Cybersecurity Concept (Cybersecurity-Konzept)
Das Cybersecurity Concept (Cybersecurity-Konzept) ist das Arbeitsergebnis, das die Konzeptphase der ISO/SAE 21434 abschließt. Es enthält die Cybersecurity-Anforderungen des Items und die Anforderungen an seine Betriebsumgebung, jeweils abgeleitet aus den Cybersecurity Goals, und ordnet sie den Elementen der vorläufigen Architektur zu. Damit ist es das Bindeglied zwischen der Risikoanalyse und der Produktentwicklung: Aus Zielen werden verortete, umsetzbare Anforderungen.
Vom Goal zum Konzept
Die Kette der Konzeptphase läuft von der Item Definition über die Threat Analysis and Risk Assessment (TARA) zu den Cybersecurity Goals — und das Cybersecurity Concept macht daraus Anforderungen. Jede Anforderung realisiert ein oder mehrere Goals und wird entweder einem Element des Items zugeordnet oder als Anforderung an die Betriebsumgebung formuliert, etwa an Backend-Systeme, Produktionsprozesse oder Werkstätten. Diese Zuordnung ist der eigentliche Konstruktionsschritt: Sie entscheidet, wo im System eine Schutzwirkung erbracht wird.
Cybersecurity Claims
Stützt sich eine Risikoentscheidung auf Annahmen über die Betriebsumgebung, verlangt die Norm dafür dokumentierte Cybersecurity Claims — etwa bei geteilten oder akzeptierten Risiken. Ein Claim ist eine überwachungspflichtige Zusage: Stellt sich im Betrieb heraus, dass die Annahme nicht mehr trägt, muss die zugehörige Risikoentscheidung neu bewertet werden. Undokumentierte Annahmen sind deshalb nicht auditierbare Claims, die nur noch nicht aufgefallen sind.
Cybersecurity Concept in der Praxis
Das Konzept ist kein einmaliges Dokument, sondern der Stand einer fortlaufenden Ableitung: Ändert sich die Architektur, verschieben sich Zuordnungen; ändert die TARA eine Risikobewertung, ändern sich Goals und damit Anforderungen. Prüffähig bleibt das nur, wenn die Kette von der Risikoentscheidung über das Goal bis zur zugeordneten Anforderung nachvollziehbar verknüpft ist statt über Dokumentgrenzen hinweg kopiert zu werden. Wie diese Kette in der TARA entsteht und welche Rolle sie für Analysen nach ISO/SAE 21434 spielt, beschreiben die verlinkten Seiten.