車載サプライチェーンのサイバーセキュリティ認証ロードマップ
自動車メーカーのサプライヤーリストは並べ替えられつつあります——TISAX があれば入り、なければ外れる。
自動車産業のサイバーセキュリティ要件はすでに法制化されています。UN R155 は自動車メーカーに車両サイバーセキュリティ管理システムの構築とサプライチェーンへの責任追及を求め、不適合なら EU などの市場で型式認証の障壁に直面し、事実上の販売禁止となります。ドイツ系メーカーは TISAX アセスメントをサプライヤーの情報セキュリティの入場券とし、AL3 は高度機密情報とプロトタイプ保護に及びます。ISO/SAE 21434 は車両の電気・電子システムのサイバーセキュリティ工学プロセスを定義します。台湾の車載部品・車載電子・ソフトウェアのサプライヤーにとって、この 3 つはオプションではなく、受注を維持するための条件です。
この業界でよく使われる判断ツール
放置のコスト：車載サプライチェーンのリスクシナリオ
| シナリオ | 影響 | 対応規格 | 規制クロック |
|---|---|---|---|
| TISAX アセスメントに不合格となりサプライヤーリストから除外 | ドイツ系・海外メーカーからの受注が即座に停止 | TISAX（AL2／AL3） | メーカーのデューデリジェンスと契約更新の時期は顧客が決める |
| 製品が UN R155 の要件に対応できない | 顧客の車種が型式認証を取得できず、EU 市場で事実上の販売禁止 | UN R155＋ISO/SAE 21434 | 規則はすでに全新車に適用 |
| プロトタイプデータや図面の漏えい | 守秘義務違反で損害賠償請求に直面、AL3 ではさらに厳格 | TISAX プロトタイプ保護 | 事故は予約してやって来ない |
| ライン停止がメーカーの JIT 供給に影響 | 高額の違約金とサプライヤー評価の格下げ | ISO 22301 BCM | メーカーの強靭性デューデリジェンスはすでに日常 |
推奨コンプライアンスパス
推奨ルートは車載サイバーセキュリティ支援（TISAX×ISO 21434）を主軸に入場券を獲得し、車両部品のセキュリティは UN R155（ISO/SAE 21434）、アフターマーケットや単独で上市するコネクテッド製品は CRA に従い、BCM でメーカーの強靭性デューデリジェンスに応え、ERM で分散した顧客要件を一つの体制に統合します——受注のたびにコンプライアンスをやり直さないために。
認証・規格の全体像
| 領域 | 規格／規制 |
|---|---|
| 品質管理 | IATF 16949 |
| 情報セキュリティ・アセスメント | TISAX |
| 車両サイバーセキュリティ工学 | ISO/SAE 21434 |
| ソフトウェアプロセス能力 | ASPICE |
| 機能安全 | ISO 26262 |
| AI ガバナンス | ISO 42001 |
| サイバーセキュリティ管理（型式認証） | UN R155 |
| OTA ソフトウェア更新のセキュリティ | UN R156 |
| アフターマーケット／単独上市のコネクテッド製品 | EU Cyber Resilience Act（CRA） |
上表は当該産業の認証・規制の全体像です。最適な組合せは顧客要求と製品特性により異なります。積穗科研は共通の文書基盤で、商業価値の高い取得順序を設計します。
積穗科研が選ばれる理由
積穗科研は自動車メーカーのデューデリジェンスの言語と TISAX アセスメントの実務に精通し、ギャップ分析から体制構築、アセスメント同行までをワンストップで完了します。さらに ERM と BCM で、メーカーがますます重視する事業の強靭性要件を補強します——目標は、目標レベルに一発で合格することです。
対象となる企業
- 車載部品・モジュールメーカー
- 車載電子・ソフトウェアのサプライヤー
- メーカーから TISAX を求められている Tier 1・Tier 2 サプライヤー
- 車載市場に参入するテクノロジー企業
よくある質問
自動車部品メーカーにはどのセキュリティ認証が必要ですか？
核心は 3 つです。TISAX アセスメント（メーカーのサプライヤー情報セキュリティの入場券）、ISO/SAE 21434（製品が電気・電子システムに関わる場合に必須）、UN R155 への対応能力（顧客車種の型式認証を支援）。実際の組み合わせは製品形態と顧客要件によります——積穗科研はまずギャップ分析で位置づけを行い、その後に導入順序を決めることを推奨します。
TISAX の AL2 と AL3 はどう選びますか？
扱うデータの機密レベルによります。通常の機密情報は AL2、高度機密情報やプロトタイプ保護（試作部品、未発表車種のデータなど）に関わる場合は AL3 が必要です。メーカーは通常、デューデリジェンス文書で要求レベルを明記します。
ISO 27001 はすでに取得済みですが、TISAX まであとどのくらいですか？
TISAX は VDA ISA 質問票を基準とし、ISO 27001 と大部分が重なりますが、プロトタイプ保護やデータ保護など自動車産業固有の要件が加わり、アセスメントレベル制を採ります。既存の ISO 27001 体制があれば導入期間を大幅に短縮でき、ギャップは主に産業固有の管理策にあります。
支援にはアセスメントへの同行も含まれますか？
含まれます。ギャップ分析、体制構築、内部監査から、アセスメント機関との調整と現地同行まで、積穗科研はワンストップで支援します。