Verpflichtende Cybersicherheitsnorm für vernetzte Fahrzeuge in China in Kraft

Ein vernetztes Fahrzeug ist kein mechanisches Produkt mehr, sondern ein über ein Netzwerk laufendes System. Fernaktualisierung, Telematik und Fahrerassistenzfunktionen machen die Sicherheit des Fahrzeugs untrennbar von der Software.

Deshalb machen große Märkte die Fahrzeug-Cybersicherheit zu einem Bestandteil der Konformitätsbewertung. Dieser in China über eine verpflichtende nationale Norm umgesetzte Ansatz fügt der Typgenehmigungskette des Fahrzeugs die Dimension Cybersicherheit hinzu.

Das Gemeinsame solcher Normen ist, dass sie kein einzelnes Merkmal verlangen, sondern ein Managementsystem: Risikobewertung, sichere Entwicklung, Schwachstellenüberwachung und Reaktion auf Vorfälle. Das Dokument wird also zum Nachweis eines Prozesses, nicht einer Prüfung.

Auch die Lieferkette fällt in den Geltungsbereich. Der Hersteller eines Steuergeräts oder Telematikmoduls im Fahrzeug muss seinen eigenen Sicherheitsnachweis an den OEM weitergeben.

Die internationale Referenz bei der Fahrzeug-Cybersicherheit sind die UNECE-Regelungen R155 (Cybersicherheits-Managementsystem) und R156 (Software-Update-Managementsystem); sie werden in der Branche weithin zusammen mit der Prozessnorm ISO/SAE 21434 verwendet.

Ein nach diesen Rahmenwerken aufgebautes Managementsystem beginnt bei der Erfüllung der Anforderungen in China nicht bei null: Der Großteil derselben Prozessnachweise kann wiederverwendet werden. Für die eigenen Anforderungen der lokalen Norm ist jedoch eine gesonderte Lückenanalyse erforderlich.

Dieser Artikel betrifft die Funktionsweise der Rahmenwerke; für Normnummer, Inkrafttretensdatum und Geltungsbereich sind die offizielle Bekanntmachung und die Mitteilung der von Ihnen genutzten Zertifizierungsstelle maßgeblich.

Cybersicherheit bei einem vernetzten Fahrzeug birgt eine andere Risikostruktur als klassische Produktsicherheit. Ein Fehler in der Bremshydraulik betrifft ein einzelnes Fahrzeug; eine aus der Ferne ausnutzbare Softwareschwachstelle kann dagegen die gesamte Flotte desselben Modells gleichzeitig betreffen. Dieser Skalenunterschied verändert auch den Ansatz der Regulierungsbehörde.

Deshalb hat sich der weltweit übernommene Ansatz von der Einzelprüfung des Produkts zur Prüfung des SYSTEMS DES HERSTELLERS verschoben: Wird eine Bedrohungsanalyse und Risikobewertung durchgeführt, fließen Sicherheitsanforderungen in das Design ein, werden Schwachstellenmeldungen verfolgt, wird das Software-Update sicher verteilt.

Die zweite Achse ist das Software-Update-Management. Die Fernaktualisierung ist ebenso der schnellste Weg, eine Sicherheitslücke zu schließen, wie sie bei Missbrauch der gefährlichste Kanal ist: Integrität und Herkunftsprüfung der Update-Kette werden deshalb als gesonderte Anforderung geregelt.

Der Fahrzeughersteller ist Adressat der Typgenehmigung, doch der Großteil der Schwachstellen stammt aus elektronischen Einheiten in der Lieferkette und Drittanbieter-Softwarekomponenten. Deshalb wird die Pflicht vertraglich nach unten weitergegeben.

Die typischerweise vom Lieferanten geforderten Punkte sind: ein Bestandsverzeichnis der verwendeten Softwarekomponenten und -versionen, eine Bedrohungsanalyse auf Einheitsebene, ein Nachweis der Erfüllung der Sicherheitsanforderungen und eine Verpflichtung zur Schwachstellenmeldung über die gesamte Produktlebensdauer.

Das Komponentenverzeichnis ist der am meisten übersehene und zugleich kritischste Punkt: Ohne Verzeichnis lässt sich die Frage, welche Schwachstelle in welcher Einheit vorliegt, nicht beantworten, folglich kann Schwachstellenmanagement nicht betrieben werden.

Die Logik der Cybersicherheitsanforderungen ähnelt sich zwischen den Märkten, doch die Umsetzung weicht ab: Welche Dokumente in welcher Sprache vorzulegen sind, wer die Prüfung durchführt, sowie zusätzliche Regeln zur Datenlokalisierung und zu Karten-/Standortdaten stammen aus nationalen Vorschriften.

Deshalb wird ein in einem Markt eingerichtetes Managementsystem in einem anderen Markt möglicherweise nicht direkt anerkannt; das System selbst wird nicht neu aufgebaut, aber die Nachweisakte wird in der vom Zielmarkt geforderten Form neu zusammengestellt.

Die zeitaufwendigsten Punkte bei der Planung sind der Audittermin und die Übersetzung der Dokumentation in die Landessprache; ist die technische Arbeit abgeschlossen, wartet der Prozess bei diesen beiden Punkten.