RED och radioleksaker – cybersäkerhet, EN 18031 och CRA-övergången
Praktisk guide till RED:s cybersäkerhetskrav för radioleksaker: internet, personuppgifter, EN 18031 och övergången till CRA den 11 december 2027.
En radiostyrd leksak behöver inte vara uppkopplad mot internet för att vissa cybersäkerhetskrav ska bli aktuella. Tillverkare och importörer måste först skilja mellan nätverksskydd enligt RED artikel 3.3(d), integritetsskydd enligt 3.3(e) och bedrägeriskydd enligt 3.3(f). Bedömningen gäller produktens verkliga radiofunktioner, datahantering och när den släpps ut på EU-marknaden – inte enbart ordet ”Bluetooth” eller ”smart” på kartongen.
Vem berörs – och vilka regler gäller?
Den här guiden riktar sig till svenska tillverkare, importörer, distributörer och kvalitetsansvariga för radiostyrda bilar, Bluetooth-leksaker, appstyrda dockor och annan leksaksutrustning med radiofunktion. RED-direktivet 2014/53/EU och delegerad förordning (EU) 2022/30 har särskilda cybersäkerhetskrav för angivna kategorier från 1 augusti 2025. Alla leksaker omfattas inte av alla tre kraven; en leksak utan radiofunktion träffas inte enbart för att den är en leksak. Leksakssäkerhet, allmän produktsäkerhet och eventuellt GDPR kan samtidigt vara relevanta enligt sina egna regler.
Reglerna behöver även tidsbestämmas. Genom beslutad förordning (EU) 2026/339 upphävs RED:s delegerade cybersäkerhetsförordning från 11 december 2027, när de huvudsakliga skyldigheterna enligt Cyber Resilience Act (EU) 2024/2847 börjar tillämpas. Produkter som släppts ut på marknaden under den tidigare RED-perioden kan fortfarande bli föremål för kontroll enligt då tillämpliga krav.
Beslutsmatris: tre olika cybersäkerhetskrav
| Fråga om produkten | Möjligt krav | Vad ska styrkas? |
|---|---|---|
| Kan radioutrustningen kommunicera över internet direkt eller genom en annan enhet? | RED 3.3(d), skydd av nätverk | Anslutningskarta, gateway/app, funktioner och tekniskt testunderlag. |
| Kan en radioleksak behandla person-, trafik- eller lokaliseringsuppgifter? | RED 3.3(e), dataskydd och integritet – även utan internet i relevanta fall | Faktiska datatyper, behörigheter, lagring och skyddsåtgärder. |
| Kan internetansluten radioutrustning användas för att överföra pengar, penningvärde eller virtuell valuta? | RED 3.3(f), bedrägeriskydd, när villkoren är uppfyllda | Betalningsfunktion, transaktionsflöde och relevanta skydd. |
Pröva varje krav separat. ”Ingen internetanslutning” kan utesluta nätverkskravet 3.3(d) men är inte automatiskt ett undantag från integritetskravet 3.3(e) för radioutrustning som räknas som leksak och behandlar relevanta uppgifter.
EN 18031-1 och EN 18031-2 – vad betyder standarderna?
De harmoniserade standarderna EN 18031-1:2024, EN 18031-2:2024 och EN 18031-3:2024 kan användas som teknisk vägledning för respektive kravområde. Standarden är inte i sig ett obligatoriskt certifikat. Harmoniserade standarder är en möjlig väg att visa överensstämmelse; andra lämpliga bedömningsvägar kan förekomma enligt RED. Kommissionens beslut (EU) 2025/138 innehåller dessutom uttryckliga begränsningar av när tillämpning av EN 18031 ger presumtion om överensstämmelse, bland annat för vissa lösenords- och föräldraåtkomstlösningar.
Begär därför inte bara leverantörens allmänna påstående ”EN 18031 compliant”. Be om exakt modell- och programvaruversion, vilka delar av standarden som använts, testrapportens identitet, kvarstående avvikelser och underlag för korrekt bedömningsförfarande. Kontrollera om ett anmält organ måste medverka i det aktuella fallet. En ifylld Excel-checklista eller leverantörsdeklaration ersätter inte produktens tekniska dokumentation eller en korrekt EU-försäkran om överensstämmelse.
Så kontrollerar importören eller tillverkaren en modell
- Identifiera produkten: dokumentera modell, SKU, firmware, radiofunktioner, tillverkare, importör, batch och datum då produkten först släpps ut på EU-marknaden.
- Kartlägg anslutningen: undersök om internet används direkt eller indirekt via mobilapp, telefon, router eller annan utrustning.
- Identifiera uppgifterna: undersök om röst, bilder, konton, enhetsidentifierare, trafik- eller platsuppgifter behandlas och vilken aktör som hanterar dem.
- Välj tillämpliga krav: dokumentera ett separat ja/nej med skäl för 3.3(d), 3.3(e) och 3.3(f), samt möjliga undantag.
- Hämta äkta bevis: begär relevanta test- och konstruktionsrapporter, tekniskt underlag, standardutgåva, eventuellt anmält organ och EU-försäkran.
- Fatta spårbart beslut: identifiera öppna avvikelser, ansvarig för korrigering, eventuell intern batchspärr och vem som kan besluta om frisläppning.
- Pröva 2027-övergången: för nya relevanta marknadsintroduktioner från 11 december 2027 ska CRA:s tillämpliga skyldigheter analyseras särskilt.
Tre exempel som visar skillnaden
Radiostyrd bil med lokal radiolänk
En leksaksbil styrs med en lokal radiofjärrkontroll och har ingen internetväg. Då ska 3.3(d) inte automatiskt markeras som tillämpligt. Om utrustningen kan behandla relevanta person-, trafik- eller lokaliseringsuppgifter behöver 3.3(e) ändå prövas. I ett annat fall kan datahanteringen vara så begränsad att även detta krav inte aktualiseras.
Appstyrd leksak med mikrofon
En leksak använder mobilappen för att skicka data över internet och lagrar ljud kopplat till ett användarkonto. Både nätverks- och integritetskraven kan bli relevanta. Företaget behöver kartlägga app, molntjänst, radio- och mjukvaruversion och bevis för respektive skydd – inte bara prova själva leksaken.
Leverantören skickar ett odaterat EN 18031-intyg
Ett allmänt intyg utan modell, firmware, testomfattning eller ansvarig utfärdare räcker inte som tillförlitlig beviskedja. Kvalitetsteamet begär komplettering och dokumenterar om batchen ska hållas tillbaka tills uppgifterna är kontrollerade.
Vanliga frågor
Gäller cybersäkerhetskraven även Bluetooth-leksaker utan internet?
Ja, vissa krav kan göra det. För radioleksaker som behandlar relevanta person-, trafik- eller lokaliseringsuppgifter kan RED 3.3(e) bli tillämplig även utan internetanslutning. Internetbaserat nätverksskydd enligt 3.3(d) behöver bedömas separat.
Måste alla tillverkare använda EN 18031-1?
Nej. EN 18031-1 hör till nätverksskyddet för internetansluten radioutrustning och harmoniserade standarder är inte ett generellt krav att använda. Det avgörande är att visa överensstämmelse med de rättsliga krav som gäller för den aktuella produkten genom korrekt bedömningsförfarande.
Kan vi fortsätta sälja tidigare modeller efter den 11 december 2027?
Övergången måste bedömas utifrån bland annat när enheten släpptes ut på EU-marknaden och vad som ändras i produkten. Upphävandet av 2022/30 tar inte automatiskt bort ansvaret för produkter som redan omfattats av RED-reglerna. Bedöm också CRA och övriga tillämpliga produktkrav där de aktualiseras.
Räcker en leverantörschecklista för CE-märkning?
Nej. Checklistan är ett administrativt kontrollstöd. Verkliga tekniska underlag, korrekt bedömning av överensstämmelse och samtliga andra tillämpliga produktkrav måste hanteras.
Relaterat dokumentstöd
För praktisk dokumentation finns ett ämnesspecifikt mallpaket: RED-cybersäkerhet radioleksaker 2026/2027 – EN 18031, leverantörsbevis & batchspärr | Word/PDF/Excel Mallen är ett frivilligt arbetsstöd; guiden är användbar även utan köp.
Rättskällor och kontroll
- PTS: cybersäkerhetskrav för radioutrustning
- Förordning (EU) 2022/30 – artikel 1 och tillämpningsområdet
- Genomförandebeslut (EU) 2025/138 – EN 18031 med begränsningar
- Förordning (EU) 2026/339 – upphävande 11 december 2027
- Direktiv 2014/53/EU (RED) och förordning (EU) 2024/2847 (CRA)
Senaste redaktionella faktakontroll: 11 november 2026 mot PTS och EUR-Lex. Guiden ger allmän information, inte en individuell konformitetsbedömning eller juridisk rådgivning. Låt behörig teknisk och juridisk kompetens granska verkligt produktunderlag före marknadssläpp.
