Definition
Norm zur Cybersicherheit im Automobil-Lebenszyklus — von Konzept über Entwicklung und Produktion bis Außerbetriebnahme. Definiert Cybersecurity Management System (CSMS), Threat Analysis and Risk Assessment (TARA) und Cybersecurity Assurance Levels (CAL). Praktische Grundlage zur Umsetzung der UN-Regelungen R155 und R156, die seit Juli 2024 für alle Fahrzeug-Typgenehmigungen verpflichtend sind.
In der Praxis
ISO/SAE 21434 ist für das Fahrzeug das, was die IEC 62443 für die Industrieanlage ist — der Referenzrahmen für Cybersicherheit über den gesamten Lebenszyklus. Zwei Fehler begegnen mir bei Zulieferern regelmäßig. Erstens wird die TARA — die Bedrohungsanalyse und Risikobewertung — als einmalige Dokumentenübung zu Projektbeginn erstellt und dann archiviert. Dabei ist sie ein lebendes Artefakt: Neue Angriffstechniken, Schwachstellen in verbauten Komponenten und Änderungen am Item müssen in die Bewertung zurückfließen, bis zur Außerbetriebnahme des Fahrzeugs. Zweitens fehlt die Schnittstelle zur Lieferkette: Ohne Cybersecurity Interface Agreement ist unklar, wer zwischen OEM und Zulieferer welche Annahmen, Anforderungen und Nachweise schuldet — im Audit ein sicherer Punktabzug. Der regulatorische Treiber dahinter: Die UN-Regelungen R155 (Cybersecurity Management System) und R156 (Software-Updates) machen den CSMS-Nachweis zur Typgenehmigungs-Voraussetzung. Wichtig ist die Abgrenzung: ISO 26262 behandelt funktionale Sicherheit bei Ausfällen, ISO/SAE 21434 Angriffe von außen — beide gehören zusammen gedacht, nicht gegeneinander gespielt.
Verwandte Begriffe
Häufige Fragen zu ISO/SAE 21434
Wie grenzt sich ISO/SAE 21434 von ISO 26262 ab — brauchen wir beide?
Ja, beide — sie adressieren verschiedene Gefahrenquellen. ISO 26262 behandelt funktionale Sicherheit: Ausfälle und Fehlfunktionen, die ohne böse Absicht entstehen, etwa ein defekter Sensor. ISO/SAE 21434 behandelt Cybersicherheit: gezielte Angriffe, die Schwachstellen ausnutzen, um Funktionen zu manipulieren. Ein Bremssystem kann funktional sicher und gleichzeitig angreifbar sein — und umgekehrt. Methodisch laufen beide parallel: Die Gefahren- und Risikoanalyse der 26262 hat in der TARA der 21434 ihr Security-Gegenstück, und bei sicherheitsrelevanten Items müssen beide Bewertungen zusammengeführt werden, weil ein Angriff eine Sicherheitsfunktion aushebeln kann. Organisatorisch heißt das: Safety- und Security-Engineering brauchen feste Schnittstellen, keine Silos (ISO/SAE 21434:2021).
Ist ISO/SAE 21434 verpflichtend — oder „nur" eine Norm?
Formal ist die Norm freiwillig, faktisch kommen Sie in der Automobilindustrie nicht an ihr vorbei. Der Hebel ist die Typgenehmigung: Die UN-Regelung Nr. 155 verlangt von Fahrzeugherstellern ein zertifiziertes Cybersecurity Management System über den gesamten Lebenszyklus, in der EU über die Verordnung (EU) 2019/2144 verbindlich gemacht; UN-Regelung Nr. 156 ergänzt Anforderungen an Software-Update-Prozesse. ISO/SAE 21434 ist der anerkannte Umsetzungsweg dafür. Diese Pflicht kaskadiert in die Lieferkette: OEMs geben die Anforderungen vertraglich an ihre Zulieferer weiter — wer Steuergeräte, Software oder vernetzte Komponenten liefert, muss TARA-Ergebnisse und CSMS-Prozesse nachweisen. Ergänzend verlangen viele OEMs TISAX für die Informationssicherheit im Unternehmen selbst. Beides zusammen ist heute die Eintrittskarte für Automotive-Aufträge mit Elektronikanteil.
Wie halten wir die TARA über den Fahrzeug-Lebenszyklus lebendig, statt sie einmal zu erstellen?
Verankern Sie die TARA als dauerhaftes Artefakt im CSMS, nicht als Projektanhang. Definieren Sie konkrete Trigger für eine Aktualisierung: neue veröffentlichte Schwachstellen in verbauten Komponenten, Änderungen am Item oder seinen Schnittstellen, Felderkenntnisse aus der Flotte, neue Angriffstechniken in der Bedrohungslandschaft. Weisen Sie eine benannte Verantwortung zu — jemand muss diese Trigger überwachen, auch nach Produktionsstart. Verzahnen Sie die TARA mit dem Schwachstellen-Monitoring: Ohne SBOM und CVE-Abgleich merken Sie nicht, wann eine Bewertung veraltet. Regeln Sie mit Zulieferern über Cybersecurity Interface Agreements, wer welche Annahmen und Nachweise pflegt. Und nutzen Sie die CAL-Logik: Die Cybersecurity Assurance Levels steuern, wie tief Nachweise und Tests gehen müssen — das hält den Aufwand risikogerecht (ISO/SAE 21434:2021).