Der Standard versteht Cybersecurity nicht als abschließende Prüfung, sondern als Teil der Entwicklung, vom Konzept bis zur Außerbetriebnahme und über die gesamte Lieferkette hinweg. In der Praxis ist deshalb selten offen, was zu tun ist, sondern wo die Nachweise dafür liegen.
Stand: 23. September 2026
| Komponente | Schnittstelle | Brutto | Netto |
|---|---|---|---|
| Telematikeinheit | Mobilfunk | ||
| Zentrales Steuergerät | Fahrzeugbus | ||
| Ladeschnittstelle | extern | ||
| Diagnosezugang | Werkstatt |
ISO/SAE 21434 ist der Standard für Cybersecurity Engineering bei Straßenfahrzeugen. Er behandelt nach Angaben der International Organization for Standardization die Cybersecurity-Perspektive bei der Entwicklung elektrischer und elektronischer Systeme in Straßenfahrzeugen. Der Standard definiert Begriffe, Ziele, Anforderungen und Leitlinien für Cybersecurity Engineering, damit in der gesamten Lieferkette dasselbe Verständnis gilt.
Er deckt den gesamten Lebenszyklus dieser Systeme ab, vom Konzept über Entwicklung und Produktion bis zu Betrieb, Wartung und Außerbetriebnahme. Es handelt sich um einen Engineering-Standard, nicht um ein Managementsystem mit Zertifizierung.
Cybersecurity endet nicht mit der Freigabe. Was nach dem Serienstart passiert, gehört genauso dazu wie das Konzept davor.
Was das System tut, wo es angreifbar ist und welche Cybersecurity-Ziele daraus folgen. Hier entscheidet sich, was später überhaupt entwickelt wird.
Die Ziele werden in Anforderungen, Architektur und Tests umgesetzt. Cybersecurity wird damit zur Entwicklungsaufgabe und nicht zur abschließenden Prüfung.
Auch die Fertigung trägt zur Cybersecurity bei: Schlüssel, Konfigurationen und Zugänge müssen in der Serie so umgesetzt werden, wie sie geplant waren.
Manche Schwachstellen werden erst im Feld sichtbar. Gemeldete Schwachstellen müssen bewertet und behandelt werden, solange das Fahrzeug in Betrieb ist.
Auch das Ende des Lebenszyklus gehört dazu: Zugänge werden entzogen, Schlüssel und Daten sicher behandelt und Verantwortlichkeiten geordnet beendet.
Die Phasen geben die Beschreibung der International Organization for Standardization wieder. Kapitelnummern, Anforderungsnummern und Arbeitsergebnisse geben wir nicht wieder, da der Volltext des Standards kostenpflichtig ist. ISO/SAE 21434 befindet sich nach Angaben der ISO seit dem 15. Juli 2026 in der systematischen Überprüfung.
Hersteller und Zulieferer entlang derselben Lieferkette. Der Standard ist freiwillig, wird in der Lieferkette aber regelmäßig gefordert.
Der Standard definiert nach Angaben der ISO Begriffe, Ziele, Anforderungen und Leitlinien, damit in der gesamten Lieferkette dasselbe Verständnis gilt. Genau hier entstehen in der Praxis die ersten Probleme: Wenn Hersteller und Zulieferer unterschiedlich bewerten, lässt sich keine belastbare Gesamtaussage treffen.
Cybersecurity-Fragen sollen nach Angaben der ISO in jeder Phase des Entwicklungsprozesses und im Feld berücksichtigt werden. Bei Fahrzeugen, die zehn Jahre und länger im Einsatz sind, ist das der längste Teil der Arbeit.
ISO/SAE 21434 ist kein Managementsystem mit Zertifikat. Ein auditierbares Managementsystem verlangt die UN-Regelung Nr. 155 mit ihrem Cyber Security Management System, das auf denselben Prozessen aufsetzt.
Acht Punkte entlang des Lebenszyklus. Sie sind leicht nachzuvollziehen, aber schwer zu belegen, wenn die Nachweise verstreut liegen.
| Anforderung | Phase | Worauf es ankommt | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Cybersecurity organisieren | Übergreifend | Zuständigkeiten, Regeln und Kompetenzen müssen vor dem ersten Projekt festgelegt sein und nicht erst währenddessen entstehen | Das integrierte Automotive Knowledge Pack stellt über 85 Bausteine und mehr als 650 Kontrollziele bereit, die als Grundlage für die eigene Struktur dienen. |
| Umfang festlegen | Konzept | Welche Komponenten, Schnittstellen und Funktionen betrachtet werden und welche ausdrücklich nicht | Strukturen werden flexibel modelliert. Komponenten und Schnittstellen sind als Objekte im selben Modell erfasst wie Risiken und Maßnahmen. |
| Bedrohungen analysieren | Konzept | Aus der Funktion ergibt sich, was ein Angreifer erreichen könnte. Erst daraus werden die Cybersecurity-Ziele abgeleitet | Risiken lassen sich über Assistenten strukturiert identifizieren und bewerten, qualitativ oder quantitativ, je nach Reifegrad. |
| Wirkung der Maßnahmen zeigen | Entwicklung | Erkennbar muss sein, wie hoch ein Risiko ohne und mit den umgesetzten Maßnahmen ist | Risiken werden in einer Brutto- und Nettosicht bewertet. Maßnahmen werden workflowgestützt geplant, umgesetzt und überwacht. |
| Lieferanten einbeziehen | Entwicklung | Ein großer Teil der Komponenten stammt von Zulieferern. Ohne gemeinsames Verständnis in der Lieferkette ist die Gesamtaussage nicht belastbar | Informationen lassen sich gezielt und dezentral bei Fachverantwortlichen erheben. Das reduziert den Aufwand bei Baseline-Audits, Reviews und Lieferantenauskünften. |
| Serienübergang absichern | Produktion | Was entwickelt wurde, muss in der Fertigung auch so umgesetzt werden. Konfigurationen und Zugänge sind zu dokumentieren | Anforderungen und Nachweise sind denselben Objekten zugeordnet wie in der Entwicklung, jeder offene Punkt mit Verantwortung und Frist. |
| Schwachstellen behandeln | Betrieb | Meldungen aus dem Feld müssen nachvollziehbar bewertet werden, solange das Fahrzeug in Betrieb ist | Vorfälle und Schwachstellen werden strukturiert dokumentiert, die daraus folgenden Maßnahmen laufen über dieselben Workflows. |
| Nachweise führen | Übergreifend | In Audits und Kundenanfragen zählt nicht nur das Ergebnis, sondern auch der Weg dorthin | Dashboards zeigen Compliance-Status, Abweichungen und Maßnahmen. Reports für Audits und Kundenanfragen sowie Export-Funktionen für Assessments und Prüfungen stehen bereit. |
Vom Umfang bis zu den Unterlagen, die ein Kunde oder ein Auditor erhält.
Am Anfang legen Sie fest, was betrachtet wird. Komponenten, Schnittstellen und Funktionen werden als Objekte modelliert, damit sich jede Bewertung später einem konkreten Objekt zuordnen lässt.
| Komponente | Herkunft | Schnittstelle | Kritikalität | Bewertung |
|---|---|---|---|---|
| Telematikeinheit | Lieferant A | Mobilfunk | abgeschlossen | |
| Zentrales Steuergerät | intern | Fahrzeugbus | abgeschlossen | |
| Ladeschnittstelle | Lieferant B | extern | in Arbeit | |
| Diagnosezugang | intern | Werkstatt | abgeschlossen | |
| Infotainment | Lieferant C | Bluetooth, WLAN | in Arbeit | |
| Sensorik Fahrwerk | Lieferant D | Fahrzeugbus | offen |
Der Assistent führt durch die Bewertung. Aus der Funktion ergibt sich, was ein Angreifer erreichen könnte, und daraus die Höhe des Risikos.
Was eine Komponente kann, bestimmt, was ein Angreifer erreichen könnte. Deshalb beginnt die Bewertung bei der Funktion, nicht bei der Technik.
Erreichbarkeit zählt doppeltEine Komponente, die aus der Ferne erreichbar ist, wiegt anders als eine, an die nur in der Werkstatt jemand herankommt.
Gleiche Methodik in der KetteWenn Hersteller und Zulieferer unterschiedlich bewerten, lässt sich die Gesamtaussage nicht zusammenführen.
Aus den Bedrohungen werden Cybersecurity-Ziele abgeleitet, aus den Zielen Anforderungen. Dabei bleibt sichtbar, welche Bedrohung hinter welcher Anforderung steht.
| Bedrohung | Komponente | Brutto | Maßnahmen | Netto | Geprüft |
|---|---|---|---|---|---|
| Befehle aus der Ferne einschleusen | Telematikeinheit | 4 umgesetzt | 04.09.2026 | ||
| Ladevorgang manipulieren | Ladeschnittstelle | 3 umgesetzt | 04.09.2026 | ||
| Fahrzeugdaten auslesen | Infotainment | 2 umgesetzt | 21.08.2026 | ||
| Diagnosezugang missbrauchen | Diagnosezugang | 3 umgesetzt | 21.08.2026 | ||
| Sensordaten verfälschen | Sensorik Fahrwerk | 1 umgesetzt | offen | ||
| Software unbefugt einspielen | Zentrales Steuergerät | 4 umgesetzt | 12.06.2026 |
Ein großer Teil der Nachweise liegt bei Zulieferern. Die Abfrage erfolgt dezentral, die Auswertung zentral. Tabellen müssen nicht mehr manuell zusammengeführt werden.
Nach dem Serienstart beginnt die längste Phase. Meldungen aus dem Feld werden bewertet und der betroffenen Komponente zugeordnet, nicht einem Projektordner.
| Meldung | Komponente | Quelle | Einstufung | Folge |
|---|---|---|---|---|
| Schwachstelle in einer Funkbibliothek | Telematikeinheit | Lieferant | Maßnahme läuft | |
| Fehlerhafte Zertifikatsprüfung | Ladeschnittstelle | Forschung | Maßnahme offen | |
| Offener Debug-Zugang in einer Charge | Steuergerät | Produktion | abgeschlossen | |
| Hinweis auf Seitenkanal | Infotainment | Forschung | dokumentiert | |
| Meldung ohne belastbare Angaben | unklar | extern | Bewertung offen |
| Punkt | Wirkung | Verantwortlich |
|---|---|---|
| Zwei Meldungen ohne abgeschlossene Bewertung | Lücke im Nachweis für das Feld | Produktsicherheit |
| Ein Lieferant ohne Meldeweg für Schwachstellen | Meldungen erreichen die Entwicklung verspätet | Einkauf |
Am Ende übergeben Sie Kunden oder Auditoren den Stand je Phase mit den zugehörigen Unterlagen, einschließlich der Dokumentation, wie sie entstanden sind.
| Unterlage | Inhalt | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Umfangsbeschreibung | 47 Komponenten, 63 Schnittstellen | 04.09.2026 | Entwicklung | |
| Bedrohungsanalyse | 94 Bedrohungen mit Bewertung | 04.09.2026 | Produktsicherheit | |
| Cybersecurity-Ziele | 38 Ziele mit Bezug zur Bedrohung | 04.09.2026 | Entwicklung | |
| Lieferantennachweise | 12 Abfragen, Rücklauf dokumentiert | laufend | Einkauf | |
| Schwachstellenbehandlung | 23 Meldungen mit Einstufung | laufend | Produktsicherheit | |
| Maßnahmenverzeichnis | 31 offene Punkte mit Frist | laufend | Fachbereiche |
Umfang, Cybersecurity-Ziele, Anforderungen, Architektur und Tests.
Bedrohungsanalyse, Schwachstellen aus dem Feld, Bewertung und Behandlung.
Abfragen, Nachweise und Meldewege bei Zulieferern.
Interne Prüfungen, Kundenanfragen, Begleitung externer Audits.
Die Automobilindustrie stellt hohe Anforderungen an Informationssicherheit, Lieferketten-Compliance und Auditfähigkeit. In CRISAM® erheben Sie die nötigen Angaben nur einmal.
Neben TISAX lassen sich Anforderungen aus UN R 155 und 156, ISO/SAE 21434 und IATF 16949 strukturiert abbilden und auswerten.
Das geforderte Information Security Assessment lässt sich direkt aus CRISAM® erzeugen, exportieren und importieren. Mehr dazu auf der Seite zu TISAX.
Die Automotive-Erweiterung ist mit ISMS, Datenschutz, internem Kontrollsystem, Audit und Risikomanagement verbunden. Wer nach ISO 27001 arbeitet, bringt die Grundstruktur mit.
Das integrierte Automotive Knowledge Pack stellt über 85 Bausteine und mehr als 650 Kontrollziele bereit. Damit müssen Sie die eigene Struktur nicht von Grund auf neu aufbauen.
Die drei werden oft gemeinsam genannt, obwohl sie unterschiedliche Zwecke erfüllen. ISO/SAE 21434 beschreibt, wie Fahrzeugsysteme sicher entwickelt werden. Die UN-Regelung Nr. 155 verlangt ein Managementsystem für Cybersecurity, dessen Elemente nach Angaben der ISO auf den Prozessen des ISO/SAE 21434 beruhen. TISAX beantwortet eine dritte Frage: wie sicher ein Unternehmen mit den Informationen seiner Partner umgeht.
| Kriterium | ISO/SAE 21434 | UN R 155 | TISAX |
|---|---|---|---|
| Art | Internationaler Standard, erste Ausgabe vom 31. August 2021 | Regelung der Wirtschaftskommission der Vereinten Nationen für Europa | Prüf- und Austauschmechanismus des Verbands der Automobilindustrie |
| Gegenstand | Cybersecurity Engineering für elektrische und elektronische Systeme | Cybersecurity und ein Cyber Security Management System | Informationssicherheit im Unternehmen und gegenüber Partnern |
| Adressat | Hersteller und Zulieferer entlang der Entwicklungskette | Fahrzeughersteller, mittelbar ihre Zulieferer | Unternehmen der Automobilindustrie und ihre Dienstleister |
| Verbindlichkeit | Freiwillig, in der Lieferkette aber regelmäßig gefordert | Verbindlich, wo die Regelung angewendet wird | Freiwillig, in Verträgen aber regelmäßig vorausgesetzt |
| Zusammenhang | Liefert die Prozesse | Elemente des Managementsystems beruhen nach Angaben der ISO auf diesen Prozessen | Eigener Katalog, mit Überschneidungen bei Organisation und Nachweisen |
| Was am Ende steht | Nachweise über das Cybersecurity Engineering, prüfbar nach dem Leitfaden der ISO von 2022 | Eine Bescheinigung für das Managementsystem | Ein Label, das über die Plattform mit Partnern geteilt wird |
| Abbildung in CRISAM® | Als Anforderungen und Risiken an Komponenten und Schnittstellen | Über dieselben Objekte, ergänzt um die Sicht des Managementsystems | Über das Automotive Knowledge Pack, mit Export des Assessments |
Alle drei betreffen dieselben Objekte: Komponenten, Schnittstellen, Lieferanten, Maßnahmen und Nachweise. Wer sie in drei Ablagen führt, pflegt dieselben Angaben dreifach und muss Abweichungen im Audit erklären. In einem gemeinsamen Modell beantworten Sie dieselbe Frage nur einmal. Eine Übersicht aller Regelwerke finden Sie unter Normen und Standards.
Der erste Schritt hängt davon ab, wo Sie heute stehen.
Dann beginnen Sie mit einer gemeinsamen Grundlage. Das integrierte Automotive Knowledge Pack stellt über 85 Bausteine und mehr als 650 Kontrollziele bereit, an denen sich die Projekte ausrichten.
Dann steht die dezentrale Abfrage im Mittelpunkt. Informationen lassen sich gezielt bei Fachverantwortlichen erheben, was den Aufwand bei Baseline-Audits, Reviews und Lieferantenauskünften reduziert.
Dann ist die Feldphase der nächste Schritt. Schwachstellen und die daraus folgenden Maßnahmen werden der Komponente zugeordnet, nicht einem Projektordner, der irgendwann geschlossen wird.
Sie benötigen dafür die CRISAM® GRC Plattform, das CRISAM® ISMS Modul und das Automotive Knowledge Pack. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
ISO/SAE 21434 ist der Standard für Cybersecurity Engineering bei Straßenfahrzeugen. Er behandelt nach Angaben der International Organization for Standardization die Cybersecurity-Perspektive bei der Entwicklung elektrischer und elektronischer Systeme in Straßenfahrzeugen. Der Standard definiert Begriffe, Ziele, Anforderungen und Leitlinien für Cybersecurity Engineering, damit in der gesamten Lieferkette dasselbe Verständnis gilt.
Die erste Ausgabe wurde am 31. August 2021 veröffentlicht. Nach Angaben der ISO befindet sich der Standard seit dem 15. Juli 2026 in der systematischen Überprüfung, wie sie für internationale Normen in regelmäßigen Abständen vorgesehen ist.
Die drei werden oft gemeinsam genannt, obwohl sie unterschiedliche Zwecke erfüllen. ISO/SAE 21434 beschreibt, wie Fahrzeugsysteme sicher entwickelt werden. Die UN-Regelung Nr. 155 verlangt ein Managementsystem für Cybersecurity, dessen Elemente nach Angaben der ISO auf den Prozessen des ISO/SAE 21434 beruhen. TISAX beantwortet eine dritte Frage: wie sicher ein Unternehmen mit den Informationen seiner Partner umgeht.
Nach Angaben der ISO den gesamten Lebenszyklus der elektrischen und elektronischen Systeme im Fahrzeug, vom Konzept über die Entwicklung und die Produktion bis zu Betrieb, Wartung und Außerbetriebnahme. Cybersecurity-Fragen sollen in jeder Phase des Entwicklungsprozesses und im Feld berücksichtigt werden.
Der Standard ist ein Engineering-Standard und kein Managementsystem mit Zertifizierung. Für die Prüfung gibt es einen eigenen Leitfaden der ISO aus dem Jahr 2022 zum Auditieren des Cybersecurity Engineering. Ein auditierbares Managementsystem verlangt dagegen die UN-Regelung Nr. 155.
Weil ein großer Teil der Komponenten von Zulieferern stammt. Der Standard definiert nach Angaben der ISO Begriffe, Ziele, Anforderungen und Leitlinien, damit in der gesamten Lieferkette dasselbe Verständnis gilt. Wenn Hersteller und Zulieferer unterschiedlich bewerten, lässt sich die Gesamtaussage nicht zusammenführen.
In CRISAM® lassen sich Informationen gezielt und dezentral bei Fachverantwortlichen erheben. Das reduziert den Aufwand bei Baseline-Audits, Reviews und Lieferantenauskünften erheblich, weil Rückläufe aus Tabellen und Mails nicht mehr manuell zusammengeführt werden müssen.
Entscheidend ist, ob Komponente, Bedrohung, Maßnahme und Nachweis in einem gemeinsamen Modell verknüpft sind. CRISAM® bildet die Anforderungen aus VDA TISAX sowie aus UN R 155 und 156, ISO/SAE 21434 und IATF 16949 strukturiert ab und wertet sie aus, identifiziert Compliance-Lücken und Abweichungen und stellt über das integrierte Automotive Knowledge Pack mehr als 85 Bausteine und über 650 Kontrollziele bereit.
Die Angaben zum Standard auf dieser Seite stammen aus den folgenden Quellen. Der Volltext ist kostenpflichtig, deshalb werden keine Kapitel- und Anforderungsnummern wiedergegeben.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: Umfang, Bedrohungen und Ziele, Anforderungen je Phase, Lieferantenabfragen und die Nachweise für Kunden und Auditoren.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
