Mit den GSR-II-Anforderungen ist die Konformität des CSMS nach UN-Regelung Nr. 155 zu einem wichtigen Thema bei Typgenehmigungen der zweiten Stufe geworden. Wie sollten Hersteller der zweiten Stufe die Anforderungen der R155 sachgerecht umsetzen?
Was ist ein Cybersicherheitsmanagementsystem (CSMS)?
Die UN-Regelung Nr. 155 definiert die Anforderungen an das Cybersicherheitsmanagement für die in ihren Anwendungsbereich fallenden Fahrzeughersteller. Sie bildet einen umfassenden regulatorischen Rahmen zum Schutz von Fahrzeugen vor Cyberbedrohungen und gehört zu den mit GSR II eingeführten Anforderungen.
Für die Konformität müssen Fahrzeughersteller vor dem Inverkehrbringen der betreffenden Fahrzeugtypen nachweisen, dass die einschlägigen Cybersicherheitsanforderungen erfüllt sind. Nach dem Übergangszeitplan der GSR-II-Anforderungen müssen Hersteller die für ihren Genehmigungsumfang erforderlichen Nachweise erlangen. Die UN-Regelung Nr. 155 zielt darauf ab, Cybersicherheit über den gesamten Fahrzeuglebenszyklus hinweg zu steuern – von Entwicklung und Produktion bis zu Betrieb und Wartung.
Betroffene Hersteller lassen sich im Wesentlichen in zwei Gruppen einteilen: Hersteller, die bereits über eine Typgenehmigung der zweiten Stufe verfügen, und Hersteller, die eine neue Genehmigung beantragen. Inhaber bestehender Typgenehmigungen der zweiten Stufe müssen ihre aktuellen Produktionsprozesse auf Konformität mit der UN-Regelung Nr. 155 prüfen und erforderlichenfalls anpassen. Hersteller vor einer Neugenehmigung sollten von Beginn an ein Managementsystem etablieren, das die einschlägigen R155-Anforderungen in Entwicklung, Produktion und Cybersicherheitsgenehmigung berücksichtigt.
Ein CSMS bündelt Richtlinien, Prozesse und technische Maßnahmen für das Management der Fahrzeugcybersicherheit. Es soll die Widerstandsfähigkeit gegen Cyberangriffe erhöhen, mögliche Bedrohungen erkennen und wirksame Reaktionen ermöglichen. Dazu gehören auch sichere Softwareaktualisierungen und der Schutz relevanter Fahrzeugdaten.
Für eine wirksame Umsetzung müssen Hersteller über geeignetes Cybersicherheitsfachwissen verfügen – entweder durch eigene Teams oder durch spezialisierte externe Unterstützung. Zudem ist eine abgestimmte Zusammenarbeit mit Lieferkettenpartnern und Drittanbietern erforderlich, damit Verantwortlichkeiten und Nachweise zur Cybersicherheit durchgängig gesteuert werden.
Für welche Fahrzeuge gelten die Anforderungen?
Bei Typgenehmigungen der zweiten Stufe und für Aufbauten richtet sich die Bewertung nach den am Basisfahrzeug ausgeführten Arbeiten. Für Anforderungen an die Cybersicherheit und den Schutz von Fahrzeugen vor Cyberbedrohungen gilt die Verordnung (EU) 2019/2144. In ihrem Anwendungsbereich können Hersteller von Fahrzeugen der Klassen M1, M2, M3, N1, N2 und N3 sowie von Bauteilen und selbstständigen technischen Einheiten den verbindlichen regulatorischen Anforderungen unterliegen.
Für Hersteller von Fahrzeugen der Klasse O besteht zwar keine Verpflichtung; eine freiwillige Genehmigung nach der Regelung kann jedoch gegebenenfalls beantragt werden.
Cybersicherheitsgenehmigung bei Typgenehmigungen der zweiten Stufe
Aufbauhersteller sollten zunächst feststellen, ob ihre konkrete Umrüstung in den Anwendungsbereich fällt. Entscheidend ist dabei, welchen Einfluss der Aufbau oder Umbau auf das Basisfahrzeug hat. Für eine belastbare Bewertung müssen daher die einschlägigen technischen Unterlagen geprüft werden.
Bei einem Hersteller von Fahrzeugen der Klasse M3 ist beispielsweise zu ermitteln, welche elektrischen und elektronischen Produkte verbaut werden, wie sie mit dem Basisfahrzeug interagieren und welche eigenen Cybersicherheitseigenschaften sie aufweisen. Diese technische Bewertung kann umfangreich und zeitintensiv sein.
Die dabei festgestellte Cybersicherheitsrelevanz bestimmt Umfang und Tiefe der vom Hersteller erforderlichen Arbeiten am Managementsystem.
Aufbauhersteller sollten deshalb den CSMS-Rahmen verstehen und klären, wie ihre Tätigkeit bewertet wird – insbesondere, ob für die betreffende Genehmigung ein Cybersicherheitsmanagementsystem erforderlich ist.
Je nach Umfang und Vorbereitungsstand des Unternehmens kann das Genehmigungsverfahren zwischen drei Monaten und einem Jahr dauern.
Unsere Leistungen für CSMS und Cybersicherheit
Wir begleiten Unternehmen im gesamten CSMS-Genehmigungsverfahren. Entsprechend den Anforderungen an Typgenehmigungen der zweiten Stufe für Aufbauten koordinieren wir Anwendungsbereichsbewertung, Dokumentation und Genehmigungsaktivitäten und beraten Sie zu den Auswirkungen der Regelung auf die Fortführung Ihrer Typgenehmigung.
Folgen Sie uns auf LinkedIn und Instagram für weitere Einblicke.
Überblick
Die UN-Regelung Nr. 155 schafft einen Rahmen für das Management von Cybersicherheitsrisiken während des gesamten Fahrzeuglebenszyklus. Dieser Beitrag erläutert, welche Bedeutung die CSMS-Anforderungen für mehrstufige Typgenehmigungen und Aufbauhersteller haben können. Darüber hinaus behandelt der Beitrag Was ist ein Cybersicherheitsmanagementsystem (CSMS)?, Für welche Fahrzeuge gelten die Anforderungen? und Cybersicherheitsgenehmigung bei Typgenehmigungen der zweiten Stufe.
