Nach Artikel 13 Absatz 3 gibt die Bewertung der Cybersicherheitsrisiken an, ob und in welcher Weise die Anforderungen aus Anhang I Teil I Nummer 2 für das Produkt gelten.
In Konformitätsbewertungen war die Anwendbarkeit die bequemste Stelle der ganzen Norm. Wer eine Familie für nicht anwendbar erklärte, musste ihre Anforderungen nicht umsetzen, sondern nur begründen, warum sie nicht greift. Die Begründung landete im Handbuch, und damit war der Punkt abgeräumt. Das hat sich herumgesprochen: Hersteller haben sich schnell auf die Nicht-Anwendbarkeit berufen und die Anforderungen dahinter gar nicht erst angefasst.
Wenn die Anwendbarkeit aus der Risikobewertung folgt, hält diese Abkürzung nicht mehr. Nehmen Sie das Bedienpanel einer Maschine. Bisher ließ sich argumentieren, an das Gerät komme im Betrieb ohnehin niemand heran, also braucht es dort weder Zugriffskontrolle noch Authentisierung. Steht die Maschine aber in einer Halle, durch die regelmäßig Besuchergruppen geführt werden, sieht die Risikobewertung anders aus. Dann brauchen Sie am Panel ein Passwort, das Sie vorher nicht gebraucht haben. Der Bedarf an Zugriffskontrolle und Authentisierung verschwindet nicht, nur die Begründung, sie zu überspringen, deckt die Einsatzumgebung nicht mehr.
Was die vier neuen Kategorien verlangen
Für die vier neuen Familien gibt es aus der RED-Umsetzung keine Vorarbeit. Sie tragen zusammen elf Anforderungen und decken vier Punkte ab, die der CRA in Anhang I Teil I Nummer 2 verlangt, die RED aber nicht kannte:
- Datenminimierung. Das Produkt verarbeitet nur, was die Zweckbestimmung erfordert, schon in der Standardkonfiguration. Betrifft den industriellen IoT-Sensor, der neben dem Messwert routinemäßig Seriennummer, Firmwarestand und Standortdaten mitschickt.
- Überwachung sicherheitsrelevanter Aktivitäten. Die Norm führt Protokollieren und Überwachen als zwei getrennte Familien. Für einen Embedded Controller mit Web-Interface reicht das vorhandene Log damit nicht.
- Schutz verarbeiteter Daten. Nicht nur gespeicherte und übertragene Daten, sondern auch die gerade in Verarbeitung befindlichen.
- Begrenzung der Auswirkungen auf fremde Systeme. Gemeint sind Produkte, die selbst zum Werkzeug eines Angriffs werden können: ausgehenden Verkehr begrenzen, im Verdachtsfall in einen eingeschränkten Netzbetriebsmodus wechseln. In der Maschine trifft das den integrierten Switch und die Zellenfirewall.
Auch der Zuwachs bei den ausgebauten Familien liegt dort, wo der CRA über die RED hinausgeht: sichere Standard- und Startkonfiguration, Rücksetzen auf den Ursprungszustand, Verzicht auf nicht benötigte Softwarekomponenten, das Verhalten automatischer Updates, Wiederherstellung nach Vorfällen.
Wie viel Ihrer RED-Arbeit für den CRA zählt
Artikel 69 Absatz 1 CRA regelt den Übergang: EU-Baumusterprüfbescheinigungen, die für Anforderungen an die Cybersicherheit nach anderen Harmonisierungsrechtsvorschriften erteilt wurden, bleiben bis zum 11. Juni 2028 gültig. Das trifft auf RED-Bescheinigungen zu, hat aber zwei Haken. Die Bescheinigung deckt nur die Risiken ab, die sie geprüft hat, und Artikel 13 Absatz 2 CRA verpflichtet Sie ohnehin zu einer eigenen Risikobewertung. Vor allem aber gilt der Übergang nur, wenn Sie überhaupt eine Bescheinigung besitzen. Eine EU-Baumusterprüfbescheinigung stellt eine benannte Stelle aus. Wer die EN 18031 angewandt und die Konformität selbst erklärt hat, hat nichts, was übergehen könnte.
Damit lässt sich Ihr Bestand sortieren. Die Nachweise zu Zugriffskontrolle, Authentisierung, Speicherung, Kommunikation und kryptografischen Schlüsseln nehmen Sie mit, prüfen sie aber inhaltlich nach; ein Umetikettieren der Kennungen genügt nicht. Neu bauen müssen Sie die vier neuen Familien, die zusätzlichen Update- und Resilienz-Anforderungen und die gesamte Schwachstellenbehandlung nach Anhang I Teil II CRA, für die es in der EN 18031 keine Entsprechung gibt. Und Sie schreiben jede Begründung zur Anwendbarkeit um, die auf dem alten Zweistufenmodell beruht. Wie sich der Übergang von der RED zum CRA insgesamt darstellt, ordnet unser Beitrag zur Aufhebung des RED-Delegated-Act ein.
Für viele Funkanlagen gilt am Ende eine ETSI-Norm
Bevor Sie Ihre Nachweise gegen den horizontalen Katalog abgleichen, klären Sie, ob die EN 40000-1-4 für Ihr Produkt überhaupt die richtige Norm ist. Router, Modems und WLAN-Zugangspunkte gehören zu den Funkanlagen, die heute nach EN 18031 geprüft werden. Der CRA führt sie in Anhang III als wichtige Produkte der Klasse I, die Durchführungsverordnung (EU) 2025/2392 liefert die technische Beschreibung dazu, und für genau diese Kategorie entsteht mit der ETSI EN 304 627 eine eigene Norm. Sie nennt kabelgebundene und drahtlose Router ebenso wie Bridges und damit WLAN-Zugangspunkte. Wer ein solches Produkt baut, wird seine Konformität voraussichtlich darüber nachweisen und nicht über die EN 40000-1-4, sobald die Norm im Amtsblatt zitiert ist.
Zwei Einschränkungen stehen im Anwendungsbereich. Geräte ohne Verwaltungsfunktion fallen heraus, und Produkte für den industriellen OT-Bereich nimmt die Norm ausdrücklich aus; für sie verweist sie auf das OT-Profil der EN 50770-Reihe. Für Firewalls sowie IDS und IPS ist die ETSI EN 304 636 zuständig, dort stuft der CRA die Produkte allerdings als Klasse II ein.
Die Vertikalnormen sprechen dabei eine eigene Sprache. Keine der Vertikalnormen, die wir geprüft haben, referenziert die EN 18031 oder die EN 40000-1-4 normativ, und jede nutzt ein eigenes Anforderungsschema. Aus der EN 40000-Reihe zitieren sie nur die Begriffsnorm. Gemeinsamer Nenner bleibt Anhang I des CRA, auf den jede über ihren eigenen Anhang zurückmappt. Dafür liefern sie mit, was die horizontale Norm offenlässt: Die ETSI EN 304 627 enthält eine ausgearbeitete Bedrohungslandschaft samt Bewertungsrahmen. Die horizontale Norm gibt Ihnen den Katalog und überlässt Ihnen die Bedrohungsanalyse.
Warum die Stränge auseinanderlaufen, zeigt der Normungsauftrag. Er fordert 41 Normungsvorhaben an, verlangt Kohärenz aber nur mit der Rahmennorm und mit der Norm zur Schwachstellenbehandlung; die Angleichung an die übrigen Horizontalnormen nennt er lediglich als Ziel, das zu berücksichtigen sei. Dazu kommt der Zeitplan: Rahmennorm und Schwachstellenbehandlung sind zum 30. August 2026 fällig, sämtliche 26 Vertikalnormen zum 30. Oktober 2026, die dreizehn übrigen Horizontalnormen erst zum 30. Oktober 2027. Die Vertikalnormen sind also ein Jahr vor dem Großteil der horizontalen Anforderungen terminiert.
Der Auftrag erwartet, dass sich beide Stränge über die regulären Überarbeitungszyklen annähern. Wir halten das für zu optimistisch. Angleichen hieße, in 26 Normen das Anforderungsschema auszutauschen und jede erneut durch die Abstimmung zu schicken, für einen Gewinn, den nur Normungsfachleute sehen. Rechnen Sie damit, dass die Vokabulare nebeneinander bestehen bleiben.
Für den Maschinen- und Anlagenbau kommt ein zweiter Strang dazu: Die EN 50770-Reihe entwickelt OT-Profile auf Basis der IEC 62443. Die beiden Stränge kennen einander immerhin: Die ETSI-Normen nehmen den industriellen Bereich aus und verweisen auf die OT-Profile. Einen Überblick geben unsere ETSI-Normenentwürfe zum CRA.
Was das für Ihre Planung heißt
Warten Sie mit der Umsetzung nicht auf die Normreife. Der Katalog liegt vor, die zusätzlichen Anforderungen sind benannt, und der Aufwand für Datenminimierung, Update-Verhalten und Resilienz fällt in der Entwicklung an, nicht in der Dokumentation. Wer bis zur Amtsblatt-Listung wartet, verliert die Zeit, die er für Konstruktionsänderungen braucht.
Testen Sie parallel dazu, um das tatsächliche Risiko zu erkennen. Nur weil es auf dem Papier passt, ist es noch lange nicht korrekt implementiert. Das gilt für die neuen Familien besonders, weil dort weder Prüferfahrung noch eingespielte Nachweisformate existieren.
Beim Zeitplan sind wir skeptisch. Der Normungsauftrag setzt die letzten Horizontalnormen auf den 30. Oktober 2027, und danach muss die Kommission jede Norm noch bewerten und im Amtsblatt zitieren, bevor sie eine Konformitätsvermutung trägt. Bis zum 11. Dezember 2027 bleiben dafür sechs Wochen. Planen Sie deshalb einen Weg ein, der ohne Konformitätsvermutung auskommt: die eigene Risikobewertung, aus der Sie ohnehin herleiten müssen, welche Anforderungen für Ihr Produkt gelten.
Die Aussagen zur EN 40000-1-4 beruhen auf einem nicht öffentlichen Arbeitsentwurf von CEN und CENELEC vom Juli 2026. Die Angaben zum Normungsstand haben den Stand August 2026.
Kommentar hinzufügen