UNECE R155 (UN-Regelung Nr. 155 — Cybersecurity)
UNECE R155 ist die UN-Regelung Nr. 155 zur Cybersecurity von Straßenfahrzeugen. Sie macht ein geprüftes Cyber Security Management System (CSMS) zur Voraussetzung für die Typgenehmigung: Ohne CSMS-Nachweis erhalten neue Fahrzeugtypen in der EU keine Genehmigung — und damit keinen Marktzugang. Erarbeitet wurde die Regelung vom Weltforum für die Harmonisierung von Fahrzeugvorschriften (WP.29) der UNECE.
Was verlangt die R155?
Die Regelung prüft auf zwei Ebenen, die getrennt voneinander bestanden werden müssen:
- CSMS auf Organisationsebene: Der Hersteller muss nachweisen, dass er Cybersecurity-Risiken systematisch identifiziert, bewertet und behandelt — über den gesamten Lebenszyklus von Entwicklung über Produktion bis zur Betriebsphase im Feld, inklusive Monitoring und Reaktion auf neue Bedrohungen.
- Typgenehmigung je Fahrzeugtyp: Für jeden Fahrzeugtyp muss der Hersteller belegen, dass die Risiken dieses konkreten Typs analysiert und angemessene Maßnahmen umgesetzt wurden. Der primäre technische Nachweis dafür ist die dokumentierte Bedrohungsanalyse und Risikobewertung (TARA).
Beides zusammen bedeutet: Ein einmaliges Zertifikat genügt nicht. Die R155 schreibt die kontinuierliche Pflege der Risikoanalysen vor — eine TARA, die man einmal schreibt und ablegt, ist zum Zeitpunkt des ersten neuen Angriffs schon veraltet.
Die Fristen
| Zeitpunkt | Geltung |
|---|---|
| Seit Juli 2022 | Verpflichtend für alle neuen Fahrzeugtypen |
| Seit Juli 2024 | Verpflichtend für alle neu produzierten und verkauften Fahrzeuge, auch bestehende Typen |
| Ab Dezember 2027 | CSMS-Pflicht auch für Krafträder |
Wo gilt die Regelung?
R155 gilt in den Vertragsstaaten des UNECE-Übereinkommens von 1958, die die Regelung anwenden — darunter die EU-Mitgliedstaaten, das Vereinigte Königreich, Japan und Südkorea. In den USA gilt die Regelung nicht; dort greifen eigene Regelwerke. Für Hersteller mit globalem Absatz ist die R155 dennoch faktisch der Maßstab, weil die europäische Typgenehmigung ohne sie nicht zu bekommen ist.
Verhältnis zu ISO/SAE 21434
ISO/SAE 21434 ist eine Norm, R155 ist Pflicht. Die Regelung selbst beschreibt, was nachzuweisen ist — ein funktionierendes CSMS und beherrschte Risiken pro Fahrzeugtyp. Wie dieser Nachweis technisch geführt wird, beschreibt die Norm: ISO/SAE 21434 ist der anerkannte Engineering-Rahmen, mit dem Hersteller die R155-Anforderungen erfüllen. Wer die Norm sauber umsetzt, hat die wesentlichen Bausteine für die Typgenehmigung beisammen.
UNECE R155 in der Praxis
Der anspruchsvollste Teil der R155 ist nicht das erste Audit, sondern der Dauerbetrieb: Neue Schwachstellen in verbauten Komponenten müssen laufend gegen die bestehenden Risikoentscheidungen bewertet werden — und das über viele Fahrzeugtypen und Varianten parallel. Das funktioniert nur, wenn die ursprünglichen Entscheidungen dokumentiert und wiederauffindbar sind. Genau daran scheitern tabellenbasierte Ansätze erfahrungsgemäß zuerst: Die Frage ist selten, ob eine Bedrohung existiert, sondern ob ein neues CVE einen Angriffspfad verändert, der bisher als akzeptabel galt.