ISO/SAE 21434 Consulting für automotive Cybersecurity-Entwicklung
ISO/SAE 21434 ist die internationale Norm für Cybersecurity Engineering in Straßenfahrzeugen. OEMs verlangen von Tier-1- und Tier-2-Zulieferern zunehmend den Nachweis der Konformität als Voraussetzung für die Programmfreigabe. PRAETORIO unterstützt Automobilzulieferer und Hersteller bei der Umsetzung von ISO/SAE 21434 über den gesamten Fahrzeuglebenszyklus: von Konzept und Bedrohungsanalyse über Cybersecurity-Anforderungen bis hin zu Verifikation und Konformitätsdokumentation.
Unser Ansatz basiert auf Embedded-Systems- und Automotive-Engineering-Expertise, nicht nur auf der Auslegung der Norm: Wir arbeiten mit der tatsächlichen elektrischen und elektronischen (E/E) Systemarchitektur, nicht mit einer generischen Compliance-Vorlage.
Was ISO/SAE 21434 beinhaltet
ISO/SAE 21434:2021 ("Road vehicles: Cybersecurity engineering") definiert Engineering-Anforderungen für das Cybersecurity-Risikomanagement über den gesamten Lebenszyklus elektrischer und elektronischer Systeme in Straßenfahrzeugen, von der Konzeptphase über Entwicklung und Produktion bis hin zu Betrieb, Wartung und Außerbetriebnahme. Die Norm wurde 2021 veröffentlicht und ist weiterhin die aktuelle Fassung; sie befindet sich seit 2026 in einer planmäßigen systematischen Überprüfung, bislang ohne veröffentlichte Revision.
Die Norm gilt für Items und Komponenten, die elektrische oder elektronische Funktionen in Straßenfahrzeugen realisieren, und definiert Anforderungen für:
- Cybersecurity-Governance und -Prozesse, einschließlich eines Cybersecurity-Managementsystems und organisatorischer Cybersecurity-Richtlinien.
- Risikobewertungsmethodik (TARA), einschließlich Identifikation von Assets, Bedrohungs- und Schadensszenarien, Angriffspfad- und Machbarkeitsanalyse sowie Risikobestimmung.
- Cybersecurity-Anforderungen und Produktentwicklung, mit Rückverfolgbarkeit der Cybersecurity-Ziele über Konzept, Architektur und Umsetzung.
- Verifikation und Validierung, zur Bestätigung, dass die Cybersecurity-Anforderungen vor der Freigabe erfüllt sind.
- Produktion, Betrieb und Wartung, einschließlich Incident Response und Schwachstellenmanagement nach Produktionsstart.
ISO/SAE 21434 schreibt keine konkreten technischen Lösungen vor; die Norm definiert den Engineering-Prozess und die Dokumentation, die eine Organisation befolgen muss, um Cybersecurity-Risiken systematisch und nachweisbar zu managen.
Warum ISO/SAE 21434 wichtig ist
OEM-Programmfreigabe. Die meisten OEMs verlangen mittlerweile ISO/SAE-21434-konforme Nachweise: TARA-Berichte, Cybersecurity-Anforderungen und Rückverfolgbarkeitsdokumentation, als Teil der Lieferantenqualifizierung und der Programm-Gate-Reviews, unabhängig von regulatorischen Vorgaben.
Regulatorischer Bezug. ISO/SAE 21434 bildet die technische Grundlage, auf die die UN-Regelung Nr. 155 (UN R155) zu Cybersecurity-Managementsystemen für die Fahrzeugtypgenehmigung in UNECE-Mitgliedsstaaten verweist, wodurch die Relevanz weit über vertragliche Anforderungen hinausgeht.
Programmrisiko. Eine fehlende oder unvollständige TARA oder nicht bis zur Umsetzung rückverfolgbare Cybersecurity-Anforderungen können Programmfreigaben blockieren, den SOP (Produktionsstart) verzögern oder kostspielige Nacharbeiten spät in der Entwicklung auslösen, wenn Architekturänderungen deutlich teurer sind.
Erwartungen in der Lieferkette. Tier-2- und Tier-3-Zulieferer werden zunehmend aufgefordert, eigene Cybersecurity-Nachweise vorzulegen, da OEMs und Tier-1-Zulieferer die Anforderungen aus ISO/SAE 21434 entlang der Lieferkette weitergeben.
Unser Vorgehen
PRAETORIO unterstützt die Umsetzung von ISO/SAE 21434 als strukturierten Engineering-Prozess:
- Anwendbarkeit und Scoping: Festlegung, welche Items und Komponenten im Geltungsbereich liegen, sowie Definition der cybersecurity-relevanten Systemgrenze.
- Bewertung des Cybersecurity-Managementsystems: Bewertung oder Definition der von der Norm geforderten organisatorischen Prozesse, Rollen und Richtlinien (Clause 5).
- Threat Analysis and Risk Assessment (TARA): Identifikation von Assets, Schadens- und Bedrohungsszenarien, Angriffspfadanalyse, Bewertung der Angriffsmachbarkeit und der Auswirkungen sowie Risikobestimmung.
- Cybersecurity-Ziele und -Konzept: Ableitung von Cybersecurity-Zielen aus nicht akzeptablen Risiken und Definition des Cybersecurity-Konzepts auf Systemebene.
- Spezifikation der Cybersecurity-Anforderungen: Überführung des Konzepts in verifizierbare technische Anforderungen, zugeordnet zu Hardware-, Software- und Systemkomponenten.
- Unterstützung der Produktentwicklung: Unterstützung oder Review der Umsetzung von Cybersecurity-Anforderungen während der Hardware- und Softwareentwicklung.
- Verifikation und Validierung: Definition und Unterstützung von Cybersecurity-Tests (z. B. Penetrationstests, Schwachstellenscans, Fuzz-Testing) gegenüber den spezifizierten Anforderungen.
- Cybersecurity Case und Rückverfolgbarkeit: Erstellung des Cybersecurity Case und der Rückverfolgbarkeitsmatrix als Konformitätsnachweis für die interne Freigabe oder OEM-Audits.
- Unterstützung nach der Entwicklung: Unterstützung bei Incident Response, Schwachstellenmanagement und Cybersecurity-Monitoring nach Produktionsstart.
Ergebnisse
- TARA-Bericht, Asset-Liste, Kataloge von Schadens- und Bedrohungsszenarien, Angriffspfad-Dokumentation
- Cybersecurity-Ziele und Spezifikation der Cybersecurity-Anforderungen
- Cybersecurity-Konzeptdokument
- Verifikations- und Validierungsplan mit Nachweisen
- Rückverfolgbarkeitsmatrix (Risiken → Ziele → Anforderungen → Verifikation)
- Cybersecurity Case
- Dokumentation des Cybersecurity-Managementsystems (Prozessdefinitionen, Rollen, Richtlinien)
Wie PRAETORIO Ihr Team unterstützen kann
- Vollständige Durchführung der TARA, des Cybersecurity-Konzepts und des Requirements Engineering für ein bestimmtes Item oder eine Komponente.
- Erweiterung eines bestehenden Engineering-Teams durch TARA-Methodik-Expertise oder zusätzliche Kapazität im Requirements Engineering, ohne die Verantwortung für das gesamte Programm zu übernehmen.
- Review bestehender ISO/SAE-21434-Arbeitsergebnisse gegenüber der Norm, mit Identifikation von Lücken vor einem OEM- oder Lieferantenaudit.
- Gap-Analyse für Organisationen, die mit der Umsetzung von ISO/SAE 21434 beginnen, durch Abgleich der aktuellen Prozesse mit den Klauseln der Norm.
- Workshops zur TARA-Methodik und zum Cybersecurity Requirements Engineering für interne Engineering-Teams.
- Definition des Cybersecurity-Managementsystems zur Etablierung des von ISO/SAE 21434 geforderten organisatorischen Prozesses als Voraussetzung für die Konformität auf Projektebene.
Typische Anwendungsfälle
- Ein Tier-1- oder Tier-2-Zulieferer, der eine TARA und einen Cybersecurity Case für ein neues Steuergeräteprogramm vorbereitet.
- Ein OEM oder Zulieferer, der erstmals ein ISO/SAE-21434-konformes Cybersecurity-Managementsystem einführt.
- Ein Zulieferer, der auf ein OEM-Cybersecurity-Audit oder einen Lieferantenqualifizierungsfragebogen reagiert.
- Ein Programm vor einem Gate-Review mit unvollständigen oder nicht rückverfolgbaren Cybersecurity-Anforderungen.
- Ein Komponentenlieferant, der einem Tier-1- oder OEM-Kunden Cybersecurity-Nachweise bereitstellt.
- Ein bestehendes Steuergerät oder eine bestehende Plattform, die vor einem Facelift- oder Derivat-Programm eine nachträgliche TARA benötigt.
Warum PRAETORIO
- Hintergrund in Embedded Systems und Automotive Engineering über Hardware, Embedded Software und Systemarchitektur hinweg, keine reine Compliance-Praxis.
- Mehr als 15 Jahre Erfahrung in automotiven Embedded Systems, einschließlich funktionaler Sicherheit (ISO 26262, ASIL-D) und AUTOSAR-Softwarearchitektur: Safety- und Security-Anforderungen werden gemeinsam betrachtet, nicht isoliert.
- Direkte, praktische Erfahrung mit der TARA-Methodik: Asset-Identifikation, Bedrohungsmodellierung, Angriffspfad- und Machbarkeitsanalyse sowie Ableitung von Cybersecurity-Anforderungen.
- Engineering-orientierte Umsetzung: Cybersecurity-Anforderungen und das Cybersecurity-Konzept basieren auf der tatsächlichen E/E-Architektur und werden nicht losgelöst vom Produkt als eigenständiges Dokument erstellt.
Verwandte Leistungen
- Cybersecurity Engineering: die übergreifende Cybersecurity-Engineering-Praxis
- TARA – Bedrohungs- und Risikoanalyse: die zentrale Risikobewertungsmethode nach ISO/SAE 21434
- Automotive Cybersecurity: breiter angelegtes Embedded- und Automotive-Cybersecurity-Engineering
- Cyber Resilience Act Consulting: EU-weite Regulierung für Produktcybersecurity
- Functional Safety Consulting: ISO-26262-Sicherheitsengineering, abgestimmt mit Cybersecurity
- Automotive SPICE Consulting: Prozessbewertung für die automotive Softwareentwicklung
FAQ
Was ist ISO/SAE 21434?
ISO/SAE 21434:2021 ("Road vehicles: Cybersecurity engineering") ist die internationale Norm, die Engineering-Anforderungen für das Cybersecurity-Risikomanagement über den gesamten Lebenszyklus elektrischer und elektronischer Systeme in Straßenfahrzeugen definiert, von der Konzeptphase bis zur Außerbetriebnahme. Sie umfasst Governance, Risikobewertung (TARA), Requirements Engineering, Verifikation und Validierung sowie Cybersecurity-Monitoring nach der Entwicklung.
Ist ISO/SAE 21434 gesetzlich vorgeschrieben?
ISO/SAE 21434 selbst ist eine freiwillige Industrienorm und kein Gesetz. Sie bildet jedoch die technische Grundlage, auf die die UN-Regelung Nr. 155 (UN R155) zu Cybersecurity-Managementsystemen verweist, welche für die Fahrzeugtypgenehmigung in UNECE-Mitgliedsstaaten gesetzlich vorgeschrieben ist. In der Praxis verlangen die meisten OEMs zudem vertraglich ISO/SAE-21434-konforme Nachweise von ihrer Lieferkette, unabhängig vom Umfang der Typgenehmigung.
Wie hängen ISO/SAE 21434 und UN R155 zusammen?
UN R155 verpflichtet Fahrzeughersteller zum Betrieb eines zertifizierten Cybersecurity-Managementsystems (CSMS) als Voraussetzung für die Typgenehmigung. ISO/SAE 21434 liefert den detaillierten Engineering-Prozess und die Methodik, mit denen Organisationen die CSMS-Anforderungen von UN R155 typischerweise erfüllen, wobei UN R155 die gesetzliche Vorgabe und ISO/SAE 21434 die technische Norm darstellt.
Was ist eine TARA und wie hängt sie mit ISO/SAE 21434 zusammen?
Eine Threat Analysis and Risk Assessment (TARA) ist die zentrale, in ISO/SAE 21434 definierte Risikobewertungsmethode. Sie identifiziert Assets, Schadens- und Bedrohungsszenarien, analysiert Angriffspfade und bewertet Auswirkungen sowie Angriffsmachbarkeit, um das Cybersecurity-Risiko zu bestimmen. Sie ist ein Baustein der vollständigen ISO/SAE-21434-Konformität, neben Requirements Engineering, Verifikation und den Anforderungen an das Cybersecurity-Managementsystem.
Gilt ISO/SAE 21434 auch für reine Softwarekomponenten?
ISO/SAE 21434 gilt für Items und Komponenten, die elektrische oder elektronische Funktionen in Straßenfahrzeugen realisieren, wozu auch Software zählt, die auf automotiver Hardware läuft. Von einem Softwarelieferanten, dessen Komponenten in ein Fahrzeug-E/E-System integriert werden, wird in der Regel erwartet, normkonforme Cybersecurity-Nachweise zu liefern, auch ohne selbst die Hardware zu produzieren.
Kann PRAETORIO eine bereits erstellte TARA oder einen Cybersecurity Case überprüfen?
Ja. PRAETORIO überprüft bestehende TARA-Berichte, Cybersecurity-Konzepte, Anforderungsspezifikationen und Cybersecurity Cases gegenüber ISO/SAE 21434 und identifiziert konkrete Lücken in Methodik, Rückverfolgbarkeit oder Dokumentation, vor einem OEM-Audit oder einer internen Freigabe.
Wie lange dauert eine ISO/SAE-21434-TARA typischerweise?
Die Dauer hängt von der Systemkomplexität und der Anzahl der betrachteten Assets und Schnittstellen ab. Eine fokussierte TARA für ein einzelnes Steuergerät oder eine Komponente lässt sich oft innerhalb weniger Wochen abschließen; eine vollständige Item-TARA für ein komplexes, vernetztes System dauert entsprechend länger. Ein präzises Scoping ist Teil des initialen Engagements.
Benötigen Sie Unterstützung bei der Umsetzung von ISO/SAE 21434?
PRAETORIO unterstützt Ihr Team von TARA und Cybersecurity-Anforderungen bis zu Verifikation und Konformitätsdokumentation, ob Sie Ihr erstes Programm starten oder sich auf ein OEM-Audit vorbereiten.
Kontaktieren Sie uns, um Ihr Projekt zu besprechen