Die EU-RED-Cybersicherheitsregeln gelten jetzt auch für vernetzte Ladegeräte für Elektrofahrzeuge.

Zusammenfassung

Ab dem 1. August 2025 gelten die Cybersicherheitsbestimmungen der EU-Funkanlagenrichtlinie (RED) für vernetzte Produkte. Für das Laden von Elektrofahrzeugen gilt: Alle Ladegeräte mit WLAN, Mobilfunk oder Bluetooth Low Energy (BLE) müssen die Anforderungen an eine sichere Gerätekonstruktion erfüllen; Geräte, die personenbezogene Daten verarbeiten, müssen zusätzliche Datenschutzfunktionen bieten; und Produkte, die Zahlungen ermöglichen, müssen Betrugsschutzmechanismen implementieren.

Die Europäische Kommission hat EN 18031-1/-2/-3:2024 als harmonisierte Normen mit Konformitätsvermutung eingestuft. Die im Amtsblatt veröffentlichten Einträge enthalten Einschränkungen, sodass die Vermutung nur bei korrekter Anwendung der normativen Klauseln gilt. Geräte ohne drahtlose Module fallen im Allgemeinen nicht unter Artikel 3 Absatz 3, die Systemkonformität gilt jedoch weiterhin für das Ladegerät als Ganzes.

Was sich geändert hat und warum es wichtig ist

• Der Anwendungsbereich geht nun über die Einhaltung der Funkfrequenzvorschriften hinaus. Vernetzte Funktionen erfordern obligatorische Sicherheits-, Datenschutz- und Betrugsschutzmaßnahmen.

Es gibt einen klaren Konformitätsnachweis. Die Übernahme der EN 18031 kann eine Vermutung begründen; andernfalls ist der Weg über eine Benannte Stelle zu wählen.

• Das Beschaffungswesen wird verschärft. EU-Ausschreibungen und -Audits werden unterzeichnete Aktualisierungen, Richtlinien für Berechtigungsnachweise, SBOM, Maßnahmen zum Umgang mit Sicherheitslücken und Benutzerhandbücher verlangen.

Wer ist im Ladeökosystem betroffen?

• DC- und AC-Ladegeräte mit integrierter Konnektivität (LTE, Wi-Fi, BLE).

• Backoffice-integrierte Funktionen, die auf Geräteanmeldeinformationen, Protokollen oder OTA-Updates basieren.

• Ladegeräte, die Ad-hoc-Zahlungen akzeptieren oder Zahlungstoken unterstützen.

• Hardwarezubehör ohne drahtlose Module fällt in der Regel nicht in den Leistungsumfang, das Ladegerät als System hingegen schon.

Wichtige Termine und Meilensteine

Hinweis: Die EN 18031-Einträge im Amtsblatt enthalten Einschränkungen; nur korrekt angewandte normative Bestimmungen begründen die Vermutung der Konformität.

Meilenstein | Was bedeutet das für das Laden von Elektrofahrzeugen?

30. Januar 2025 | EN 18031-1/-2/-3:2024 im Amtsblatt veröffentlicht, wodurch bei korrekter Anwendung die Vermutung der Konformität begründet wird.

1. August 2025 | Die Cybersicherheitsbestimmungen der RED-Richtlinie (Artikel 3(3)(d), (e) und (f)) sind für Funkgeräte, einschließlich angeschlossener Ladegeräte, durchsetzbar.

2025–2026 | Hersteller und Betreiber gleichen Dokumentationspakete ab (Risikobewertung, Testberichte, SBOM, Aktualisierungsrichtlinie) und führen Feldhärtungsmaßnahmen durch.

Lieferantenbewertungskriterien für EU-RED-konforme EV-Ladegeräte (EN 18031 Checkliste)

Nutzen Sie die folgende EN 18031 Checkliste, um Systeme schnell zu überprüfen.

Firmware-Sicherheit und -Updates (signierte Images, Rollback-Schutz, verschlüsselte Kanäle, Schlüsselrotation).

Klarstellung: Unautorisierten Code verhindern und eine sichere Wiederherstellung gewährleisten.

Zugriffskontrolle (keine Standard- oder leeren Passwörter, Änderung beim ersten Login, Sperrung und Ratenbegrenzung, Konten mit minimalen Berechtigungen).

Klärungsmittel: Verhindert Einbrüche und begrenzt die seitliche Ausbreitung.

Netzwerkschutz gegen Missbrauch für OCPP/MQTT/HTTPS (Drosselung, Anomalieerkennung, Schutz vor Replay- und Flood-Angriffen, gehärtete Dienste).

Klarstellung: Botnetz-Registrierung und Traffic-Stürme stoppen.

Datenschutz und Protokollierung (Datenminimierung, Aufbewahrungsfristen, datenschutzorientierte Hinweise für den Benutzer, sicherer Protokollexport).

Klarstellung: Sammle nur, was du brauchst, und bewahre es sicher auf.

Zahlungen, sofern vorhanden (Ende-zu-Ende-Verschlüsselung und -Signierung, manipulationssicheres Design, Vier-Augen-Prinzip für Rückerstattungen und Abrechnungen).

Klarstellung: Werttransfer schützen und Betrugsrisiko reduzieren.

Nachweispaket (EN 18031 Abdeckungsmatrix, Testberichte, SLAs zur Offenlegung von Schwachstellen und Patches, Sicherheitsabschnitt des Benutzerhandbuchs, EU-Konformitätserklärung, technisches Dateiverzeichnis).

Zur Verdeutlichung: Beweise liefern, keine Versprechungen.

Anforderungs-Anwendungsfall-Zuordnung

RED-Anforderung | Typischer Anwendungsfall für das Laden von Elektrofahrzeugen | Beispiele für zulässige Kontrollen

3(3)(d) Netzwerkmissbrauch | Verhinderung der Botnetz-Registrierung oder DDoS-Angriffe über das Lademodem | Firewalling, Ratenbegrenzungen, TLS-basierte gegenseitige Authentifizierung, gehärtete Dienste

3(3)(e) Datenschutz | Umgang mit Treiberkennungen, Sitzungsdaten, Metadaten | Datenminimierung, Pseudonymisierung, Zugriffsprotokollierung, Aufbewahrungsrichtlinie

3(3)(f) Betrugsprävention | Ad-hoc-Zahlungen per QR-Code oder Karte | Kryptografische Nachweise, sichere Elemente oder HSM, Vier-Augen-Prinzip bei Rückerstattungen

Wie lässt sich die Einhaltung der Vorschriften in die Praxis umsetzen (praxistauglicher Ablauf)

Geltungsbereich festlegen → Bedrohungs- und Lückenanalyse → Kontrollen implementieren (Firmware, Anmeldeinformationen, Kommunikation, Zahlung, Datenschutz) → Validieren (interne Tests und, falls erforderlich, eine Benannte Stelle) → Technische Dokumentation erstellen (Risikoanalyse, SBOM, Testberichte, EN 18031-Mapping, Benutzeranweisungen) → EU-Konformitätserklärung und Kennzeichnung ausstellen → Überwachung und Patching gemäß definierten SLAs für Offenlegung und Behebung.

30-60-90-Tage-Aktionsplan

Tage 0–30: Bestätigen, welche Modelle drahtlose Module enthalten; Anwendbarkeit von Artikel 3(3)(d)(e)(f) ermitteln; SBOM und erste Risikobewertung entwerfen; EN 18031-Abdeckung abstimmen.

Tage 31–60: Richtlinien für Schiffszertifikate und sichere Aktualisierung; Härtung von OCPP/MQTT/HTTPS; Minimierung und Dokumentation von Daten; Definition von Betrugskontrollen für Zahlungsabläufe; Planung einer Überprüfung durch Dritte oder eine Benannte Stelle, falls nicht vollständig mit EN 18031 konform.

Tage 61–90: Abschluss der Tests, der technischen Dokumentation und der EU-Konformitätserklärung; Kennzeichnung und Freigabe; Pilotierung der Feldhärtung an ausgewählten Standorten; Veröffentlichung der SLAs für den Umgang mit Schwachstellen und Patches.

Auswirkungen auf Produkt-Roadmaps

• Ladegeräte mit 15118-Unterstützung und OCPP 2.x-Backends legen Wert auf eine verbesserte Verwaltung von Anmeldeinformationen und Zertifikaten.

• Bei Ausschreibungen werden Sicherheitsupdates und die Qualität der Nachweise ebenso stark gewichtet wie die Nennleistung.

• Ein zuverlässiger OTA-Service reduziert die Besuche vor Ort und trägt zu niedrigeren Lebenszykluskosten bei.

Arbeiterbienen-Notiz

Workersbee unterstützt EU-Projekte mit Steckverbinder- und Kabelkonfektionen und gleicht die Richtlinien zur Ladegerätintegration mit den RED-Cybersicherheitskontrollen ab. Für DC-Programme, die eine Konformitätsvermutung anstreben, stellt unser Ingenieurteam eine prägnante Checkliste zur EN 18031-Abdeckung sowie Musterformulierungen für die technische Dokumentation bereit. Diese basieren auf den folgenden Säulen: den technischen Leitlinien von Workersbee und dem Know-how von Workersbee im Bereich DC-Steckverbinder.

Häufig gestellte Fragen

F: Gilt Artikel 3(3)(f) auch dann, wenn ein Ladegerät keine Zahlungsfunktion besitzt?

A: Nein. Nur Geräte, die Zahlungen oder die Übertragung von Geldwerten ermöglichen, fallen unter 3(3)(f). Das gleiche Ladegerät muss möglicherweise weiterhin 3(3)(d) und 3(3)(e) erfüllen.

F: Benötige ich eine Benannte Stelle, wenn ich EN 18031 vollständig anwende?

A: Die vollständige und korrekte Anwendung der harmonisierten Normen kann eine Vermutung begründen. Bei nur teilweiser Anwendung oder bestehender Unsicherheit reduziert der Weg über eine Benannte Stelle das Risiko.

F: Bedeuten die Einschränkungen des OJ, dass EN 18031 allein immer ausreicht?

A: Nein. Nur korrekt angewandte normative Klauseln begründen eine Vermutung. Bei Abweichungen oder Unklarheiten ist der Weg über eine benannte Stelle zu beschreiten.

F: Welche Nachweise fordern Wirtschaftsprüfer üblicherweise als Erstes an?

A: Richtlinie für signierte Updates, Passwortrichtlinie, SBOM, Workflow für die Behandlung von Sicherheitslücken, EN 18031-Zuordnungstabelle und die EU-Konformitätserklärung.