CRA für Automobilzulieferer: UN R155/R156 und Aftermarket

Die Automobilindustrie hat ihre eigenen Cybersicherheitsvorschriften: UN R155 (CSMS) und R156 (SUMS) für die Fahrzeug-Typgenehmigung. Allerdings fallen viele automobilbezogene Produkte dennoch unter den CRA. Zu verstehen, welche Regulierung gilt, ist für OEMs, Tier-Zulieferer und Aftermarket-Produkthersteller wesentlich.

Dieser Leitfaden klärt die CRA-Anwendbarkeit für Automobilprodukte.

Die Automobilausnahme im CRA

Was der CRA sagt

CRA Artikel 2(2) nimmt bestimmte Kraftfahrzeugprodukte aus:

Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:

• c) Verordnung (EU) 2019/2144.

Zentrale Ausnahme (Art. 2(2)(c)): Die Ausnahme gilt für Produkte, auf die die Verordnung (EU) 2019/2144 Anwendung findet, d. h. für vollständige Fahrzeuge mit EU-Typgenehmigung (Kategorien M, N und O) sowie für durch diese Typgenehmigung abgedeckte Komponenten. Der EU-Typgenehmigungsrahmen setzt UN R155/R156 für diese Fahrzeugkategorien um. Die bloße Einhaltung von UN R155/R156 befreit ein Produkt nicht vom CRA. Eigenständige vernetzte Aftermarket-Produkte fallen grundsätzlich in den CRA-Anwendungsbereich; ausgenommen sind nur identische Ersatzteile.

Warum die Ausnahme existiert

UN R155 und R156 verlangen bereits:

• Cybersicherheits-Managementsystem (CSMS)
• Software-Update-Managementsystem (SUMS)
• Cybersicherheitsbewertung bei Typgenehmigung
• Fortlaufende Cybersicherheitsüberwachung

Die EU vermied Doppelregulierung, indem typgenehmigte Automobilprodukte vom CRA ausgenommen wurden.

Verstehen, was ausgenommen ist

Typgenehmigte Fahrzeuge und Komponenten

VOM CRA AUSGENOMMEN:

Nicht ausgenommene Produkte (CRA gilt)

Die Tier-Zulieferer-Frage

Sind Tier-1/2/3-Zulieferer ausgenommen?

Es hängt davon ab, wie die Komponente verkauft wird:

OEM-Anforderungen fließen nach unten

Selbst wenn der CRA nicht direkt gilt, werden OEMs Cybersicherheitsnachweise verlangen:

UN R155 verlangt von OEMs:

• Lieferantenrisiken identifizieren und managen.
• Cybersicherheitsfähigkeiten der Lieferanten sicherstellen.
• Lieferantenprozesse verifizieren.

Das bedeutet typischerweise:

• CSMS-Nachweisanforderungen.
• ISO/SAE 21434-Compliance-Anfragen.
• Sicherheitsbewertungen und Audits.
• Vereinbarungen zur Schwachstellenbehandlung.
• SBOM-Anforderungen, zunehmend.

ISO/SAE 21434 und CRA-Abstimmung

Was ist ISO/SAE 21434?

ISO/SAE 21434 „Straßenfahrzeuge: Cybersecurity Engineering“ ist der Automobil-Cybersicherheitsstandard, der abdeckt:

• Cybersicherheitsmanagement
• Risikobewertungsmethodik
• Produktentwicklung
• Produktion und Betrieb
• Incident Response

ISO/SAE 21434 ↔ CRA-Zuordnung

Für Aftermarket-Produkte, wo der CRA gilt:

ISO/SAE 21434 für CRA nutzen

ISO/SAE 21434 → CRA-COMPLIANCE

WENN Sie ISO/SAE 21434 umgesetzt haben:
→ Starke technische Sicherheitsgrundlage
→ Bedrohungsanalyse und Risikobewertung wiederverwenden
→ Entwicklungsprozessnachweise nutzen
→ Incident-Response-Fähigkeiten verwenden

ZUSÄTZLICH FÜR CRA:
[ ] SBOM-Generierung (nicht in ISO 21434)
[ ] ENISA-Meldefähigkeit
[ ] CE-Kennzeichnungsprozess
[ ] Support-Zeitraum-Zusage (mindestens 5 Jahre gemäß Art. 13(8); muss die voraussichtliche Nutzungsdauer widerspiegeln; bei langlebigen Fahrzeugkomponenten kann er 5 Jahre überschreiten)
[ ] Verbraucherdokumentation (falls zutreffend)

Aftermarket-Produkte im Detail

Dashcams und DVRs

DASHCAM CRA-COMPLIANCE

KLASSIFIZIERUNG: Typischerweise Default-Kategorie

GILT, WEIL:
- Nicht Teil des typgenehmigten Fahrzeugs
- Direkt an Verbraucher/Flottenbetreiber verkauft
- Aftermarket-Installation

WESENTLICHE ANFORDERUNGEN:
- Standardmäßig sicher (WLAN, Bluetooth)
- Datenschutz (Videodaten)
- Update-Mechanismus
- Keine Standardpasswörter
- SBOM für Firmware
- Support-Zeitraum von mindestens 5 Jahren (Art. 13(8)); muss die voraussichtliche Nutzungsdauer widerspiegeln und kann bei langlebigen Fahrzeugkomponenten länger sein

ZUSÄTZLICHE ERWÄGUNGEN:
- Video-Datenschutz (DSGVO-Abstimmung)
- Cloud-Speicher-Sicherheit (falls zutreffend)
- App-Sicherheit (Begleit-Apps)

OBD-II-Geräte

OBD-II-DONGLE CRA-COMPLIANCE

KLASSIFIZIERUNG: Möglicherweise Important Klasse I
(Schnittstelle zu Fahrzeugsystemen)

GILT, WEIL:
- Aftermarket-Produkt
- Verbindet mit Fahrzeug, aber nicht typgenehmigt
- Verbraucher-/Flottenmarkt

WESENTLICHE ANFORDERUNGEN:
- Fahrzeugnetzwerk-Sicherheit (kritisch!)
- Datenschutz (Fahrzeugdaten sind sensibel)
- Sichere Kommunikation
- Keine unautorisierten Fahrzeugbefehle
- Firmware-Sicherheit
- SBOM

BESONDERE ERWÄGUNGEN:
- Zugang zu sicherheitskritischen Netzwerken
- Potenzielle Fahrzeug-Immobilisierungsrisiken
- Versicherungs- und Haftungsimplikationen
- Branchenrichtlinien beachten (SAE J3061)

E-Ladeausrüstung

E-LADESTATION CRA-COMPLIANCE

KLASSIFIZIERUNG: Default (Modul A), sofern keine Kernfunktion
einem Anhang-III-Eintrag entspricht. Ein Produkt ist nur dann
Important, wenn es die Kernfunktion einer Anhang-III-Kategorie
hat (Art. 7(1)). Eine Kategorie "Energieinfrastruktur" gibt
es in Anhang III nicht.

GILT, WEIL:
- Nicht Teil der Fahrzeug-Typgenehmigung
- Separates Infrastrukturprodukt
- Digitale Konnektivität

WESENTLICHE ANFORDERUNGEN:
- Netzsicherheit (Energieinfrastruktur)
- Zahlungssicherheit (falls zutreffend)
- Kommunikationsprotokoll-Sicherheit (OCPP)
- Physische Sicherheit
- Update-Mechanismus
- SBOM

STANDARDS-ABSTIMMUNG:
- IEC 61851 (E-Laden)
- OCPP-Sicherheitsrichtlinien
- Smart-Grid-Standards
- CRA-Grundlegende Anforderungen

Flottentelematik

FLOTTENTELEMATIK CRA-COMPLIANCE

KLASSIFIZIERUNG: Default oder Important Klasse I

GILT, WEIL:
- Nachrüst-/Aftermarket-Installation
- Nicht mit Fahrzeug typgenehmigt
- Separates Produkt

WESENTLICHE ANFORDERUNGEN:
- Fahrzeugdatenschutz
- Standort-Datenschutz
- Kommunikationssicherheit
- Management-Plattform-Sicherheit
- Geräte-Firmware-Sicherheit
- SBOM

KOMMERZIELLE ERWÄGUNGEN:
- B2B-Produkt (kann Dokumentation beeinflussen)
- Flottenkundenanforderungen
- Integration mit Flottenmanagement-Plattformen

Ersatzteil-Erwägungen

Wann sind Ersatzteile ausgenommen?

ERSATZTEIL-ANALYSE

AUSGENOMMEN (Wahrscheinlich):
- Direkter Ersatz für OEM-Teil
- Gleiche Spezifikation wie Original
- Als Ersatz für typgenehmigtes Fahrzeug verkauft
- Erhält Typgenehmigungsstatus des Fahrzeugs

NICHT AUSGENOMMEN:
- Aufgerüstete/verbesserte Versionen
- Andere Spezifikationen
- Nicht mit Originalzulassung übereinstimmend
- Leistungsmodifikationen

GRAUZONE:
- Wiederaufbereitete Teile
- Äquivalente Drittanbieter-Teile
- Teile mit Softwareänderungen

EMPFEHLUNG:
Ausnahmegrundlage klar dokumentieren.
Im Zweifelsfall CRA-Compliance erwägen.

Praktische Compliance-Wege

Für Aftermarket-Produkthersteller

AFTERMARKET-PRODUKT CRA-WEG

BEWERTUNG:
[ ] Bestätigen, dass nicht von Typgenehmigung abgedeckt
[ ] Nach CRA-Kategorien klassifizieren
[ ] Anwendbare Standards identifizieren

COMPLIANCE-ANSATZ:
[ ] ISO/SAE 21434 nutzen, falls bereits implementiert
[ ] CRA-Grundlegende Anforderungen umsetzen
[ ] SBOM generieren
[ ] Schwachstellenbehandlung etablieren
[ ] Artikel-14-Meldung ab 11. September 2026 vorbereiten, auch für bereits auf dem Markt befindliche Produkte im Geltungsbereich

DOKUMENTATION:
[ ] Technische Dokumentation
[ ] Risikobewertung
[ ] Benutzerdokumentation
[ ] Konformitätserklärung
[ ] CE-Kennzeichnung

Für Tier-Zulieferer mit dualen Kanälen

TIER-ZULIEFERER MIT OEM + AFTERMARKET

STRATEGIE 1: Separate Produkte
- OEM-Variante: unter Typgenehmigungsfluss liefern
- Aftermarket-Variante: CRA-konform
- Klare Produktdifferenzierung

STRATEGIE 2: CRA-Compliance für alle
- CRA auf alle Varianten anwenden
- Übertrifft OEM-Anforderungen ohnehin
- Vereinfachtes Compliance-Management
- Einheitliche Produktdokumentation

STRATEGIE 3: Gestufter Ansatz
- Basissicherheit für alle (ISO 21434)
- Zusätzliche CRA-Elemente für Aftermarket
- Gemeinsame Kerndokumentation

Für OEMs beim Management von Lieferantenanforderungen

OEM-LIEFERANTENMANAGEMENT

UN R155-ANFORDERUNGEN:
- Cybersicherheitsfähigkeiten der Lieferanten verifizieren
- Lieferantenprozesse bewerten
- Lieferantenrisiken überwachen

PRAKTISCHER ANSATZ:
- ISO/SAE 21434-Compliance verlangen
- Sicherheitsbewertungsnachweise anfordern
- SBOM-Anforderungen in Verträge aufnehmen
- Vereinbarungen zum Schwachstellenaustausch etablieren
- Incident-Notification-Anforderungen definieren

ABSTIMMUNG MIT CRA:
Obwohl CRA nicht für typgenehmigte Komponenten
gilt, stärkt das Verlangen CRA-ähnlicher Nachweise
von Lieferanten Ihre UN R155-Compliance

Branchenstandards und Ressourcen

Relevante Standards

AUTOMOBIL-CYBERSICHERHEITSSTANDARDS

ISO/SAE 21434: Straßenfahrzeuge - Cybersecurity Engineering
UN-Regelung 155: Cybersicherheit (CSMS)
UN-Regelung 156: Software-Update (SUMS)

UNTERSTÜTZENDE STANDARDS:
ISO/SAE 8000: CSMS-Auditierung
ISO 24089: Software-Update-Engineering
AUTOSAR Cybersicherheitsspezifikationen
SAE J3061: Cybersicherheits-Leitfaden

LADESPEZIFISCH:
IEC 61851: E-Laden
OCPP (Open Charge Point Protocol)
ISO 15118: V2G-Kommunikation

Branchenorganisationen

Checkliste für Automobilprodukte

AUTOMOBILPRODUKT CRA-CHECKLISTE

KLASSIFIZIERUNG:
[ ] Ist Produkt durch Typgenehmigung abgedeckt? (Ausgenommen wenn ja)
[ ] Ist es ein Aftermarket-Produkt? (CRA gilt)
[ ] Ist es ein Ersatzteil? (Ausnahmegrundlage prüfen)
[ ] Ist es Ladeinfrastruktur? (Üblicherweise CRA)

FALLS CRA GILT:
[ ] CRA-Klassifizierung bestimmt
[ ] Konformitätsbewertungsweg gewählt
[ ] Technische Dokumentation vorbereitet

TECHNISCHE COMPLIANCE:
[ ] ISO/SAE 21434-Abstimmung genutzt
[ ] Security-by-Default-Implementierung
[ ] Fahrzeugnetzwerk-Sicherheit (falls zutreffend)
[ ] Update-Mechanismus
[ ] SBOM-Generierung
[ ] Schwachstellenbehandlung

DOKUMENTATION:
[ ] Risikobewertung (TARA-Methodik funktioniert)
[ ] Sicherheitsarchitektur
[ ] Benutzerdokumentation
[ ] Konformitätserklärung
[ ] CE-Kennzeichnung

BESONDERE ERWÄGUNGEN:
[ ] Fahrzeugdaten-Datenschutz (DSGVO)
[ ] Sicherheitsimplikationen bewertet
[ ] OEM-Anforderungen (falls zuliefernd)

Wichtige Ressourcen

AUTOMOBIL-CYBERSICHERHEITSRESSOURCEN

REGULIERUNGEN:
UN-Regelung 155 (CSMS)
UN-Regelung 156 (SUMS)
https://unece.org/transport/vehicle-regulations

EU-Typgenehmigung:
Verordnung (EU) 2018/858
https://eur-lex.europa.eu

STANDARDS:
ISO/SAE 21434:2021
Erhältlich bei ISO oder SAE

LEITFÄDEN:
ENISA Good Practices for Security of Smart Cars
Auto-ISAC Best Practices

BRANCHE:
CLEPA-Positionspapiere
VDA Automotive Cybersecurity

Verwandte Leitfäden:

• CRA-Produktklassifizierung: Ist Ihr Produkt Default, Important oder Critical?
• CRA Supplier Due Diligence: Fragebogen und Checkliste für Open-Source-Komponenten

Wie CRA Evidence hilft

Für Aftermarket-Automobilprodukte, die CRA-Compliance erfordern:

• ISO/SAE 21434-Zuordnung: Bestehende Automobil-Sicherheitsarbeit nutzen
• SBOM für Embedded: Unterstützung für Automobil-Firmware-Komponenten
• Schwachstellenverfolgung: Koordination der Automobil-Lieferkette
• Multi-Produkt-Management: Produktfamilien über Kanäle hinweg handhaben
• Generierung der Technischen Dokumentation: Automobil-gerechte Vorlagen

Starten Sie Ihre CRA-Compliance bei craevidence.com.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Compliance-Beratung, insbesondere bezüglich Typgenehmigungsgrenzen, wenden Sie sich an qualifizierte Regulierungsberater.