Vysvetlenie kybernetickej bezpečnosti vozidiel

Nezávislý prehľad od DQS, akreditovaného certifikačného orgánu.

ENX VCS (Vehicle Cyber Security) je systém hodnotenia v automobilovom priemysle na hodnotenie bezpečnosti organizácií. Systém riadenia kybernetickej bezpečnosti (CSMS) pre vozidlá a ich komponenty. Vyvinutý združením ENX – tým istým orgánom, ktorý prevádzkuje TISAX® – ENX VCS poskytuje globálne štandardizovaný testovací základ, prostredníctvom ktorého môžu dodávatelia preukázať, že implementujú CSMS v súlade s normou ISO/SAE 21434 a usmerneniami normy ISO/PAS 5112 a že podporuje súlad s regulačnými očakávaniami predpisu EHK OSN č. 155 (UN R155).

Systém ENX VCS je relevantný pre organizácie v automobilovom hodnotovom reťazci, ktorých produkty, komponenty, softvér alebo služby prispievajú ku kybernetickej bezpečnosti vozidiel. Patria sem výrobcovia originálnych dielov (OEM), dodávatelia elektronických riadiacich jednotiek a pripojených komponentov úrovne Tier 1, poskytovatelia softvéru a platforiem a poskytovatelia inžinierskych služieb. Zákazníci – najmä výrobcovia originálnych dielov, na ktorých sa vzťahujú povinnosti typového schvaľovania podľa nariadenia UN R155 – čoraz častejšie vyžadujú od svojich dodávateľov, aby preukázali systém riadenia bezpečnosti vozidiel (CSMS), ktorý je nezávisle posúdený.

Systém ENX VCS bol spustený v júni 2024 a odvtedy sa postupne rozširuje. Bezplatná registrácia počas počiatočnej fázy trvala do konca roka 2024 a širšie zavádzanie pokračovalo v rokoch 2025 a 2026. Systém ENX VCS dopĺňa portfólio systému ENX popri systéme TISAX so súčasným… Štítok TISAX vo všeobecnosti slúži ako predpoklad pre audity ENX VCS.

Jedným z kľúčových rozdielov medzi ENX VCS a normou ISO/SAE 21434 sú prísne regulované kvalifikačné požiadavky na hodnotiaci tím. Každý hodnotiaci tím musí zahŕňať najmä experta na VCS s preukázanými praktickými skúsenosťami v oblasti kybernetickej bezpečnosti automobilov a oblasti kybernetickej bezpečnosti vozidiel (VCS).

Hoci tieto kvalifikačné požiadavky nevyhnutne zvyšujú náklady na posúdenie VCS, zároveň poskytujú zákazníkovi značnú hodnotu. Zapojenie skúsených expertov VCS pomáha zabezpečiť technicky podložené a konzistentné posúdenie, umožňuje zmysluplnejšie diskusie počas pohovorov a zákazníkom umožňuje profitovať z praktických skúseností hodnotiteľov s reálnymi implementáciami kybernetickej bezpečnosti v automobilovom priemysle.

Klienti môžu získať jeden alebo viac z troch štítkov VCS pre svoje lokality súvisiace s VCS: „Vývoj VCS“, „Produkcia VCS a „Prevádzka a údržba VCS“. Tieto štítky umožňujú organizáciám preukázať svoje špecifické schopnosti v oblasti kybernetickej bezpečnosti zákazníkom a ďalším osobám. zainteresované strany , v závislosti od činností VCS, za ktoré sú zmluvne zodpovední.

Nariadenie OSN č. 155 nadobudlo platnosť v januári 2021. Dátumy, kedy sa jeho dodržiavanie stalo povinným, sa však v jednotlivých jurisdikciách líšia. V Európskej únii sa nariadenie OSN č. 155 vzťahuje na všetky novo schválené typy vozidiel od júla 2022 a na všetky novo vyrobené vozidlá od júla 2024. Čína zaviedla vlastné národné nariadenie o kybernetickej bezpečnosti, GB 44495:2024, ktoré je vo všeobecnosti v súlade s cieľmi nariadenie OSN č. 155, ale predstavuje samostatný regulačný rámec. Vzťahuje sa na novo schválené typy vozidiel od januára 2026 a na všetky novo vyrobené vozidlá od januára 2028.

Čo je ENX VCS z pohľadu certifikačného orgánu?

Z pohľadu certifikačného orgánu je ENX VCS systém hodnotenia v automobilovom priemysle, prostredníctvom ktorého poskytovateľ auditu schválený asociáciou ENX hodnotí systém riadenia bezpečnosti bezpečnosti (CSMS) organizácie podľa požiadaviek normy ISO/SAE 21434, usmernení normy ISO/PAS 5112 a požiadaviek schémy ENX VCS. Výsledkom hodnotenia je výsledok auditu ENX VCS, ktorý sa vymieňa prostredníctvom portálu ENX – konceptom porovnateľný s výmenou štítkov TISAX – a nie certifikát v štýle ISO.

ENX VCS je súčasťou portfólia schém ENX spolu s TISAX: TISAX sa zameriava na informačnú bezpečnosť na mieste dodávateľa; ENX VCS sa zameriava na systém riadenia bezpečnosti údajov dodávateľa pre vozidlo a jeho komponenty. Aktuálne označenie TISAX a zavedené Systém riadenia kvality sú vo všeobecnosti predpokladmi pre audity ENX VCS. Posúdenie treťou stranou schváleným poskytovateľom auditu je uznávaným spôsobom v celom odvetví, ako preukázať CSMS, a výsledok auditu akceptujú zúčastnení zákazníci OEM prostredníctvom mechanizmu výmeny ENX.

Ako certifikačný orgán DQS posudzuje zhodu – nenavrhuje ani neimplementuje váš systém riadenia kybernetickej bezpečnosti. nezávislosť je to, čo dáva výsledku auditu ENX VCS jeho hodnotu: organizácia vytvorí a prevádzkuje systém CSMS a schválený poskytovateľ auditu ho overí podľa požiadaviek schémy.

Kľúčové fakty o ENX VCS v skratke

Kontext a ovládače pre ENX VCS

OSN R155 a schválenie typu vozidla

Predpis EHK OSN č. 155 stanovuje jednotné ustanovenia pre schvaľovanie vozidiel, pokiaľ ide o kybernetickú bezpečnosť a systémy riadenia kybernetickej bezpečnosti. Výrobcovia vozidiel musia preukázať, že používajú systém riadenia bezpečnosti vozidiel (CSMS), ktorý sa zaoberá kybernetickou bezpečnosťou počas celého životného cyklu vývoja, výroby a povýroby. Výrobcovia originálnych dielov (OEM) sú povinní informovať svojich dodávateľov o očakávaniach týkajúcich sa CSMS, ktorí zase potrebujú účinný a preukázateľný systém riadenia bezpečnosti vozidiel.

ISO/SAE 21434 a ISO/PAS 5112

Norma ISO/SAE 21434 (Cestné vozidlá – Kybernetické bezpečnostné inžinierstvo) je technická referenčná norma pre kybernetické bezpečnostné inžinierstvo počas celého životného cyklu automobilového produktu. Norma ISO/PAS 5112 (Usmernenia pre audit kybernetického bezpečnostného inžinierstva) poskytuje usmernenia k auditu implementácií CSMS. Norma ISO/SAE 21434 sama o sebe nestačí na splnenie všetkých požiadaviek normy UN R155; norma UN R155 sa na túto normu odvoláva, ale pridáva ďalšie regulačné očakávania. Spoločnosť ENX VCS používa tieto dokumenty ako základ pre hodnotenie pri implementácii postupov schémy, ktoré umožňujú porovnateľnosť a zameniteľnosť výsledkov auditu v celom odvetví.

Vzájomné uznávanie a zníženie duplicitných auditov

Dodávatelia automobilového priemyslu sú čoraz častejšie predmetom viacerých auditov kybernetickej bezpečnosti od rôznych zákazníkov z oblasti OEM. Systém ENX VCS je navrhnutý na princípe vzájomného uznávania: organizácia si objedná jedno posúdenie a výsledok zdieľa prostredníctvom portálu ENX, čím sa znižuje duplicita. Kombinácia systémov TISAX a ENX VCS poskytuje výrobcom OEM kompletný obraz – informačnú bezpečnosť na mieste dodávateľa a kybernetické inžinierstvo pre produkty a komponenty vozidiel.

Základné požiadavky pre ENX VCS

Riadenie kybernetickej bezpečnosti a organizačný kontext

Zavedenie kultúry kybernetickej bezpečnosti, riadiacich úloh, politík a záväzkov manažmentu. Systém riadenia kybernetickej bezpečnosti (CSMS) musí byť zakotvený v širšom riadení organizácie a integrovaný s riadením kvality, informačnej bezpečnosti a funkčnej bezpečnosti.

Riadenie kybernetických bezpečnostných rizík (TARA)

Systematická analýza hrozieb a hodnotenie rizík (TARA) podľa normy ISO/SAE 21434, aplikovaná na vozidlá a ich rozhrania relevantné z hľadiska kybernetickej bezpečnosti. Identifikované riziká sa hodnotia a riešia prostredníctvom zdokumentovaných kontrol a rozhodnutí o návrhu.

Kybernetická bezpečnosť v životnom cykle produktu

Činnosti v oblasti kybernetickej bezpečnosti v rámci konceptu, vývoja produktu, post-vývojových procesov (výroba, prevádzka, údržba, vyraďovanie z prevádzky) a podporných procesov – vrátane riadenia požiadaviek, návrhu, integrácie, overovania a validácie.

Nepretržité aktivity v oblasti kybernetickej bezpečnosti

Monitorovanie kybernetickej bezpečnosti, riadenie zraniteľností , reakcia na incidenty a podpora po výrobe sú prebiehajúce činnosti počas celého životného cyklu vozidla. Nariadenie OSN č. 155 výslovne vyžaduje, aby sa schopnosti systému riadenia kybernetickej bezpečnosti (CSMS) udržiavali nepretržite. ENX VCS preto posudzuje nielen počiatočnú zrelosť týchto procesov, ale aj schopnosť organizácie ich udržiavať v priebehu času.

Požiadavka na udržiavanie platných označení TISAX dopĺňa tento cieľ tým, že poskytuje záruku, že systém informačnej bezpečnosti organizácie zostáva účinný voči vyvíjajúcim sa IT hrozbám, ktoré by mohli ovplyvniť jej aktivity v oblasti kybernetickej bezpečnosti vozidiel.

Riadenie dodávateľov a distribuovaného vývoja

Riadenie kybernetickej bezpečnosti v dodávateľskom reťazci: tok požiadaviek smerom k dodávateľom, hodnotenie spôsobilosti dodávateľov, dohody o rozhraní a spoločné aktivity v oblasti kybernetickej bezpečnosti. ENX VCS podporuje výrobcov originálnych zariadení (OEM) pri preukazovaní spôsobilosti dodávateľov v oblasti kybernetickej bezpečnosti v celej ich dodávateľskej základni.

Proces auditu a výmena

Hodnotenia vykonávajú poskytovatelia auditu schválení asociáciou ENX. Zistenia sú dokumentované a klasifikované a výsledky hodnotenia sú zdieľané prostredníctvom portálu ENX so zúčastnenými zákazníkmi v súlade so súhlasom dodávateľa a pravidlami schémy ENX VCS.

Záujemcovia sa môžu zaregistrovať ako účastníci ENX, aby získali prehľad o aktuálnom stave označenia VCS svojich dodávateľov v reálnom čase. Vďaka tomu môže portál ENX slúžiť ako efektívny nástroj na správu dodávateľov, ktorý organizáciám umožňuje overovať a priebežne monitorovať stav hodnotenia kybernetickej bezpečnosti ich dodávateľského reťazca.

Cieľové skupiny a oblasti použitia pre ENX VCS

ENX VCS je určený pre organizácie, ktorých produkty, komponenty, softvér alebo služby prispievajú ku kybernetickej bezpečnosti vozidiel. Typický rozsah zahŕňa výrobcov originálnych zariadení (OEM) (príprava na typové schválenia podľa UN R155 a ich udržiavanie), dodávateľov elektronických riadiacich jednotiek (ECU), telematických jednotiek, brán, infotainmentových systémov a pripojených komponentov úrovne 1, dodávateľov polovodičov, vstavaného softvéru a hardvérových modulov úrovne 2 s relevantnými aspektmi kybernetickej bezpečnosti, poskytovateľov softvérových/infraštruktúrnych platforiem pre vozidlá a back-end a poskytovateľov inžinierskych služieb, ktorí vykonávajú vývoj v mene výrobcov originálnych zariadení a dodávateľov úrovne 1.

Výrobcovia originálnych zariadení (OEM) a zákazníci prvej úrovne (Tier 1) používajú výsledky auditu ENX VCS – spolu so štítkami TISAX – ako základ pre kvalifikáciu dodávateľov a ich priebežné riadenie. Systém podporuje informované rozhodnutia o získavaní zdrojov zo strany obstarávania, kybernetickej bezpečnosti a technických funkcií v organizáciách zákazníkov a znižuje audítorskú záťaž dodávateľov, ktorí obsluhujú viacerých výrobcov originálnych zariadení (OEM).

Organizácie mimo automobilového ekosystému sa zvyčajne spoliehajú na normu ISO/IEC 27001 alebo iné odvetvovo špecifické rámce informačnej bezpečnosti a kybernetickej bezpečnosti, a nie na ENX VCS. Ak dodávateľ slúži automobilovému aj priľahlému odvetviu (napr. priemyselná kontrola, zdravotnícke pomôcky), často sa udržiavajú paralelné certifikácie a hodnotenia.

Normy súvisiace s ENX VCS

Vzťah k TISAX®

TISAX je systém hodnotenia informačnej bezpečnosti pre automobilový priemysel a zameriava sa na systém riadenia informačnej bezpečnosti na úrovni lokality dodávateľa. ENX VCS sa zameriava na systém riadenia kybernetickej bezpečnosti vozidiel a ich komponentov dodávateľa. Aktuálny štítok TISAX je vo všeobecnosti predpokladom pre audit ENX VCS. Tieto dva systémy sú doplnkovými súčasťou portfólia ENX a nie sú zameniteľné.

ISO/SAE 21434 – referenčná inžinierska norma

Norma ISO/SAE 21434 je medzinárodná norma pre kybernetickú bezpečnosť cestných vozidiel a je technickým základom systému ENX VCS. Norma ISO/SAE 21434 sama o sebe nestačí na splnenie všetkých požiadaviek normy UN R155. ENX VCS používa normy ISO/SAE 21434 a ISO/PAS 5112 v rámci štruktúrovanej schémy hodnotenia, ktorá podporuje zosúladenie výrobcov originálnych dielov (OEM) a dodávateľov s normou UN R155.

Predpis OSN č. 155 a regulačný kontext

Predpis UN R155 je nariadenie EHK OSN, ktoré stanovuje požiadavky na schvaľovanie vozidiel z hľadiska kybernetickej bezpečnosti a systémov riadenia bezpečnosti vozidiel (CSMS). Predpis UN R155 je v mnohých jurisdikciách regulačným zákonom po prijatí na národnej úrovni. ENX VCS podporuje preukázanie systému riadenia bezpečnosti vozidiel v súlade s očakávaniami podľa predpisu UN R155, ale výsledky auditu ENX VCS samy osebe nepredstavujú typové schválenie podľa predpisu UN R155 – ktoré zostáva zodpovednosťou príslušných orgánov typového schvaľovania.

ISO/IEC 27001 a manažment informačnej bezpečnosti

Norma ISO/IEC 27001 je certifikovateľná medzinárodná norma pre systémy manažérstva informačnej bezpečnosti. Hoci jej rozsah je širší ako kybernetická bezpečnosť v automobilovom priemysle, ISO/IEC 27001 je štrukturálne zosúladená s myslením o systémoch manažérstva, ktoré je základom noriem ISO/SAE 21434 a ENX VCS. Mnoho dodávateľov automobilového priemyslu si udržiava certifikáciu ISO/IEC 27001 súbežne so značkami TISAX a výsledkami auditov ENX VCS.