Was regelt ISO/SAE 21434?
ISO/SAE 21434 legt fest, wie Fahrzeughersteller und Zulieferer Cybersecurity-Risiken elektrischer und elektronischer Fahrzeugsysteme beherrschen, vom Konzept über Entwicklung, Produktion, Betrieb und Wartung bis zur Außerbetriebnahme. Anzuwenden ist die Ausgabe ISO/SAE 21434:2021.
Die Risikobewertung der Norm heißt TARA (Threat Analysis and Risk Assessment). Wie sie abläuft und warum sie bei Änderungen am Fahrzeug veraltet, beschreibt der Beitrag TARA-Methode nach ISO/SAE 21434. Die Norm ergänzt ISO 26262 zur funktionalen Sicherheit; den Unterschied zeigt der Vergleich Safety vs. Security.
Freiwillige Norm, verbindliche Regelung: ISO/SAE 21434 und UN R155
Gesetzlich verpflichtend ist nicht die Norm, sondern UN R155. Der Fahrzeughersteller braucht danach eine gültige Konformitätsbescheinigung für sein Cybersicherheitsmanagementsystem (CSMS) (Ziffer 7.3.1), die höchstens drei Jahre gilt (Ziffer 6.7). Für jeden Fahrzeugtyp führt er eine erschöpfende Risikobewertung durch, die auch Wechselwirkungen mit externen Systemen berücksichtigt (Ziffer 7.3.3), und er ermittelt und bewältigt die lieferantenbezogenen Risiken (Ziffer 7.3.2).
Eine Methode schreibt R155 nicht vor. ISO/SAE 21434 wird in einer Fußnote zu Ziffer 5.3.1 als eine Quelle für Fachkenntnisse zu Risikobewertungen genannt. Was das CSMS umfasst, erklärt der Eintrag UN R155; Software-Updates regelt die Schwesterregelung UN R156 mit dem Software-Update-Managementsystem (SUMS).
In der EU verweist Anhang II Zeile D4 der Verordnung (EU) 2019/2144 in der Fassung der Delegierten Verordnung (EU) 2022/1398 auf UN R155. Neuen Fahrzeugtypen ohne Schutz gegen Cyberangriffe wird die Typgenehmigung seit dem 6. Juli 2022 verweigert, und seit dem 7. Juli 2024 dürfen solche Neufahrzeuge nicht mehr zugelassen werden. In Deutschland stellt das Kraftfahrt-Bundesamt die CSMS-Bescheinigung auf Grundlage der Auditberichte des Technischen Dienstes aus und erteilt die Typgenehmigung.
Wer muss was nachweisen?
Ob Sie ISO/SAE 21434 anwenden müssen, hängt von Ihrer Rolle in der Lieferkette ab.
| Ihre Rolle | Grundlage der Pflicht | Was Sie vorlegen |
|---|---|---|
| Fahrzeughersteller mit EU-Typgenehmigung | UN R155 über Verordnung (EU) 2019/2144 | CSMS-Bescheinigung, Risikobewertung je Fahrzeugtyp, Umgang mit Lieferantenrisiken |
| Zulieferer von Steuergeräten oder Software für typgenehmigte Fahrzeuge | Vertrag mit dem Hersteller, der seine Lieferantenrisiken nach Ziffer 7.3.2 bewältigen muss | die vertraglich vereinbarten Nachweise; ISO/SAE 21434 gilt, wenn der Vertrag auf sie verweist |
| Hersteller eines Produkts mit digitalen Elementen außerhalb der Typgenehmigung, etwa eines Diagnosewerkzeugs | Cyber Resilience Act, sofern keine Ausnahme greift | die Nachweise nach CRA |
| Betreiber eines Backends für Fahrzeugdienste im Auftrag des Herstellers | Vertrag; der Hersteller berücksichtigt Back-End-Server nach Anhang 5 Teil C von R155 | die vertraglich vereinbarten Maßnahmen gegen die dort genannten Bedrohungen |
Prüfen Sie als Zulieferer zuerst den Vertrag: Er legt fest, welche Arbeitsprodukte Sie liefern und ob ein Prüfbericht nach ISO/SAE 21434 verlangt ist. Verweist er nur allgemein auf „Cybersecurity nach Stand der Technik“, klären Sie vor Projektbeginn schriftlich, welche Nachweise der Hersteller für seine Risikobewertung nach Ziffer 7.3.3 erwartet.
Abgrenzung zu ISO 27001, TISAX und Cyber Resilience Act
ISO/SAE 21434 betrifft das Fahrzeugprodukt. Die anderen Regelwerke setzen an anderer Stelle an:
- ISO/IEC 27001 beschreibt ein Managementsystem für die Informationssicherheit der Organisation, nicht für das Fahrzeug.
- TISAX prüft die Informationssicherheit beim Austausch mit Partnern, etwa beim Prototypenschutz.
- Der Cyber Resilience Act, Verordnung (EU) 2024/2847, gilt nach Art. 2 Abs. 2 Buchst. c nicht für Produkte mit digitalen Elementen, auf die die Verordnung (EU) 2019/2144 Anwendung findet. Für Produkte außerhalb der Typgenehmigung kann er gelten; der CRA-Leitfaden ordnet die Pflichten.
ISO 21434 in Rizzqo
In Rizzqo erfassen Sie eine Fahrzeugfunktion als Item und ihre Teile, etwa ein Gateway-Steuergerät, als Komponenten. Die Anforderungen aus ISO 21434 hängen an jeder Komponente und gehen an die richtige Person. Für die TARA erfassen Sie Schadens- und Bedrohungsszenarien, bewerten das Risiko in Euro und planen Maßnahmen als Aufgaben, die sich in beide Richtungen mit Jira synchronisieren.