Vorschriften und Standards für Automotive Cybersecurity

Dieser Beitrag wurde aus dem Englischen übersetzt. Zum Originalbeitrag.

Je stärker Fahrzeuge softwaredefiniert und vernetzt sind, desto größer werden die Cyberrisiken.

Mit jeder zusätzlichen Funktion steigt das Risiko von Cyberangriffen auf kritische Fahrzeugkomponenten – insbesondere auf Nutzerdaten und das Vertrauen der Kunden.

Um diesen Bedrohungen zu begegnen, wurde ein umfassender Cybersecurity-Rahmen aus Gesetzen und Standards auf globaler und regionaler Ebene etabliert. Dieser bezieht Automobilhersteller, Zulieferer sowie weitere Branchenakteure ein.

Dieser Artikel gibt einen Überblick über den regulatorischen Rahmen der automobilen Cybersicherheit – sowohl direkt als auch indirekt relevante Vorschriften werden betrachtet.

Der globale regulatorische Rahmen

Weltweit entwickeln und implementieren zahlreiche Regulierungsbehörden Standards und Frameworks zur Absicherung von Fahrzeugen. Besonders hervorzuheben ist das UNECE WP.29 (World Forum for Harmonization of Vehicle Regulations), das zentrale Regelwerke wie UN R155 (Cybersecurity Management System – CSMS) und UN R156 (Software Update Management System – SUMS) eingeführt hat.

Diese Regelungen sind für die Typgenehmigung in Ländern, die UNECE-Regularien anwenden, verpflichtend. Sie definieren unter anderem Anforderungen an ein Cybersecurity-Managementsystem über den gesamten Fahrzeuglebenszyklus sowie an sichere Software-Updates. 

Neben diesen globalen Vorgaben spielen regionale Anpassungen eine entscheidende Rolle:

• USA: Die Richtlinien der NHTSA sind freiwillig, werden jedoch branchenweit als Best Practices etabliert. Ergänzend liefert das NIST Frameworks und Publikationen.
  

• Europäische Union: Mit Regelwerken wie der NIS2-Richtlinie und dem Cyber Resilience Act (CRA) existiert ein umfassender Cybersecurity-Rechtsrahmen, der auch die Automobilbranche stark beeinflusst.
  

• China: Setzt auf ein eigenständiges System nationaler GB-Standards, darunter verbindliche Anforderungen an Fahrzeug-Cybersicherheit und Software-Updates. 
  

Diese regulatorische Vielfalt unterstreicht die Notwendigkeit einer global abgestimmten Compliance-Strategie für international tätige Automobilunternehmen.

Warum sind Vorschriften und Standards essenziell?

Der zunehmende Fokus auf Automotive Cybersecurity wird durch mehrere zentrale Faktoren getrieben:

• Konnektivität und Automatisierung: Softwarebasierte und vernetzte Funktionen vergrößern die Angriffsfläche erheblich.

• Cyberangriffe: Angriffe auf Fahrzeugfunktionen können Sicherheitsrisiken, Datenlecks und Vertrauensverlust verursachen.

• Marktstabilität: Compliance reduziert systemische Risiken und schützt die Integrität des Marktes.

• Folgen bei Non-Compliance: Verstöße führen zu hohen Bußgeldern, Marktzugangsbeschränkungen und Reputationsschäden.

Wichtige internationale Standards

Zur strukturierten Steuerung von Cyberrisiken wurden verschiedene internationale Standards etabliert:

• ISO/SAE 21434:2021 – Road Vehicles – Cybersecurity Engineering:
  Definiert Anforderungen für das Cybersecurity-Risikomanagement über den gesamten Lebenszyklus von elektrischen und elektronischen Fahrzeugsystemen – von der Entwicklung bis zur Außerbetriebnahme.

• ISO/PAS 5112:2022 – Guidelines for Auditing Cybersecurity Engineering:
  Liefert Richtlinien für die Auditierung von Cybersecurity-Managementsystemen entlang der gesamten Lieferkette.

• ISO 24089:2023 – Software Update Engineering:
  Spezifiziert Anforderungen an Software-Update-Prozesse, einschließlich Over-the-Air (OTA) Updates.

• UNECE WP.29 UN R155:
  Legt Anforderungen an Cybersecurity-Managementsysteme fest und ist seit Juli 2024 verpflichtend für neue Fahrzeuge in den teilnehmenden Märkten. [finitestate.io]

• UNECE WP.29 UN R156:
  Definiert Anforderungen an Software Update Management Systeme zur sicheren Durchführung von Updates über den gesamten Fahrzeuglebenszyklus. [de.wikipedia.org]

• ISO/SAE 8477 (in Entwicklung):
  Behandelt Verifikation und Validierung von Cybersecurity-Maßnahmen.

• ISO/SAE 8475 (in Entwicklung):
  Beschreibt Cybersecurity Assurance Levels (CAL) und Targeted Attack Feasibility (TAF).

Regionaler Fokus: Europa

Europa weist eine besonders komplexe regulatorische Landschaft auf. Relevante Regelwerke sind u. a.:

• TISAX (ISMS):
  Branchenstandard für Informationssicherheitsmanagement, basierend auf ISO 27001.

• EU Cyber Resilience Act (CRA):
  Verpflichtet Hersteller, Cybersicherheit bereits im Design und über den gesamten Produktlebenszyklus zu integrieren.

• EU General Safety Regulation II (GSR II):
  Verankert Cybersecurity als Bestandteil der Fahrzeugzulassung.

• EU NIS2-Richtlinie:
  Stärkt Cybersicherheitsanforderungen und Meldepflichten für kritische Sektoren, einschließlich Transport und Automotive.

• GDPR (Datenschutz-Grundverordnung):
  Regelt den Schutz personenbezogener Daten – insbesondere relevant für vernetzte Fahrzeuge mit umfangreicher Datenerhebung.

• Radio Equipment Directive (RED):
  Verlangt Sicherheitsmaßnahmen für vernetzte Funkkomponenten, z. B. Infotainment.

• Product Liability Directive:
  Erweitert Produktverantwortung auf Software und KI-basierte Systeme.

• VDA Automotive SPICE (ASPICE) mit Cybersecurity-Erweiterung:
  Integriert Cybersecurity in Prozessreife- und Entwicklungsmodelle.
  

Regional Focus: China 

China hat ein umfassendes regulatorisches Framework etabliert, maßgeblich gesteuert durch das Ministry of Industry and Information Technology (MIIT).
Zu den wichtigsten Gesetzen gehören:

• Cybersecurity Law

• Data Security Law

• Personal Information Protection Law

Im Rahmen des Intelligent and Connected Vehicle (ICV) Standard Systems wurden zahlreiche Standards definiert:

• GB 44495-2024: Fokus auf Fahrzeug-Cybersicherheit

• GB 44496-2024: Anforderungen an Software-Updates

Diese Standards adressieren u. a. CSMS-Anforderungen, Risikoanalysen sowie technische Prüfmethoden zur Bewertung der Fahrzeugsicherheit. 

Im Unterschied zu UNECE verlangt das chinesische System keine formale Zertifizierung von CSMS/SUMS, sondern definiert eigene Prüf- und Compliance-Anforderungen.

Regionaler Fokus: Weitere Regionen

Auch andere Regionen entwickeln eigene Ansätze zur Automotive Cybersecurity:

• NIST (USA):

  Liefert umfassende Frameworks und Standards wie

  • NIST SP 800-53
  • NIST SP 800-160
  • NIST Cybersecurity Framework (CSF)

     

• NHTSA (USA):

  Stellt freiwillige Richtlinien für Best Practices bereit.

• JAMA/JAPIA (Japan):

  Entwickeln branchenspezifische Cybersecurity-Guidelines.

• AIS-189 & AIS-190 (Indien):
  Definieren CSMS- und SUMS-Anforderungen auf Basis von UN R155/R156 (geplanter Release 2027).

Zusammenfassung und zentrale Erkenntnisse

Die regulatorische Landschaft der Automotive Cybersecurity ist komplex und dynamisch – insbesondere in Europa und China.

Für Hersteller und Zulieferer ergeben sich daraus mehrere zentrale Herausforderungen:

• Einhaltung globaler und regionaler Vorschriften gleichzeitig
• Integration von Cybersecurity in Entwicklungs- und Betriebsprozesse
• Sicherstellung von Datenschutz und Informationssicherheit

Ein klarer Trend ist erkennbar:

• Bestehende Regelwerke werden kontinuierlich erweitert
• Neue Vorschriften entstehen insbesondere auf regionaler Ebene
• Verantwortung verlagert sich zunehmend entlang der gesamten Lieferkette

Zulieferer sind heute stärker als je zuvor verpflichtet, eigene Cybersecurity-Managementsysteme (CSMS) zu etablieren und die Compliance ihrer Komponenten sicherzustellen.

Für weiterführende Informationen zu unserem Ansatz für robuste digitale Sicherheit besuchen Sie gerne unsere Cybersecurity-Services.