UN R155/R156, ISO/SAE 21434, EU Cyber Resilience Act, NHTSA Best Practices, BIS Connected Vehicles Rule und TISAX® im direkten Vergleich – fundiert recherchiert und mit Stand Juli 2026.
Europa und die USA verfolgen grundlegend unterschiedliche Ansätze, um vernetzte Fahrzeuge abzusichern – mit direkten Folgen für Hersteller, Zulieferer und deren Lieferketten.
Die UN-Regelungen R155 (Cybersecurity Management System) und R156 (Software Update Management System) der UNECE/WP.29 sind über die EU-Verordnung 2019/2144 in das Typgenehmigungsrecht eingebettet und seit Juli 2024 für alle neu produzierten Fahrzeuge der Kategorien M/N verbindlich. ISO/SAE 21434 und ISO 24089 liefern die technische Umsetzungstiefe und sind dadurch faktisch verbindlich. Der EU Cyber Resilience Act nimmt typgenehmigte Fahrzeuge selbst aus, erfasst aber Nachrüstkomponenten und Ladeinfrastruktur. NIS2 und TISAX® ergänzen die Organisations- und Lieferkettensicherheit.
NHTSA veröffentlicht seit 2016 unverbindliche Cybersecurity Best Practices auf Basis des NIST Cybersecurity Framework; ein an UN R155 vergleichbares Typgenehmigungsregime existiert nicht. Parallel dazu hat das US-Handelsministerium (BIS) mit der „Connected Vehicles Rule“ eine verbindliche, aber sicherheitspolitisch statt technisch-normativ motivierte Regelung geschaffen, die Software mit China-/ Russland-Bezug ab Modelljahr 2027 und Hardware ab Modelljahr 2030 verbietet.
Vom verbindlichen UN-Typgenehmigungsregime bis zur vertraglichen Lieferkettenanforderung TISAX®.
UNECE-Regelung, die Fahrzeughersteller zu einem zertifizierten CSMS über den gesamten Fahrzeug-Lebenszyklus verpflichtet – Voraussetzung für die Typgenehmigung.
Regelt die sichere Verwaltung von Software-Updates inkl. Over-the-Air (OTA) über kryptografisch verifizierte Update-Kanäle.
Integriert UN R155/R156 in das EU-Typgenehmigungsrecht – ohne gültiges CSMS/SUMS-Zertifikat keine Typgenehmigung in der EU.
Engineering-Anforderungen für Cybersecurity-Risikomanagement über den gesamten Lebenszyklus (Governance, TARA, Entwicklung, Verifikation) – zentraler Nachweis für UN R155.
Technisches Pendant zu ISO/SAE 21434 für Software-Update-Systeme – Referenzstandard für UN R156.
Horizontale Cybersecurity-Verordnung für Produkte mit digitalen Elementen. Typgenehmigte Fahrzeuge selbst sind ausgenommen – Nachrüstkomponenten, Ladeinfrastruktur und Apps bleiben im Scope.
Verpflichtet Automobilhersteller und -zulieferer als Betreiber wichtiger/wesentlicher Einrichtungen zu Risikomanagement, Lieferkettensicherheit und Meldepflichten.
Informationssicherheits-Assessment der Automobil-Zulieferkette auf Basis des VDA-ISA-Kriterienkatalogs – Voraussetzung für viele OEM-Lieferverträge.
TISAX®-Details ansehen →OT-Security-Normenreihe für Automatisierungs- und Produktionssysteme – zunehmend auch für Ladeinfrastruktur und Fahrzeug-OT-Schnittstellen gefordert.
Freiwillige Leitlinien, technische Normen und eine gezielte, sicherheitspolitisch motivierte Regulierung.
Unverbindliche Leitlinie auf Basis des NIST Cybersecurity Framework (Identify–Protect–Detect–Respond–Recover) für OEMs und Zulieferer.
Branchenübergreifendes Rahmenwerk mit fünf Kernfunktionen – strukturelle Grundlage der NHTSA-Leitlinie.
Gleicher Standard wie in der EU, in den USA jedoch ohne gesetzlichen Zwang – Anwendung erfolgt freiwillig oder vertraglich.
Ursprüngliches US-Rahmenwerk für automotive Cybersecurity-Engineering, mittlerweile durch ISO/SAE 21434 abgelöst.
Freiwilliger Informationsaustausch zwischen OEMs/Zulieferern zu Threat Intelligence, Governance und Incident Response.
Kein US-Ursprungsstandard – aber vertraglich verbindlich für US-Zulieferer und US-Standorte, die an europäische OEMs liefern.
TISAX®-Details ansehen →Verbietet Import/Verkauf von Fahrzeug-Konnektivitäts-Hardware und -Software mit China-/Russland-Bezug – nationale Sicherheit statt technische Norm.
Umfassendes US-Sicherheitsregelwerk – bislang jedoch ohne dedizierte, cybersecurity-spezifische Standards.
Kalifornisches Gesetz zu angemessenen Sicherheitsfunktionen vernetzter Geräte – erfasst potenziell vernetzte Fahrzeugkomponenten.
Vorgeschlagenes Bundesgesetz zum Verbot von Fahrzeugen, Teilen und Software mit China-Bezug – Verschärfung der BIS-Regel.
Die wichtigsten Unterschiede zwischen dem europäischen und dem US-amerikanischen Ansatz auf einen Blick.
TISAX® ist weder eine EU-Verordnung noch ein US-Bundesgesetz, sondern ein von der ENX Association im Auftrag des VDA getragener Branchenstandard. Seine Wirkung reicht jedoch weit über Europa hinaus: Jeder Zulieferer, der an einen europäischen OEM liefert – unabhängig vom Firmensitz –, wird vertraglich zur TISAX®-Teilnahme verpflichtet. Damit betrifft TISAX® auch US-amerikanische Tier-1/2/3-Zulieferer und US-Standorte europäischer Konzerne unmittelbar.
Aufbau und Dokumentation eines Cybersecurity Management Systems nach UN R155 – von der Gap-Analyse bis zur Auditreife.
Threat Analysis & Risk Assessment für Ihre Fahrzeugarchitektur – methodisch fundiert und auditfest dokumentiert.
Vorbereitung auf das VDA-ISA-Assessment inkl. Prototypenschutz und Informationssicherheits-Management.
Mehr zu TISAX® →Als DEKRA-autorisierter Partner begleiten wir Sie durch CADIS-Zertifizierungs- und Überwachungsaudits – aus einer Hand.
Vereinbaren Sie ein unverbindliches Erstgespräch – wir ordnen Ihre Ausgangslage ein und zeigen den kürzesten Weg zur Auditreife.