Vorteile von ENX VCS
1:1 Umsetzung von ISO 21434 und ISO/PAS 5112
Die gute Nachricht vorweg: Wer sich in Sachen Automotive Cybersecurity bisher an den Normen ISO 21434 und ISO/PAS 5112 orientiert hat, ist bereits auf einem guten Weg. Die Anforderungen beider Standards sind – mathematisch gesprochen – eine echte Teilmenge der VCS-Vorgaben. Somit finden sich alle Anforderungen der beiden ISO-Normen 1:1 in ENX VCS Vehicle Cyber Security wieder.
Im Vergleich zu den ISO-Audits ermöglicht ENX VCS jedoch ein vergleichbares Vorgehensmodell. Um global über alle Auditanbieter hinweg vergleichbare Abläufe zu gewährleisten, hat die ENX zum Launch des Programms auch konkrete „Audit Provider Criteria & Assessment Requirements“ (ACAR VCS 1.0) sowie einen verbindlichen VCSA-Prüfkatalog 1.0 veröffentlicht. Diese enthalten unter anderem:
- Die organisatorische Prüfung der Regelungen des CSMS (vornehmlich Dokumenten- und Prozessprüfung).
- Die Bildung einer risikoorientierten Stichprobe der Projekte, die sich mit Cybersicherheit von Komponenten befassen.
- Die Stichprobe der Projekte dient zur Überprüfung, ob die Regelungen des CSMS in VCS Projekten konsequente Anwendung finden und umfasst beispielsweise Interviews mit Teammitgliedern des Engineering-Teams und die Sichtung von deren Arbeitsergebnissen.
Einheitliche Kompetenzen
In ACAR werden ebenfalls weltweit einheitliche Kompetenzanforderungen und Rollenbeschreibungen für Auditoren und Experten definiert:
- VCS Lead Auditor
- VCS Experte
Das Wissen eines VCS Experten muss immer im VCS Auditteam repräsentiert sein. Der Experte übernimmt in der Interviewphase die Konversation mit den Engineering-Teams, damit eine fachgerechte Beurteilung der Tätigkeiten und Arbeitsergebnisse möglich wird.
Rollenorientierte Auditierung
In Tradition zu TISAX® werden auch bei ENX VCS die verschiedenen Rollen, die Lieferanten bei der Bereitstellung von cybersicherheitsrelevanten Komponenten einnehmen können, in Form eines neuen Systems für VCS-Label berücksichtigt. Auf diese Weise muss ein Lieferant nur diejenigen Anforderungen des VCSA-Prüfkatalogs erfüllen, die seiner jeweiligen Rolle angemessen sind:
- VCS Development
- VCS Production
- VCS Operations & Maintenance
Vergleichbare Aufwände
Die Label für ENX VCS sind drei Jahre gültig und erfordern keine Überwachungsaudits. Im Gegensatz dazu erfordern Audits gemäß ISO/SAE 21434 über 3 Jahre ein (Re-)Zertifizierungsaudit und zwei jährliche Überwachungsaudits mit entsprechenden Reiseaufwänden.
Agilität
Im Gegensatz zur ISO-Norm verspricht ENX VCS auch eine höhere Agilität bei der Anpassung an neue Anforderungen. Die ACAR-Regelungen werden üblicherweise einmal jährlich einer verbindlichen Revision unterzogen, die von allen VCS Auditanbietern verbindlich umzusetzen ist.