Vysvětlení kybernetické bezpečnosti vozidel

Nezávislý přehled od DQS, akreditovaného certifikačního orgánu.

ENX VCS (Vehicle Cyber Security) je systém hodnocení v automobilovém průmyslu pro hodnocení bezpečnosti organizací. Systém řízení kybernetické bezpečnosti (CSMS) pro vozidla a jejich součásti. Systém ENX VCS, vyvinutý asociací ENX – stejným orgánem, který provozuje TISAX® – poskytuje globálně standardizovaný testovací základ, jehož prostřednictvím mohou dodavatelé prokázat, že implementují CSMS v souladu s normou ISO/SAE 21434 a pokyny normy ISO/PAS 5112 a že podporuje soulad s regulačními očekáváními předpisu EHK OSN č. 155 (UN R155).

Systém ENX VCS je relevantní pro organizace v automobilovém hodnotovém řetězci, jejichž produkty, komponenty, software nebo služby přispívají ke kybernetické bezpečnosti vozidel. Patří sem výrobci originálního vybavení (OEM), dodavatelé elektronických řídicích jednotek a připojených komponentů úrovně 1, poskytovatelé softwaru a platforem a poskytovatelé inženýrských služeb. Zákazníci – zejména výrobci originálního vybavení, na které se vztahují povinnosti typového schválení dle nařízení UN R155 – stále častěji požadují, aby jejich dodavatelé prokázali systém kybernetické bezpečnosti vozidel (CSMS), který je nezávisle posouzen.

Systém ENX VCS byl spuštěn v červnu 2024 a od té doby se postupně rozšiřuje. Bezplatná registrace v rané fázi probíhala do konce roku 2024 a širší zavádění pokračovalo v letech 2025 a 2026. ENX VCS se vedle TISAX rozšiřuje do portfolia systémů ENX se současnou Štítek TISAX obecně slouží jako předpoklad pro audity ENX VCS.

Jedním z klíčových rozlišovacích znaků ENX VCS ve srovnání s normou ISO/SAE 21434 jsou přísně regulované kvalifikační požadavky na hodnotící tým. Zejména každý hodnotící tým musí zahrnovat experta na VCS s prokázanými praktickými zkušenostmi v oblasti kybernetické bezpečnosti automobilů a oblasti kybernetické bezpečnosti vozidel (VCS).

I když tyto kvalifikační požadavky nevyhnutelně zvyšují náklady na posouzení VCS, zároveň poskytují zákazníkovi značnou hodnotu. Zapojení zkušených odborníků na VCS pomáhá zajistit technicky spolehlivé a konzistentní posouzení, umožňuje smysluplnější diskuse během pohovorů a dovoluje zákazníkům těžit z praktických zkušeností posuzovatelů s reálnými implementacemi kybernetické bezpečnosti v automobilovém průmyslu.

Klienti mohou pro svá pracoviště související s VCS získat jeden nebo více ze tří štítků VCS: „Vývoj VCS“, „Produkce VCS a „Provoz a údržba VCS“. Tyto štítky umožňují organizacím demonstrovat své specifické schopnosti v oblasti kybernetické bezpečnosti zákazníkům a dalším subjektům. zainteresované strany , v závislosti na činnostech VCS, za které jsou smluvně odpovědní.

Předpis OSN č. 155 vstoupil v platnost v lednu 2021. Data, kdy se jeho dodržování stalo povinným, se však liší v jednotlivých jurisdikcích. V Evropské unii se předpis OSN č. 155 vztahuje na všechny nově schválené typy vozidel od července 2022 a na všechna nově vyrobená vozidla od července 2024. Čína zavedla vlastní národní předpis o kybernetické bezpečnosti, GB 44495:2024, který je v zásadě v souladu s cíli předpisu OSN č. 155, ale představuje samostatný regulační rámec. Vztahuje se na nově schválené typy vozidel od ledna 2026 a na všechna nově vyrobená vozidla od ledna 2028.

Co je ENX VCS z pohledu certifikačního orgánu?

Z pohledu certifikačního orgánu je ENX VCS systém hodnocení v automobilovém průmyslu, jehož prostřednictvím poskytovatel auditu schválený asociací ENX hodnotí systém CSMS organizace podle požadavků normy ISO/SAE 21434, pokynů normy ISO/PAS 5112 a požadavků systému ENX VCS. Výsledkem hodnocení je výsledek auditu ENX VCS vyměněný prostřednictvím portálu ENX – konceptem srovnatelný s výměnou štítků TISAX – namísto certifikátu ve stylu ISO.

ENX VCS je součástí portfolia systémů ENX společně s TISAX: TISAX se zaměřuje na informační bezpečnost v místě dodavatele; ENX VCS se zaměřuje na systém CSMS dodavatele pro vozidlo a jeho komponenty. Aktuální označení TISAX a zavedené Systém řízení kvality (QMS) jsou obecně předpoklady pro audity ENX VCS. Hodnocení třetí stranou schváleným poskytovatelem auditů je v oboru uznávaným způsobem, jak prokázat CSMS, a výsledek auditu je akceptován zúčastněnými zákazníky OEM prostřednictvím mechanismu výměny ENX.

Jako certifikační orgán DQS posuzuje shodu – nenavrhuje ani neimplementuje váš systém řízení kybernetické bezpečnosti. nezávislost To, co dává výsledku auditu ENX VCS jeho hodnotu: organizace vytvoří a provozuje systém CSMS a schválený poskytovatel auditu jej ověří podle požadavků systému.

Klíčová fakta o ENX VCS v kostce

Kontext a ovladače pro ENX VCS

OSN R155 a schválení typu vozidla

Předpis EHK OSN č. 155 stanoví jednotná ustanovení pro schvalování vozidel z hlediska kybernetické bezpečnosti a systémů řízení kybernetické bezpečnosti. Výrobci vozidel musí prokázat, že používají systém CSMS, který se zabývá kybernetickou bezpečností v průběhu celého životního cyklu vývoje, výroby a povýroby. Výrobci originálního vybavení (OEM) jsou povinni předávat očekávání týkající se CSMS svým dodavatelům, kteří zase potřebují účinný a prokazatelný systém CSMS.

ISO/SAE 21434 a ISO/PAS 5112

Norma ISO/SAE 21434 (Silniční vozidla – Kybernetické bezpečnostní inženýrství) je technickou referenční normou pro kybernetické bezpečnostní inženýrství v celém životním cyklu automobilových produktů. Norma ISO/PAS 5112 (Pokyny pro audit kybernetického bezpečnostního inženýrství) poskytuje pokyny pro audit implementací systémů CSMS. Norma ISO/SAE 21434 sama o sobě nestačí ke splnění všech požadavků normy UN R155; UN R155 na tuto normu odkazuje, ale přidává další regulační očekávání. Společnost ENX VCS používá tyto dokumenty jako základ pro hodnocení při implementaci postupů systému, které umožňují srovnávat a zaměňovat výsledky auditů v celém odvětví.

Vzájemné uznávání a snížení duplicitních auditů

Dodavatelé automobilového průmyslu jsou stále častěji vystaveni vícenásobným auditům kybernetické bezpečnosti od různých zákazníků z řad výrobců originálního vybavení (OEM). Systém ENX VCS je navržen na principu vzájemného uznávání: organizace si zadá jedno posouzení a sdílí jeho výsledek prostřednictvím portálu ENX, čímž se snižuje duplicita. Kombinace systémů TISAX a ENX VCS poskytuje výrobcům originálního vybavení ucelený obraz – bezpečnost informací na pracovišti dodavatele a také kybernetické zabezpečení pro produkty a komponenty vozidel.

Základní požadavky pro ENX VCS

Řízení kybernetické bezpečnosti a organizační kontext

Zavedení kultury kybernetické bezpečnosti, rolí v řízení, politik a závazků managementu. Systém řízení kybernetické bezpečnosti (CSMS) musí být začleněn do širšího systému řízení organizace a integrován s řízením kvality, informační bezpečnosti a funkční bezpečnosti.

Řízení rizik kybernetické bezpečnosti (TARA)

Systematická analýza hrozeb a hodnocení rizik (TARA) dle normy ISO/SAE 21434, aplikovaná na vozidla a jejich rozhraní relevantní z hlediska kybernetické bezpečnosti. Identifikovaná rizika jsou vyhodnocována a řešena prostřednictvím dokumentovaných kontrol a konstrukčních rozhodnutí.

Kybernetická bezpečnost v životním cyklu produktu

Činnosti v oblasti kybernetické bezpečnosti napříč koncepcí, vývojem produktů, následným vývojem (výroba, provoz, údržba, vyřazování z provozu) a podpůrnými procesy – včetně správy požadavků, návrhu, integrace, ověřování a validace.

Průběžné aktivity v oblasti kybernetické bezpečnosti

Monitorování kybernetické bezpečnosti, správa zranitelností , reakce na incidenty a postprodukční podpora jsou průběžné činnosti po celou dobu životního cyklu vozidla. Předpis OSN č. 155 výslovně vyžaduje, aby byly funkce systému řízení kybernetické bezpečnosti (CSMS) udržovány průběžně. ENX VCS proto hodnotí nejen počáteční vyspělost těchto procesů, ale také schopnost organizace je udržovat v průběhu času.

Požadavek na udržování platných štítků TISAX tento cíl doplňuje tím, že poskytuje záruku, že informační bezpečnost organizace zůstává účinná vůči vyvíjejícím se IT hrozbám, které by mohly ovlivnit její aktivity v oblasti kybernetické bezpečnosti vozidel.

Řízení dodavatelů a distribuovaného vývoje

Řízení kybernetické bezpečnosti v dodavatelském řetězci: tok požadavků směrem k dodavatelům, hodnocení schopností dodavatelů, dohody o rozhraní a společné aktivity v oblasti kybernetické bezpečnosti. ENX VCS podporuje výrobce originálního vybavení (OEM) v prokazování schopností dodavatelů v oblasti kybernetické bezpečnosti v celé jejich dodavatelské základně.

Proces auditu a výměna

Hodnocení provádějí poskytovatelé auditů schválení asociací ENX. Zjištění jsou dokumentována a klasifikována a výsledky hodnocení jsou sdíleny prostřednictvím portálu ENX se zúčastněnými zákazníky v souladu se souhlasem dodavatele a pravidly systému ENX VCS.

Zájemci se mohou zaregistrovat jako účastníci ENX a získat tak přehled o aktuálním stavu označení VCS u svých dodavatelů v reálném čase. Díky tomu může portál ENX sloužit jako efektivní nástroj pro správu dodavatelů, který organizacím umožňuje ověřovat a průběžně sledovat stav posouzení kybernetické bezpečnosti jejich dodavatelského řetězce.

Cílové skupiny a oblasti použití pro ENX VCS

ENX VCS je určen pro organizace, jejichž produkty, komponenty, software nebo služby přispívají ke kybernetické bezpečnosti vozidel. Typická oblast působnosti zahrnuje výrobce originálního vybavení (OEM) (přípravu na typová schválení dle normy UN R155 a jejich udržování), dodavatele elektronických řídicích jednotek (ECU), telematických jednotek, bran, informačních a zábavních systémů a připojených komponent úrovně 1, dodavatele polovodičů, vestavěného softwaru a hardwarových modulů úrovně 2 s důležitostí v oblasti kybernetické bezpečnosti, dodavatele softwarových/infrastrukturních platforem pro vozidla a back-end a poskytovatele inženýrských služeb provádějících vývoj jménem výrobců originálního vybavení a dodavatelů úrovně 1.

Výrobci originálního vybavení (OEM) a zákazníci první úrovně (Tier 1) používají výsledky auditů ENX VCS – spolu se štítky TISAX – jako základ pro kvalifikaci dodavatelů a jejich průběžné řízení. Systém podporuje informovaná rozhodnutí o získávání zdrojů ze strany oddělení zadávání veřejných zakázek, kybernetické bezpečnosti a inženýrských funkcí v zákaznických organizacích a snižuje zátěž dodavatelů, kteří obsluhují více výrobců originálního vybavení (OEM), spojenou s audity.

Organizace mimo automobilový ekosystém se obvykle spoléhají spíše na normu ISO/IEC 27001 nebo jiné odvětvově specifické rámce pro informační bezpečnost a kybernetickou bezpečnost než na ENX VCS. Pokud dodavatel slouží automobilovému i souvisejícímu průmyslu (např. průmyslové řízení, zdravotnické prostředky), často se udržují paralelní certifikace a hodnocení.

Standardy týkající se ENX VCS

Vztah k TISAX®

TISAX je systém hodnocení informační bezpečnosti pro automobilový průmysl a zaměřuje se na systém řízení informační bezpečnosti na úrovni pracoviště dodavatele. ENX VCS se zaměřuje na systém řízení kybernetické bezpečnosti vozidel a jejich komponentů dodavatele. Aktuální označení TISAX je obecně předpokladem pro audit ENX VCS. Tyto dva systémy se doplňují a nejsou zaměnitelné.

ISO/SAE 21434 – referenční inženýrská norma

Norma ISO/SAE 21434 je mezinárodní norma pro kybernetickou bezpečnost silničních vozidel a je technickým základem systému ENX VCS. Norma ISO/SAE 21434 sama o sobě nestačí ke splnění všech požadavků normy UN R155. ENX VCS používá normy ISO/SAE 21434 a ISO/PAS 5112 v rámci strukturovaného systému hodnocení, který podporuje soulad výrobců originálních zařízení (OEM) a dodavatelů s normou UN R155.

Úřední věstník OSN č. 155 a regulační kontext

Předpis UN R155 je předpis EHK OSN, který stanoví požadavky na schvalování vozidel z hlediska kybernetické bezpečnosti a systémů zabezpečení bezpečnosti vozidel (CSMS). Předpis UN R155 je v mnoha jurisdikcích regulačním zákonem po přijetí na národní úrovni. ENX VCS podporuje prokázání systému zabezpečení bezpečnosti vozidel v souladu s očekáváními předpisu UN R155, ale výsledky auditu ENX VCS samy o sobě nepředstavují schválení typu dle předpisu UN R155 – to zůstává v odpovědnosti příslušných orgánů pro schvalování typu.

ISO/IEC 27001 a management informační bezpečnosti

Norma ISO/IEC 27001 je certifikovatelná mezinárodní norma pro systémy managementu informační bezpečnosti. Ačkoli je její rozsah širší než kybernetická bezpečnost v automobilovém průmyslu, je strukturálně sladěna s myšlením systémů managementu, které je základem norem ISO/SAE 21434 a ENX VCS. Mnoho dodavatelů automobilového průmyslu si udržuje certifikaci ISO/IEC 27001 souběžně se štítky TISAX a výsledky auditů ENX VCS.