Директива про кібербезпеку: Що повинні робити постачальники

Відлік часу скоро закінчиться. Згідно з правилами Європейського Союзу, до липня всі нові транспортні засоби, що вводяться в експлуатацію, повинні мати підтвердження наявності системи управління кібербезпекою (CSMS - cybersecurity management system). Це стосується як старих, так і нових модельних рядів транспортних засобів.

Як наслідок, такі моделі, як VW "Bulli" T6.1, Ford Fiesta та Porsche Macan більше не продаватимуться в Європі, оскільки впровадження стандарту  UNECE R155 буде економічно невигідним.

Стандарт, який набув чинності на початку 2022 року, вимагає від виробників транспортних засобів впровадження CSMS, що забезпечує кібербезпеку протягом усього життєвого циклу транспортного засобу, а також охоплює ланцюжок поставок.

Єдина основа для перевірки

З огляду на це, Асоціація ENX, консорціум європейських автовиробників, постачальників та асоціацій, нещодавно запровадила аудит кібербезпеки транспортних засобів ENX (ENX VCS) для сертифікації кібербезпеки на рівні постачальників. Глобально стандартизована основа аудиту покликана забезпечити порівнянність результатів аудиту.

"Галузь давно чекала на стандартизовану основу аудиту для перевірки систем управління кібербезпекою", - говорить Крістіан Герлінг, керуючий директор органу з сертифікації DQS.

Хоча система управління інформаційною безпекою TISAX вже кілька років забезпечує безпечний потік інформації в секторі постачання, вона не присвячена кібербезпеці.

Важливо для ланцюга поставок

Початкові попередні аудити і сертифікації напередодні запуску VCS показують, "що деякі виробники транспортних засобів вже інтенсивно займаються цим питанням. Їхні постачальники усвідомлюють, що їм також потрібна ця сертифікація, щоб залишатися в ланцюжку поставок", - говорить менеджер DQS Інго Унгер.

Щоб отримати сертифікат, компанії повинні пройти через заздалегідь визначений процес. Після реєстрації на аудит вони отримують анкету. Вона включає в себе оцінку очікуваного обсягу проекту.

"Після того, як ця анкета подана, компанія та провайдер аудиту зустрічаються, щоб обговорити деталі аудиту та вимоги", - розповідає Унгер.

Невелика кількість провайдерів

Після цього аудитор перевіряє надану компанією документацію на місці. Керівник DQS очікує, що аудит буде завершено протягом п'яти-десяти днів.

За даними Асоціації ENX, лише кілька провайдерів, таких як DQS, можуть розпочати роботу вже зараз. Компанія з сертифікації щойно сертифікувала першого великого постачальника німецької автомобільної промисловості для проведення аудиту VCS.

Унгер: "І вже є низка запитів на проведення аудитів від компаній, які постачають продукцію як німецьким, так і міжнародним OEM-виробникам".