Ab Q3/23: TISAX® VCS (Vehicle Cyber Security) – Von ISO 21434 zum Cyber Security Management System (CSMS)
Mit der TISAX® VCS (Vehicle Cyber Security) entwickelt der VDA aktuell eine Erweiterung von Sicherheitsanforderungen, die auf die manipulationsfreie Nutzung von Fahrzeugen ausgerichtet sind.
Hat sich das TISAX Label bisher auf den Schutz von Daten und Informationen innerhalb der Firmen eigenen Infrastruktur bezogen, so soll mit TISAX VCS die Schutzverantwortung von Herstellern und Lieferanten auf deren Produkte erweitert werden.
Damit richtet sich die Aufmerksamkeit von möglichen Schutzmaßnahmen nicht nur auf das Verhalten von Mitarbeitern und dem Schutz vor unberechtigtem Zugang in die Produktionsumgebung, sondern auf die Gefahren, die mit Cyberattacken verbunden sein können.
Das bedeutet, dass neben dem Information Security Management System (ISMS), abgedeckt durch die ISO 27001 oder TISAX, ein Cyber Security Management System (CSMS) aufgebaut oder verstärkt werden muss.
In diesem Artikel finden Sie einen kurzen Überblick über die Funktionsweise, die Anwendungsbereiche und die Prozesse von CSMS.
Inhaltsverzeichnis
Unterschiede zwischen Information Security Management System (ISMS) und Cyber Security Management System (CSMS)
| Information Security Management System (ISMS) | Cyber Security Management System (CSMS) | |
|---|---|---|
| Aufgabe | Schützt Prozesse und Organisationen vor Verlust von Daten und Informationen. | Schützt Nutzer und/oder Anwender von Produkten/Software bei der Anwendung. |
| Anwendungsfeld | IT – Information Technology | OT – Operation Technology |
| Charakteristika des Anwendungsfeldes |
|
|
| Bewusstsein in Unternehmen | Akzeptanz für etablierte Schutzmaßnahmen bereits vorhanden – z. B. Firewall, Backups, Spam-Schutz, Redundanz der Infrastruktur. | Bisher kaum erkanntes Risiko durch unübersichtliche Komplexität möglicher Schadensauswirkungen – z. B. unklare Verantwortungen zwischen Lieferant*innen und Hersteller*innen, etablierte Haftungsbeschränkungen, unscharfe Bedrohungsszenarien. |
Wie schon mit der Anlehnung der TISAX VDA ISA 6.0 an die ISO 27001 mit ihren Controls, orientiert sich auch TISAX VCS an einer etablierten Norm zur Abwehr von IT/OT Risiken und Bedrohungen im Automotiv Umfeld, der ISO / SAE 21434.
Wie kann ein CSMS nach ISO 21434 umgesetzt werden?
Zwar unterscheiden sich die Anwendungsbereiche eines CSMS von denen eines ISMS – trotzdem verläuft die Einführung vergleichbar.
Die wichtigsten Besonderheiten, die bei der Einführung eines CSMS nach ISO 21434 gelten, habe ich Ihnen im Folgenden zusammengefasst:
Auf welche Phasen der Wertschöpfung wirken die Anforderungen eines CSMS?
Die Anforderungen eines CSMS nach ISO 21434 sollten in folgenden drei Wertschöpfungsphasen erfüllt sein:
- Konzeptphase & Entwicklung
- Produktions-Support
- Updates nach der Produktion
Ein Beispiel aus der Automobilproduktion:
Bereits während der Entwicklung sollten CSMS-relevante Kriterien erfüllt sein. Während der Produktion müssen diese Kriterien weiterhin aufrechterhalten werden. Und sogar nach Produktionsende muss, zum Beispiel durch Software-Patches, sichergestellt werden, dass auftretende Probleme schnellstmöglich behoben werden – sonst sind schlimmstenfalls Software-Fehler möglich, die Kund*innen in Gefahr und Unternehmer*innen in die Haftung bringen.
Wer hat die Verantwortung für den Nachweis der Erfüllung aller CSMS-Anforderungen?
Für den Nachweis der Erfüllung aller CSMS-Anforderungen tragen mehrere Parteien die Verantwortung, die unter Umständen in komplexen Beziehungen zueinander stehen.
Von oben nach unten verläuft die Verantwortungskette für CSMS-Nachweise folgendermaßen:
- Um die Typengenehmigungen von den zuständigen Behörden zu erhalten, müssen die Original Equipment Manufacturer (OEMs) nachweisen, dass CSMS im gesamten Lebenszyklus (von Entwicklung über Produktion bis Außerbetriebnahme) angewendet wird.
- Die Lieferant*innen sind aufgefordert, die OEMs bei der Bereitstellung der Nachweise zu unterstützen. Dabei sind alle bilateralen Vereinbarungen und Lösungen zulässig.
Durch die unterschiedlichen möglichen Absprachen wird die Kette der Verantwortlichen unter Umständen komplex, intransparent, schwer vergleichbar und teuer. – Eine standardisierte Lösung, wie die TISAX® VCS-Zertifizierung, könnte durch Standardisierung Abhilfe schaffen.
Wie muss auf Kundenanforderungen reagiert werden?
Wie Ihr Unternehmen auf Kundenanforderungen reagieren muss, hängt maßgeblich von dem Ausmaß der Anforderungen ab.
Die letzte Verantwortung für eine ordnungsgemäße Anwendung eines CSMS verbleibt stets beim OEM.
Welche Ausschlussgründe zur Erfüllung der Anforderungen gibt es?
Um eine Kontrolle außerhalb des Geltungsbereichs auszuschließen, bedarf es angemessener Gründe und Argumente, warum sie nicht relevant oder nicht anwendbar sind.
Diese Argumente sind individuell von der Situation Ihres Unternehmens abhängig.
Um eine Kontrolle auszuschließen, sollten Sie sich deshalb Rat von Expert*innen einholen, die auf die Anwendung von CSMS spezialisiert sind.
Threat Analysis and Risk Assessment (TARA): Das wichtigste Instrument zur Erfüllung von CSMS-Anforderungen
TARA (Threat Analysis and Risk Assessment) ist das wichtigste Instrument zur Erfüllung von CSMS-Anforderungen. Die Anwendungsbereiche von TARA erstrecken sich nahezu über die gesamte Automobilarchitektur:
- Infotainment (Navigation, Kommunikation)
- Karosse (Türen, Fenster, Klima)
- Fahrassistenten (Assistenzsysteme)
- Antriebstechnik (Motor, Batterie)
Der TARA-Prozess entlang von 5 Zielen
Zu Beginn des TARA-Prozesses sollten Sie Ihre Assets identifizieren. Dazu gehört die Auflistung Ihrer Assets, die Zuordnung von Eigenschaften (sogenannten Cybersecurity Properties) und die Identifizierung von Schadensszenarien inklusive Bewertung von Schadenswirkungen.
- Ziel 1: Impact Rating
- Identifizieren von Bedrohungsszenarien
- Analysieren von möglichen Angriffspfaden
- Analysieren der Durchführbarkeit des Angriffs
- Ziel 2: Machbarkeit des Angriffs
- Bewertung des Risikos
- Ziel 3: Risiko-Level
- Entscheidung für Umgang mit Risiko
- Spezifizierung der Cybersecurity-Ziele
- Ziel 4: Cybersecurity-Ziele
- Zuordnung der Cybersecurity-Anforderungen zur individuellen Architektur
- Ziel 5: Cybersecurity-Konzept
Die Asset-Ermittlung nach TARA
Die Ermittlung von Assets erfolgt nach TARA auf zwei Ebenen:
- Bedrohungsszenarien: Welche Angriffe können passieren?
- Schadensszenarien: Welche Funktionseinschränkungen sind möglich? Sind finanzielle Auswirkungen für den Nutzer möglich?
Zu finanziellen Auswirkungen für den Nutzer können bei Schadensszenarien unter anderem Sachschäden am Auto zählen, die ein Ersatzfahrzeug notwendig machen, aber auch persönliche gesundheitliche Schäden, die mit einem Schadensfall einhergehen.
Außerdem ist zu prüfen, welche Möglichkeiten der Bedrohung auf das Asset zutreffen:
- Wie einfach/schwer ist es, die Bedrohung auszulösen?
- Wie hoch ist die Wahrscheinlichkeit, dass die Bedrohung wirkt?
- Wie hoch ist die Auswirkung der Bedrohung auf die Funktionstüchtigkeit des Assets?
- Was unternehmen Sie gegen die Bedrohung?
Ein Beispiel zur Veranschaulichung:
Das zu betrachtende Item ist ein Scheinwerfer, der aus verschiedenen Assets besteht:
Zwischen Scheinwerfer und Lichtsensor findet ein Datenaustausch statt.
Nun müssen mögliche Szenarien der Beeinflussbarkeit entwickelt werden, beispielsweise über das Radio, über Bluetooth und über das Steuergerät.
Fazit: Unsere Einschätzung und Empfehlung
Mit der Entwicklung eines TISAX VCS Labels, setzt der VDA seine Anstrengungen zur Sicherung von Daten und Informationen entlang der gesamten Wertschöpfung konsequent fort. In Zeiten zunehmender Gefahren für die Nutzer von Fahrzeugen, die von einem manipulativen Eingriff von Außen ausgehen können, wächst die Verantwortung für Hersteller und Lieferanten, die dadurch möglichen, kritischen Wirkungen auf die Produkte und Nutzer zu verhindern, oder zumindest einzudämmen.
Für Lieferanten von OEMs bedeutet das aber auch, zusätzliche Ressourcen für die damit verbundenen Maßnahmen bereitzuhalten. Eine Aufgabe, die sich im Alltag der Einführung und Aufrechterhaltung von Managementsystemen immer wieder als große Herausforderung darstellt.
Gerne helfen wir Ihnen dabei, Ihre Ressourcen zu verstärken, gemeinsam mit Ihnen Prioritäten in der Umsetzung zu ermitteln oder Ihr Personal auf diese neuen Inhalte ihrer Arbeit methodisch vorzubereiten. Sprechen Sie uns jetzt an.
„Seit 1996 berate ich verschiedenste Kunden – von KMU bis zu Großkonzernen. Meine Beratungsschwerpunkte liegen im Bereich der Informationssicherheit und der Managementsysteme. Neben den Projekteinsätzen in unterschiedlichen Branchen bin ich als Dozent für verschiedene Bildungsträger tätig. Meine Devise ist einfache, praktikable und wirtschaftliche Lösungen für unsere Kund*innen zu finden.“
