Ende 2020 hat die Europäische Union mit der Einwilligung zur UN-Regelung R155 die Einführung eines Cyber Security Management Systems (CSMS) zur Pflicht gemacht. Denn ohne ist eine Typengenehmigung künftig nicht mehr möglich. Fahrzeughersteller und deren Zulieferer stehen jetzt vor dem Problem, dass sie zeitgleich das von OEMs geforderte TISAX®-Label einführen müssen. Dies wiederum fordert die Einführung eines Information Security Management Systems (ISMS). Doch was ist der Unterschied?
Die UN R155 stellt zum ersten Mal „einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich der Cybersicherheit und des Cybersicherheitsmanagementsystems“ auf. Sie regelt, welche Maßnahmen Hersteller während und nach der Produktion ergreifen müssen, um Internetsicherheit zu gewährleisten. Neben einer lückenlosen Risikobewertung gehört dazu unter anderem auch die Datensicherheit in bestimmten Umgebungen. Zudem werden implementierte Verfahren für eine einheitliche Bewertung verlangt.
Im Fokus: Cybersicherheit für den gesamten Lebenszyklus von Fahrzeugen
Fahrzeughersteller müssen demnach ein Cyber Security Management System einführen. Das sind Anforderungen an ein systematisch risikobasiertes Managementsystem mit organisatorischen Prozessen, Verantwortlichkeiten und Methoden zur Eindämmung von Bedrohungen und dem Schutz vor Cyberangriffen auf Fahrzeuge. Der hier anzuwendende Standard ist ISO 21434.
Die Norm ISO 21434, „Road Vehicles – Cybersecurity Engineering”, schlägt Maßnahmen für die Entwicklung vor, damit die zunehmenden Risiken durch Cyber-Attacken auf Fahrzeuge bereits während der Produktion eingedämmt werden. Der Standard befindet sich derzeit in den letzten Zügen seiner Entwicklung. Im März diesen Jahres wurde der letzte Entwurf zur Revision eingereicht.
ISO 27001 ist Pflicht und Kür
Dennoch bleibt die Norm ISO 27001 die Basis, um allumfassende Informationssicherheit zu erzielen und dies auch nachzuweisen. Sie spezifiziert die Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines dokumentierten Information Security Management Systems und bildet die Grundlage für ein erfolgreiches TISAX®-Assessment.
ISMS und CSMS – was ist der Unterschied?
Im Gegensatz zum ISMS zielt das Automotive CSMS auf den Schutz der Verkehrsteilnehmer und der Bevölkerung ab und hat dabei den gesamten Lebenszyklus des Fahrzeugs im Blick. Ein ISMS hingegen gewährleistet die Informationssicherheit innerhalb einer Organisation und zielt auf den Datenschutz innerhalb der Lieferkette ab. Werden beide implementiert und gepflegt, bieten sie die größtmögliche Compliance und Absicherung in Sachen Informationssicherheit.
Die UN R155 stellt zum ersten Mal „einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich der Cybersicherheit und des Cybersicherheitsmanagementsystems“ auf. Sie regelt, welche Maßnahmen Hersteller während und nach der Produktion ergreifen müssen, um Internetsicherheit zu gewährleisten. Neben einer lückenlosen Risikobewertung gehört dazu unter anderem auch die Datensicherheit in bestimmten Umgebungen. Zudem werden implementierte Verfahren für eine einheitliche Bewertung verlangt.
Im Fokus: Cybersicherheit für den gesamten Lebenszyklus von Fahrzeugen
Fahrzeughersteller müssen demnach ein Cyber Security Management System einführen. Das sind Anforderungen an ein systematisch risikobasiertes Managementsystem mit organisatorischen Prozessen, Verantwortlichkeiten und Methoden zur Eindämmung von Bedrohungen und dem Schutz vor Cyberangriffen auf Fahrzeuge. Der hier anzuwendende Standard ist ISO 21434.
Die Norm ISO 21434, „Road Vehicles – Cybersecurity Engineering”, schlägt Maßnahmen für die Entwicklung vor, damit die zunehmenden Risiken durch Cyber-Attacken auf Fahrzeuge bereits während der Produktion eingedämmt werden. Der Standard befindet sich derzeit in den letzten Zügen seiner Entwicklung. Im März diesen Jahres wurde der letzte Entwurf zur Revision eingereicht.
ISO 27001 ist Pflicht und Kür
Dennoch bleibt die Norm ISO 27001 die Basis, um allumfassende Informationssicherheit zu erzielen und dies auch nachzuweisen. Sie spezifiziert die Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines dokumentierten Information Security Management Systems und bildet die Grundlage für ein erfolgreiches TISAX®-Assessment.
ISMS und CSMS – was ist der Unterschied?
Im Gegensatz zum ISMS zielt das Automotive CSMS auf den Schutz der Verkehrsteilnehmer und der Bevölkerung ab und hat dabei den gesamten Lebenszyklus des Fahrzeugs im Blick. Ein ISMS hingegen gewährleistet die Informationssicherheit innerhalb einer Organisation und zielt auf den Datenschutz innerhalb der Lieferkette ab. Werden beide implementiert und gepflegt, bieten sie die größtmögliche Compliance und Absicherung in Sachen Informationssicherheit.
