ISO/SAE 21434 (Road Vehicles — Cybersecurity Engineering)
ISO/SAE 21434 („Road vehicles — Cybersecurity engineering") ist die zentrale Cybersecurity-Norm der Automobilindustrie. Sie beschreibt einen durchgängigen Cybersecurity-Engineering-Prozess über den gesamten Fahrzeug-Lebenszyklus — von Konzept und Entwicklung über Produktion und Betrieb bis zur Außerbetriebnahme. Veröffentlicht wurde die Norm im August 2021 gemeinsam von ISO und SAE International.
Für wen gilt die Norm?
ISO/SAE 21434 gilt für elektrische und elektronische (E/E) Systeme in Straßenfahrzeugen, deren Komponenten und Schnittstellen. Sie richtet sich an OEMs ebenso wie an die gesamte Lieferkette: Tier-1- und Tier-2-Supplier müssen ihren Beitrag zur Fahrzeug-Cybersecurity nachweisbar erbringen. Wichtig für das Verständnis: Die Norm schreibt keine konkreten Technologien oder Schutzmaßnahmen vor, sondern Prozesse und Arbeitsergebnisse — was angemessen ist, ergibt sich aus der Risikoanalyse des jeweiligen Systems.
Die vier Kernelemente
| Kernelement | Inhalt |
|---|---|
| Cybersecurity Management System (CSMS) | Organisatorische Verankerung von Cybersecurity über alle Projekte hinweg: Rollen, Prozesse, Verantwortlichkeiten |
| Risikobasierter Ansatz | Jede Sicherheitsmaßnahme wird aus einer Bedrohungsanalyse und Risikobewertung (TARA) abgeleitet |
| Lifecycle-Abdeckung | Cybersecurity-Aktivitäten in jeder Entwicklungsphase, plus Monitoring und Incident Response im Feld |
| Distributed Cybersecurity Activities | Klare Verteilung der Verantwortung zwischen OEM und Suppliern über das Cybersecurity Interface Agreement |
TARA: die zentrale Methode
Das methodische Herzstück der Norm ist die Threat Analysis and Risk Assessment (TARA). Sie identifiziert schützenswerte Assets, leitet Bedrohungsszenarien ab, bewertet Schadenspotenzial (Impact Level) und Angriffswahrscheinlichkeit (Attack Feasibility Level) und priorisiert daraus die Sicherheitsmaßnahmen. Die TARA beginnt bereits in der Konzeptphase und wird über den gesamten Lebenszyklus gepflegt: Taucht ein neues CVE in einer verbauten Komponente auf, muss bewertet werden, ob es eine ursprüngliche Risikoentscheidung verändert — etwa weil ein Angriffspfad plötzlich leichter durchführbar ist.
Verhältnis zur UNECE R155
ISO/SAE 21434 ist eine Norm, die UNECE R155 ist Pflicht. Die UN-Regelung verlangt für die Typgenehmigung ein nachgewiesenes Cybersecurity Management System — ISO/SAE 21434 ist der anerkannte technische Rahmen, mit dem Hersteller diesen Nachweis führen. In der EU gilt die R155 seit Juli 2022 für alle neuen Fahrzeugtypen und seit Juli 2024 für alle neu produzierten und verkauften Fahrzeuge. Ohne belastbares CSMS und ohne dokumentierte TARA gibt es keine Typgenehmigung — und damit keinen Marktzugang. Das verschiebt Cybersecurity von der technischen Empfehlung zur kommerziellen Voraussetzung.
ISO/SAE 21434 in der Praxis
In Projekten scheitert die Umsetzung selten am Verständnis der Norm, sondern an Umfang und Pflege der Nachweise. Tabellenbasierte TARAs altern schnell, die Qualität schwankt je nach Bearbeiter, und bei jeder Systemänderung beginnt die Bewertung faktisch von vorn. Besonders Tier-1-Supplier, die die Anforderungen des OEM erben und für viele Produktvarianten parallel erfüllen müssen, brauchen eine konsistente, wiederverwendbare Risikoanalyse — sonst wird der Compliance-Nachweis vor jedem Audit zum separaten Kraftakt statt zum Nebenprodukt der laufenden Arbeit.