Fahr­zeug-Cy­ber­si­cher­heit erklärt

Ein unabhängiger Überblick von DQS, einer akkreditierten Zertifizierungsstelle.

ENX VCS (Vehicle Cyber Security) ist das Bewertungssystem der Automobilindustrie zur Beurteilung der Cybersicherheit einer Organisation. Cybersicherheitsmanagementsystem (CSMS) für Fahrzeuge und deren Komponenten. Entwickelt von der ENX Association – demselben Verband, der auch TISAX® betreibt – bietet ENX VCS eine weltweit standardisierte Testgrundlage, mit der Lieferanten nachweisen können, dass sie ein CSMS gemäß ISO/SAE 21434 und den Richtlinien von ISO/PAS 5112 implementieren und die Einhaltung der regulatorischen Anforderungen der UNECE-Regelung Nr. 155 (UN R155) unterstützen.

ENX VCS ist relevant für Organisationen entlang der automobilen Wertschöpfungskette, deren Produkte, Komponenten, Software oder Dienstleistungen zur Cybersicherheit von Fahrzeugen beitragen. Dazu gehören OEMs, Tier-1-Zulieferer von elektronischen Steuergeräten und vernetzten Komponenten, Software- und Plattformanbieter sowie Ingenieurdienstleister. Kunden – insbesondere OEMs, die den Typgenehmigungspflichten gemäß UN R155 unterliegen – fordern zunehmend von ihren Lieferanten den Nachweis eines unabhängig bewerteten CSMS.

ENX VCS wurde im Juni 2024 eingeführt und seitdem schrittweise ausgebaut. Die kostenlose Registrierung in der Anfangsphase lief bis Ende 2024, die breitere Einführung erfolgte in den Jahren 2025 und 2026. ENX VCS ergänzt das Portfolio der ENX-Systeme neben TISAX. TISAX-Etikett Dient im Allgemeinen als Voraussetzung für ENX VCS-Audits.

Eines der Hauptunterscheidungsmerkmale von ENX VCS im Vergleich zu ISO/SAE 21434 sind die strengen Qualifikationsanforderungen für das Bewertungsteam. Insbesondere muss jedes Bewertungsteam einen VCS-Experten mit nachgewiesener praktischer Erfahrung in der Cybersicherheit von Fahrzeugen und im Bereich der Fahrzeug-Cybersicherheit (VCS) umfassen.

Diese Qualifikationsanforderungen erhöhen zwar zwangsläufig die Kosten einer VCS-Bewertung, bieten dem Kunden aber auch einen erheblichen Mehrwert. Die Einbindung erfahrener VCS-Experten gewährleistet eine fachlich fundierte und konsistente Bewertung, ermöglicht zielführendere Gespräche während der Interviews und lässt Kunden von der praktischen Erfahrung der Gutachter mit realen Cybersicherheitsprojekten in der Automobilindustrie profitieren.

Kunden können für ihre VCS-bezogenen Standorte eines oder mehrere der drei VCS-Labels erhalten: „VCS-Entwicklung“, „VCS-Produktion“ und „VCS-Betrieb und -Wartung“. Mithilfe dieser Labels können Unternehmen ihre spezifischen Cybersicherheitsfähigkeiten gegenüber Kunden und anderen demonstrieren. interessierte Parteien abhängig von den VCS-Aktivitäten, für die sie vertraglich verantwortlich sind.

Die UN-Richtlinie R155 trat im Januar 2021 in Kraft. Die Stichtage für die verpflichtende Anwendung variieren jedoch je nach Rechtsordnung. In der Europäischen Union gilt die UN-Richtlinie R155 seit Juli 2022 für alle neu zugelassenen Fahrzeugtypen und seit Juli 2024 für alle neu produzierten Fahrzeuge. China hat mit GB 44495:2024 eine eigene nationale Cybersicherheitsverordnung eingeführt, die zwar weitgehend mit den Zielen der UN-Richtlinie R155 übereinstimmt, aber einen separaten Rechtsrahmen darstellt. Sie gilt ab Januar 2026 für neu zugelassene Fahrzeugtypen und ab Januar 2028 für alle neu produzierten Fahrzeuge.

Was ist ENX VCS aus der Sicht einer Zertifizierungsstelle?

Aus Sicht einer Zertifizierungsstelle ist ENX VCS das Bewertungssystem der Automobilindustrie. Dabei bewertet ein von der ENX Association zugelassener Auditor das CSMS einer Organisation anhand der Anforderungen von ISO/SAE 21434, den Richtlinien von ISO/PAS 5112 und den Anforderungen des ENX VCS-Systems. Das Ergebnis der Bewertung ist ein ENX VCS-Auditbericht, der über das ENX-Portal ausgetauscht wird – vergleichbar mit dem TISAX-Labelaustausch – und kein Zertifikat nach ISO-Standard.

ENX VCS ist neben TISAX Teil des ENX-Programmportfolios: TISAX konzentriert sich auf die Informationssicherheit beim Lieferanten; ENX VCS konzentriert sich auf das CSMS des Lieferanten für das Fahrzeug und seine Komponenten. Ein aktuelles TISAX-Label und etablierte QMS sind im Allgemeinen Voraussetzungen für ENX VCS-Audits. Die Bewertung durch einen zugelassenen Auditor ist branchenweit anerkannter Weg, ein CSMS nachzuweisen, und das Auditergebnis wird von teilnehmenden OEM-Kunden über den ENX-Austauschmechanismus akzeptiert.

Als Zertifizierungsstelle bewertet DQS die Konformität – sie entwirft oder implementiert Ihr Cybersicherheitsmanagementsystem nicht. Unabhängigkeit Das ist es, was einem ENX VCS-Auditergebnis seinen Wert verleiht: Die Organisation baut und betreibt das CSMS, und ein zugelassener Audit-Anbieter überprüft es anhand der Anforderungen des Systems.

Die wichtigsten Fakten zu ENX VCS auf einen Blick

Kontext und Treiber für ENX VCS

UN R155 und Fahrzeugtypgenehmigung

Die UNECE-Regelung Nr. 155 legt einheitliche Bestimmungen für die Zulassung von Fahrzeugen hinsichtlich Cybersicherheit und Cybersicherheitsmanagementsystemen fest. Fahrzeughersteller müssen nachweisen, dass sie ein solches System betreiben, das Cybersicherheit während des gesamten Entwicklungs-, Produktions- und Nachproduktionszyklus gewährleistet. OEMs sind verpflichtet, die Anforderungen an das Cybersicherheitsmanagementsystem an ihre Zulieferer weiterzugeben, die ihrerseits ein effektives und nachweisbares System benötigen.

ISO/SAE 21434 und ISO/PAS 5112

ISO/SAE 21434 (Straßenfahrzeuge – Cybersicherheitstechnik) ist der technische Referenzstandard für Cybersicherheitstechnik über den gesamten Produktlebenszyklus der Automobilindustrie. ISO/PAS 5112 (Leitfaden für die Auditierung von Cybersicherheitstechnik) bietet Hilfestellung bei der Prüfung von CSMS-Implementierungen. ISO/SAE 21434 allein genügt nicht, um alle Anforderungen der UN-Richtlinie R155 zu erfüllen; die UN-Richtlinie R155 verweist zwar auf den Standard, stellt aber zusätzliche regulatorische Anforderungen. ENX VCS nutzt diese Dokumente als Grundlage für die Bewertung und implementiert die Verfahren des Programms, um die Vergleichbarkeit und Austauschbarkeit der Auditergebnisse branchenweit zu gewährleisten.

Gegenseitige Anerkennung und Reduzierung von Doppelprüfungen

Automobilzulieferer sehen sich zunehmend mehreren Cybersicherheitsaudits durch verschiedene OEM-Kunden ausgesetzt. ENX VCS basiert auf gegenseitiger Anerkennung: Ein Unternehmen beauftragt eine Prüfung und teilt das Ergebnis über das ENX-Portal, wodurch Doppelarbeit vermieden wird. Die Kombination aus TISAX und ENX VCS bietet OEMs ein umfassendes Bild – Informationssicherheit beim Zulieferer sowie Cybersicherheits-Engineering für Fahrzeugprodukte und -komponenten.

Kernanforderungen für ENX VCS

Cybersicherheits-Governance und organisatorischer Kontext

Etablierung einer Cybersicherheitskultur, Festlegung von Führungsrollen und -richtlinien sowie eines entsprechenden Managementengagements. Das CSMS muss in die übergeordnete Unternehmensführung eingebettet und mit Qualitäts-, Informationssicherheits- und funktionalem Sicherheitsmanagement integriert werden.

Cybersicherheitsrisikomanagement (TARA)

Systematische Bedrohungsanalyse und Risikobewertung (TARA) gemäß ISO/SAE 21434, angewendet auf Fahrzeugkomponenten und deren cybersicherheitsrelevante Schnittstellen. Identifizierte Risiken werden bewertet und durch dokumentierte Kontrollen und Designentscheidungen behandelt.

Cybersicherheit im Produktlebenszyklus

Cybersicherheitsaktivitäten über Konzept, Produktentwicklung, Nachbearbeitung (Produktion, Betrieb, Wartung, Stilllegung) und unterstützende Prozesse hinweg – einschließlich Anforderungsmanagement, Design, Integration, Verifizierung und Validierung.

Kontinuierliche Cybersicherheitsaktivitäten

Cybersicherheitsüberwachung, Schwachstellenmanagement Die Reaktion auf Sicherheitsvorfälle und die Unterstützung nach der Produktion sind fortlaufende Aktivitäten während des gesamten Fahrzeuglebenszyklus. UN R155 fordert ausdrücklich, dass die Fähigkeiten des Cybersecurity Management Systems (CSMS) kontinuierlich aufrechterhalten werden. Daher bewertet ENX VCS nicht nur den anfänglichen Reifegrad dieser Prozesse, sondern auch die Fähigkeit der Organisation, diese langfristig zu gewährleisten.

Die Anforderung, gültige TISAX-Etiketten aufrechtzuerhalten, ergänzt dieses Ziel, indem sie die Gewissheit bietet, dass die Informationssicherheitslage der Organisation gegenüber sich entwickelnden IT-Bedrohungen, die sich auf ihre Cybersicherheitsaktivitäten im Fahrzeugbereich auswirken könnten, weiterhin wirksam ist.

Lieferanten- und verteiltes Entwicklungsmanagement

Management der Cybersicherheit in der Lieferkette: Weitergabe von Anforderungen an Lieferanten, Bewertung der Lieferantenkompetenzen, Schnittstellenvereinbarungen und gemeinsame Cybersicherheitsaktivitäten. ENX VCS unterstützt OEMs beim Nachweis der Cybersicherheitskompetenz ihrer Lieferanten entlang ihrer gesamten Lieferkette.

Prüfprozess und Austausch

Die Bewertungen werden von von der ENX Association zugelassenen Auditoren durchgeführt. Die Ergebnisse werden dokumentiert und klassifiziert und die Bewertungsergebnisse über das ENX-Portal mit den teilnehmenden Kunden gemäß der Zustimmung des Lieferanten und den Regeln des ENX VCS-Programms geteilt.

Interessierte können sich als ENX-Teilnehmer registrieren, um in Echtzeit Einblick in den aktuellen VCS-Label-Status ihrer Lieferanten zu erhalten. Dadurch dient das ENX-Portal als effektives Lieferantenmanagement-Tool, mit dem Unternehmen den Cybersicherheitsstatus ihrer Lieferkette überprüfen und kontinuierlich überwachen können.

Zielgruppen und Anwendungsbereiche für ENX VCS

ENX VCS richtet sich an Organisationen, deren Produkte, Komponenten, Software oder Dienstleistungen zur Cybersicherheit von Fahrzeugen beitragen. Typische Zielgruppen sind OEMs (die sich auf die UN-R155-Typgenehmigung vorbereiten und diese aufrechterhalten), Tier-1-Zulieferer von elektronischen Steuergeräten (ECUs), Telematiksystemen, Gateways, Infotainmentsystemen und vernetzten Komponenten, Tier-2-Zulieferer von Halbleitern, eingebetteter Software und Hardwaremodulen mit Cybersicherheitsrelevanz, Anbieter von Fahrzeug- und Backend-Software-/Infrastrukturplattformen sowie Ingenieurdienstleister, die im Auftrag von OEMs und Tier-1-Zulieferern Entwicklungsarbeiten durchführen.

OEMs und Tier-1-Kunden nutzen die Ergebnisse von ENX VCS-Audits – zusammen mit TISAX-Labels – als Grundlage für die Lieferantenqualifizierung und das laufende Lieferantenmanagement. Das System unterstützt fundierte Beschaffungsentscheidungen der Bereiche Einkauf, Cybersicherheit und Entwicklung in Kundenunternehmen und reduziert den Auditaufwand für Lieferanten, die mehrere OEMs beliefern.

Organisationen außerhalb des Automobilsektors nutzen in der Regel ISO/IEC 27001 oder andere branchenspezifische Rahmenwerke für Informationssicherheit und Cybersicherheit anstelle von ENX VCS. Wenn ein Zulieferer sowohl die Automobilindustrie als auch angrenzende Branchen (z. B. industrielle Steuerungstechnik, Medizintechnik) bedient, werden häufig parallele Zertifizierungen und Bewertungen durchgeführt.

Standards im Zusammenhang mit ENX VCS

Beziehung zu TISAX®

TISAX ist das Informationssicherheitsbewertungssystem für die Automobilindustrie und konzentriert sich auf das Informationssicherheitsmanagementsystem des Zulieferers auf Standortebene. ENX VCS konzentriert sich auf das Cybersicherheitsmanagementsystem des Zulieferers für Fahrzeuge und deren Komponenten. Ein gültiges TISAX-Label ist in der Regel Voraussetzung für ein ENX-VCS-Audit. Die beiden Systeme ergänzen sich im ENX-Portfolio und sind nicht austauschbar.

ISO/SAE 21434 – der Referenzstandard für Ingenieurwesen

ISO/SAE 21434 ist der internationale Standard für Cybersicherheitstechnik von Straßenfahrzeugen und die technische Grundlage von ENX VCS. ISO/SAE 21434 allein genügt jedoch nicht, um alle Anforderungen der UN-Richtlinie R155 zu erfüllen. ENX VCS verwendet ISO/SAE 21434 und ISO/PAS 5112 in einem strukturierten Bewertungsverfahren, das OEMs und Zulieferer bei der Einhaltung der UN-Richtlinie R155 unterstützt.

UN-R155 und regulatorischer Kontext

Die UN-Regelung R155 legt die Zulassungsanforderungen für Fahrzeuge hinsichtlich Cybersicherheit und CSMS fest. Nach nationaler Übernahme ist die UN-Regelung R155 in vielen Ländern geltendes Recht. ENX VCS unterstützt den Nachweis eines den Anforderungen der UN-Regelung R155 entsprechenden CSMS. Die Ergebnisse eines ENX-VCS-Audits stellen jedoch allein keine Typgenehmigung nach UN R155 dar – diese obliegt weiterhin den zuständigen Typgenehmigungsbehörden.

ISO/IEC 27001 und Informationssicherheitsmanagement

ISO/IEC 27001 ist der zertifizierbare internationale Standard für Managementsysteme im Bereich Informationssicherheit. Obwohl sein Anwendungsbereich über die Cybersicherheit in der Automobilindustrie hinausgeht, ist ISO/IEC 27001 strukturell auf die Managementsystem-Philosophie von ISO/SAE 21434 und ENX VCS abgestimmt. Viele Automobilzulieferer halten ihre ISO/IEC 27001-Zertifizierung parallel zu ihren TISAX-Labels und ENX VCS-Auditergebnissen aufrecht.