Definition
UN-ECE-Regelung, die ein Cybersecurity Management System (CSMS) für Fahrzeughersteller verpflichtend macht. Seit Juli 2022 für alle neuen Fahrzeug-Typen, seit Juli 2024 für alle neu zugelassenen Fahrzeuge in der EU. Ohne CSMS-Zertifizierung keine Typgenehmigung. Erfordert systematische Identifikation, Bewertung und Behandlung von Cyber-Risiken über den gesamten Fahrzeug-Lebenszyklus, einschließlich Lieferantenmanagement.
In der Praxis
UN R155 hat die Automobilzulieferkette verändert, weil Cybersecurity erstmals zulassungsrelevant wurde: Ohne zertifiziertes Cybersecurity Management System gibt es keine Typgenehmigung — und der OEM gibt diese Anforderung an seine Zulieferer weiter. Erstes Fehlerbild in der Praxis: das Papier-CSMS. Es existiert ein Handbuch, aber die Bedrohungsanalyse ist zwei Jahre alt, und keiner hat die neuen Angriffsmuster auf die Flotte bewertet; die Regelung verlangt ein lebendes System über den gesamten Fahrzeug-Lebenszyklus, inklusive Post-Production. Zweites Fehlerbild: Zulieferer ohne Cybersecurity-Prozess. Der OEM braucht Nachweise aus der Kette — wer Steuergeräte oder Software liefert, muss seine Entwicklungsprozesse entlang der ISO/SAE 21434 aufstellen, auch wenn er selbst keine Typgenehmigung beantragt. Drittes Fehlerbild: CSMS und ISMS als Parallelwelten. Wer bereits ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 betreibt, hat die halbe Infrastruktur — nutzen Sie sie, statt ein zweites System aufzubauen. Und vergessen Sie nicht die Schwesterregelung UN R156: Cybersecurity und Software-Updates werden im Audit zusammen geprüft.
Verwandte Begriffe
Häufige Fragen zu UN R155
Was ist der Unterschied zwischen UN R155 und UN R156?
UN R155 fordert ein Cybersecurity Management System: der Nachweis, dass der Hersteller Cyber-Risiken über den gesamten Fahrzeug-Lebenszyklus systematisch identifiziert, bewertet und behandelt — von der Entwicklung über die Produktion bis zur Post-Production-Phase. UN R156 fordert ein Software Update Management System: der Nachweis, dass Software-Updates — insbesondere Over-the-Air — sicher, rückverfolgbar und ohne Beeinträchtigung der Typgenehmigung ausgerollt werden. Beide sind eigenständige Zulassungsvoraussetzungen, greifen aber ineinander: Ein OTA-Update ist zugleich ein Cyber-Risiko und ein Software-Konfigurationsereignis. In der Praxis werden beide Managementsysteme daher gemeinsam aufgebaut und auditiert. Wer nur R155 im Blick hat, unterschätzt die Konfigurations- und Rückverfolgbarkeitsanforderungen der R156 — und umgekehrt.
Ab wann gilt UN R155 verbindlich, und wo steht das?
UN R155 ist eine Regelung der UN-ECE; in der Europäischen Union wird sie über die General-Safety-Verordnung (EU) 2019/2144 für die Typgenehmigung wirksam. Die Anwendung erfolgte gestuft: seit Juli 2022 für neu genehmigte Fahrzeugtypen, seit Juli 2024 für alle neu zugelassenen Fahrzeuge in der EU. Das heißt: Jedes heute neu zugelassene Fahrzeug stammt von einem Hersteller mit zertifiziertem CSMS. Für Zulieferer entsteht die Verbindlichkeit indirekt über die Lieferkette — der OEM muss die Cybersecurity seiner Lieferanten managen und wird entsprechende Nachweise, Entwicklungsprozesse nach ISO/SAE 21434 und Schnittstellenvereinbarungen einfordern. Prüfen Sie Ihre Kundenanforderungen: Die Weitergabe der R155-Pflichten steht inzwischen in den meisten neuen Automotive-Einkaufsbedingungen (Verordnung (EU) 2019/2144; UN R155).
Wir sind Zulieferer — wie stellen wir uns auf die CSMS-Anforderungen unseres OEM ein?
Beginnen Sie mit einer Gap-Analyse entlang der ISO/SAE 21434, der fachlichen Umsetzungsnorm für Cybersecurity-Engineering im Fahrzeug: Haben Sie einen dokumentierten Prozess für Bedrohungsanalyse und Risikobewertung — die TARA — für Ihre Produkte? Klären Sie zweitens die Schnittstelle zum Kunden: Welche Nachweise erwartet der OEM, in welchem Format, und wer ist auf beiden Seiten benannt? Drittens: Verankern Sie Cybersecurity in der Entwicklung — Anforderungen, Architektur, Tests — und in der Post-Production: Wie erfahren Sie von neuen Schwachstellen, die Ihr verbautes Teil betreffen, und wie reagieren Sie? Viertens: Nutzen Sie vorhandene Strukturen — wer ein ISMS nach ISO/IEC 27001 oder ASPICE-Prozesse hat, baut darauf auf. Und schulen Sie die Entwickler: Cybersecurity ist eine Engineering-Disziplin, kein IT-Projekt am Rand.