Norma obbligatoria di cibersicurezza per veicoli connessi in vigore in Cina
La norma, divenuta obbligatoria per i nuovi tipi di veicoli dal 1° gennaio 2026, fa parte dell'omologazione di accesso al mercato; i sistemi di gestione secondo UNECE R155/R156 e ISO/SAE 21434 restano il punto di riferimento del settore.
La cibersicurezza nei veicoli connessi deriva dal fatto che ogni connessione del veicolo con l'esterno costituisce una superficie di attacco. Una norma obbligatoria rende la gestione di questa superficie parte dell'omologazione del veicolo.
I requisiti tipicamente coprono la dimostrazione di un sistema di gestione della cibersicurezza a livello di veicolo, una valutazione del rischio e un processo di aggiornamento. Si tratta di una capacità sostenuta, non di una prova una tantum.
La conseguenza per la catena di fornitura è chiara: l'obbligo del costruttore del veicolo si riflette sul fornitore di componenti come specifica.
Perché la cibersicurezza dei veicoli sta diventando obbligatoria
Un veicolo connesso non è più un prodotto meccanico ma un sistema che opera su una rete. Le funzioni di aggiornamento remoto, telematica e assistenza alla guida rendono la sicurezza del veicolo inseparabile dal software.
Ecco perché i grandi mercati stanno rendendo la cibersicurezza dei veicoli parte della valutazione di conformità. Questo approccio, attuato in Cina tramite una norma nazionale obbligatoria, aggiunge la dimensione della cibersicurezza alla catena di omologazione del veicolo.
L'ambito vincola non solo il veicolo ma anche il processo
Il tratto comune di queste norme è che richiedono non funzioni isolate ma un sistema di gestione: valutazione del rischio, sviluppo sicuro, monitoraggio delle vulnerabilità e risposta agli incidenti. Il documento diventa quindi prova di un processo, non di una prova.
Anche la catena di fornitura rientra nell'ambito. Il produttore di un'unità di controllo o di un modulo telematico all'interno del veicolo deve trasmettere la propria evidenza di sicurezza all'OEM.
Il suo rapporto con il quadro internazionale
Il riferimento internazionale nella cibersicurezza dei veicoli sono i regolamenti UNECE R155 (sistema di gestione della cibersicurezza) e R156 (sistema di gestione degli aggiornamenti software); sono ampiamente usati nel settore insieme alla norma di processo ISO/SAE 21434.
Un sistema di gestione costruito secondo questi quadri non parte da zero nel soddisfare i requisiti in Cina: la maggior parte delle stesse evidenze di processo può essere riutilizzata. Tuttavia, è necessaria un'analisi degli scostamenti separata per i requisiti propri della norma locale.
Questo articolo riguarda il funzionamento dei quadri; per il numero della norma, la data di entrata in vigore e l'ambito, ci si deve basare sull'annuncio ufficiale e sulla notifica dell'organismo di certificazione con cui lavorate.
Perché la cibersicurezza dei veicoli è diventata oggetto di omologazione
La cibersicurezza in un veicolo connesso presenta una struttura di rischio diversa dalla sicurezza di prodotto classica. Un guasto idraulico dei freni colpisce un singolo veicolo; una vulnerabilità software sfruttabile da remoto può invece colpire simultaneamente un'intera flotta dello stesso modello. Questa differenza di scala cambia anche l'approccio del regolatore.
Ecco perché l'approccio adottato nel mondo è passato dal testare il prodotto uno per uno all'audit del SISTEMA DEL PRODUTTORE: se viene svolta l'analisi delle minacce e la valutazione del rischio, se i requisiti di sicurezza scendono nella progettazione, se le divulgazioni di vulnerabilità sono monitorate, se l'aggiornamento software viene distribuito in modo sicuro.
Il secondo asse è la gestione degli aggiornamenti software. L'aggiornamento remoto è tanto il modo più rapido per chiudere una falla di sicurezza quanto il canale più pericoloso se abusato: l'integrità e la verifica dell'origine della catena di aggiornamento sono quindi regolate come requisito separato.
La ripartizione dell'onere tra produttore e fornitore
Il costruttore del veicolo è il destinatario dell'omologazione, ma la maggior parte delle vulnerabilità proviene dalle unità elettroniche della catena di fornitura e dai componenti software di terze parti. Ecco perché l'obbligo viene trasferito verso il basso tramite contratto.
Gli elementi tipicamente richiesti al fornitore sono: un inventario dei componenti software e delle versioni utilizzate, un'analisi delle minacce a livello di unità, un'evidenza di verifica dei requisiti di sicurezza, e un impegno di divulgazione delle vulnerabilità per tutta la vita del prodotto.
L'inventario dei componenti è l'elemento più trascurato e il più critico: senza inventario non si può rispondere alla domanda su quale vulnerabilità si trovi in quale unità, e quindi la gestione delle vulnerabilità non può funzionare.
I punti in cui i regimi locali divergono
La logica dei requisiti di cibersicurezza è simile tra i mercati, ma l'attuazione diverge: quali documenti presentare in quale lingua, chi effettuerà l'audit, e le regole aggiuntive sulla localizzazione dei dati e sui dati di mappe/posizione provengono dalle normative nazionali.
Ecco perché un sistema di gestione stabilito in un mercato potrebbe non essere accettato direttamente in un altro; il sistema stesso non viene ricostruito, ma il fascicolo di evidenze viene ricompilato nella forma richiesta dal mercato target.
Gli elementi più dispendiosi in termini di tempo nella pianificazione sono l'appuntamento di audit e la traduzione della documentazione nella lingua locale; una volta terminato il lavoro tecnico, il processo attende su questi due punti.
Cosa fare?
- 1Rivedete il set di evidenze del vostro sistema di gestione della cibersicurezza.
- 2Aggiungete i requisiti di sicurezza alle vostre specifiche fornitore.
- 3Rendete documentabile il vostro processo di aggiornamento over-the-air (OTA).
Questo articolo ha scopo informativo e non costituisce parere legale. Il modo in cui una normativa si applica al vostro prodotto dipende dalle caratteristiche tecniche del prodotto e dal mercato di destinazione; l'ambito esatto può essere determinato solo esaminando il prodotto.