Czym jest ISO/SAE 21434?
ISO/SAE 21434:2021 to opracowana wspólnie przez ISO i SAE International norma inżynierii cyberbezpieczeństwa pojazdów drogowych. Definiuje wymagania procesowe dla zarządzania ryzykiem cyberbezpieczeństwa systemów elektryczno-elektronicznych (E/E) pojazdu — od poziomu organizacji (polityka, kultura, audyt), przez projekty rozwojowe, po działania ciągłe: monitoring podatności, reagowanie na incydenty i aktualizacje oprogramowania, aż do końca wsparcia.
Sercem normy jest TARA (Threat Analysis and Risk Assessment, klauzula 15) — modularna metodyka analizy zagrożeń: identyfikacja aktywów, scenariusze zagrożeń, oceny skutków w kategoriach safety-financial-operational-privacy, ścieżki ataku, wykonalność ataku i decyzje o traktowaniu ryzyka. Wyniki TARA przekładają się na cybersecurity goals i cybersecurity concept, a całość argumentacji spina cybersecurity case — ustrukturyzowany dowód, że ryzyka produktu nie są nierozsądne.
Kogo dotyczy?
Norma dotyczy całego łańcucha motoryzacyjnego: producentów pojazdów (OEM), dostawców Tier 1 i Tier 2 komponentów E/E (sterowniki, jednostki telematyczne, wiązki z elektroniką, czujniki), dostawców oprogramowania pojazdowego oraz centrów inżynieryjnych R&D. Formalnym motorem wdrożeń jest regulamin UN R155: od lipca 2024 każdy nowy pojazd rejestrowany w UE wymaga homologacji typu z certyfikowanym CSMS (Cybersecurity Management System) producenta, a OEM kaskadowo przenoszą wymagania na dostawców w nominacjach i umowach.
W praktyce dostawca komponentu E/E dostaje w kontrakcie: wymóg zgodności procesów z ISO/SAE 21434, umowę CIAD (Cybersecurity Interface Agreement for Development) rozdzielającą odpowiedzialności oraz obowiązek dostarczania dowodów (TARA, cybersecurity case, raporty weryfikacji) do oceny CSMS klienta. Dla polskich firm motoryzacyjnych — centrów softwarowych i producentów elektroniki — te wymagania są dziś standardowym elementem nominacji od koncernów.
Struktura normy
Wymagania normy są zorganizowane w klauzulach 5-15, każda z celami, wymaganiami ([RQ]), rekomendacjami ([RC]) i work products ([WP]):
- Klauzula 5 — zarządzanie organizacyjne: polityka, kultura, wymiana informacji, systemy zarządzania, narzędzia, bezpieczeństwo informacji, audyt
- Klauzula 6 — zarządzanie projektowe: cybersecurity plan, tailoring, reuse, komponenty out-of-context i off-the-shelf, cybersecurity case, assessment, release
- Klauzula 7 — działania rozproszone: zdolność dostawców, zapytania ofertowe, umowy CIAD
- Klauzula 8 — działania ciągłe: monitoring, triage zdarzeń, analiza i zarządzanie podatnościami
- Klauzule 9-11 — koncepcja (item definition, TARA, cele, koncepcja), rozwój produktu, walidacja na poziomie pojazdu
- Klauzule 12-14 — produkcja, eksploatacja i utrzymanie (incydenty, aktualizacje OTA), koniec wsparcia i wycofanie
- Klauzula 15 — metody TARA: aktywa, scenariusze zagrożeń, skutki S-F-O-P, ścieżki ataku, wykonalność, wartość ryzyka, traktowanie
ISO/SAE 21434 a TISAX i UN R155/R156
ISO/SAE 21434 i TISAX są komplementarne, nie zamienne: TISAX (VDA-ISA) ocenia bezpieczeństwo informacji ORGANIZACJI dostawcy — ochronę danych OEM, prototypów i biur — a ISO/SAE 21434 dotyczy cyberbezpieczeństwa PRODUKTU: pojazdu i jego komponentów E/E w całym cyklu życia. Dostawca automotive zwykle potrzebuje obu: etykiety TISAX jako warunku kontraktowego wymiany informacji oraz procesów ISO/SAE 21434 dla inżynierii komponentów.
Regulamin UN R155 wymaga od producenta certyfikowanego CSMS — ISO/SAE 21434 jest uznaną ścieżką jego wdrożenia. Dla aktualizacji oprogramowania (w tym OTA) równolegle obowiązuje UN R156 wymagający SUMS (Software Update Management System), doprecyzowany normą ISO 24089. Oceny zgodności i certyfikacje procesów oferują jednostki takie jak TÜV NORD, TÜV Rheinland, TÜV SÜD, DEKRA i SGS.