Dyrektywa o cyberbezpieczeństwie: Co muszą zrobić dostawcy

Odliczanie wkrótce dobiegnie końca. Zgodnie z przepisami Unii Europejskiej do lipca wszystkie nowo oddawane do użytku pojazdy muszą posiadać dowód posiadania istniejącego systemu zarządzania cyberbezpieczeństwem (CSMS). Dotyczy to zarówno starych, jak i nowych serii pojazdów.

W rezultacie modele takie jak VW "Bulli" T6.1, Ford Fiesta i Porsche Macan nie będą już sprzedawane w Europie, ponieważ wdrożenie UNECE R155 nie byłoby ekonomicznie opłacalne.

Norma, która weszła w życie na początku 2022 r., wymaga od producentów pojazdów wdrożenia CSMS, który zapewnia cyberbezpieczeństwo w całym cyklu życia pojazdu, a także obejmuje łańcuch dostaw.

Jednolita podstawa walidacji

Mając to na uwadze, Stowarzyszenie ENX, konsorcjum europejskich producentów motoryzacyjnych, dostawców i stowarzyszeń, wprowadziło niedawno ENX Vehicle Cybersecurity Audit (ENX VCS) w celu certyfikacji cyberbezpieczeństwa na poziomie dostawcy. Globalnie znormalizowana podstawa audytu ma na celu zapewnienie porównywalnych wyników audytu.

"Branża od dawna czekała na znormalizowaną podstawę audytu do walidacji systemów zarządzania cyberbezpieczeństwem" - mówi Christian Gerling, dyrektor zarządzający jednostki certyfikującej DQS.

Chociaż system zarządzania bezpieczeństwem informacji TISAX od kilku lat zapewnia bezpieczny przepływ informacji w sektorze dostaw, nie jest on dedykowany cyberbezpieczeństwu.

Ważne dla łańcucha dostaw

Wstępne audyty wstępne i certyfikacje w okresie poprzedzającym uruchomienie VCS pokazują,że "niektórzy producenci pojazdów już intensywnie zajmują się tą kwestią. Ich dostawcy są świadomi, że również potrzebują tej certyfikacji, aby pozostać w łańcuchu dostaw" - mówi Ingo Unger, kierownik DQS.

Firmy muszą przejść przez wcześniej zdefiniowany proces, aby otrzymać certyfikat. Po zarejestrowaniu się do audytu otrzymują kwestionariusz. Obejmuje on ocenę oczekiwanego zakresu projektu.

"Po przesłaniu tego kwestionariusza firma i dostawca audytu spotykają się na spotkaniu inauguracyjnym, aby omówić szczegóły audytu i wymagania" - mówi Unger.

Garstka dostawców

Audyt następnie sprawdza dokumentację przedłożoną przez firmę na miejscu. Menedżer DQS oczekuje, że audyty zostaną zakończone w ciągu pięciu do dziesięciu dni.

Według Stowarzyszenia ENX, garstka dostawców, takich jak DQS, może rozpocząć działalność od razu. Firma certyfikująca właśnie certyfikowała pierwszego dużego dostawcę dla niemieckiego przemysłu motoryzacyjnego do audytu VCS.

Unger:"Jest też wiele zapytań o audyty od firm, które zaopatrują zarówno niemieckich, jak i międzynarodowych producentów OEM".