智能網聯汽車與網絡安全的交匯，正在重塑汽車產品的市場準入門檻。隨著汽車智能化、網聯化加速，網絡安全已成為汽車產品進入歐盟市場的重要準入條件。對整車制造商和汽車電子供應商而言，UN R155 已不是可選項，而是必須面對的合規門檻。

01 什么是UN R155？一項“管流程”的法規

UN R155（UN Regulation No. 155）由聯合國歐洲經濟委員會（UNECE）制定，于 2021 年 1 月 22 日正式生效，全稱《關于車輛網絡安全及網絡安全管理體系批準的統一規定》。與傳統產品安全測試不同，UN R155 不僅看車輛是否具備身份認證、通信加密、安全啟動等技術措施，更看制造商是否建立了完整的網絡安全管理體系（CSMS）：如何識別和評估威脅、采取什么緩解措施、如何驗證有效性、上市后如何處置新漏洞、如何管理供應鏈風險。其核心理念是以風險管理為基礎、以 CSMS 為管理框架，實現車輛全生命周期的網絡安全管控。

02何時實施？適用于哪些車輛？

≠

≠

（DPP）

UN R155 屬于聯合國《1958 年協定》框架下的技術法規，歐盟通過型式批準制度引入。對主要 M、N 類車輛：2021 年 1 月 22 日生效；2022 年 7 月 6 日起新車型型式批準適用；2024 年 7 月 7 日起適用于所有新生產車輛。L 類車輛、特殊車輛及過渡安排需結合具體法規確認；歐盟官方公報已于 2025 年 1 月 10 日發布更新整合文本 2025/5，企業應關注適用版本。

法規適用于至少裝有一個電子控制單元（ECU）的 L、M、N、O 類車輛。零部件無需單獨取得 R155 認證，但整車廠會要求供應商提供風險評估、滲透測試報告等網絡安全證據，零部件企業應重視這一交付要求。

03 兩大核心要求：CSMS與車輛型式網絡安全

UN R155 的合規評估分兩個層面，相互關聯但不能相互替代。第一層是 CSMS 符合性評估，確認制造商具備系統化管理網絡安全風險的組織能力、流程和機制，覆蓋開發、生產、后生產三個階段——車輛停產后，只要仍有車輛在使用，風險管理和漏洞處置仍需持續。

第二層是車輛型式網絡安全評估，針對具體車型開展風險評估，證明風險得到適當管理，包括識別關鍵系統和威脅、評估攻擊路徑、管理供應商風險、實施并驗證緩解措施。

04測試、認證流程與ISO|SAE 21434

法規不規定統一的滲透測試清單，而是要求制造商建立測試流程，證明已識別的風險得到妥善管理。實際項目通常覆蓋網絡接口、身份認證、通信安全、固件、安全啟動、診斷、軟件更新等測試。認證分為六步：建立 CSMS 體系，由主管機關評估并簽發符合性證明，開展車型風險分析，實施措施并驗證，提交型式批準申請，最終獲批準。需要留意，CSMS 符合性證明有效期最長三年，且不等于車輛型式批準。

UN R155 與 ISO/SAE 21434 常被同時提及：前者是型式批準法規，提出“要合規”；后者是工程標準，提供“怎么做”（如 TARA、安全目標制定、驗證確認）。符合 21434 不代表自動符合 R155，兩者應結合使用。

05 零部件企業如何應對？

建議重點做好六項工作：梳理產品網絡安全架構；開展產品級風險分析；建立安全設計與驗證證據；開展滲透測試；建立漏洞管理與供應鏈協作機制；完善交付文件，為整車廠提供架構、風險分析、測試報告等材料。提前建立網絡安全工程能力，不僅有助于配合合規工作，也有助于提升產品競爭力。

北測信息安全實驗室：助力汽車網絡安全合規

隨著 UN R155 等法規逐步實施，企業對網絡安全風險分析、技術驗證和測試證據的需求持續增加。北測信息安全實驗室可結合項目需求，提供汽車零部件網絡安全測試、滲透測試、ISO/SAE 21434 技術支持及 UN R155 合規技術支持。具體服務范圍以實驗室實際能力及項目約定為準；正式 CSMS 符合性證明及車輛型式批準由主管機關簽發。如有歐盟市場準入或供應商審核準備需求，歡迎聯系我們。