Das moderne Fahrzeug wird nicht mehr nur durch seine mechanischen Systeme bestimmt. Konnektivität, Software, elektronische Steuergeräte, Cloud-Dienste, mobile Anwendungen und Over-the-Air-Updates bestimmen zunehmend, wie ein Fahrzeug während seiner gesamten Lebensdauer funktioniert.
Dieser Wandel hat eine neue Herausforderung für die Homologation geschaffen. Ein Fahrzeug kann beim Verlassen der Produktionslinie technisch konform sein, doch seine Cybersicherheitsexposition kann sich verändern, wenn neue Schwachstellen auftauchen, vernetzte Dienste sich weiterentwickeln und Software aktualisiert wird.
Die UN-Regelungen Nr. 155 und Nr. 156 reagieren auf diesen grundlegenden Wandel. Gemeinsam führen sie Regulierungsrahmen für Fahrzeug-Cybersicherheit, Cybersicherheitsmanagement und Governance von Software-Updates ein – und erweitern die Konformität vom physischen Fahrzeug auf die organisatorischen Prozesse des Herstellers und den fortlaufenden digitalen Lebenszyklus des Fahrzeugs.
Bei der Homologation geht es nicht mehr nur um Hardware
Die klassische Fahrzeuggenehmigung entwickelte sich rund um relativ stabile physische Systeme: Bremsen, Lenkung, Beleuchtung, Strukturen, Emissionen und Insassenschutz.
Moderne Fahrzeuge schaffen ein grundlegend anderes technisches Umfeld. Software steuert zunehmend sicherheitskritische Funktionen, während Fahrzeuge kontinuierlich mit externen Systemen kommunizieren.
Die Fahrzeugeigenschaften bleiben nach der Produktion weitgehend unverändert; die regulatorische Bewertung konzentriert sich auf die Genehmigung der Konstruktion und die Übereinstimmung der Produktion.
Software, Konnektivität, Backend-Dienste und neue Cyberbedrohungen können das Betriebsumfeld des Fahrzeugs während seiner gesamten Nutzungsdauer verändern.
Cybersicherheit wird Teil der Fahrzeugtypgenehmigung
Die UN-Regelung Nr. 155 legt einheitliche Bestimmungen für die Genehmigung von Fahrzeugen hinsichtlich der Cybersicherheit und des Cyber Security Management System – CSMS – fest.
Die Regelung schafft zwei eng miteinander verbundene Ebenen der Absicherung.
Der Hersteller muss Prozesse zur Identifizierung, Bewertung, Behandlung und Überwachung von Cybersicherheitsrisiken in den relevanten Phasen des Fahrzeuglebenszyklus nachweisen.
Der Hersteller muss nachweisen, dass die für den Fahrzeugtyp relevanten Cybersicherheitsrisiken ermittelt und angemessen behandelt wurden.
Cybersicherheit muss als Prozess über den Lebenszyklus gesteuert werden
Das Cyber Security Management System verändert das Konformitätsmodell, weil die Genehmigung teilweise von der organisatorischen Fähigkeit abhängt und nicht nur von den Eigenschaften eines einzelnen Fahrzeugs.
Prozesse müssen relevante Cybersicherheitsbedrohungen, Schwachstellen und mögliche Angriffspfade identifizieren.
Ermittelte Risiken müssen nach ihren möglichen Folgen und ihrer Eintrittswahrscheinlichkeit bewertet werden.
Geeignete konstruktive, technische und organisatorische Maßnahmen werden umgesetzt, um Cybersicherheitsrisiken zu verringern.
Cybersicherheitsmaßnahmen benötigen unterstützende Nachweise, dass sie wie vorgesehen wirken.
Neue Bedrohungen und Schwachstellen müssen auch nach der Inbetriebnahme der Fahrzeuge weiterhin berücksichtigt werden.
Hersteller benötigen Prozesse, um zu reagieren, wenn relevante Cybersicherheitsprobleme festgestellt werden.
Das Cybersicherheitsmanagement kann mit der Erteilung der Typgenehmigung nicht enden, weil sich die Bedrohungslage selbst ständig verändert.
Die Angriffsfläche des Fahrzeugs reicht weit über das Fahrzeug hinaus
Vernetzte Fahrzeuge interagieren mit zahlreichen internen und externen Systemen. Die Cybersicherheitsbewertung muss daher das gesamte Ökosystem berücksichtigen und nicht nur einzelne elektronische Komponenten.
Interne Kommunikationsnetze und elektronische Steuergeräte können zu potenziellen Angriffspfaden werden.
Mobilfunk, WLAN, Bluetooth und andere Kommunikationsschnittstellen erhöhen die externe Konnektivität.
Service- und Diagnosezugänge können Cybersicherheitsrisiken mit sich bringen, wenn sie unzureichend kontrolliert werden.
Server des Herstellers und vernetzte Dienste können Fahrzeugfunktionen und Daten beeinflussen.
Anwendungen zur Fahrzeugsteuerung und Nutzeranwendungen können Teil der erweiterten Cybersicherheitsgrenze werden.
Software, Bibliotheken, Komponenten und Lieferanten Dritter können Schwachstellen außerhalb des direkten Entwicklungsumfelds des OEM einbringen.
Software-Updates werden Teil der regulatorischen Kontrolle
Die UN-Regelung Nr. 156 legt einheitliche Bestimmungen für Software-Updates und das Software Update Management System – SUMS – fest.
Ihre Bedeutung reicht weit über Over-the-Air-Updates hinaus. Die Regelung schafft einen strukturierten Rahmen zur Steuerung von Softwareänderungen, die genehmigte Fahrzeugeigenschaften beeinflussen können.
Der Hersteller richtet Prozesse zur Identifizierung, Bewertung, Steuerung, Dokumentation und Verteilung von Fahrzeug-Software-Updates ein.
Das Fahrzeug und seine Update-Prozesse müssen die anwendbaren Anforderungen an Softwareidentifikation, Integrität und sichere Durchführung von Updates erfüllen.
Ihr umfassenderer Zweck ist sicherzustellen, dass Software-Updates systematisch gesteuert werden und genehmigungsrelevante Fahrzeugeigenschaften bei Softwareänderungen rückverfolgbar bleiben.
Softwareänderungen erfordern Governance
Das Software Update Management System bildet den organisatorischen Rahmen, über den Hersteller Software-Updates steuern, die Fahrzeuge betreffen.
Relevante Softwareversionen und -konfigurationen müssen identifizierbar und rückverfolgbar bleiben.
Hersteller benötigen Prozesse, um festzustellen, wie sich ein Update auf genehmigte Fahrzeugeigenschaften auswirkt.
Änderungen müssen daraufhin bewertet werden, ob zusätzliche Prüfungen, eine Erweiterung der Genehmigung oder andere regulatorische Maßnahmen erforderlich sind.
Update-Pakete und Verteilungsprozesse erfordern Schutz vor unbefugter Manipulation.
Das Fahrzeug muss den Installationsprozess und die relevanten Bedingungen für die Durchführung des Updates angemessen steuern.
Softwareänderungen und ihr Bezug zur genehmigten Fahrzeugkonfiguration erfordern gelenkte Aufzeichnungen.
RxSWIN verbindet Software mit der Typgenehmigung
Eines der wichtigen Konzepte des UN-R156-Rahmens ist die Regulation Software Identification Number – RxSWIN.
Gegebenenfalls bietet die RxSWIN einen regulatorischen Mechanismus, um für eine bestimmte UN-Regelung relevante Software mit der genehmigten Konfiguration des Fahrzeugs zu verknüpfen.
Die klassische Homologation identifiziert physische Konfigurationen, Systeme und Bauteile, die mit einer Genehmigung verbunden sind.
Die RxSWIN macht die anwendbare Softwarekonfiguration innerhalb des Regulierungsrahmens identifizierbar.
Zwei physisch identische Fahrzeuge können sich unterschiedlich verhalten, weil sie unterschiedliche Software enthalten. Die regulatorische Rückverfolgbarkeit muss daher zunehmend nicht nur die Hardware, sondern auch die Software identifizieren, die genehmigte Funktionen steuert.
Das Fahrzeug kann sich nach Verlassen des Werks verändern
Over-the-Air-Updates ermöglichen es Herstellern, Fahrzeugsoftware aus der Ferne zu ändern, ohne dass jedes Fahrzeug eine Werkstatt aufsuchen muss.
Die Vorteile sind erheblich. Hersteller können Fehler beheben, Funktionen verbessern, Cybersicherheitslücken schließen und neue Fähigkeiten in ganzen Fahrzeugflotten bereitstellen.
Doch dieselbe Fähigkeit wirft eine beispiellose Homologationsfrage auf: Was geschieht, wenn sich ein bereits genehmigtes Fahrzeug nach seiner Inbetriebnahme verändert?
Die bestehende Fahrzeugkonfiguration und die anwendbaren regulatorischen Genehmigungen bestimmen.
Bewerten, ob das vorgesehene Update genehmigungsrelevante Eigenschaften verändert.
Verifizieren, dass die geänderte Software wie vorgesehen funktioniert und weiterhin die anwendbaren Anforderungen erfüllt.
Das Update über kontrollierte und geschützte Mechanismen bereitstellen.
Sicherstellen, dass das Fahrzeug den Update-Prozess sicher abschließen oder angemessen steuern kann.
Nachweise über die resultierende Software- und regulatorische Konfiguration führen.
Cybersicherheit und Software-Updates lassen sich nicht getrennt steuern
UN R155 und UN R156 verfolgen unterschiedliche regulatorische Ziele, sind betrieblich jedoch eng miteinander verbunden.
Bedrohungen und Schwachstellen identifizieren, geeignete Gegenmaßnahmen umsetzen und die Cybersicherheit über den relevanten Fahrzeuglebenszyklus weiter überwachen.
Software-Updates steuern, bewerten, dokumentieren und verteilen und dabei die anwendbare regulatorische Konformität des Fahrzeugs aufrechterhalten.
Der Zusammenhang wird besonders deutlich, wenn eine Cybersicherheitslücke entdeckt wird, nachdem Fahrzeuge bereits in Betrieb sind.
Der OEM kann das Fahrzeug nicht allein absichern
Moderne Fahrzeugsoftware und elektronische Architekturen hängen von umfangreichen Zuliefer-Ökosystemen ab. OEMs integrieren unter Umständen Hardware, eingebettete Software, Betriebssysteme, Konnektivitätsmodule, Cloud-Infrastruktur und Dienste Dritter von zahlreichen Organisationen.
Erwartungen an Cybersicherheit und Softwaremanagement müssen in die Lieferantenbeziehungen aufgenommen werden.
OEMs benötigen geeignete technische Nachweise von Lieferanten, um die Cybersicherheitsbewertung auf Fahrzeugebene zu stützen.
Software- und Bauteiländerungen von Lieferanten erfordern eine kontrollierte Kommunikation, wenn sie die Fahrzeugkonformität beeinflussen können.
Neu entdeckte Schwachstellen können eine abgestimmte Untersuchung und Behebung über mehrere Organisationen hinweg erfordern.
Der Fahrzeughersteller bleibt auf Nachweise und Zusammenarbeit seiner Lieferkette angewiesen und trägt zugleich die Verantwortung für den Konformitätsnachweis des Fahrzeugtyps.
UN R155 und R156 entwickeln sich weiter
Die Regulierung von Cybersicherheit und Software kann nicht statisch bleiben, weil sich die Technologien und Risiken, die sie regelt, selbst verändern.
Die UNECE-Arbeitsgruppe für automatisierte/autonome und vernetzte Fahrzeuge – GRVA – und ihre spezialisierten Aktivitäten zu Cybersicherheit und Software-Updates entwickeln den Regulierungsrahmen weiter.
Die UN R156 ist zu einer neuen Änderungsserie 01 übergegangen, was die fortlaufende Entwicklung des Regulierungsrahmens für Software-Updates widerspiegelt.
Das Auslegungsdokument zur R156 wird weiterentwickelt, um eine einheitliche Anwendung der Anforderungen an Software-Updates und SUMS zu unterstützen.
Weitere Vorschläge zur UN R155 und ihrem Rahmen für das Cybersicherheitsmanagement werden von der UNECE aktiv beraten.
Bestimmungen zu Cybersicherheit und Software-Updates wirken zunehmend mit anderen Regelungen für elektronisch gesteuerte Fahrzeugfunktionen zusammen.
Kontinuierliche digitale Konformität aufbauen
R155 und R156 verlangen von Herstellern, über einzelne Genehmigungsprüfungen hinauszudenken und wiederholbare Systeme aufzubauen, die die Konformität über den gesamten Fahrzeuglebenszyklus stützen können.
Eine Cybersicherheits-Governance aufbauen, die Entwicklung, Produktion, Überwachung, Reaktion auf Vorfälle und relevante Tätigkeiten in der Lieferkette abdeckt.
Kontrollierte Prozesse für Softwareidentifikation, Bewertung von Updates, Validierung, Verteilung und regulatorische Rückverfolgbarkeit umsetzen.
Elektronische Systeme, Schnittstellen, Datenflüsse, Softwareabhängigkeiten und mögliche Angriffsflächen verstehen.
Mechanismen für Nachweise, Kommunikation und Änderungssteuerung über die Software- und Bauteillieferkette hinweg einrichten.
Rückverfolgbarkeit zwischen Softwarekonfigurationen und den von ihnen betroffenen Regelungen aufrechterhalten.
Die Fähigkeit erhalten, neu auftretende Cybersicherheitsprobleme zu erkennen und nach der Inbetriebnahme der Fahrzeuge angemessen zu reagieren.
Das eigentliche Ziel ist ein funktionierendes Governance-System, das sichere, kontrollierte und nachweislich konforme Fahrzeuge unterstützt, während sich Software und Cyberrisiken weiterentwickeln.
Von der Typgenehmigung zur kontinuierlichen digitalen Konformität
UN R155 und UN R156 sind mehr als zwei zusätzliche Anforderungen im Homologationsportfolio für Fahrzeuge.
Sie spiegeln einen strukturellen Wandel im Verhältnis zwischen Fahrzeugtechnik und regulatorischer Konformität wider.
Cybersicherheitsbedrohungen können nach der Produktion entstehen. Software kann das Fahrzeugverhalten nach der Genehmigung verändern. Schwachstellen können im Fahrzeug, in der Lieferkette oder in der vernetzten Infrastruktur entstehen. Regulatorische Nachweise müssen daher über den klassischen Zeitpunkt der Typgenehmigung hinausreichen.
Die Konformität konzentriert sich auf eine relativ stabile Fahrzeugkonfiguration.
Governance von Cybersicherheit und Software erweitert die Konformität auf die Nutzungsdauer des Fahrzeugs.