Kommunikationstechnik: Standards, Zulassung, Sicherheitsanforderungen

Worauf sollten Sie im Angebot oder Vertrag achten?

• Ist die Konformitätsbewertung abgeschlossen, bevor das CE-Kennzeichen angebracht wird?
• Erfüllen internetfähige Funkgeräte die Cybersicherheitsanforderungen, und greifen die Einschränkungen der EN 18031?
• Sind Bezugsquellen und Abnehmer zehn Jahre lang dokumentiert?
• Ist die Meldung aktiv ausgenutzter Schwachstellen nach dem CRA organisiert?
• Gibt es eine SBOM und einen kommunizierten Supportzeitraum?

Welche grundlegenden Anforderungen gelten für Funkanlagen?

Funkanlagen müssen sicher, elektromagnetisch verträglich und spektrumseffizient sein. Das regelt § 4 Abs. 1 und 2 FuAG. Geschützt werden Gesundheit und Sicherheit von Menschen und Tieren sowie Güter. Für bestimmte Gerätekategorien legt die EU-Kommission in delegierten Rechtsakten weitere Anforderungen fest (§ 4 Abs. 3 FuAG). Dazu gehören: keine schädlichen Auswirkungen auf das Netz und Schutz personenbezogener Daten und der Privatsphäre. Hinzu kommen Funktionen zum Schutz vor Betrug (Quelle: gesetze-im-internet.de/fuag/__4.html; Stand: Oktober 2026).

Das CE-Kennzeichen kommt erst nach dem Konformitätsnachweis aufs Gerät. Nach § 19 FuAG ist es an Funkanlagen anzubringen, deren Konformität mit § 4 FuAG nachgewiesen wurde. Das muss geschehen, bevor die Geräte in Verkehr gebracht werden. Es gelten die Grundsätze nach Artikel 30 der Verordnung (EG) Nr. 765/2008 (Quelle: gesetze-im-internet.de/fuag/__19.html; Stand: Oktober 2026).

Wirtschaftsakteure müssen ihre Lieferkette zehn Jahre lang benennen können. Nach § 16 FuAG nennen sie der Bundesnetzagentur auf Verlangen, von wem sie eine Funkanlage bezogen haben. Ebenso nennen sie, an wen sie eine abgegeben haben. Die Pflicht gilt zehn Jahre nach Abgabe oder Bezug (Quelle: gesetze-im-internet.de/fuag/__16.html; Stand: Oktober 2026).

Welche Cybersicherheitsanforderungen gelten seit August 2025?

Seit dem 1. August 2025 gelten Cybersicherheitsanforderungen für vernetzte Funkgeräte. Betroffen sind laut BSI Geräte mit Bluetooth oder WiFi, die mit dem Internet verbunden sind. Hersteller müssen den Schutz von Netzwerken, der Privatsphäre und vor Betrug umsetzen. Nur dann dürfen sie die Geräte im EU-Binnenmarkt verkaufen. Grundlage ist die delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie. Die harmonisierten Normen EN 18031-1/-2/-3 sind seit dem 30. Januar 2025 im Amtsblatt der EU zitiert. Das geschah mit Einschränkungen. Diese betreffen laut BSI das zwingende Setzen von Nutzerpasswörtern und die Zugangssteuerung durch Eltern bei Spielzeug. Außerdem betreffen sie Geräte für finanzielle Transaktionen (Quelle: bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250130_RED_Cybersicherheit.html; Stand: Oktober 2026).

Was bringt der Cyber Resilience Act für Hersteller von Kommunikationstechnik?

Der Cyber Resilience Act (CRA) erfasst grundsätzlich alle vernetzten Produkte. Laut BSI gilt er für Produkte mit digitalen Elementen, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. Beispiele sind Smartphones, Smarthome-Produkte, Firewalls und Mikroprozessoren. Hersteller müssen eine Risikobewertung durchführen und eine Software Bill of Materials (SBOM) erstellen. Während des Supportzeitraums müssen sie Sicherheitsupdates bereitstellen. Dieser beträgt laut BSI in der Regel fünf Jahre. Für die meisten Produkte genügt eine Selbstbewertung der Konformität (Quelle: bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html; Stand: Oktober 2026).

Die Meldepflichten des CRA gelten laut BSI seit dem 11. September 2026. Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über eine zentrale Plattform. Eine Frühwarnung ist binnen 24 Stunden fällig, eine detailliertere Meldung binnen 72 Stunden (Quelle: bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/Single_Reporting_Platform-CRA/single_reporting_platform-cra.html; Stand: Oktober 2026).

Alle übrigen CRA-Anforderungen gelten für neue Produkte ab dem 11. Dezember 2027. Das schreibt das BSI in seiner Erklärung des CRA (Quelle: bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Technologien_sicher_gestalten/CRA-einfach-erklaert/cra-einfach-erklaert_node.html; Stand: Oktober 2026).

Wie streng ist die Marktüberwachung?

Die Bundesnetzagentur fand 2024 rund 8.000 nicht konforme Typen elektrischer Geräte. Betroffen waren mehr als 5,3 Millionen Geräte, wie sie am 6. Februar 2025 mitteilte. Einige wiesen erhebliche Mängel auf. Geräte mit technischen oder formalen Mängeln dürfen laut Bundesnetzagentur in Deutschland nicht angeboten werden. Beispiele sind fehlende Angaben zum verantwortlichen Wirtschaftsakteur in der EU oder eine fehlende CE-Kennzeichnung (Quelle: bundesnetzagentur.de/SharedDocs/Pressemitteilungen/DE/2025/20250205_Marktueberwachung.html; Stand: Oktober 2026).

Für den CRA ist das BSI die Marktüberwachungsbehörde. Das teilte das BSI am 7. Oktober 2025 mit. Es kann Produkte stichprobenartig oder gezielt prüfen. Bei Verstößen sind Bußgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Vorjahresumsatzes möglich. Nicht konforme Produkte kann das BSI vom Markt nehmen (Quelle: bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251007_CRA_BSI_marktueberwachende_Behoerde.html; Stand: Oktober 2026).

Müssen Netzbetreiber Ihre Endgeräte anschließen?

Ja, wenn die Geräte die EMV-Anforderungen erfüllen. Nach § 73 Abs. 3 TKG dürfen Netzbetreiber und Anbieter den Anschluss dann nicht verweigern. Maßstab sind die grundlegenden Anforderungen der Richtlinie 2014/30/EU. Zugangsdaten müssen sie Endnutzern in Textform, unaufgefordert und kostenfrei bei Vertragsschluss geben. Für Hersteller von Routern und Endgeräten öffnet das den Markt (Quelle: gesetze-im-internet.de/tkg_2021/__73.html; Stand: Oktober 2026).

Für Router in kleinen Büros gibt das BSI Sicherheitsanforderungen vor. Die Technische Richtlinie BSI TR-03148 „Secure Broadband Router“ gilt für den Small-Office- und Home-Office-Bereich. Sie richtet sich als Empfehlung vor allem an Hersteller (Quelle: bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr03148/tr03148_node.html; Stand: Oktober 2026).

Wo finden Hersteller in OWL Forschung zu sicheren Produkten?

Das Fraunhofer IEM in Paderborn forscht unter anderem zu „Safety & Security by Design“. Seine Academy bietet eine Weiterbildung „Software Security & Cyber Resilience“ an. Nach eigenen Angaben arbeiten dort rund 300 Mitarbeiterinnen und Mitarbeiter an intelligenten Produkten, Produktionssystemen und Software (Quelle: iem.fraunhofer.de/de/ueber-uns.html; Stand: Oktober 2026).

Für Produktsicherheitsprojekte kommt eine Förderung in Frage. Die IHK Ostwestfalen zu Bielefeld nennt das Programm MID-Digitalisierung für kleine und mittlere Unternehmen. Es fördert Beratungs-, Entwicklungs- oder Umsetzungsleistungen mit bis zu 15.000 Euro. Leisten können sie Hochschulen, Forschungseinrichtungen oder Unternehmen (Quelle: ihk.de/ostwestfalen/beratung-und-service/digitalisierung/foerderprogramme-6637410; Stand: Oktober 2026).

Was Käufer beim Einkauf prüfen, steht unter TK-Anlagen und Endgeräte beschaffen.