RED-direktivet – cybersikkerhed i trådløst udstyr

RED stiller krav til sikkerheden i radioudstyr. Få overblik over cybersikkerhedskravene, hvem de gælder for, og hvordan de hænger sammen med Cyber Resilience Act (CRA).

Hvad er RED-direktivet?

RED (Radio Equipment Directive) er EU's radioudstyrsdirektiv, som fastlægger krav til sikkerhed, elektromagnetisk kompatibilitet og effektiv udnyttelse af radiofrekvenser.

Siden den 1. august 2025 har supplerende cybersikkerhedskrav været gældende for bestemte kategorier af radioudstyr. Kravene skal blandt andet beskytte kommunikationsnetværk, personoplysninger og brugere mod svindel.

Fra den 11. december 2027 overgår disse supplerende cybersikkerhedskrav til den bredere regulering under Cyber Resilience Act (CRA). RED-direktivet fortsætter dog med at gælde for radioudstyrets øvrige sikkerheds- og radiotekniske forhold.

Hvem er omfattet af RED-direktivet?

RED-direktivet gælder for producenter, importører og distributører af radioudstyr, der bringes i omsætning på EU-markedet. Det omfatter produkter, som anvender radiobølger til kommunikation eller radiobestemmelse.

De supplerende cybersikkerhedskrav, som trådte i kraft den 1. august 2025, gælder for udvalgte kategorier af radioudstyr. Det omfatter blandt andet internetforbundet radioudstyr, visse former for bærbart udstyr og radioudstyr beregnet til børnepasning eller legetøj.

For virksomheder inden for adgangskontrol, dørtelefoni og sikring er det derfor vigtigt at undersøge, om de enkelte produkter er omfattet. Det afhænger blandt andet af produktets trådløse funktioner, internetforbindelse og anvendelsesområde.

Hvilke cybersikkerhedskrav gælder?

De supplerende cybersikkerhedskrav i RED-direktivet er opdelt i tre områder. Hvilke krav der gælder, afhænger af radioudstyrets funktioner og anvendelse. Ikke alle produkter er omfattet af samtlige krav.

Beskyttelse af netværk – artikel 3(3)(d)

Omfattet radioudstyr skal være konstrueret, så det ikke skader kommunikationsnetværk eller misbruger netværksressourcer på en måde, der forringer netværkets funktion. Det kan eksempelvis kræve beskyttelse mod uautoriseret adgang og misbrug af udstyrets netværksforbindelse.

Beskyttelse af personoplysninger – artikel 3(3)(e)

Omfattet radioudstyr skal indeholde sikkerhedsforanstaltninger, der beskytter personoplysninger og brugernes privatliv. Kravet gælder blandt andet internetforbundet radioudstyr samt visse typer radioudstyr til børnepasning, legetøj og bærbart udstyr – også når disse produkter ikke har internetforbindelse. Det afhænger blandt andet af udstyrets funktioner og behandling af personoplysninger.

Beskyttelse mod svindel – artikel 3(3)(f)

Internetforbundet radioudstyr, der gør det muligt at overføre penge, pengeværdier eller virtuel valuta, skal have funktioner, som beskytter mod svindel. Kravet er derfor rettet mod bestemte betalingsrelaterede funktioner og gælder ikke automatisk for alt trådløst udstyr.

Tidslinje og vigtige datoer

RED-direktivet har været gældende i EU siden 2016, men cybersikkerhedskravene blev først indført senere. Her får du overblik over de vigtigste milepæle – fra direktivets vedtagelse til de supplerende cybersikkerhedskrav og den kommende overgang til Cyber Resilience Act (CRA) i december 2027.

  1. Gennemført

    RED-direktivet vedtages

    EU vedtager radioudstyrsdirektivet 2014/53/EU, som fastlægger de grundlæggende krav til radioudstyr på EU-markedet.

  2. Gennemført

    RED-direktivet finder anvendelse

    De generelle RED-regler begynder at gælde for radioudstyr, herunder krav til sikkerhed, elektromagnetisk kompatibilitet og effektiv udnyttelse af radiofrekvenser.

  3. Gennemført

    Supplerende cybersikkerhedskrav vedtages

    EU vedtager delegeret forordning (EU) 2022/30, som aktiverer krav om netværksbeskyttelse, beskyttelse af personoplysninger og beskyttelse mod svindel for bestemte kategorier af radioudstyr.

  4. Gældende

    Cybersikkerhedskravene træder i anvendelse

    De supplerende cybersikkerhedskrav bliver gældende for de omfattede produktkategorier. Producenter og øvrige relevante aktører skal sikre, at udstyret opfylder de krav, der gælder for det enkelte produkt.

  5. Kommende

    Overgang fra RED-cybersikkerhedskrav til CRA

    De supplerende cybersikkerhedskrav under RED ophæves, samtidig med at de generelle cybersikkerhedskrav i Cyber Resilience Act begynder at finde anvendelse. RED-direktivets øvrige krav fortsætter.

Overgangen fra RED til CRA

Den 11. december 2027 ændres EU's regulering af cybersikkerhed i radioudstyr. De supplerende cybersikkerhedskrav under RED ophører, mens Cyber Resilience Act (CRA) indfører bredere krav til produkter med digitale elementer.

RED

Frem til 10. december 2027

Supplerende cybersikkerhedskrav til udvalgte kategorier af radioudstyr.

  • Beskyttelse af kommunikationsnetværk mod skadelig påvirkning og misbrug.
  • Beskyttelse af personoplysninger og brugernes privatliv.
  • Beskyttelse mod svindel for relevant internetforbundet radioudstyr med betalingsfunktioner.
CRA

Fra 11. december 2027

Bredere cybersikkerhedskrav til produkter med digitale elementer.

  • Cybersikkerhed skal indarbejdes i produkternes design og udvikling.
  • Producenter skal håndtere sårbarheder og stille relevante sikkerhedsopdateringer til rådighed.
  • Krav til dokumentation, overensstemmelsesvurdering og ansvar i leverandørkæden.

RED-direktivet forsvinder ikke. Kravene til blandt andet elektrisk sikkerhed, elektromagnetisk kompatibilitet og effektiv udnyttelse af radiofrekvenser fortsætter. Det er alene de supplerende cybersikkerhedskrav, der ophører i forbindelse med overgangen til CRA.

CRA gælder allerede på visse områder. Fra 11. september 2026 gælder producenternes indberetningspligt for blandt andet aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser. De generelle produktkrav får først anvendelse fra 11. december 2027.

Markedskontrol fortsætter. Myndighederne kan fortsat kontrollere, om produkter, der blev bragt i omsætning mellem 1. august 2025 og 10. december 2027, overholdt de RED-cybersikkerhedskrav, der gjaldt på tidspunktet.

Konsekvenser og ansvar

RED-direktivet stiller krav til radioudstyr, der bringes i omsætning på EU-markedet. Producenter, importører og distributører har forskellige forpligtelser, og manglende overholdelse kan medføre myndighedskontrol, krav om korrigerende handlinger og sanktioner. For installatører og kunder er det vigtigt at vælge produkter med korrekt dokumentation og mærkning.

Producentens ansvar

Producenten skal sikre, at radioudstyret opfylder de gældende krav, før det bringes i omsætning. Det omfatter blandt andet relevant overensstemmelsesvurdering, teknisk dokumentation, EU-overensstemmelseserklæring og CE-mærkning. For produkter omfattet af de supplerende cybersikkerhedskrav skal disse også indgå i vurderingen.

Importørens og distributørens ansvar

Importører og distributører skal udføre de kontroller, der følger af deres respektive roller. Det omfatter blandt andet kontrol af relevant CE-mærkning, dokumentation og producentoplysninger. Ved mistanke om manglende overensstemmelse skal de reagere og medvirke til nødvendige korrigerende handlinger.

Markedskontrol og sanktioner

Myndighederne kan kontrollere, om radioudstyr overholder de gældende krav. Ved manglende overensstemmelse kan de kræve korrigerende handlinger og i relevante tilfælde begrænse salg, kræve produkter trukket tilbage fra markedet eller tilbagekaldt fra brugerne. Eventuelle bøder og andre sanktioner afhænger af national lovgivning.

Betydning for installatører og kunder

Installatører og slutkunder bør sikre sig, at det valgte radioudstyr har relevant dokumentation og er beregnet til den pågældende anvendelse. Installationen bør følge producentens anvisninger, og eventuelle sikkerhedskrav til netværk, adgang og konfiguration bør indgå i projektets planlægning. Installatører er ikke automatisk producenter efter RED, men deres rolle kan ændre sig ved eksempelvis væsentlige produktændringer eller salg under eget navn.

Hvad bør du gøre nu?

For producenter, importører og distributører handler RED om at sikre, at relevant radioudstyr opfylder de gældende krav. For installatører og andre, der arbejder med trådløse løsninger, er det især vigtigt at kende produkternes dokumentation, anvendelse og sikkerhedsfunktioner. Her er fem trin, der kan hjælpe dig med at komme godt i gang.

  1. Kortlæg dine produkter og løsninger

    Identificér produkter med radioteknologi, eksempelvis Wi-Fi, Bluetooth eller anden trådløs kommunikation. Undersøg, hvilke produkter der er omfattet af RED, og om de supplerende cybersikkerhedskrav gælder.

  2. Kontrollér dokumentationen

    Undersøg, om produkterne har korrekt CE-mærkning, EU-overensstemmelseserklæring og relevant produktinformation. Kontakt producenten eller leverandøren, hvis du er i tvivl om dokumentationen eller produkternes overensstemmelse.

  3. Afklar ansvar og roller

    Vær opmærksom på, om virksomheden optræder som producent, importør eller distributør. De forskellige roller medfører forskellige forpligtelser til kontrol, dokumentation og håndtering af produkter, der ikke opfylder kravene.

  4. Tænk sikkerhed ind i installationen

    Følg producentens installations- og sikkerhedsanvisninger. Vær blandt andet opmærksom på netværksadgang, adgangskoder, brugerrettigheder og sikker konfiguration af trådløse enheder. Afklar også ansvaret for efterfølgende vedligeholdelse og opdateringer.

  5. Forbered overgangen til CRA

    Følg udviklingen frem mod den 11. december 2027, hvor CRA's generelle produktkrav får anvendelse. Undersøg, hvordan ændringerne påvirker de produkter og løsninger, du arbejder med, og hold dig orienteret om producenternes dokumentation og vejledninger.

Bemærk, at de konkrete lovbestemte forpligtelser afhænger af produktets egenskaber og virksomhedens rolle som producent, importør eller distributør. Installatører og slutkunder har ikke automatisk de samme forpligtelser, men bør være opmærksomme på produkternes dokumentation og sikkerhed ved installation og drift.

RED og øvrig cybersikkerhedslovgivning

RED er en del af EU's samlede arbejde med cybersikkerhed, men direktivet står ikke alene. Andre regler og standarder stiller krav til produkter, organisationer og tekniske installationer. Her får du et overblik over tre områder, som kan være relevante i forbindelse med trådløse sikkerhedsløsninger.

Har du spørgsmål til RED-direktivet?

Er du i tvivl om, hvordan RED-direktivets cybersikkerhedskrav påvirker de produkter og løsninger, du arbejder med? Hos Freund hjælper vi gerne med produktinformation, teknisk dokumentation og spørgsmål om vores løsninger inden for blandt andet dørtelefoni, adgangskontrol og kommunikation.

Kontakt os, hvis du har brug for hjælp til at finde den rette dokumentation eller afklare spørgsmål om vores produkter.