Die UN‑Regeln zur Fahrzeugsicherheit im Bereich Cybersecurity — UN R155 (Cybersecurity‑Management) und UN R156 (Software‑Update‑Management) — sind nicht länger theoretisch: Sie sind jetzt Voraussetzung für die EU‑Typgenehmigung und für viele nationale Zulassungen und verändern die Entwicklung, Prüfung und den Aftersales in Deutschland und Österreich. Das ist relevant für Fahrer, Händler und Zulieferer, weil Hersteller nun organisierte, geprüfte Prozesse für sichere Software und Updates nachweisen müssen, bevor ein neuer Fahrzeugtyp in den Markt gebracht werden darf.

Wie die Regeln greifen und wann

Die Vorschriften wurden im Rahmen der UNECE WP.29 (R155/R156) beschlossen und in den EU‑Typgenehmigungsfahrplan integriert: Die R155‑Anforderungen für neue Gesamtfahrzeugtypen traten im Juli 2022 in Kraft und wurden Mitte 2024 auf weitere Zulassungen ausgeweitet; R156 (Software‑Update‑Management) wird stufenweise eingeführt und erfasst viele neue Komplettfahrzeuge ab Juli 2026. Praktisch bedeutet das, dass Hersteller und ihre Lieferketten ein zertifiziertes Cybersecurity‑Managementsystem (CSMS) und ein Software‑Update‑Managementsystem (SUMS) betreiben müssen, um die Typgenehmigung zu sichern.

UNECE‑Arbeitsdokumente treiben inzwischen eine weitere Änderung voran: Mehrere Vorschläge verlangen, dass das Konformitätszertifikat für CSMS oder SUMS von derselben Genehmigungsbehörde ausgestellt wird, die auch die Fahrzeugtypgenehmigung erteilt — ein Schritt, der die bisherige Flexibilität zur gegenseitigen Anerkennung von Zertifikaten zwischen verschiedenen Behörden einschränkt. Diese Änderung erhöht die Koordinationsarbeit für mehrstufige Hersteller (Aufbauten, Anhänger und Umbauten) und für Zulieferer, deren Komponenten nun eindeutig in das Typgenehmigungsdossier rückverfolgbar sein müssen.

Regulierungsbehörden und Prüforganisationen übersetzen die Regeln bereits in Fristen. TÜV SÜD und technische Dienste teilten Branchenbeobachtern mit, dass Hersteller von Anhängern und Zusatzgeräten Nachweise zum Update‑Management bis Juli 2026 vorlegen müssten — ein harter Meilenstein für viele kleine Zulieferer und Karosseriebauer. Gleichzeitig sind CSMS‑Zertifikate zeitlich begrenzt (Auditzyklen und Erneuerungspflichten bedeuten, dass Zertifikate typischerweise bis zu drei Jahre gültig sind) und verwandeln die Zertifizierung in einen fortlaufenden Zyklus statt in eine einmalige Formalität.

Was das für den Markt bedeutet

Erstens entstehen für Zulieferer und Softwareteams zusätzliche Kosten und Personalbedarf: Security‑Engineering, Secure‑by‑Design‑Nachweise, vertragliche Abläufe zwischen Zulieferern und OEMs sowie wiederkehrende Audits gehören jetzt zur Produktkostenrechnung. Zweitens wird Prüf‑ und Zertifizierungskapazität kommerziell wertvoll — deutsche und österreichische Labore (sowie private Prüfhäuser) bauen R155/R156‑Prüfstände und Serviceangebote aus, um OEMs und Tier‑1‑Lieferanten zu bedienen. Drittens müssen Werkstätten und unabhängige Reparaturbetriebe sich anpassen: Branchenverbände haben bereits gewarnt, dass ein vorzeitiges Ende der Update‑Unterstützung (ein VDA‑Vorschlag zur Definition eines „Ende des Cybersecurity‑Supports“) Fahrzeuge verwundbar zurücklassen würde, was auf Gegenwind von Werkstatt‑ und Mobilitätsverbänden stößt. Die Debatte unterstreicht ein neues Gleichgewicht zwischen Kostenkontrolle der Hersteller und der Verantwortung, Fahrzeuge im Betrieb sicher zu halten.

Schließlich verschärfen nationale Behörden und Homologationsstellen in Deutschland und Österreich die Verfahren: Vorschläge, CSMS‑Zertifikate eng an die ausstellende Genehmigungsbehörde zu binden, werden einige Zulassungswege für Umbauten und mehrstufige Bauten verlangsamen, sofern Verwaltungsabläufe nicht rasch harmonisiert werden. Das wird größere OEMs und zertifizierte Zulieferer begünstigen, die bereits Prozesssicherungs‑Systeme betreiben, und kleineren Spezialisten Druck machen, zertifizierte Prüfhäuser zu nutzen.

Für Fahrer und Fuhrparks ist der unmittelbare Effekt indirekt, aber konkret: Sichere Update‑Kanäle und überwachte Cyber‑Unterstützung sollten risikoreiche Vorfälle reduzieren, die sich von Cloud‑ oder Telematikdiensten auf physische Fahrzeugfunktionen ausweiten können — gleichzeitig erhöht sich die Wahrscheinlichkeit, dass ältere, nicht mehr unterstützte Typen bei Zulassung oder Wiederverkauf eingeschränkt werden, falls Hersteller die erforderlichen Nachweise einstellen.

WorldTrader24 B2B-Fahrzeugmarkt: Angebote für Händler →

Quellen: UNECE, Vehicle Certification Agency (VCA), TÜV SÜD, VDA, kfzgewerbe