UNECE fordert durchgängiges Cybersecurity Management

‍

Kontext

Die UN-Regelung Nr. 155 der UNECE (United Nations Economic Commission for Europe) vom 22. Januar 2021 beschreibt im Detail, wie nationale Zulassungsbehörden in Zukunft das Thema Cybersecurity im Bezug auf die Homologation von neuen Fahrzeugen mit ihren Mechatronischen Komponenten umsetzen werden. Autohersteller müssen dabei ein Cybersecurity Management System vorweisen, welches ein Cybersecurity-Risikomanagement in der Entwlicklungsphase, Produktionsphase und Fahrzeugnutzung umsetzt.

Funktionale Sicherheit und Cybersecurity

Funktionale Sicherheit und Cybersecurity sind darauf ausgelegt, die Risiken in der Fahrzeugsicherheit beherrschbar zu machen. Die Domänen sind jedoch sehr unterschiedlich, was die Art der Bedrohung angeht. Während die Funktionale Sicherheit die Ausfallsicherheit der Fahrzeugkomponenten in der Gefahrenanalyse (HARA) untersucht, befasst sich die Cybersecurity mit den Möglichkeiten böswilliger Angriffe auf das Fahrzeug, die in der Entwicklungs- und Produktionsphase und nach der Produktion auf der Straße stattfinden könnten. Das bedeutet, dass es eine ständige Bedrohung durch böswillige Angreifer gibt, die mit immer neuen Methoden versuchen, die Integrität des Fahrzeugs zu hacken. Nicht nur Update-Mechanismen müssen abgesichert werden, auch spezielle Sicherheitsmaßnahmen in den Werkstätten müssen berücksichtigt werden.

Mit der ISO 26262 wurden für die Funktionale Sicherheit schon seit Jahren erfolgreich Projekte umgesetzt. Die ISO/SAE 21434 „Road vehicles – Cybersecurity engineering“ ist dagegen erst seit März 2021 im finalen Draft. Sie beschreibt, wie OEMs und deren Zulieferer Cybersecurity Risiken bewerten und geeignete Maßnahmen dazu ableiten.

Cybersecurity in der Praxis

Die UNECE 155 sieht die Verantwortung klar beim OEM. Ein durchgängiges Cybersecurity Management System aufzubauen ist bei der zunehmenden Komplexität, Zulieferern und Produktionsstätten keine leichte Aufgabe.

Intacs™ und der VDA-QMC haben diese Herausforderung aufgegriffen und bieten unterstützende Werkzeuge für künftige Entwicklungsprojekten an.

Im VDA QMC Gelbdruck “VDA Automotive SPICE® for Cybersecurity” auf Seite 13 werden neue Prozesse vorgestellt: SEC.1 “Cybersecurity Requirements Elicitation“, SEC.2 „Cybersecurity Implementation“, SEC.3 “Verification”, SEC.4 “Risk Treatment Validation“, MAN.7 “Cybersecurity Risk Management”.

Die Cybersecurity Engineering Process Group (SEC) beschreibt hierbei, wie in Mechatronischen Systemen in Zukunft die Cybersecurity Risiken bewert, entsprechende Maßnahmen implementiert, verifziert und getestet werden sollen. MAN.7 beschreibt im Detail, wie das Cybersecurity Riskomanagement gestaltet wird.

Neue Regeln für ACQ.2 und ACQ.4 werden hier eingeführt, um das Monitoring der Zulieferer in Bezug auf Cybersecurity zu gewährleisten.

Umsetzung

OEMs müssen in Zukunft mechatronische Komponenten in ihr Cybersecurity Management System einbauen. Daran führt kein Weg vorbei. Wer also in dieser Arena mitspielen möchte, ist gezwungen Kompetenzen aufzubauen und die Prozesse entsprechend auf Cybersecurity anzupassen.

Es ist zu erwarten, dass die oben angeführten Prozesse im neuen ASPICE 4.0 Standard integriert werden und somit bindend werden.

Training

Intacs™ und der VDA-QMC arbeiten aktuell ein Trainingskonzept, Trainingsmaterial und eine Prüfung zur Modellerweiterung Autmotive SPICE Cybersecurity aus. Eine erste Train-the-Trainer Schulung ist für das 4. Quatal geplant. Sobald das Training akreditiert ist, werden die akreditierten Trainingsanbieter die Schulungen anbeiten. Sie können sich heute bereits bei anmelden.

‍