RED-Cybersicherheit und Data Act: was seit 2025 gilt

Innerhalb von sechs Wochen in diesem Sommer sind zwei EU-Rechtsakte wirksam geworden, die verändern, wie vernetzte Geräte in Europa entwickelt und verkauft werden. Am 1. August 2025 wurden die Cybersicherheitsanforderungen der Funkanlagenrichtlinie (RED) verbindlich. Am 12. September 2025, vergangenen Freitag, begann die Anwendung des Data Act.

Beide wurden vor Jahren verabschiedet, und doch klären viele Hersteller – vor allem von außerhalb der EU – erst jetzt, was sie in der Praxis bedeuten. Seit Anfang 2024 begleiten wir bei EMBIQ einen Hersteller vernetzter Geräte von außerhalb der EU bei seinem Markteintritt in Europa, beschrieben in einem früheren Beitrag, und die Cybersicherheit erreichte dieses Projekt lange vor der gesetzlichen Frist. Hier lesen Sie, was die Regeln verlangen, was wir in der Praxis gesehen haben und was als Nächstes kommt.

RED-Cybersicherheit: Was sich am 1. August geändert hat

Die Delegierte Verordnung (EU) 2022/30 der Kommission hat drei grundlegende Anforderungen der RED aktiviert, die bis dahin nur auf dem Papier standen. Sie sollte ab August 2024 gelten; die Delegierte Verordnung (EU) 2023/2444 verschob den Termin auf den 1. August 2025.

• Art. 3 Abs. 3 lit. d: Das Gerät darf weder dem Netz schaden noch Netzressourcen missbrauchen;
• Art. 3 Abs. 3 lit. e: Es muss Schutzmaßnahmen für personenbezogene Daten und Privatsphäre enthalten;
• Art. 3 Abs. 3 lit. f: Ermöglicht es die Übertragung von Geld, Geldwert oder virtueller Währung, muss es Funktionen zum Schutz vor Betrug unterstützen.

Sie gelten für Funkanlagen, die über das Internet kommunizieren können, direkt oder über ein anderes Gerät; die Anforderung zum Datenschutz umfasst außerdem Kinderbetreuungsgeräte, funkgesteuertes Spielzeug und Wearables.

Die harmonisierten Normen EN 18031-1, -2 und -3, je eine pro Anforderung, haben CEN und CENELEC im August 2024 veröffentlicht; der Durchführungsbeschluss (EU) 2025/138 der Kommission vom 28. Januar 2025 hat sie im Amtsblatt genannt – mit Einschränkungen. Die wichtigste betrifft alle drei Teile: Nutzt ein Produkt die Option aus den Abschnitten 6.2.5.1 und 6.2.5.2, nach der der Nutzer kein Passwort festlegen oder verwenden muss, begründet die Norm keine Konformitätsvermutung. Weitere Einschränkungen betreffen die Kindersicherung bei Spielzeug und Kinderbetreuungsgeräten (EN 18031-2) sowie sichere Updates (EN 18031-3). Greift eine Einschränkung oder wird eine Norm nur teilweise angewandt, braucht der Hersteller eine benannte Stelle.

Jedes Gerät, das ab dem 1. August 2025 in der EU in Verkehr gebracht wird, muss diese Anforderungen erfüllen. Früher in Verkehr gebrachte Geräte sind nicht rückwirkend betroffen, dasselbe Modell, das heute ausgeliefert wird, dagegen schon.

Was wir in der Praxis gesehen haben

• Zertifikate altern. Die EU-Baumusterprüfbescheinigung des Geräts nach der RED, Mitte 2024 von einer benannten Stelle ausgestellt, deckt Gesundheit, Sicherheit, EMV und Funkspektrum ab. Zu Art. 3 Abs. 3 lit. d, e oder f sagt sie nichts, weil damals nichts davon verlangt war. Für Geräte, die nach dem 1. August in Verkehr gebracht werden, ist das nicht mehr das vollständige Bild – und genau die CE-Unterlagen verlangte der Zoll bei der Einfuhr einer der Lieferungen dieses Sommers.
• Industriepartner sind früher dran. Ein Jahr vor der gesetzlichen Frist schickte ein Partner aus der Fahrzeugindustrie eigene Cybersicherheitsanforderungen für das Gerät, mit den üblichen Themen: Secure Boot und Updates, Schlüsselspeicherung, Debug-Schnittstellen, drahtlose Kopplung, Penetrationstests und Umgang mit Schwachstellen. Zu jeder Anforderung brauchte es eine klare Position, die Lücken flossen in eine Risikobewertung ein. Der Partner bewertet außerdem die Organisation des Lieferanten, über TISAX oder ISO/IEC 27001.
• Die Hardware setzt die Grenze. Die meisten Absagen und Vorbehalte hatten eine Ursache: Der Mikrocontroller bot die geforderte Isolation oder sichere Ausführungsumgebung nicht. Firmware kann keine Sicherheitshardware nachrüsten, die dem Chip fehlt; am günstigsten erfüllt man die Anforderungen von RED und CRA bei der Wahl des Chips.

Data Act: Nutzer erhalten Zugang zu ihren Gerätedaten

Die Verordnung (EU) 2023/2854 ist am 11. Januar 2024 in Kraft getreten und gilt ab dem 12. September 2025. Nutzer vernetzter Produkte und verbundener Dienste haben das Recht, auf die Daten zuzugreifen, die bei der Nutzung entstehen, und sie an einen Dritten ihrer Wahl weitergeben zu lassen. Der Dateninhaber darf ohne Weiteres verfügbare nicht personenbezogene Daten nur auf Grundlage eines Vertrags mit dem Nutzer verwenden. Zwei Termine sind wichtig:

• 12. September 2025: Transparenz vor Vertragsschluss. Nutzer müssen erfahren, welche Daten das Produkt erzeugt, in welchem Format und Umfang und wie sie darauf zugreifen können; bei verbundenen Diensten auch, wer die Daten zu welchem Zweck nutzt.
• Nach dem 12. September 2026: Zugang durch Design. Vernetzte Produkte und verbundene Dienste, die nach diesem Datum in Verkehr gebracht werden, müssen dem Nutzer die Daten standardmäßig bereitstellen: einfach, sicher, unentgeltlich, in einem strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch machbar, direkt.

Kleinst- und Kleinunternehmen sind weitgehend ausgenommen; der Data Act regelt außerdem unfaire Vertragsklauseln und den Wechsel zwischen Cloud-Anbietern. Bei Abonnementdiensten sollten die Nutzungsbedingungen geprüft werden, und die technische Seite – von Datenmodellen, APIs und Exportformaten bis zur Autorisierung Dritter und zu Einwilligungsabläufen neben der DSGVO – gehört schon jetzt in die Roadmap.

Was als Nächstes kommt: der Cyber Resilience Act

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, ist am 10. Dezember 2024 in Kraft getreten und weitet Cybersicherheitsanforderungen auf fast alle Produkte mit digitalen Elementen aus, auch auf Software. Die Regeln zu benannten Stellen gelten ab dem 11. Juni 2026. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden; ab dem 11. Dezember 2027 gelten alle Pflichten, darunter Security by Design und Sicherheitsupdates über den gesamten Supportzeitraum. Was jetzt für die RED getan wird, zahlt direkt auf die CRA-Bereitschaft ein. Und seit dem 13. Dezember 2024 verlangt die Allgemeine Produktsicherheitsverordnung (GPSR) für jedes Verbraucherprodukt einen in der EU niedergelassenen Wirtschaftsakteur.

Eine kurze Checkliste

1. Zertifikate prüfen: Decken sie Art. 3 Abs. 3 lit. d, e und f für Geräte ab, die nach dem 1. August 2025 ausgeliefert werden?
2. Risikobewertung je Produkt dokumentieren; sie dient heute der technischen Dokumentation nach RED und morgen der CRA-Dokumentation.
3. Typische Lücken schließen: keine gemeinsamen Standardpasswörter, verschlüsselte Kommunikation, authentifizierte Updates, sichere Schlüsselspeicherung, wenige offene Dienste; die Einschränkungen der EN 18031 früh prüfen.
4. Produktdaten erfassen, die vorvertraglichen Informationen veröffentlichen und den Datenzugang für Produkte planen, die nach dem 12. September 2026 auf den Markt kommen.
5. Umgang mit Schwachstellen vorbereiten, und zwar vor September 2026: eine Kontaktstelle, eine Richtlinie zur Offenlegung, eine Software-Stückliste (SBOM) und ein schneller Weg, Korrekturen auszuliefern.

Für vernetzte Geräte ist 2025 das Jahr, in dem EU-Konformität zu einer Frage von Software, Daten und Prozessen geworden ist, nicht nur von Funk und Sicherheit. Wer RED, Data Act und CRA als ein gemeinsames Programm behandelt, erledigt die Arbeit nur einmal. Wenn Sie ein vernetztes Produkt auf diese Anforderungen vorbereiten, sehen Sie sich unsere Leistungen Produktanpassung für Europa und IoT an oder sprechen Sie uns an.