車廠要求 21434，是法規規定嗎？我的產品一定要做嗎？
標準本身非法定強制。UN R155 是整車（車廠）型式認證要求：車廠要建立車輛網路安全管理系統（CSMS）並管理供應鏈風險；在歐盟自 2022 年 7 月起適用於新車型、2024 年 7 月起適用於所有新生產車輛。R155 與 R156 是整車要求，零組件廠多由車廠透過契約要求。
若你開發或供應具資安相關性的車用電子電機（E/E）系統、零組件或軟體，通常需要；實際要求以車廠的詢價與合約為準。
我的車用產品在不在 EU CRA 範圍？
看產品怎麼上市：
- 不適用 CRA：已依 (EU) 2019/2144 取得型式認可的車輛及其專用系統、零組件；其資安依 UN R155 與 ISO/SAE 21434，不涉及 CRA 的 CE 標誌。執委會 (EU) 2025/1535 另將機車等 L 類車輛排除。
- 仍在 CRA 範圍：獨立銷售的車用數位產品，例如售後市場裝置、診斷工具、車隊管理硬體、充電設備，以及單獨販售給供應鏈的晶片模組與軟體。
同一家公司可能兩類產品都有，要依產品系列分開判定，避免把車用零組件誤套 CRA。
車廠開發案會要我們交什麼？TARA 要做到哪裡？
21434 的核心是 TARA（威脅分析與風險評估）：資產識別、威脅情境識別、衝擊評級、攻擊路徑分析、攻擊可行性評級、風險值判定、風險處置決策，再由此導出資安目標與需求，貫穿 V 模型開發與驗證。
產品經理在開發案啟動時要先確認：
- 我在車廠的開發案中負責哪些項目
- 雙方的資安責任分工（資安介面協議）怎麼訂
- 量產後的弱點監控、事件回應與更新怎麼處理
這三件事決定要交付的資安工作成果範圍。
21434 涵蓋量產之後嗎？產品支援與更新要怎麼規劃？
涵蓋。ISO/SAE 21434 定義道路車輛電子電氣（E/E）系統在概念、開發、生產、營運、維護到除役的全生命週期網路安全工程要求，事件回應也在範圍內。
軟體更新方面，UN R156（軟體更新管理）同樣是整車（車廠）型式認證要求，由車廠透過契約向供應鏈提出。產品經理要在回覆車廠詢價與規劃階段就確認：量產後誰監控弱點、誰負責事件回應、更新怎麼交付，並把這些寫進與車廠的分工。
21434 有證書嗎？已經有 TISAX，還要做 21434 嗎？
標準本身沒有官方認證制度，ISO 也不做驗證、不發證書。市場上由驗證機構依各自的方案提供流程符合性驗證或人員資格認證，更關鍵的是通過車廠的開發案稽核。
已有 TISAX 通常仍需要。三者常被混為一談：
| 要求 | 管什麼 |
|---|---|
| UN R155 | 車廠的 CSMS 與型式認證 |
| TISAX | 公司據點的資訊保護能力 |
| ISO/SAE 21434 | 產品怎麼被安全地開發出來 |
TISAX 過了不代表具備 21434 能力，反之亦然。
已有 ASPICE 或 ISO 26262，導入 21434 會拖慢開發嗎？
不必另起一套。已有 ASPICE 或 ISO 26262 流程的組織，21434 可掛載於既有開發框架，增量導入。26262 處理「故障導致的危害」，21434 處理「攻擊導致的危害」；兩標準共用 V 模型且互相引用，整合時資安分析結果回饋安全危害分析。
要注意的是，ISO 26262 是功能安全標準，不能當成資安證明；把它當成資安證明的供應商，會在車廠依 UN R155 進行的供應鏈資安審查中暴露缺口。
積穗科研怎麼協助產品經理處理 ISO/SAE 21434？
積穗科研先釐清車廠要求的是 UN R155 供應鏈要求、TISAX 還是 21434 工程能力，再決定要做什麼：
- 建立 TARA 方法，導出資安目標與需求
- 掛載於既有的 ASPICE 或 ISO 26262 開發框架，資安分析結果回饋安全危害分析
- 以通過車廠的開發案稽核為目標，而不是只取得一紙證書
- 同一團隊也輔導 TISAX；客戶授權公開的 TISAX 輔導客戶包括億豐金屬工業
由副總、董事級顧問全程親自輔導、不外包。延伸：ISO/SAE 21434 輔導、21434 顧問怎麼選、TISAX 顧問怎麼選。申請免費機制診斷