ISO/PAS 5112 (Leitfaden für Audits von Cybersecurity Management Systemen)
ISO/PAS 5112 ist ein Leitfaden für Audits von Cybersecurity Management Systemen (CSMS) für Straßenfahrzeuge. ISO hat ihn im März 2022 als Publicly Available Specification (PAS) veröffentlicht. Der allgemeine Leitfaden für Audits von Managementsystemen ist ISO 19011. ISO/PAS 5112 ergänzt ihn um die Besonderheiten der Fahrzeug-Cybersecurity.
Was steht in ISO/PAS 5112?
Der Leitfaden richtet sich an Organisationen in der ganzen Lieferkette, die zur Cybersecurity von Fahrzeugen beitragen. Er beschreibt, wie man ein Auditprogramm für das CSMS aufsetzt und steuert, wie die Audits in der Organisation ablaufen, welche Kompetenz die Auditoren brauchen und welche Nachweise die Organisation im Audit vorlegt.
Er gilt für interne und externe Audits. Die geprüften CSMS-Elemente beruhen auf den Prozessen von ISO/SAE 21434.
Geprüft wird die Organisation
ISO/PAS 5112 klammert Cybersecurity Assessments ausdrücklich aus. Das einzelne Produkt prüft ein CSMS-Audit nicht.
Für das Produkt hat ISO/SAE 21434 ein eigenes Instrument. Das Cybersecurity Assessment beurteilt die Cybersecurity eines Items oder einer Komponente anhand der Arbeitsprodukte. Ob eine konkrete Threat Analysis and Risk Assessment (TARA) stimmt, prüft man dort und nicht im CSMS-Audit. Ein Audit kann bestätigen, dass es einen TARA-Prozess gibt. Ob eine einzelne Analyse richtig ist, sagt es nicht.
Verhältnis zur UNECE R155
Die UNECE R155 verlangt vom Fahrzeughersteller ein CSMS mit einem Konformitätszertifikat. Das Zertifikat gilt höchstens drei Jahre. Nach welcher Norm das CSMS dafür geprüft wird, schreibt die Regelung nicht vor. ISO/PAS 5112 bietet einen gemeinsamen Maßstab für solche Prüfungen, beim Hersteller wie bei seinen Zulieferern.
Auch ISO/SAE 21434 selbst sieht ein Audit der Organisation vor. Der Auditbericht ist dort ein eigenes Arbeitsprodukt.
Status: Nachfolger in Sicht
2025 hat ISO beschlossen, die PAS zu überarbeiten. Der Nachfolger heißt ISO/TS 5112. Die Abstimmung endete im Oktober 2026, die Veröffentlichung steht kurz bevor. Bis dahin gilt ISO/PAS 5112:2022.
Wie Regelungen, Normen und Audits in der Automotive-Cybersecurity zusammenhängen, zeigt unsere Seite Cyber Security.