Ohne gültige Bescheinigung gibt es keine Typgenehmigung. Die beiden Regelungen verlangen nicht nur sichere Fahrzeuge, sondern auch ein Managementsystem, das nach höchstens drei Jahren erneut bestätigt werden muss. Der Aufwand entsteht deshalb nicht im einzelnen Projekt, sondern in der Organisation.
Stand: 23. September 2026
| Typ | Klasse | CSMS | SUMS |
|---|---|---|---|
| Baureihe 1 | M1 | ||
| Baureihe 2 | M1 | ||
| Baureihe 3 | N1 | ||
| Baureihe 4 | L3e |
Die UN-Regelung Nr. 155 regelt die Genehmigung von Fahrzeugen im Hinblick auf Cybersicherheit und ein Cyber Security Management System. Dieses System ist dort definiert als ein systematischer, risikobasierter Ansatz, der organisatorische Prozesse, Verantwortlichkeiten und Governance festlegt, um Risiken aus Cyberbedrohungen für Fahrzeuge zu behandeln und die Fahrzeuge vor Cyberangriffen zu schützen.
Die UN-Regelung Nr. 156 verlangt dasselbe für Softwareaktualisierungen: ein Software Update Management System, also einen systematischen Ansatz, der organisatorische Prozesse und Verfahren festlegt, um die Anforderungen an die Bereitstellung von Softwareaktualisierungen zu erfüllen. Für beide Systeme stellt die Genehmigungsbehörde eine Bescheinigung über die Übereinstimmung aus, die höchstens drei Jahre gilt.
Für Pkw und Nutzfahrzeuge ist die Frist bereits verstrichen. Für Krafträder und Leichtfahrzeuge läuft sie noch.
Die Regelung zum Software Update Management System wird wirksam.
Übergangsbestimmung der UN-Regelung Nr. 155 für Personenkraftwagen, Nutzfahrzeuge und Anhänger.
Die im Amtsblatt der Europäischen Union veröffentlichte Fassung der UN R 155 tritt in Kraft.
Übergangsbestimmung für Krafträder und Leichtfahrzeuge. Hersteller in diesem Segment haben noch Zeit, sollten die Umsetzung aber rechtzeitig planen.
Die Termine stammen aus den im Amtsblatt der Europäischen Union veröffentlichten Fassungen der beiden Regelungen. Ein früheres Inkrafttreten der UN R 155 nennen wir nicht, da bei EUR-Lex nur das Inkrafttreten der dort veröffentlichten Fassung prüfbar war.
Die beiden Regelungen haben unterschiedliche Anwendungsbereiche. Wer unter beide Regelungen fällt, benötigt auch zwei Bescheinigungen.
Die UN-Regelung Nr. 155 gilt für Fahrzeuge der Klassen L, M, N und O, die mindestens ein elektronisches Steuergerät haben. Die UN-Regelung Nr. 156 gilt für Fahrzeuge der Klassen M, N, O, R, S und T, die Softwareaktualisierungen zulassen.
Nach der UN-Regelung Nr. 155 muss der Fahrzeughersteller für den zu genehmigenden Fahrzeugtyp eine gültige Bescheinigung über die Übereinstimmung für sein Cyber Security Management System besitzen. Was er dafür belegen muss, gibt er an seine Lieferkette weiter.
Die Bescheinigung gilt höchstens drei Jahre und kann erneuert oder entzogen werden. Für die UN-Regelung Nr. 156 ist ausdrücklich festgehalten, dass bestehende Typgenehmigungen ihre Gültigkeit nicht allein deshalb verlieren, weil die Bescheinigung des Herstellers abläuft.
Acht Punkte, die bei der Bewertung durch die Genehmigungsbehörde und bei jeder Erneuerung erneut eine Rolle spielen.
| Anforderung | System | Worauf es ankommt | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Prozesse festlegen | CSMS | Das System ist als Ansatz definiert, der organisatorische Prozesse, Verantwortlichkeiten und Governance festlegt. Fehlen diese drei Elemente, gibt es nichts zu bewerten | Das integrierte Automotive Knowledge Pack stellt über 85 Bausteine und mehr als 650 Kontrollziele bereit, an denen sich die eigenen Prozesse ausrichten lassen. |
| Risikobasiert vorgehen | CSMS | Der Ansatz ist ausdrücklich risikobasiert. Maßnahmen ohne erkennbaren Risikobezug überzeugen in der Bewertung nicht | Risiken lassen sich über Assistenten strukturiert identifizieren und bewerten, qualitativ oder quantitativ. Die Brutto- und Nettosicht zeigt, was die Maßnahmen bewirken. |
| Bedrohungen behandeln | CSMS | Behandelt werden Risiken aus Cyberbedrohungen für Fahrzeuge, mit dem Ziel, die Fahrzeuge vor Cyberangriffen zu schützen | Bedrohungen werden Komponenten und Schnittstellen zugeordnet, Maßnahmen den Bedrohungen. Compliance-Lücken und Abweichungen werden transparent identifiziert. |
| Lieferkette einbinden | Beide | Ein großer Teil der Nachweise liegt bei Zulieferern. Der Hersteller muss sie einholen und beurteilen können | Informationen lassen sich gezielt und dezentral bei Fachverantwortlichen erheben. Das reduziert den Aufwand bei Baseline-Audits, Reviews und Lieferantenauskünften. |
| Softwarestände führen | SUMS | Das System legt organisatorische Prozesse und Verfahren fest, um die Anforderungen an die Bereitstellung von Softwareaktualisierungen zu erfüllen | Anforderungen und Nachweise sind denselben Objekten zugeordnet wie die Komponenten, jeder offene Punkt mit Verantwortung und Frist. |
| Maßnahmen steuern | Beide | Jede Lücke braucht einen Verantwortlichen und eine Frist, sonst ist sie bei der nächsten Bewertung noch immer offen | Maßnahmen werden workflowgestützt geplant, umgesetzt und überwacht, einschließlich Verantwortlichkeiten und Fristen. |
| Bescheinigung erneuern | Beide | Die Bescheinigung gilt höchstens drei Jahre und kann entzogen werden, wenn die Anforderungen nicht mehr erfüllt sind | Der Stand je Themenfeld ist jederzeit abrufbar, statt vor jeder Erneuerung neu erhoben zu werden. Dashboards zeigen Compliance-Status, Abweichungen und Maßnahmen. |
| Unterlagen an die Behörde übergeben | Beide | Entscheidend ist, welche Unterlagen die Genehmigungsbehörde erhält, nicht was im System hinterlegt ist | Reports für Audits und Kundenanfragen sowie Export-Funktionen für Assessments und Prüfungen stehen bereit. |
Von den Fahrzeugtypen bis zu den Unterlagen für die Genehmigungsbehörde.
Am Anfang legen Sie fest, für welche Fahrzeugtypen das System gelten muss. Daran knüpfen später Bescheinigungen, Fristen und Nachweise an.
| Typ | Klasse | Steuergeräte | CSMS | SUMS |
|---|---|---|---|---|
| Baureihe 1 | M1 | 84 | ||
| Baureihe 2 | M1 | 79 | ||
| Baureihe 3 | N1 | 62 | ||
| Baureihe 4 | L3e | 18 | ||
| Baureihe 5 | O2 | 9 | ||
| Baureihe 6 | N2 | 57 |
Das Managementsystem ist als Ansatz definiert, der Prozesse, Verantwortlichkeiten und Governance festlegt. Der Assistent führt durch genau diese drei Elemente.
Prozesse, Verantwortlichkeiten und Governance stehen gleichrangig in der Definition. Wer nur Prozesse beschreibt, liefert zwei Drittel.
Der Umfang gehört an den TypDie Bescheinigung muss für den zu genehmigenden Fahrzeugtyp gelten. Deshalb hängt der Geltungsbereich an den Typen und nicht an einer Abteilung.
Nicht neu anfangenEin bestehendes Informationssicherheits-Managementsystem trägt einen Teil der Prozesse bereits. Sichtbar wird das über die Verknüpfung.
Der Ansatz ist risikobasiert. Bedrohungen für das Fahrzeug werden bewertet und behandelt, und die Wirkung der Behandlung bleibt sichtbar.
| Bedrohung | Typ | Brutto | Maßnahmen | Netto | Geprüft |
|---|---|---|---|---|---|
| Zugriff über die Mobilfunkverbindung | Baureihe 1 | 5 wirksam | 04.09.2026 | ||
| Unbefugte Softwareaktualisierung | Baureihe 2 | 4 wirksam | 04.09.2026 | ||
| Manipulation über den Ladevorgang | Baureihe 1 | 3 wirksam | 21.08.2026 | ||
| Missbrauch des Diagnosezugangs | Baureihe 3 | 2 wirksam | 21.08.2026 | ||
| Auslesen von Fahrzeugdaten | Baureihe 2 | 3 wirksam | 12.06.2026 | ||
| Angriff über einen Zulieferdienst | alle | 1 wirksam | überfällig |
Der Hersteller muss auch die Lieferkette belegen können. Die Abfrage erfolgt dezentral, die Auswertung zentral, sodass Rückmeldungen nicht in Mailordnern verloren gehen.
Was bei der letzten Bewertung offen war, bildet die Arbeitsliste für die nächste. Jede Lücke ist der betroffenen Anforderung zugeordnet.
| Anforderung | System | Themenfeld | Frist | Status |
|---|---|---|---|---|
| Verfahren für Notfallaktualisierungen | SUMS | Software | 31.12.2026 | |
| Nachweise zweier Zulieferer | CSMS | Lieferkette | 31.01.2027 | |
| Rückfallebene bei fehlgeschlagener Aktualisierung | SUMS | Software | 31.03.2027 | |
| Überwachung nach Auslieferung | CSMS | Risiko | 30.06.2027 | |
| Rollen für die Freigabe beschrieben | Beide | Governance | 30.09.2026 |
| Punkt | Wirkung | Verantwortlich |
|---|---|---|
| Ein Zulieferer ohne Meldeweg für Schwachstellen | Lücke im Nachweis für die Lieferkette | Einkauf |
| Klasse L noch nicht im Geltungsbereich | Frist rückt näher, Vorlauf fehlt | Produktsicherheit |
Vor der Bewertung durch die Genehmigungsbehörde stellen Sie den Stand je Themenfeld mit den zugehörigen Unterlagen zusammen.
| Unterlage | Inhalt | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Beschreibung des Systems | 37 Prozesse, Rollen, Governance | 04.09.2026 | Produktsicherheit | |
| Geltungsbereich | Fahrzeugtypen und Steuergeräte | 04.09.2026 | Entwicklung | |
| Risikobehandlung | 118 Bedrohungen mit Bewertung | 04.09.2026 | Produktsicherheit | |
| Lieferantennachweise | 18 Abfragen, Rücklauf dokumentiert | laufend | Einkauf | |
| Verfahren für Softwareaktualisierungen | Freigabe, Auslieferung, Rückfallebene | in Überarbeitung | Software | |
| Maßnahmenverzeichnis | 24 offene Punkte mit Frist | laufend | Fachbereiche |
Managementsystem, Risikobehandlung, Vorbereitung der Bewertung.
Geltungsbereich je Fahrzeugtyp, Anforderungen an Komponenten.
Verfahren für Aktualisierungen, Freigabe, Rückfallebene.
Nachweise der Zulieferer, Abstimmung mit der Genehmigungsbehörde.
Cyber Security und Softwareaktualisierung sind getrennt geregelt, betreffen aber dieselben Fahrzeugtypen, dieselben Zulieferer und dieselben Prozesse.
Neben TISAX lassen sich Anforderungen aus UN R 155 und 156, ISO/SAE 21434 und IATF 16949 strukturiert abbilden und auswerten.
Elemente des Managementsystems beruhen nach Angaben der ISO auf den Prozessen des ISO/SAE 21434. Wer dort sorgfältig dokumentiert, verfügt bereits über einen Teil der Nachweise.
Das geforderte Information Security Assessment lässt sich direkt aus CRISAM® erzeugen, exportieren und importieren. Mehr dazu auf der Seite zu TISAX.
Das integrierte Automotive Knowledge Pack stellt über 85 Bausteine und mehr als 650 Kontrollziele bereit, gegliedert für die Automobilindustrie.
Die beiden UN-Regelungen verlangen Managementsysteme und führen zu einer Bescheinigung, die höchstens drei Jahre gilt. ISO/SAE 21434 verlangt keine Bescheinigung, liefert aber die Prozesse: Elemente des Cyber Security Management System beruhen nach Angaben der ISO auf den Prozessen dieses Standards. Wer alle drei erfüllen muss, kann dafür dieselben Objekte nutzen.
| Kriterium | UN R 155 | UN R 156 | ISO/SAE 21434 |
|---|---|---|---|
| Gegenstand | Genehmigung von Fahrzeugen im Hinblick auf Cybersicherheit und ein Cyber Security Management System | Genehmigung von Fahrzeugen im Hinblick auf Softwareaktualisierung und ein Software Update Management System | Cybersecurity Engineering für elektrische und elektronische Systeme |
| Anwendungsbereich | Fahrzeuge der Klassen L, M, N und O mit mindestens einem elektronischen Steuergerät | Fahrzeuge der Klassen M, N, O, R, S und T, die Softwareaktualisierungen zulassen | Elektrische und elektronische Systeme in Straßenfahrzeugen |
| Was verlangt wird | Ein systematischer, risikobasierter Ansatz mit Prozessen, Verantwortlichkeiten und Governance | Ein systematischer Ansatz mit Prozessen und Verfahren für die Bereitstellung von Aktualisierungen | Begriffe, Ziele, Anforderungen und Leitlinien für die Entwicklung |
| Verbindlichkeit | Verbindlich, wo die Regelung angewendet wird | Verbindlich, wo die Regelung angewendet wird | Freiwillig, in der Lieferkette aber regelmäßig gefordert |
| Was am Ende steht | Eine Bescheinigung über die Übereinstimmung, höchstens drei Jahre gültig | Eine Bescheinigung über die Übereinstimmung, höchstens drei Jahre gültig | Nachweise über das Cybersecurity Engineering |
| Bezug zur Typgenehmigung | Der Hersteller muss für den zu genehmigenden Fahrzeugtyp eine gültige Bescheinigung besitzen | Bestehende Typgenehmigungen verlieren ihre Gültigkeit nicht allein durch den Ablauf der Bescheinigung | Kein unmittelbarer Bezug zur Typgenehmigung |
| Abbildung in CRISAM® | Als Prozesse, Risiken und Nachweise je Fahrzeugtyp | Über dieselben Objekte, ergänzt um die Verfahren für Aktualisierungen | Als Anforderungen und Risiken an Komponenten und Schnittstellen |
Entscheidend ist nicht, welche Vorgabe die strengste ist, sondern ob der Geltungsbereich stimmt. Die Bescheinigung muss für den Fahrzeugtyp gelten, der genehmigt werden soll. Wer sein Managementsystem an einer Abteilung statt an den Fahrzeugtypen ausrichtet, bemerkt das oft erst bei der Bewertung. Eine Übersicht aller Regelwerke finden Sie unter Normen und Standards.
Der erste Schritt hängt davon ab, wo Sie heute stehen.
Dann beginnen Sie mit dem Geltungsbereich. Fahrzeugtypen, Steuergeräte und Prozesse werden in einem Modell verknüpft, damit die Bescheinigung den richtigen Umfang abdeckt.
Dann kommt es darauf an, dass der Stand jederzeit abrufbar ist. Dashboards zeigen Compliance-Status, Abweichungen und Maßnahmen, ohne dass vor jeder Bewertung neu erhoben werden muss.
Dann ist die dezentrale Abfrage der nächste Schritt. Informationen lassen sich gezielt bei Fachverantwortlichen erheben, was den Aufwand bei Baseline-Audits, Reviews und Lieferantenauskünften reduziert.
Sie benötigen dafür die CRISAM® GRC Plattform, das CRISAM® ISMS Modul und das Automotive Knowledge Pack. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
Die UN-Regelung Nr. 155 regelt die Genehmigung von Fahrzeugen im Hinblick auf Cybersicherheit und ein Cyber Security Management System. Dieses System ist dort definiert als ein systematischer, risikobasierter Ansatz, der organisatorische Prozesse, Verantwortlichkeiten und Governance festlegt, um Risiken aus Cyberbedrohungen für Fahrzeuge zu behandeln und die Fahrzeuge vor Cyberangriffen zu schützen.
Nach der UN-Regelung Nr. 156 ist das ein systematischer Ansatz, der organisatorische Prozesse und Verfahren festlegt, um die Anforderungen an die Bereitstellung von Softwareaktualisierungen nach dieser Regelung zu erfüllen. Die Regelung gilt für Fahrzeuge der Klassen M, N, O, R, S und T, die Softwareaktualisierungen zulassen.
UN R 155 gilt für Fahrzeuge der Klassen L, M, N und O, die mindestens ein elektronisches Steuergerät haben. Die Übergangsbestimmungen nennen den 1. Juli 2024 für die Klassen M, N und O sowie den 1. Juli 2029 für die Klasse L.
Die beiden UN-Regelungen verlangen Managementsysteme und führen zu einer Bescheinigung, die höchstens drei Jahre gilt. ISO/SAE 21434 verlangt keine Bescheinigung, liefert aber die Prozesse: Elemente des Cyber Security Management System beruhen nach Angaben der ISO auf den Prozessen dieses Standards. Wer alle drei erfüllen muss, kann dafür dieselben Objekte nutzen.
Höchstens drei Jahre. Sie wird von der Genehmigungsbehörde ausgestellt und kann erneuert werden. Sind die Anforderungen nicht mehr erfüllt, kann sie entzogen werden. Für die UN-Regelung Nr. 156 ist festgehalten, dass bestehende Typgenehmigungen ihre Gültigkeit nicht allein durch den Ablauf der Bescheinigung verlieren.
Nach der UN-Regelung Nr. 155 muss der Fahrzeughersteller für den zu genehmigenden Fahrzeugtyp eine gültige Bescheinigung über die Übereinstimmung besitzen. Was er dafür belegen muss, gibt er über Verträge und Abfragen in die Lieferkette weiter. Für Zulieferer wird die Regelung deshalb in Form von Nachweisanforderungen spürbar.
In CRISAM® lassen sich Informationen gezielt und dezentral bei Fachverantwortlichen erheben. Das reduziert den Aufwand bei Baseline-Audits, Reviews und Lieferantenauskünften erheblich, weil jede Rückmeldung direkt mit der zugehörigen Anforderung verknüpft ist.
Entscheidend ist, ob Fahrzeugtyp, Prozess, Risiko und Nachweis in einem gemeinsamen Modell verknüpft sind. CRISAM® bildet die Anforderungen aus VDA TISAX sowie aus UN R 155 und 156, ISO/SAE 21434 und IATF 16949 strukturiert ab und wertet sie aus, identifiziert Compliance-Lücken und Abweichungen und stellt über das integrierte Automotive Knowledge Pack mehr als 85 Bausteine und über 650 Kontrollziele bereit.
Die Angaben zu den beiden UN-Regelungen auf dieser Seite stammen aus den im Amtsblatt der Europäischen Union veröffentlichten Fassungen.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: Fahrzeugtypen und Geltungsbereich, Prozesse und Verantwortlichkeiten, Risikobehandlung, Nachweise aus der Lieferkette und die Unterlagen für die Bewertung.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
