ENX VCS versus ISO 21434: Vehicle Cyber Security Audit

• Die Bedeutung der neuen Vorschriften für die Cyber-Sicherheit der Automobilbranche
• Welche Probleme adressieren die neuen Vorschriften?
• ISO/SAE 21434 Zertifizierung als Lösung?
• Vorgaben für CSMS Audits nach ISO/PAS 5112
• Warum das VCS-Audit von der ENX entwickelt wurde
• Vorteile von ENX VCS
• Fazit: ENX VCS versus ISO 21434
• Die DQS als verlässlicher Partner für die Zertifizierung

Die Bedeutung der neuen Vorschriften für die Cybersicherheit der Automobilbranche

Mit den neuen Vorschriften hinsichtlich Automotive Cyber Security gibt es nun verbindliche Vorgaben, die ab Juli 2024 für alle neu hergestellten Fahrzeuge gelten. Werden die gestellten Anforderungen nicht umgesetzt, erhalten die jeweiligen Baureihen keine Typzulassung. Eine ganzheitliche Cybersicherheit, wie sie mit der vorgeschriebenen Implementierung eines Cyber Security Management Systems (CSMS) von den Behörden beabsichtigt ist, umfasst dabei sämtliche Bestandteile eines Fahrzeugs.

Die meisten Komponenten, die in Fahrzeugen verbaut werden, stammen aus der Lieferkette der Automobilhersteller. Mit der UN R 155 werden diese Hersteller für die Cybersicherheit der gelieferten Komponenten in die Verantwortung genommen. Sie können jedoch nur über ihre vertraglichen Vereinbarungen mit den Lieferanten Einfluss auf die Cybersecurity der Komponenten nehmen. Daher sind Fahrzeughersteller im Rahmen ihres Risikomanagements auf eindeutige Verträge und aussagekräftige Audits bei ihren Lieferanten angewiesen, um die erforderliche Cybersicherheit zu gewährleisten und langfristig aufrechtzuerhalten.

Welche Probleme adressieren die neuen Vorschriften?

Die Einführung der UN R 155 (und der auf Software-Updates fokussierten UN R 156) durch den Gesetzgeber lenkt die Aufmerksamkeit auf mehrere komplexe Fragestellungen, die im Zusammenhang mit softwaregesteuerten Komponenten von Straßenfahrzeugen und Cybersecurity existieren:

• Wie kann sichergestellt werden, dass Software für den Betrieb solcher Komponenten sicher entworfen, entwickelt und implementiert wird?
• Auf welche Weise wird eine Komponente im Produktionsprozess ausschließlich mit der beabsichtigten Softwareversion ausgestattet, und wie werden die relevanten Produktionssysteme geschützt, die zur Ausstattung der Komponenten mit Software erforderlich sind?
• Wie kann überwacht werden, dass Sicherheitsereignisse in den Komponenten erfasst und Bedrohungen auch noch nach 10 Jahren wirksam durch Updates behoben werden können?

ISO 21434 Zertifizierung als Lösung?

Als Antwort auf diese Fragen nennt die UN R 155 die Einrichtung eines Cybersicherheits-Managementsystems (Cyber Security Management System, CSMS) gemäß ISO/SAE 21434 bei Fahrzeugherstellern. Ein Managementsystem ist eine Reihe von Prozessen und Verfahren, die verwendet werden, um ein Unternehmen oder eine Organisation effektiv zu leiten und zu steuern.

Im Sinne der Norm bezieht sich der Begriff „Cybersicherheit“ in der Automobilindustrie speziell auf den Schutz von Computersystemen, Netzwerken und deren Daten in Straßenfahrzeugen. Dies umfasst Maßnahmen und Strategien zur Gewährleistung der Sicherheit und Integrität digitaler Systeme, die in Fahrzeugen eingesetzt werden.

Zur Sicherstellung der Cybersecurity spezifiziert die Norm Prozesse und Verfahren eines CSMS für die Bereiche Sicherheitskonzeption, Entwicklung von Produkten, Produktwartung, Risikoerkennung, Gefahrenabwehr, Produktentsorgung und die damit verbundenen kontinuierlichen Prozesse. Hiermit leistet die Norm ein umfassendes Architekturmodell eines CSMS einschließlich eines Vorgehensmodells zur Bewertung von Risiken in der Cybersecurity, das als Threat and Risk Analysis (TARA) bezeichnet wird.

Nachfolgend erfahren Sie, welche Argumente gegen eine reine ISO/SAE 21434 Zertifizierung zur Erfüllung der Anforderungen der UN R 155 sprechen. 

Vorgaben für Audits durch ISO/PAS 5112

Die ISO/SAE 21434 lässt einen großen Interpretationsspielraum wie die Auditierung eines CSMS ablaufen soll. Da jeder Auditanbieter unter den Regularien seiner Akkreditierungsstelle ein eigenes Auditprogramm für die ISO-Norm 21434 erstellt, ergab sich die Notwendigkeit mit der ISO/PAS 5112 den Auditierungsprozess für die Cybersicherheit und das CSMS einer Organisation zu vereinheitlichen. 

Die ISO/PAS 5112 beinhaltet einen allgemeinen Leitfaden für das Management eines Auditprogramms und gibt Organisationen die nötigen Informationen an die Hand, wie sie ein Audit konkret planen und umsetzen können. Darüber hinaus werden die Kompetenzen der CSMS-Auditoren definiert und erläutert, wie die Normumsetzung nachgewiesen werden kann.

Warum das VCS-Audit von der ENX entwickelt wurde

Trotz dieser Bemühungen um eine verbesserte Standardisierung fallen die resultierenden Auditprogramme für Cybersecurity in der Automobilindustrie immer noch sehr unterschiedlich aus.

Vor dem Hintergrund tief integrierter Lieferketten mit multiplen Vertragspartnern stellen die nicht vergleichbaren Auditprogramme für Fahrzeughersteller ein großes Problem dar. Die Hersteller müssen sich auf die Ergebnisse der Lieferantenaudits des CSMS für ihr Risikomanagement verlassen können.

Die ENX hat diesen Bedarf erkannt und in Zusammenarbeit mit der Automobilindustrie eine Lösung entwickelt, indem sie ein weltweit standardisiertes Auditprogramm namens ENX VCS (Vehicle Cyber Security) implementiert hat. Dabei hat die ENX ihr Mitgliedernetzwerk genutzt, um das Auditprogramm an die spezifischen Anforderungen der Industrie anzupassen

Gleichzeitig stellt sich die ISO/SAE 21434 allein gar nicht als ausreichend dar, um allen regulatorischen Anforderungen der UN R 155 gerecht zu werden. Die UN R 155 verweist zwar auf die ISO/SAE 21434 als beispielhaft für die Prozesse eines CSMS, aber sie fordert auch, dass die Fähigkeiten des Systems dauerhaft aufrechterhalten werden müssen:

• UN R 155, Kapitel 7.2.2.3: Cyber-Bedrohungen und -Schwachstellen, die eine Reaktion des Fahrzeugherstellers erfordern, müssen innerhalb eines angemessenen Zeitrahmens behoben werden.
• UN R 155, Kapitel 7.2.2.4: Der Fahrzeughersteller muss nachweisen, dass die in seinem CSMS angewandten Verfahren gewährleisten, dass die in Absatz 7.2.2.2 g) genannte Überwachung regelmäßig erfolgt.

Die zuvor genannten Anforderungen können dauerhaft nur dann realistisch erfüllt werden, wenn neben dem CSMS auch ein Informationssicherheits-Managementsystem (ISMS) betrieben wird, welches dauerhaft die Informationssicherheit im gesamten Unternehmen sicherstellt. Aus diesem Grund setzt ENX VCS immer voraus, dass die Entwicklungsstandorte auch ein TISAX^® Assessment bestanden haben müssen. Auf diese Weise kann der geprüfte Lieferant die Wahrnehmung seiner Sorgfaltspflichten durch risikobewusstes und risikoaverses Management nachhaltig demonstrieren.

Vorteile von ENX VCS

1:1 Umsetzung von ISO 21434 und ISO/PAS 5112

Die gute Nachricht vorweg: Wer sich in Sachen Automotive Cybersecurity bisher an den Normen ISO 21434 und ISO/PAS 5112 orientiert hat, ist bereits auf einem guten Weg. Die Anforderungen beider Standards sind – mathematisch gesprochen – eine echte Teilmenge der VCS-Vorgaben. Somit finden sich alle Anforderungen der beiden ISO-Normen 1:1 in ENX VCS Vehicle Cyber Security wieder.

Im Vergleich zu den ISO-Audits ermöglicht ENX VCS jedoch ein vergleichbares Vorgehensmodell. Um global über alle Auditanbieter hinweg vergleichbare Abläufe zu gewährleisten, hat die ENX zum Launch des Programms auch konkrete „Audit Provider Criteria & Assessment Requirements“ (ACAR VCS 1.0) sowie einen verbindlichen VCSA-Prüfkatalog 1.0 veröffentlicht. Diese enthalten unter anderem:

• Die organisatorische Prüfung der Regelungen des CSMS (vornehmlich Dokumenten- und Prozessprüfung).
• Die Bildung einer risikoorientierten Stichprobe der Projekte, die sich mit Cybersicherheit von Komponenten befassen.
• Die Stichprobe der Projekte dient zur Überprüfung, ob die Regelungen des CSMS in VCS Projekten konsequente Anwendung finden und umfasst beispielsweise Interviews mit Teammitgliedern des Engineering-Teams und die Sichtung von deren Arbeitsergebnissen.

Einheitliche Kompetenzen

In ACAR werden ebenfalls weltweit einheitliche Kompetenzanforderungen und Rollenbeschreibungen für Auditoren und Experten definiert:

• VCS Lead Auditor
• VCS Experte

Das Wissen eines VCS Experten muss immer im VCS Auditteam repräsentiert sein. Der Experte übernimmt in der Interviewphase die Konversation mit den Engineering-Teams, damit eine fachgerechte Beurteilung der Tätigkeiten und Arbeitsergebnisse möglich wird.    

Rollenorientierte Auditierung

In Tradition zu TISAX® werden auch bei ENX VCS die verschiedenen Rollen, die Lieferanten bei der Bereitstellung von cybersicherheitsrelevanten Komponenten einnehmen können, in Form eines neuen Systems für VCS-Label berücksichtigt. Auf diese Weise muss ein Lieferant nur diejenigen Anforderungen des VCSA-Prüfkatalogs erfüllen, die seiner jeweiligen Rolle angemessen sind:

• VCS Development
• VCS Production
• VCS Operations & Maintenance

Vergleichbare Aufwände

Die Label für ENX VCS sind drei Jahre gültig und erfordern keine Überwachungsaudits. Im Gegensatz dazu erfordern Audits gemäß ISO/SAE 21434 über 3 Jahre ein (Re-)Zertifizierungsaudit und zwei jährliche Überwachungsaudits mit entsprechenden Reiseaufwänden.

Agilität

Im Gegensatz zur ISO-Norm verspricht ENX VCS auch eine höhere Agilität bei der Anpassung an neue Anforderungen. Die ACAR-Regelungen werden üblicherweise einmal jährlich einer verbindlichen Revision unterzogen, die von allen VCS Auditanbietern verbindlich umzusetzen ist.

Fazit: ENX VCS versus ISO 21434

Zusammenfassend ist ENX VCS Zertifizierung eine sinnvolle Weichenstellung. Das Auditprogramm ermöglicht eine weltweit verbesserte Umsetzung der Auditierung gemäß den Anforderungen von ISO/SAE 21434 und ISO/PAS 5112. Die erhöhte globale Vergleichbarkeit des neuen Labels sorgt für ein erheblich gesteigertes Vertrauen in die Zertifizierung und in die Umsetzung der Cyber-Sicherheitsvorgaben der UN-Regelung 155. 

Die DQS als verlässlicher Partner für die Zertifizierung

Als einer der erfahrensten deutschen Dienstleister für die Zertifizierung von Managementsystemen arbeitet die DQS bereits seit vielen Jahren mit der ENX zusammen und war auch unmittelbar an der Entwicklung des neuen Auditprogramms beteiligt. In der langen Entwicklungszeit bis zur Veröffentlichung des Programms hat die DQS in einer Vielzahl von Probeaudits wertvolle Erfahrungen gesammelt und ist damit bestens vorbereitet, um Ihr CSMS auf Basis der VCS-Vorgaben zu auditieren.

Nutzen Sie das Wissen unserer Experten und informieren Sie sich grundlegend über ENX VCS und dessen Bedeutung für Ihr Unternehmen. Mit der Erfahrung aus mehr als 35 Jahren und dem Know-how von weltweit 2.500 Auditoren sind wir Ihr kompetenter Zertifizierungspartner und liefern Antworten auf alle Fragen rund um Datenschutz und Informationssicherheit.

Vertrauen und Expertise

Unsere Beiträge und Broschüren werden ausschließlich von unseren Normexperten oder langjährigen Auditoren verfasst. Sollten Sie Fragen zu den Inhalten oder unseren Dienstleistungen an unseren Autor haben, senden Sie uns gerne eine E-Mail: willkommen@dqs.de

Hinweis: Wir verwenden aus Gründen der besseren Lesbarkeit das generische Maskulinum. Die Direktive schließt jedoch grundsätzlich Personen jeglicher Geschlechteridentitäten mit ein, soweit es für die Aussage erforderlich ist.