UN R-155への対応：CSMS・型式認証・ISO/SAE 21434

型式認証に向けた自動車メーカー（OEM）への要求事項、サプライヤーの役割、ISO/SAE 21434の位置づけ

UN R-155の要点

自動車サイバーセキュリティ国際基準UN R-155（国連規則第155号）は、自動車メーカー（OEM）に適合証明を受けたサイバーセキュリティ管理システム（CSMS）を運用することと、車両型式ごとにサイバーリスクへの対策を示して型式認証を受けることを求めています。日本では2022年7月から段階的に適用されており、欧州連合（EU）では2024年7月7日から既存の型式を含む新車に、英国（グレートブリテン）では2026年6月1日から新型車に適用されています。これらの要件への対応には、エンジニアリング規格のISO/SAE 21434:2021が参照されています。

最終更新日：2026年10月30日｜CyberThreat Research Lab

UN R-155の概要

国連欧州経済委員会（UNECE）はUN R-155を、車両のサイバーセキュリティに関して国際的に共通の基準として初めて法的拘束力をもった規則と位置づけています。UN R-155は、UNECEの自動車基準調和世界フォーラム（WP.29）で2020年6月24日に採択され、2021年1月22日に発効しました。

CSMSは、車両ではなくOEMの組織に備える仕組みで、開発から生産、生産後までのすべての段階を対象としています。UN R-155のもとで、OEMは次の2つを取得する必要があります。

CSMSの適合証明：UN R-155 6.7項の要件にもとづいて審査。有効期間は最長3年で、再審査を経て更新。
車両型式ごとのサイバーセキュリティ型式認証：UN R-155 7.3項の要件にもとづき、リスクアセスメント、リスクに応じた対策、試験、攻撃の検知と対応を審査。

対象は、電子制御ユニット（ECU）を1つ以上搭載した乗用車やバス（カテゴリーM）、貨物車（カテゴリーN）、トレーラー（カテゴリーO）で、改正により二輪車や三輪車などのカテゴリーLも加わりました。

VicOneのソリューションは、OEMによるCSMSの適合証明と型式認証の取得を支援しています。

UN R-155とISO/SAE 21434の関係

UN R-155は、車両の型式認証に法的拘束力のある条件を定める規則です。一方、ISO/SAE 21434:2021（Road vehicles: Cybersecurity engineering）は、国際標準化機構（ISO）とSAE Internationalが2021年8月に発行した任意のエンジニアリング規格で、特定の技術を指定することなく車両のライフサイクル全体にわたるサイバーセキュリティのリスク管理を定めています。この規格は2026年10月、定期見直しの結果として改訂されることが決まり、次の版の策定が始まっています。

UN R-155の要件は、ISO/SAE 21434の要件と密接に対応しています。脅威分析とリスクアセスメント（TARA）など、この規格に沿って作成した成果物は、UN R-155の審査で示す証跡として活用できます。ただし、規格への適合がCSMSの適合証明や型式認証の代わりになるわけではありません。

VicOneは、2024年5月にDEKRAからISO/SAE 21434の認証を取得し、この規格に沿った自動車向けサイバーセキュリティのソフトウェアとソリューションを提供しています。

UN R-155の適用時期

内容	時期
UNECE
WP.29がUN R-155を採択	2020年6月24日
UN R-155が発効	2021年1月22日
日本
OTA（無線によるソフトウェアアップデート）対応車の新型車に適用	2022年7月1日
OTA非対応車の新型車に適用	2024年1月1日
OTA対応車の継続生産車に適用	2024年7月1日
継続生産車へのサイバーセキュリティ基準の適用（2026年9月1日から延期）	2026年11月1日
二輪自動車、側車付二輪自動車、三輪自動車に適用（新型車／継続生産車）	2029年7月1日／2031年7月1日
欧州連合（EU）
新型車に義務化	2022年7月6日
既存の型式を含む新車に義務化	2024年7月7日
英国（グレートブリテン）
新型車に適用（多段階で完成する車両を除く）	2026年6月1日
既存の型式を含む完成車・未完成車に適用	2027年6月1日
多段階で完成する車両に適用	2028年6月1日
中国
新型車UN R-155に対応する国家標準GB 44495-2024	2026年1月1日
継続生産車UN R-155に対応する国家標準GB 44495-2024	2028年1月1日

すでに使用されている車両にさかのぼって適用されることはありません。ただしEUでは、2024年7月7日以降に登録される新車は従来の型式認証で生産された車両も含めてUN R-155への適合が必要です。日本では1958年協定にもとづく協定規則として道路運送車両の保安基準に取り入れられており、継続生産車への適用の一部は国土交通省が2026年9月1日から11月1日に延期しています。

VicOneの脅威インテリジェンスサービス「xAurient」は、これらの市場で規制対応を進める企業に向け、UN R-155とISO/SAE 21434に沿って整理した自動車を狙う脅威の情報を、車両の構成要素ごとに提供しています。

導入事例：UDトラックスにおけるUN R-155への対応

UDトラックスは、UN R-155への対応に向けて製品セキュリティインシデント対応チーム（PSIRT）を設置し、その業務プロセスにVicOneの車両セキュリティオペレーションセンター（VSOC）プラットフォーム「xNexus」を導入しました。

「xNexus」がリアルタイムで提供する、実際の対応に活用できる脅威分析情報は、UDトラックスの設計プロセスに直接反映され、UN R-155への対応に活用されています。

VicOneのAIと自動車に関する脅威インテリジェンスによって、私たちが必要としていた正確で実用的な情報が得られています。また、xNexusによる分析は、未知のリスクの早期発見にも役立っています。

UDトラックス株式会社 ERM（エンタープライズ・リスク・マネジメント）サイバーセキュリティマネージャー　河野良太氏

UDトラックスの導入事例

UN R-155準拠に向けた6つのステップ

以下は、UN R-155への準拠を実務で進めるための6つのステップです。実際の準拠対応においてはUN R-155の要件そのものを確認する必要があり、適合判断は認可当局による審査で行われます。

対象市場と車両カテゴリーの整理：販売する市場と車両カテゴリーを整理し、申請先の認可当局と、試験・審査を担う技術サービス機関を選定
CSMSの構築：ガバナンス、リスク管理、サプライヤー管理、監視、インシデント対応を含むCSMSを、ISO/SAE 21434をもとに構築
車両型式ごとのTARA：UN R-155の附則5に挙げられた脅威を含めてTARAを実施し、新たな脆弱性の判明に合わせて更新
サプライヤーのリスク管理：サイバーセキュリティインターフェース合意、サプライヤーからの証跡、ECUごとのソフトウェア部品表（SBOM）を通じて管理
対策の検証と試験：ペネトレーションテストなどの試験を通じて、実施した対策の有効性を検証
生産後の監視と対応：車両セキュリティオペレーションセンター（VSOC）などを通じて、生産後も車両群全体を監視し、攻撃を検知して対応

VicOneは、TARA、SBOM・脆弱性管理、ペネトレーションテスト、車両群の監視を通じて、ステップ3から6を支援します。

UN R-155準拠後も続くサイバーセキュリティ対策

610件2025年に発生した自動車関連のセキュリティインシデント

1,384件2025年に確認された自動車関連の脆弱性

CSMSの適合証明は、審査の時点でプロセスが整っていたことを示すもので、その後に明らかになる攻撃に車両が耐えられることまでを保証するものではありません。適合証明や型式認証を受けた後も、新たな脆弱性は見つかり続けており、「VicOne 2026年自動車サイバーセキュリティレポート」では、2025年の自動車関連のセキュリティインシデントを610件、脆弱性を1,384件と報告しています。

UN R-155が生産後の監視と対応を求めているのは、このためです。VicOneも同じ考えのもと、継続的に更新される脆弱性情報と車載システムでの攻撃検知、車両群全体の監視を組み合わせたソリューションを提供しています。

UN R-155準拠に向けたVicOneの支援

トレンドマイクロの子会社で、自動車およびフィジカルAI向けのサイバーセキュリティソリューションを開発・提供するVicOneは、OEMとTier1サプライヤーがUN R-155やISO/SAE 21434への対応で求められる証跡を作成し、維持できるよう支援しています。認証面では、DEKRAによるISO/SAE 21434認証に加え、Automotive SPICE®（ASPICE）の能力レベル2（CL2）と、TISAX®（Trusted Information Security Assessment Exchange）のアセスメントレベル3のラベルを取得しています。

UN R-155の要件	VicOneの対応
車両およびサプライヤー製ソフトウェアの脆弱性管理7.2項	xZETA既知の脆弱性、未公開の脆弱性、ゼロデイ脆弱性を対象とするSBOM・脆弱性管理
リスクアセスメントの継続的な更新7.2項	SystemWeaverおよびSaphiraとのLive TARA連携xZETAの脆弱性情報をTARAツールに反映
対策の検証と試験7.3項	xScopeTrend Zero Day Initiative（ZDI）のゼロデイ脆弱性に関する知見を活用し、UN R-155とISO/SAE 21434の要件に沿ったペネトレーションテスト
車両への攻撃の検知7.3項	xCarbon車載システム向けの侵入検知・防御システム（IDPS）
車両群全体での監視と対応7.2項・7.3項	xNexus監視、検知、対応、フォレンジックを担うVSOCプラットフォーム
脅威動向の把握附則5	xAurientUN R-155とISO/SAE 21434に沿って脅威情報を整理する自動車向け脅威インテリジェンス

OEMは、サプライヤーのソフトウェアのリスク管理や車両群の監視にVicOneのソリューションを活用できます（OEM向けソリューション）。また、Tier1サプライヤーは、顧客であるOEMにSBOM、脆弱性の対応状況、試験の証跡を提出する際にVicOneのソリューションを活用できます（Tier1サプライヤー向けソリューション）。

VicOneのソリューションお問い合わせ

UN R-155に関するよくあるご質問

Tier1・Tier2サプライヤーも、UN R-155の型式認証やCSMSの適合証明を取得する必要がありますか？

Tier1・Tier2サプライヤーが、UN R-155の型式認証やサイバーセキュリティ管理システム（CSMS）の適合証明を取得する必要はありません。型式認証やCSMSの適合証明を取得するのは、自動車メーカー（OEM）です。ただし、UN R-155はOEMに対してサプライチェーンを通じて必要な情報を集め、サプライヤーに関わるリスクを管理することを求めています。そのためサプライヤーは契約などを通じて、TARAに必要な情報、SBOM、脆弱性の対応状況、試験結果といったサイバーセキュリティの証跡の提供を求められることがあります。

2026年に自動車サイバーセキュリティ規制へ対応するには、何が必要ですか？

UN R-155への対応には、サイバーセキュリティ管理システム（CSMS）の構築、車両型式ごとの脅威分析とリスクアセスメント（TARA）の継続的な更新、サプライヤーのリスク管理、対策の試験、生産後の車両群の監視が必要です。CSMSの構築には、ISO/SAE 21434を活用できます。

また、UN R-155と同時に採択・発効したUN R-156は、ソフトウェアアップデート管理システム（SUMS）と、ソフトウェアアップデートに関する車両型式ごとの型式認証を求める規則です。EUではUN R-155と同じ時期に義務化され、日本でも道路運送車両の保安基準に取り入れられているため、あわせて対応が必要です。

2026年には、英国（グレートブリテン）で6月1日から新型車にUN R-155が適用され、日本では継続生産車への適用の一部が、国土交通省により9月1日から11月1日に延期されています。

※2026年10月時点の情報です。

ISO/SAE 21434への準拠は義務ですか？UN R-155と同じものですか？

ISO/SAE 21434は法的な義務のない任意の規格で、UN R-155とは別のものです。UN R-155は、この規則を適用する市場で型式認証を受けるために満たす必要がある規則です。ISO/SAE 21434は、UN R-155が求めるCSMSや証跡を整える際に役立ちますが、CSMSの適合証明や型式認証の代わりにはなりません。

ISO/SAE 21434とIEC 62443の違いは何ですか？

ISO/SAE 21434は、路上車両の電気・電子（E/E）システムを対象とするサイバーセキュリティエンジニアリングの規格で、構想・開発から生産、運用、保守、廃棄までのライフサイクル全体に適用されます。一方、国際電気標準会議（IEC）のIEC 62443シリーズは、工場などで使われる産業オートメーション・制御システムを対象とする規格で、車載システムは対象としていません。