自動車メーカーが 21434 を求めるのは法規制によるものか？自社製品は必ず対応すべきか？
規格自体は法的に強制されていません。UN R155 は完成車（自動車メーカー）の型式認証要件で、メーカーは車両のサイバーセキュリティ管理システム（CSMS）を構築し、サプライチェーンのリスクを管理する必要があります。EU では 2022 年 7 月から新型車に、2024 年 7 月からすべての新規生産車に適用されています。R155 と R156 は完成車の要件で、部品メーカーには主に自動車メーカーから契約を通じて求められます。
サイバーセキュリティに関わる車載の電気電子（E/E）システム、部品、ソフトウェアを開発・供給しているなら、通常は必要です。実際の要求は自動車メーカーの見積依頼と契約で決まります。
自社の車載製品は EU CRA の対象か？
製品をどう市場に出すかで決まります。
- CRA の対象外：(EU) 2019/2144 に基づき型式認可を受けた車両とその専用システム、部品。そのサイバーセキュリティは UN R155 と ISO/SAE 21434 に従い、CRA の CE マーキングは関係しません。欧州委員会の (EU) 2025/1535 はさらにオートバイなど L カテゴリー車両を除外しています。
- CRA の対象のまま：単独で販売される車載デジタル製品。例えばアフターマーケット機器、診断ツール、フリート管理ハードウェア、充電設備、サプライチェーンに単独販売されるチップモジュールとソフトウェアです。
一社が両方の製品を持つこともあるため、製品シリーズごとに分けて判断し、車両部品に CRA を誤って当てはめないようにします。
自動車メーカーの開発案件では何を納めるよう求められるか？TARA はどこまで行うか？
21434 の中核は TARA（脅威分析とリスク評価）です。資産の特定、脅威シナリオの特定、影響度の評価、攻撃経路の分析、攻撃実現可能性の評価、リスク値の決定、リスク対応の決定を行い、そこからサイバーセキュリティの目標と要求を導き出して、V モデルの開発と検証全体に通します。
プロダクトマネージャーは開発案件の開始時に次を確認します。
- 自動車メーカーの開発案件で自社がどの項目を担当するか
- 双方のサイバーセキュリティの責任分担（サイバーセキュリティ・インターフェース合意）をどう決めるか
- 量産後の脆弱性監視、インシデント対応、アップデートをどう扱うか
この三点が、納めるサイバーセキュリティ作業成果物の範囲を決めます。
21434 は量産後もカバーするか？製品のサポートとアップデートをどう計画するか？
カバーします。ISO/SAE 21434 は道路車両の電気電子（E/E）システムについて、構想、開発、生産、運用、保守から廃棄までのライフサイクル全体のサイバーセキュリティエンジニアリング要求を定め、インシデント対応も含みます。
ソフトウェアアップデートについては、UN R156（ソフトウェアアップデート管理）も完成車（自動車メーカー）の型式認証要件で、自動車メーカーが契約を通じてサプライチェーンに求めます。プロダクトマネージャーは自動車メーカーの見積依頼への回答と企画の段階で、量産後に誰が脆弱性を監視し、誰がインシデント対応を担い、アップデートをどう届けるかを確認し、自動車メーカーとの分担に書き込みます。
21434 に認証書はあるか？既に TISAX があっても 21434 は必要か？
規格自体に公式の認証制度はなく、ISO 自身も認証や証明書の発行を行いません。市場では認証機関が独自のスキームでプロセス適合性評価や要員資格認証を提供していますが、より重要なのは自動車メーカーの開発監査に通ることです。
TISAX があっても通常は必要です。三つはよく混同されます。
| 要求 | 対象 |
|---|---|
| UN R155 | 自動車メーカーの CSMS と型式認証 |
| TISAX | 自社拠点の情報保護能力 |
| ISO/SAE 21434 | 製品をどう安全に開発するか |
TISAX に合格しても 21434 の能力があることにはならず、その逆も同様です。
既に ASPICE や ISO 26262 がある。21434 を加えると開発が遅くなるか？
別の仕組みを作る必要はありません。ASPICE や ISO 26262 のプロセスを持つ組織は、21434 を既存の開発フレームワークに組み込み、段階的に導入できます。26262 は「故障による危害」、21434 は「攻撃による危害」を扱い、両規格は V モデルを共有し相互に参照しています。統合する場合は、サイバーセキュリティ分析の結果を安全上のハザード分析にフィードバックします。
注意点として、ISO 26262 は機能安全の規格であり、サイバーセキュリティの証明にはなりません。そうみなしたサプライヤーは、自動車メーカーが UN R155 に基づいて行うサプライチェーンのサイバーセキュリティ審査で欠落を露呈します。
積穗科研はプロダクトマネージャーの ISO/SAE 21434 対応をどう支援するか？
積穗科研はまず、自動車メーカーが求めているのが UN R155 のサプライチェーン要求か、TISAX か、21434 のエンジニアリング能力かを明確にし、何をするかを決めます。
- TARA の手法を構築し、サイバーセキュリティの目標と要求を導出
- 既存の ASPICE または ISO 26262 の開発フレームワークに組み込み、サイバーセキュリティ分析の結果を安全上のハザード分析にフィードバック
- 証明書を取るだけでなく、自動車メーカーの開発監査に通ることを目標に
- 同じチームが TISAX も支援。顧客の許諾を得て公開している TISAX の支援先に億豐金屬工業があります
副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。詳しく：ISO/SAE 21434 支援、21434 コンサルタントの選び方、TISAX コンサルタントの選び方。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- プロダクトマネージャーと EU CRA：自社製品は対象か、発売前に何をそろえるか？
- プロダクトマネージャーと EU AI 法：製品の AI は発売前に何を終えるべきか？
- プロダクトマネージャーと ISO/IEC 29147・30111：脆弱性の開示と修正をどう約束するか？
- プロダクトマネージャーと IEC 62443-4-2：産業制御製品の認証で発売は遅れるか？
- プロダクトマネージャーと ISO 42001：AI 製品のガバナンス要求に顧客へどう応えるか？
- プロダクトマネージャーと TISAX プロトタイプ保護：ラベルがないと自動車メーカーの案件は止まるか？
- プロダクトマネージャーと ISO 27701・GDPR：各市場で販売する前にどの個人情報対応が必要か？