In der ISO/SAE 21434-Norm wird zwischen einem CSMS für die Organisation und der Anwendung des CSMS auf Produktebene unterschieden. Auf Produktebene erfolgt eine Differenzierung über den Produktlebenszyklus. Denn ein solches System (Sektion 5) muss den gesamten Zyklus eines Fahrzeugs abdecken, angefangen bei der Konzeptphase, der Planung der Produktion, der Entwicklung, über die Zulieferketten, bis hin zur Inbetriebnahme und letztendlichen Verschrottung. 

In der Organisation müssen auf Projektebene Verantwortlichkeiten für die Cybersecurity-Aktivitäten geklärt und an Behörden kommuniziert werden. Für jedes Item muss ein Cybersecurity-Plan entworfen werden, der ein Produkt im Portfolio auf dessen Relevanz zur Cybersecurity prüft, sowie, ob es eine Neuentwicklung oder Wiederverwendung ist. Sobald ein Prozess auf Organisationsebene etabliert ist, muss dieser ein Cybersecurity-Audit durch einen unabhängigen Prüfer bestehen.

Abbildung 1: Darstellung CSMS ISO/SAE 21434

Die (6.6) Angriffspfadanalyse ergibt eine Liste von cybersecurity-relevanten Schwachstellen. Das können zum Beispiel Mängel in der Implementierung sein. Diese möglichen Angriffspfade können zur Realisierung einer Bedrohung ausgenutzt werden. Die Möglichkeit dieser Angriffspfade wird im Prozessschritt (6.7) Durchführbarkeit von Angriffen klassifiziert. 

Schließlich erfolgt die (6.8) Risikobewertung und -behandlung mit Klassifizierung der identifizierten Bedrohungsszenarien, basierend auf den Auswirkungen und der Durchführbarkeit von Angriffen sowie der Auswahl geeigneter (6.9) Risikobehandlungsoptionen in einem Risikobericht. Bei der Risikobewertung werden keine konkreten Methoden benannt. 

Aus der Risikobewertung leitet sich zudem das „Cybersecurity Assurance Level“ (CAL) ab, das in vier Klassen mit unterschiedlichen Kritikalitätsebenen unterteilt wird. Die CALs stellen in diesem Zusammenhang eine qualitative Bewertung der Produktentwicklerinnen und
-entwickler dar. Je nach Ziel können bestimmte Cybersicherheitsaktivitäten redundant sein. Wenn eine Komponente der höchsten Stufe vier zugeordnet wird, bedarf es eines hohen Maßes an Sicherheit. 

In der Konzeptphase (Sektion 7) werden Cybersicherheitsziele behandelt, die sich aus einer Bedrohungsanalyse und Risikobewertung ergeben, sowie Cybersicherheitsanforderungen definiert, die zur Erreichung der Cybersicherheitsziele beitragen sollen. 

Sektion 8 geht detailliert auf die Implementierung und Überprüfung der Cybersicherheitsanforderungen spezifisch für die Produktentwicklungsphase ein. Dabei wird zwischen einer System-, Hardware- und Softwareentwicklungsphase differenziert. Das V-Modell bietet hier eine Grundlage, um die notwendigen Prozessschritte, in diesem Fall die Verifizierungs- und Validierungsschritte, einfach darzustellen. Wie bei der funktionalen Sicherheit ist vor allem die Rückverfolgbarkeit wichtig. Weiterhin sollen alle physischen und virtuellen Schnittstellen der Hardware in Bezug auf Cybersicherheit mit Blick auf deren Zweck, Gebrauch und Parameter identifiziert werden. Denn im Falle eines Angriffs stellen diese ebenfalls mögliche Eintrittspunkte dar. 

Abbildung 2: V-Modell

Für die Arbeit an Software im Umfeld der Cybersicherheit gibt die Norm vor, dass sich die Anforderungen an dem Cybersecurity-System und zugehörigen Software-Modulen ableiten. Die Spezifikation und Implementierung der Software müssen konstant und dynamisch verifizierbar sein. 

Sektion 9 konzentriert sich auf die Produktions-, Betriebs- und Wartungsphase. Konkret braucht es Prozesse für das Monitoring von Cybersecurity-Aktivitäten, um relevante Daten zu sammeln und auszuwerten. Ebenfalls werden der Umgang und die Reaktion auf Cybersecurity-Vorfälle (Incidents), sowie Cybersicherheitsevents und grundlege Cybersicherheitsanforderungen und -fähigkeiten genannt. 

Die in der letzten Sektion beschriebenen unterstützenden Prozesse (Sektion 10) zielen auf eine Definition von Interaktionen, Abhängigkeiten und Verantwortlichkeiten zwischen Kunden und Lieferanten ab. 

Zusammenfassend beinhaltet ein Cyber Security Management System eine Vielzahl an Parametern und Prozessen, bei dessen Implementierung mehrere Faktoren zu berücksichtigen sind. Dabei umfassen mögliche Probleme ein fehlendes oder unzureichendes Compliance Monitoring, Verzögerungen bei der Implementierung, fehlende Risiko-Identifikationsprozesse und mangelnde Transparenz. Um solche Herausforderungen von Anfang an zu unterbinden, unterstützt msg Sie als kompetenter Partner mit adäquaten Tools, Lösungen und Expertise. Beispielsweise haben Hersteller und Zulieferer mit THREATGET ein Tool in der Hand, um die Cyber-Sicherheit ihrer Fahrzeugsysteme behördenkonform für die Typgenehmigung vorzubereiten und somit in Topmärkten wettbewerbsfähig zu bleiben. 

msg verfügt über weitreichendes IT- und Branchen-Know-how. Expertinnen und Experten in den Bereichen Cyber Security und Software Update Management Systeme sowie Elektrik/Elektronik unterstützen unsere Kunden bei der Identifikation relevanter Regelungen, bei der Evaluation unternehmensspezifischer Prozesse und Homologationsvorgänge bis zum Erhalt der Typzulassung. Von Beratung, Konzeption, fachlicher Spezifikation bis hin zur Umsetzung von IT-Systemen – wir stehen gerne für Sie zur Verfügung.