ISO 21434

Was ist eine TARA nach ISO 21434?

Die TARA (Threat Analysis and Risk Assessment) ist die Bedrohungs- und Risikoanalyse der Norm, ihre Methoden beschreibt Kapitel 15. Das Team bestimmt zuerst die schützenswerten Assets eines Systems und ihre Eigenschaft, also Vertraulichkeit, Integrität oder Verfügbarkeit. Für jedes Asset leitet es Schadensszenarien ab und bewertet die Auswirkung in den Kategorien Safety, Finanzen, Betrieb und Privatsphäre. Dann folgen Bedrohungsszenarien, mögliche Angriffspfade und die Frage, wie leicht ein Angriff durchführbar ist. Für diese Bewertung nennt Anhang G drei Ansätze, einer davon nutzt das Common Vulnerability Scoring System (CVSS). Aus Auswirkung und Durchführbarkeit ergibt sich ein Risikowert, und für jedes Risiko fällt die Entscheidung, es zu reduzieren, zu vermeiden, zu teilen oder zu akzeptieren. Anhang H spielt das an einem Scheinwerfersystem durch.

Wie hängen ISO 21434 und UNECE R155 zusammen?

UNECE R155, die UN-Regelung Nr. 155, verlangt für die Typgenehmigung ein Cybersecurity-Management-System (CSMS) des Fahrzeugherstellers, dessen Konformitätsbescheinigung höchstens drei Jahre gilt. In der EU ist die Regelung über die Verordnung (EU) 2019/2144 für neue Fahrzeugtypen seit dem 6. Juli 2022 Pflicht, für alle Neuzulassungen seit dem 7. Juli 2024. Die Regelung erwähnt die ISO/SAE 21434 nur in einer Fußnote, als Beispiel für Fachwissen zur Risikobewertung, und schreibt sie nicht vor. In der Praxis belegen Hersteller mit den Arbeitsprodukten der Norm einen großen Teil der CSMS-Anforderungen, alle deckt sie nicht ab. Software-Updates regelt die Schwesterregelung R156 mit dem Software-Update-Management-System, die zugehörige Norm ist ISO 24089 von 2023. Für Produkte, die unter die Verordnung (EU) 2019/2144 fallen, gilt der Cyber Resilience Act nach seinem Artikel 2 nicht.

Die Norm gilt entlang der ganzen Lieferkette. Wer welche Cybersecurity-Aufgabe übernimmt, legen Kunde und Lieferant in einer Schnittstellenvereinbarung fest, für die Anhang C eine Vorlage enthält, ähnlich dem Development Interface Agreement der ISO 26262. Wie gründlich entwickelt und geprüft wird, lässt sich über Cybersecurity Assurance Levels (CAL) aus dem informativen Anhang E abstufen. Die Prozesse prüfen Assessoren mit Automotive SPICE for Cybersecurity, dessen Version 2.0 vom März 2025 auf Automotive SPICE 4.0 aufsetzt. Gültig ist weiterhin die erste Ausgabe vom August 2021. Die systematische Überprüfung bei ISO endete am 2. Oktober 2026 mit dem Beschluss, die Norm zu überarbeiten, und die ergänzende ISO/SAE PAS 8475 zu CAL und Targeted Attack Feasibility steht seit dem 1. September 2026 kurz vor der Veröffentlichung.

Nach dem Serienstart verlangt die Norm fortlaufende Arbeit. Kapitel 8 beschreibt die Überwachung von Cybersecurity-Informationen, die Bewertung von Ereignissen sowie die Analyse und das Management von Schwachstellen, und R155 verlangt, dass der Hersteller relevante Schwachstellen in angemessener Zeit mindert. Hier trifft die Norm auf die CI/CD-Pipeline. Liegt die TARA versioniert neben dem Code, gehört zu jedem Release eine SBOM und hängen die Befunde aus statischer Codeanalyse (SAST) und Komponentenanalyse (SCA) am Build, dann lässt sich jedes Arbeitsprodukt einem Softwarestand zuordnen. Fragt der Fahrzeughersteller im Audit, auf welchem Softwarestand die TARA im Cybersecurity Case beruht, ist die Antwort ein Commit.