Produkt und Lieferumfang vor der Normenauswahl abgrenzen

Prüfpflichten und Nachweise sind vor einer Beauftragung zu klären.

Die Markteinführung eines smarten Türschlosses in der EU ist kein Verfahren für ein einzelnes „CE-Zertifikat“. Ein batteriebetriebenes Bluetooth-Schloss kann zugleich Funkanlage, Elektrogerät, digitales Sicherheitsprodukt und Teil eines Türsystems sein. Maßgeblich sind das fertige Modell, die Funkwege, die Software und der vorgesehene Einbauort – nicht allein die Unterlagen des Funkmoduls.

Produkt und Lieferumfang vor der Normenauswahl abgrenzen

Erfassen Sie diese Merkmale pro Artikelnummer, Firmwarestand und Verkaufspaket. Schloss, optionales Gateway, Smartphone-App, Netzteil und einzeln verkaufter Schließzylinder können unterschiedlichen Regelungen unterliegen.

Funk: BLE, WLAN, Thread/Zigbee, NFC und weitere Sender; Frequenzen, Leistung, Antenne, Länderbeschränkungen und Gateway.
Verbindung: Kann das Schloss über Handy oder Hub selbst Internetdaten austauschen? Fernöffnung von rein lokaler Bedienung trennen.
Daten: Namen, Gastschlüssel, Zutrittsprotokolle, Biometrie, Cloud-Speicherung, Aufbewahrung und Verantwortliche.
Montage: Nachrüstantrieb oder vollständiges elektromechanisches Schloss; Brand-/Fluchttür, Batterieversagen und manuelle Entriegelung.
Verkaufspaket: Batterien, Ladegerät, Verpackung, Markeninhaber, erstes EU-Vertriebsland und Importeur.

Variante ohne Funk: Ein elektronisches Codeschloss fällt nicht allein wegen einer Smartphone-App oder eines separaten Zubehörs unter die RED. Bei elektronischen Geräten ohne Funk ist die EMV-Richtlinie 2014/30/EU zu prüfen; die Niederspannungsrichtlinie 2014/35/EU greift nur für erfasste Geräte mit 50–1.000 V Wechselspannung oder 75–1.500 V Gleichspannung, vorbehaltlich Ausnahmen. Bei einem fertigen Funkgerät regelt die RED selbst die Schutzziele für elektrische Sicherheit und EMV; diese Wege dürfen nicht automatisch für dasselbe Gerät doppelt angesetzt werden.

EU-Entscheidungsmatrix für smarte Türschlösser

Rechtsbereich / Auslöser	Folge für das Produkt	Nachweis / Entscheidung
RED 2014/53/EU – Funkanlage	Erfasst regelmäßig ein fertiges Schloss, das bestimmungsgemäß Funkwellen sendet/empfängt; Sicherheit, EMV und Frequenznutzung. RED-Sicherheitsziele gelten ohne Spannungsuntergrenze.	Funkschaltplan, HF-/EMV-/Sicherheitsprüfungen, einschlägige im Amtsblatt gelistete Normen, EU-Konformitätserklärung und CE.
RED-Cybersicherheit – Internet/Daten/Zahlung	Seit 1. August 2025 aktiviert 2022/30 Art. 3(3)(d) für internetverbundene Funkgeräte, (e) bei betreffenden Daten und (f) bei Geld-/Wertübertragungen. Nicht jedes Funkgerät fällt automatisch darunter.	Datenwege, Bedrohungsanalyse für Fernschlüssel, EN-18031-Prüfung und Ausnahmen.
RoHS 2011/65/EU – Elektrogeräte	Im Regelfall relevant für elektronische Schlösser im Anwendungsbereich; gefährliche Stoffe sind begrenzt, je nach Gerätekategorie und Ausnahme.	Material- und Lieferantenerklärungen, stoffbezogene Nachweise zum Endgerät.
WEEE 2012/19/EU – Elektroaltgeräte	Je nach Mitgliedstaat Registrierung, Finanzierung der Entsorgung und durchgestrichene Abfalltonne; keine zusätzliche CE-Zertifizierung.	WEEE-Kategorie, länderspezifische EPR-Zuordnung und Entsorgungskennzeichen.
Batterien 2023/1542 – mitgelieferte Zellen	Batterietyp und Herstellerpflichten prüfen; Entfernbarkeit/Austauschbarkeit tragbarer Batterien nach Art. 11 ab 18. Februar 2027, vorbehaltlich Ausnahmen.	Batteriespezifikation, Entsorgungsweg, Anleitung und Konstruktionsprüfung.
DSGVO 2016/679 – personenbezogene Daten	Konten, digitale Schlüssel, biometrische Daten und personenbezogene Zutrittsprotokolle erfordern Rollen-, Rechtsgrundlagen- und Sicherheitsprüfung; DSGVO ist keine CE-Kennzeichnung.	Datenfluss, Verantwortlicher/Auftragsverarbeiter, Information, Berechtigungen, Löschung und Verträge.
CRA 2024/2847 – digitales Sicherheitsprodukt	Anhang III nennt Smart-Home-Sicherheitsprodukte einschließlich intelligenter Türschlösser als wichtige Produkte der Klasse I; die Einordnung ist jedoch nicht automatisch. Nach Durchführungsverordnung 2025/2392 (Kategorie 17) müssen digitale Produkte die physische Sicherheit von Verbrauchern im Wohnbereich schützen und von anderen Systemen aus fernsteuerbar oder fernverwaltbar sein; zentrale Steuerungssysteme sind ebenfalls erfasst. Ein ausschließliches Hotelschloss oder eine Bauart ohne diese Steuerbarkeit gehört nicht automatisch zu Kategorie 17; Gesamtprodukt und andere CRA-Kategorien prüfen. Hauptpflichten gelten grundsätzlich ab 11. Dezember 2027, Art.-14-Meldungen seit 11. September 2026, auch für bereits vor Dezember 2027 vermarktete Produkte im CRA-Anwendungsbereich (Art. 69 Abs. 3).	Wohn-/gewerblicher Verwendungszweck, Fernsteuerungsarchitektur, Kernfunktion, Kategorie nach 2025/2392, Schwachstellenmeldungen und spätere Konformitätsroute dokumentieren.
Bau-/Fluchtwegrecht und GPSR 2023/988	Bei Türen mit Brand- oder Fluchtwegfunktion sind Bauprodukt-, Beschlags- und Einbauvorgaben gesondert zu prüfen. GPSR ergänzt nicht anderweitig erfasste Verbraucherrisiken.	Beworbene Türfunktion, Eignung EN 14846/Fluchtwegbeschlag, Ausfallanalyse und Einbaubedingungen.
Verpackung 2025/40	PPWR gilt grundsätzlich stufenweise ab 12. August 2026; Verpackungs- und EPR-Pflichten sind unabhängig von der RED-Akte zu prüfen.	Materialnachweise, landesspezifische EPR-Zuordnung und künftig geltende Kennzeichnung.

Zwei Prüfungen sind auseinanderzuhalten: Die CRA-Kategorie 17 fragt nach Steuerung oder Verwaltung von einem anderen System aus für die Sicherheit von Verbrauchern im Wohnbereich. Anders als der RED-Internettatbestand verlangt ihre Definition keine Internetverbindung. Ein nur lokal per Smartphone gesteuertes BLE-Schloss kann somit unter CRA-Klasse I, Kategorie 17, fallen, selbst wenn es nach RED 2022/30 nicht internetverbunden ist. Der Begriff „smart“ entscheidet beides nicht.

Internet, personenbezogene Daten und Zahlungen getrennt prüfen

Eine Smartphone-App beweist für sich noch nicht, dass das Schloss im Sinn von 2022/30 „internetverbunden“ ist. Zu prüfen ist, ob die Funkanlage selbst direkt oder über Zwischengeräte Internetdaten austauschen kann; entscheidend sind die tatsächlichen Protokolle. Die Delegierte Verordnung 2026/339 hebt die Cyber-Verordnung 2022/30 zum 11. Dezember 2027 mit Beginn der CRA-Hauptpflichten auf; die Marktüberwachung für betroffene Geräte aus dem Zeitraum 1. August 2025 bis 10. Dezember 2027 bleibt möglich.

Ausführung	RED Art. 3(3): Kernfrage	Prüfauftrag
Reines BLE-Schloss; App übermittelt keine Schlossdaten online	RED-Grundpflichten bleiben; Internetzugang des Telefons allein reicht nicht für die Einordnung.	Offline-Architektur nachweisen und andere erfasste Kategorien prüfen.
Gateway und Cloud; Fernöffnung und Gastschlüssel	Internetanbindung spricht für (d); (e), sofern die betroffenen Personen-/Verkehrs-/Standortdaten verarbeitet werden.	Schloss–Hub–Cloud, Authentisierung, Updates, Schlüsselwiderruf, Protokollschutz.
Fingerabdruck lokal gespeichert	Biometrie betrifft Datenschutz und physische Sicherheit, bedeutet aber nicht automatisch Internetverbindung.	Biometrieverarbeitung, Rollen, Notöffnung und mögliche andere RED-(e)-Kategorien.
Bezahlung/Zahlungswert über das Schloss	Buchstabe (f) setzt ein internetverbundenes Funkgerät mit Geld-/Werttransfer voraus; eine externe Website-Abogebühr genügt nicht.	Transaktionsfunktion, EN 18031-3 und Amtsblatt-Einschränkungen.

Türbeschlag, Fluchtweg und mechanische Gefahren

Ein Einbruchschutzversprechen ist kein Nachweis für Brand- oder Fluchttüren. EN 14846 behandelt elektromechanische Schlösser und Schließbleche, ist aber keine pauschale Zulassung für jeden Nachrüstantrieb. Klären Sie die bauproduktrechtliche Einstufung und Nachweise für das vollständige Türelement. Zu prüfen sind Flucht von innen, mechanische Übersteuerung, leere Batterie, blockierter Riegel, Brandmeldeanlage und Türkompatibilität. Ohne belastbare Einbau- und Systemnachweise darf keine Fluchtwegeignung behauptet werden.

Technische Nachweise für das smarte Schloss

Unterlage / zuständige Rolle	Nachzuweisender Inhalt
Endproduktbeschreibung – Hersteller	Varianten, Türen, Batterien, Frequenzen, Gateway, App, Softwarestände und Zubehör.
Anwendbarkeitsmatrix – Compliance	Datierte Entscheidungen zu RED, Cyber, RoHS, Batterie, Abfall, Verpackung, DSGVO, CRA und Türfunktion.
HF-/EMV-/Sicherheitsberichte – Prüfstelle	Tatsächliche Antenne, Gehäuse und Stromversorgung, Risiken und harmonisierte Normen.
Cyber-Bedrohungsmodell – Sicherheitsteam	Kopplung, Ablauf/Widerruf von Gastschlüsseln, Missbrauch der Fernöffnung, signierte Updates, Cloudausfall und Passwörter.
Tür- und Fehlerprüfung – Konstruktion	Entriegelung bei Stromausfall, verklemmtem Riegel und Brand, Grenzen der Montage und mechanische Prüfungen.
Lieferantennachweise – Einkauf	RoHS, Batteriedaten, Teilewechsel; Funkmodul-CE ersetzt keine Endgeräteprüfung.
EU-Erklärung und Kennzeichnung – Hersteller/Importeur	Unterzeichnete Erklärung, Modellkennung, CE/RED-Angaben und landessprachliche Anweisungen.
Nachmarktprozess – Verantwortliche	Schwachstellenkontakt, Abhilfe/Rückruf, Support, Softwareversionen und EPR-Registrierungen.

Verantwortlichkeiten und Beteiligung einer notifizierten Stelle

Wer das fertige Schloss unter eigener Marke vermarktet, ist grundsätzlich Hersteller, auch bei externer Fertigung. Für erfasste Produkte ist ein zuständiger Wirtschaftsakteur in der EU nötig; der Importeur trägt eigene Prüf- und Rückverfolgbarkeitspflichten. Nach RED sind technische Unterlagen und EU-Konformitätserklärung zehn Jahre nach Inverkehrbringen aufzubewahren.

CE folgt einer Konformitätsbewertung; eine allgemeine behördliche „CE-Zertifikatsstelle“ gibt es nicht. RED Art. 17 erlaubt für Art. 3(1) bestimmte Eigenkontrollverfahren. Für Frequenz- und einschlägige Cyberanforderungen nach Art. 3(2)/(3) entscheidet die vollständige Anwendung im Amtsblatt veröffentlichter harmonisierter Normen darüber, ob Eigenkontrolle möglich oder eine notifizierte Stelle nötig ist. EN 18031 wurde durch 2025/138 mit Einschränkungen gelistet; auch die spätere CRA-Class-I-Route ist gesondert zu prüfen.

Bei CRA-Klasse I ist interne Kontrolle nach Art. 32 Abs. 2 nur möglich, wenn einschlägige harmonisierte Normen, gemeinsame Spezifikationen oder geeignete Cybersicherheitszertifizierungssysteme vollständig angewandt werden. Fehlen sie oder werden sie nur teilweise angewandt, ist für die betreffenden Anforderungen das Drittverfahren B+C oder H nötig. Die Entscheidung über eine notifizierte Stelle nach RED ersetzt nicht die CRA-Prüfung.

Kennzeichnung und Freigabe für den Vertrieb

Vertriebskonfiguration einschließlich Schloss, Hub, Batterie, Netzteil, Firmware und Cloud einfrieren.
Anwendbarkeit und Notified-Body-Erfordernis vor der Erklärung klären.
Funk-, EMV-, Sicherheits-, Stoff-, Cyber- und Türnachweise derselben Variante zuordnen.
CE, Modellkennung, Hersteller/Importeur, Frequenz/Leistung sowie RED-Anleitung und Erklärung kontrollieren.
Sicherheits- und Montagehinweise in den vom Zielstaat verlangten Sprachen bereitstellen.
WEEE-, Batterie-, Verpackungskennzeichen, EPR und aktuelle PPWR-Stufe separat prüfen.
Telefonverlust, Offlineöffnung und Sicherheitsbehebung testen; keine unbewiesene Fluchttür-Eignung ausloben.

Drei Schlosskonfigurationen mit Freigabekriterien

Produktvariante	Vorläufiger Rechtsweg	Freigabesperre
BLE-Nachrüstantrieb, nur lokal, Wechselbatterie	RED, meist RoHS; außerdem Batterie, WEEE, Verpackung und Restgefahren. Internet-Ausschluss belegen.	Funkprüfung, Offline-Nachweis oder sichere Notbedienung fehlen.
WLAN-/Cloud-Schloss mit Gastschlüsseln	RED und relevante 2022/30-Teile, DSGVO, RoHS, Abfall/Verpackung, CRA-Vorbereitung.	Widerruf, Updates, EN-18031-Einschränkungen oder Datenfluss sind ungeklärt.
Einsteckschloss für Hotelfluchttüren	Zusätzlich Türbeschlag-, Fluchtweg- und Türelementbewertung.	Fluchtfunktion oder Türenkompatibilität nicht belegt; unbewiesene Brandschutzwerbung.

Änderungskontrolle nach Markteinführung

Die Nachweise müssen Hardware- und Firmwareständen zugeordnet sein. Vor weiteren Chargen prüfen, wenn sich Folgendes ändert:

Funkchip, Antenne, Stromversorgung oder Gehäuse → HF, EMV, Sicherheit und RED erneut bewerten.
Cloud-Bridge, Fernöffnung oder Zahlungsfunktion → 2022/30, Datenschutz und Cyberschutz erneut prüfen.
Biometrie, Analytik oder Cloud-Anbieter im Drittland → DSGVO und Schutzmaßnahmen aktualisieren.
Türtyp, Schlosskasten, Fluchtversprechen oder Batteriechemie → mechanisches Risiko und Umweltunterlagen aktualisieren.

Amtliche Rechtsquellen und Leitfäden

Die folgenden Primärquellen entscheiden über die Pflichten. Normen begründen eine Konformitätsvermutung nur im Geltungsbereich ihrer Bestimmungen und unter den Amtsblatt-Einschränkungen.

Häufige Fragen zur Konformität von Türschlössern

Zertifiziert die CE-Kennzeichnung des Bluetooth-Moduls das ganze Schloss?

Nein. Endgerät, Antenne, Gehäuse, Stromversorgung und Software benötigen eigene Bewertung und Herstellererklärung.

Ist ein BLE-Schloss ohne WLAN stets von RED-Cyberpflichten befreit?

Nicht automatisch. Der Internetdatenaustausch über Telefon/Hub und andere erfasste Kategorien sind zu prüfen.

Braucht jedes smarte Schloss eine notifizierte EU-Stelle?

Nein. Entscheidend sind aktive RED-Anforderungen, veröffentlichte Normen und der Konformitätsweg; CRA ist gesondert zu prüfen.

Darf jedes smarte Schloss an eine Fluchttür?

Nur bei Nachweis für die konkrete Tür, Beschläge und Fluchtwegregeln; Funkprüfungen ersetzen ihn nicht.

Sind DSGVO und EU-Cyberproduktrecht identisch?

Nein. RED/CRA betreffen Produktsicherheit; die DSGVO regelt Rechtmäßigkeit der Datenverarbeitung, Zuständigkeiten und Betroffenenrechte.

Ist jedes elektronische Schloss, auch ein reines Hotelschloss, automatisch CRA-Klasse I?

Nein. Anhang III ist zusammen mit Kategorie 17 der Verordnung 2025/2392 zu lesen: Verbraucherschutz im Wohnbereich sowie Fernsteuerbarkeit/-verwaltung durch andere Systeme sind entscheidend. Beruflich genutzte oder isolierte Modelle brauchen eine eigene Einordnung; außerhalb der Kategorie 17 bedeutet nicht automatisch außerhalb des CRA.

Produkt und Lieferumfang vor der Normenauswahl abgrenzen