Esta sección establece una comprensión fundamental de los requisitos normativos, centrándose en la UN R155 y la Ley de Ciberresiliencia (CRA). Estas normativas definen cómo deben gestionar los productos de automoción los riesgos de ciberseguridad durante su ciclo de vida. También se ofrece una visión general básica del ecosistema de ciberseguridad de la automoción, incluidos los vehículos, los sistemas backend, las redes de comunicación y las interfaces externas.

La ciberseguridad comienza a nivel organizativo con la implantación de un sistema de gestión de la ciberseguridad (SGCS), que define cómo se estructura y gobierna la seguridad. Dentro de los proyectos de desarrollo, la planificación y ejecución de la ciberseguridad deben alinearse con este sistema. Actividades como la evaluación de amenazas, el análisis de riesgos, el diseño de arquitecturas seguras y los controles de procesos se integran en el ciclo de vida del desarrollo para garantizar el cumplimiento de la normativa y la coherencia organizativa.

Las responsabilidades en materia de seguridad informática son compartidas por clientes, proveedores y otras partes interesadas, y requieren un esfuerzo coordinado en toda la cadena de suministro integrada. Cada fase del ciclo de vida del automóvil -concepción, desarrollo, producción, funcionamiento y desmantelamiento- implica tareas específicas de ciberseguridad. Las funciones y responsabilidades deben estar claramente definidas para garantizar una ejecución fluida y una integración segura entre sistemas y organizaciones.

La CCSA incluye procesos continuos como la recopilación de información sobre ciberseguridad, evaluaciones y gestión de vulnerabilidades. Estos son esenciales para mantener la ciberseguridad durante toda la vida operativa del vehículo. También es crucial un proceso eficaz de respuesta a incidentes, que incluya la detección, evaluación, notificación y resolución. Las funciones, responsabilidades y procedimientos deben estar claramente definidos y alineados con las mejores prácticas y los requisitos normativos.

En la fase de desarrollo, se identifican las amenazas, se analizan en términos de viabilidad e impacto, y se evalúan los riesgos en consecuencia. Esto conduce a la definición de objetivos y requisitos de ciberseguridad basados en una comprensión clara del objeto y su entorno. En la fase posterior al desarrollo, la ciberseguridad debe gestionarse activamente mediante la supervisión, la aplicación de parches y la gestión de vulnerabilidades. El cumplimiento de los requisitos normativos actuales garantiza que los productos sobre el terreno permanezcan protegidos frente a las amenazas en evolución.