Cybersécurité des véhicules (ISO/SAE 21434) — certification

La norme ISO/SAE 21434 définit les exigences en matière d'ingénierie de cybersécurité dans les véhicules routiers. Alors que la norme ISO 26262 traite de la sécurité fonctionnelle (risques liés aux défaillances), la norme 21434 traite des risques résultant d'une attaque délibérée. Il couvre l’ensemble du cycle de vie, depuis la phase de conception jusqu’au démantèlement, et place l’analyse des menaces et l’évaluation des risques (TARA) en son centre.

• Constructeurs automobiles et intégrateurs de systèmes
• Développeurs de calculateurs, de modules télématiques et de connectivité
• Fournisseurs de logiciels automobiles
• Entreprises proposant des mises à jour logicielles en direct (OTA)
• Fabricants obtenant une approbation de type selon la norme UNECE R155

Volontaire en tant que norme, mais son résultat est effectivement obligatoire : le règlement UNECE R155 exige un système de gestion de la cybersécurité (CSMS) pour l'homologation du type de véhicule, et ISO/SAE 21434 est la norme référencée pour répondre à cette exigence. Pour les fournisseurs, l’obligation provient des contrats OEM.

• Gestion organisationnelle de la cybersécurité : politique, rôles, culture, compétence
• Gestion de la cybersécurité en fonction du projet et plan de cybersécurité
• Activités de cybersécurité distribuées : partage de responsabilité entre client et fournisseur
• Activités continues de cybersécurité : surveillance des vulnérabilités, gestion des incidents et réponse
• Phase conceptuelle : définition des éléments, objectifs de cybersécurité
• Analyse des menaces et évaluation des risques (TARA) : identification des actifs, scénarios de menaces, évaluation de l'impact, analyse du chemin d'attaque, détermination de la faisabilité et des risques
• Développement de produits : la spécification, l'intégration et la vérification de la cybersécurité
• Vérification et validation de la cybersécurité ; tests d'intrusion
• Production, exploitation et maintenance : gestion des mises à jour
• Fin du support et démantèlement

1. 1DemandeLe domaine d'activité de l'organisation, ses effectifs, le nombre de sites et les limites du champ d'action sont déterminés. Le nombre de jours d'audit est calculé à partir de ces informations.
2. 2Examen des documents (étape 1)La documentation du système de gestion, la définition du champ d'application, l'évaluation des risques et les dossiers d'audit interne/d'examen par la direction sont examinés ; l’état de préparation à l’audit sur site est évalué.
3. 3Audit de certification (étape 2)On vérifie sur place que le système est mis en place et efficace. Les résultats sont classés en non-conformité majeure/mineure ou en observation.
4. 4Non-conformités de clôtureL'organisation soumet une analyse des causes profondes et un plan d'actions correctives. Le certificat n'est délivré qu'une fois les non-conformités majeures résolues.
5. 5Délivrance du certificatLe certificat est délivré après examen par un décideur indépendant. L'équipe d'audit ne peut pas prendre la décision de certification.
6. 6Audits de surveillanceUn audit de surveillance est réalisé au moins une fois par an pendant la durée de validité du certificat. La première surveillance ne peut excéder 12 mois à compter du dernier jour du stade 2.
7. 7RecertificationAu bout de trois ans, l'ensemble du système est réaudité ; il doit être complété avant l'expiration du certificat.

Les certificats de système de gestion sont valables trois ans. Au moins un audit de surveillance est réalisé par an pendant cette période ; le certificat est suspendu si une surveillance n'est pas effectuée. Un audit de recertification est réalisé à la fin de la troisième année.

• Registre du commerce et autorisation d'exploitation
• L'organigramme et les effectifs de l'organisation
• La liste des sites/branches concernés
• Le manuel du système de management ou la documentation des processus
• Enregistrements d'audit interne et de revue de direction
• Permis légaux, licences et documents d'exploitation, le cas échéant

Il n'y a pas de tarif catalogue fixe; le coût est calculé selon les variables suivantes et fourni par écrit dans le devis.

• L'effectif concerné (détermine directement le nombre de jours d'audit)
• Le nombre de sites et d'agences ; si l'échantillonnage multisite s'applique
• Le niveau de risque de l’activité et la complexité des processus
• Le nombre de normes à certifier — un audit intégré réduit le nombre de jours
• Le cycle de trois ans : certification + deux audits de surveillance

La certification du système de gestion est réalisée dans le cadre de la norme ISO/IEC 17021-1. L'organisme de certification est accrédité par un organisme d'accréditation partie à l'accord de reconnaissance multilatéral de l'IAF (IAF MLA) ; Cet accord établit une chaîne de reconnaissance internationale qui garantit qu'un document délivré dans un pays est accepté dans d'autres pays. EUROLAB dispose d'une accréditation internationalement reconnue par les organismes d'accréditation membres de l'IAF dans le cadre de la norme ISO/IEC 17021-1.

Le périmètre dans lequel ce schéma peut être proposé varie selon votre produit et votre activité; il est confirmé par écrit au stade du devis.

• ISO 26262Sécurité fonctionnelle
• TISAXÉvaluation de la sécurité des informations automobiles
• IATF 16949Gestion de la qualité automobile
• VDA 6.1Audit du système de gestion de la qualité automobile
• VDA 6.3Audit de processus
• VDA 6.5Vérification du produit
• UNECEHomologation de type de véhicule
• E-MarkHomologation du véhicule