Dieser Abschnitt vermittelt ein grundlegendes Verständnis der gesetzlichen Anforderungen, wobei der Schwerpunkt auf UN R155 und dem Cyber Resilience Act (CRA) liegt. Diese Vorschriften legen fest, wie Automobilprodukte während ihres gesamten Lebenszyklus mit Cybersicherheitsrisiken umgehen müssen. Außerdem wird ein grundlegender Überblick über das Ökosystem der Cybersicherheit in der Automobilindustrie gegeben, das Fahrzeuge, Backend-Systeme, Kommunikationsnetze und externe Schnittstellen umfasst.

Die Cybersicherheit beginnt auf organisatorischer Ebene mit der Einführung eines Cybersicherheits-Managementsystems (CSMS), das festlegt, wie die Cybersicherheit strukturiert und verwaltet wird. Bei Entwicklungsprojekten müssen Planung und Ausführung der Cybersicherheit auf dieses System abgestimmt werden. Aktivitäten wie Bedrohungsanalysen, Risikoanalysen, der Entwurf einer sicheren Architektur und Prozesskontrollen werden in den Entwicklungszyklus integriert, um die Einhaltung von Vorschriften und die organisatorische Konsistenz zu gewährleisten.

Die Verantwortung für die Cybersicherheit ist auf Kunden, Zulieferer und andere Beteiligte verteilt, was koordinierte Maßnahmen in der gesamten eingebetteten Lieferkette erfordert. Jede Phase des Lebenszyklus eines Automobils – Konzept, Entwicklung, Produktion, Betrieb und Stilllegung – beinhaltet spezifische Cybersicherheitsaufgaben. Rollen und Verantwortlichkeiten müssen klar definiert werden, um eine reibungslose Ausführung und sichere Integration über Systeme und Organisationen hinweg zu gewährleisten.

CCSA umfasst laufende Prozesse wie die Sammlung von Informationen zur Cybersicherheit, Bewertungen und Schwachstellenmanagement. Diese sind für die Gewährleistung der Cybersicherheit während der gesamten Betriebsdauer des Fahrzeugs unerlässlich. Ein effektiver Prozess zur Reaktion auf Vorfälle ist ebenfalls von entscheidender Bedeutung, einschließlich Erkennung, Bewertung, Berichterstattung und Behebung. Rollen, Zuständigkeiten und Verfahren müssen klar definiert und mit bewährten Praktiken und gesetzlichen Vorschriften in Einklang gebracht werden.

In der Entwicklungsphase werden Bedrohungen identifiziert, auf Durchführbarkeit und Auswirkungen hin analysiert und die Risiken entsprechend bewertet. Dies führt zur Definition von Cybersicherheitszielen und -ansprüchen auf der Grundlage eines klaren Verständnisses des Objekts und seiner Umgebung. In der Zeit nach der Entwicklung muss die Cybersicherheit durch Überwachung, Patching und Schwachstellenbehandlung aktiv verwaltet werden. Die Einhaltung laufender gesetzlicher Vorschriften stellt sicher, dass die Produkte in der Praxis vor sich entwickelnden Bedrohungen geschützt bleiben.