Neue Regularien: Auf der Suche nach dem optimalen Security-Ansatz

Die neuen Anforderungen der UNECE WP.29 und ISO/SAE 21434 stellen für die Automobilbranche einen Paradigmenwechsel dar: Die Typgenehmigung von Fahrzeugen wird künftig an die angemessene Implementierung eines Cybersecurity-Managementsystems (CSMS) geknüpft sein. Die schnelle, risikoangepasste und konforme Umsetzung der Produktsicherheit wird zu einem zentralen Aspekt der Wettbewerbsfähigkeit von Automobilherstellern und -zulieferern. Aufgrund der hohen Komplexität sowohl der Produkte als auch der Lieferkette im Automobilbereich müssen die Cyberrisiken dabei über den gesamten Lebenszyklus eines Fahrzeuges sowie die gesamte Lieferkette betrachtet und fortlaufend behandelt werden.

Hierzu bedarf es einer genauen Analyse der Teilnehmer im automobilen Ökosystem und ihres jeweilig notwendigen Beitrags zu einem angemessenen Schutzlevel. Dieser Level muss durch technische und organisatorische Maßnahmen untermauert werden: Zum einen müssen in den Produkten selbst Vertrauensanker implementiert sein, bspw. Hardware-Security-Module oder Trusted Execution Environments; zum anderen kann über Audits und Zertifizierungen das Vertrauen in die Fähigkeiten der Zulieferer und Hersteller gestärkt werden.

Das Ziel dabei ist, nicht nur die regulatorischen Vorgaben der jüngst verabschiedeten UN-Regulierung und des kommenden ISO/SAE-Standard zu erfüllen, sondern gemäß der eigenen Unternehmensstrategie und Produkt-Roadmap den optimalen Security-Ansatz mit der höchsten Wirksamkeit zu finden. Es bedarf der Implementierung organisatorischer und technischer Maßnahmen in Form eines ganzheitlichen Cybersecurity-Managementsystems (CSMS), das es ermöglicht, Cybersicherheit in der gesamten Wertschöpfungskette dauerhaft zu definieren, zu kontrollieren, zu steuern und zu verbessern. Das Product Security Organization Framework PROOF (entwickelt von ETAS und KPMG) beispielsweise wartet hier mit umfassender Herangehensweise und Fahrplan auf.

Ein erster wichtiger Schritt dahin sind Bestandsaufnahmen oder „Gap-Analysen“, die nicht nur etwaige Lücken, sondern auch vorhandene Stärkenidentifizieren, beispielsweise aus einem Qualitätssicherungssystem oder Prozessen zur Erreichung funktionaler Sicherheit. Nur wenn der Zustand relevanter Cybersicherheitsaspekte in der Organisation vollständig transparent ist, kann ein optimaler Fahrplan erstellt werden, der Maßnahmen priorisiert, die bereits vorhandenen Potenziale voll ausschöpft und weiterschreibt und so innerhalb der kurzen Zeitspanne bis zur Umsetzung der UN-Regularien sicher zum Ziel führt.