Cybersecurity in der Automobilindustrie. ISO/SAE 21434 (CSMS) und R155

Episode 11 unserer Artikelreihe: The Cybersecurity Compass

Warum Cybersecurity in der Automobilindustrie von entscheidender Bedeutung ist

Moderne Fahrzeuge sind längst keine rein mechanischen Meisterwerke mehr – sie sind vernetzte Ökosysteme, die fortschrittliche Software, Sensoren und Kommunikationssysteme integrieren. Diese Transformation verbessert zwar das Nutzererlebnis erheblich, eröffnet jedoch zugleich neue Angriffsflächen für Cybersecurity-Bedrohungen.

R155 und das Cybersecurity Management System (CSMS) begegnen diesen Herausforderungen, indem sie robuste Standards für das Management von Cybersecurity-Risiken über den gesamten Fahrzeuglebenszyklus hinweg festlegen – von der Entwicklung bis zur Außerbetriebnahme.

Zentrale Aspekte von R155 und CSMS

1. UN Regulation No. 155: Core Requirements

UN Regulation No. 155 sets the foundation for cybersecurity requirements in the automotive sector. The core requirements include:

Lifecycle Risk Management: Manufacturers must establish processes to identify and assess potential cybersecurity risks at every stage of the vehicle lifecycle, including: Risk analysis during development, covering both software and hardware design. Ongoing evaluation and assessment during production and operation.
Incident Detection and Response: Companies must ensure that vehicles are capable of detecting and reporting cyberattacks effectively. This includes: Monitoring for anomalies in system behavior. Clear escalation and reporting processes for security incidents to relevant authorities or stakeholders.
Security Update Management: Manufacturers must ensure the ability to provide security updates throughout the vehicle’s lifecycle. Over-the-Air (OTA) updates are increasingly becoming the standard solution.
Unauthorized Access Protection: Robust access control systems must be in place to ensure that only authorized individuals can access critical systems.

2. Cyber Security Management Systems (CSMS)

CSMS forms the organizational and technical framework that companies must implement to meet R155 requirements. An effective CSMS includes:

Governance and Policies: Clear directives and responsibilities for implementing cybersecurity measures within the organization.
Risk Assessment: A systematic approach to identifying and prioritizing risks.
Continuous Monitoring: Systems and processes to constantly evaluate and improve the organization’s cybersecurity posture.

Zeitplan für die Umsetzung

Die Automobilbranche steht vor klar definierten Fristen zur Umsetzung dieser Maßnahmen:

Durchsetzung von R155: Seit Juli 2022 verpflichtend für neue Fahrzeugtypen und seit Juli 2024 für alle in UNECE-Mitgliedstaaten produzierten Fahrzeuge.
CSMS-Zertifizierung: Voraussetzung für die Typgenehmigung und erforderlich, bevor Hersteller Fahrzeuge in Märkten verkaufen dürfen, die UNECE-Regelungen anwenden, einschließlich der EU.

Eine Nichteinhaltung führt nicht nur zu erheblichen Bußgeldern, sondern kann auch dazu führen, dass Fahrzeuge keine Zulassung erhalten oder vom Markt genommen werden – ein Risiko, das sich kein Hersteller leisten kann.

Detaillierter Blick auf die zentralen Anforderungen

Um die Bedeutung dieser Regulierung zu unterstreichen, lohnt sich ein genauerer Blick auf einige zentrale Anforderungen:

Schutz von Kommunikationsschnittstellen:
Moderne Fahrzeuge nutzen zunehmend drahtlose Schnittstellen wie Bluetooth, WLAN und Mobilfunknetze. Diese müssen wirksam gegen Angriffe abgesichert werden, um ein Eindringen in Fahrzeugnetzwerke zu verhindern.
Manipulationssichere Steuergeräte:
Elektronische Steuergeräte (ECUs) steuern wesentliche Fahrzeugfunktionen. Sie müssen so konzipiert sein, dass Manipulationsversuche erkannt und verhindert werden können.
Datenschutz und Vertraulichkeit:
Neben technischen Sicherheitsmaßnahmen verlangt R155 auch den Schutz personenbezogener Daten von Fahrern und Passagieren.
Regelmäßige Tests und Audits:
Die Vorschriften schreiben vor, dass Hersteller ihre Systeme regelmäßig testen und durch unabhängige Dritte prüfen lassen, um die Widerstandsfähigkeit gegenüber sich weiterentwickelnden Bedrohungen sicherzustellen.

Herausforderungen und Chancen

Implementierungskosten:
Investitionen in Cybersecurity-Frameworks können zunächst hoch erscheinen, sind jedoch unerlässlich, um das Vertrauen der Verbraucher zu sichern und langfristige Risiken zu minimieren.
Fachkräftemangel:
Wie viele andere Branchen steht auch die Automobilindustrie vor einem Mangel an qualifizierten Cybersecurity-Experten. Der gezielte Aufbau von Know-how und die Weiterentwicklung von Fachkräften sind daher entscheidend.
Risiken in der Lieferkette:
Da Drittanbieter von Software eine zentrale Rolle in Fahrzeugsystemen spielen, ist ein strukturiertes Management der Lieferkettensicherheit unverzichtbar.

Gleichzeitig eröffnet Compliance auch Chancen:

Stärkung des Markenvertrauens durch eine klare Priorisierung von Sicherheit und Schutz.
Wettbewerbsvorteile durch eine robuste und strategisch ausgerichtete Cybersecurity-Architektur.

Warum diese Episode wichtig ist

Für unsere Kolleg:innen Natalia und Ayhan geht es in dieser Episode nicht nur um technische Compliance. Sie ist ein klarer Appell an eine Branche, die ihnen besonders am Herzen liegt, Cybersecurity als zentralen Wert zu verankern. Lassen Sie uns gemeinsam dafür sorgen, dass die Fahrzeuge von morgen nicht nur intelligenter, sondern auch sicherer sind.

Bleiben Sie dran

Begleiten Sie uns, wenn wir die Feinheiten der automobilen Cybersecurity beleuchten. Diese Episode bietet Einblicke und Strategien, um die sich wandelnden regulatorischen Anforderungen erfolgreich zu meistern. Ob Sie in der Automobilbranche tätig sind oder sich einfach dafür interessieren, wie Cybersecurity auf Mobilität trifft – diese Folge richtet sich an Sie.

Lassen Sie uns sicher in die Zukunft fahren.