UN R155 法規遵循：解析 CSMS、車型認證與 ISO/SAE 21434
了解車廠與供應商取得 UN R155 車型認證所需符合的要求，以及 ISO/SAE 21434 在其中扮演的角色。
重點摘要
聯合國第 155 號法規（UN R155）要求車輛製造商建立並運作通過認證的網路安全管理系統（Cyber Security Management System, CSMS），並在取得車型認證（Type Approval）前，證明各車型已具備因應網路安全風險的適當防護措施。ISO/SAE 21434:2021 是汽車產業廣泛採用的網路安全工程標準，可協助車廠落實 UN R155 的相關要求。自 2024 年 7 月 7 日起，UN R155 已適用於歐盟（EU）所有新車；自 2026 年 6 月 1 日起，英國（Great Britain）的新車型也必須符合相關要求。
什麼是 UN R155？
根據聯合國歐洲經濟委員會（United Nations Economic Commission for Europe, UNECE）的說明，UN R155 是全球首個針對車輛網路安全制定、具法律約束力的國際調和法規。
UNECE 世界車輛法規協調論壇（World Forum for Harmonization of Vehicle Regulations, WP.29）於 2020 年 6 月 24 日通過 UN R155，並於 2021 年 1 月 22 日正式生效。
網路安全管理系統（Cyber Security Management System, CSMS）是車輛製造商組織層級的管理體系，而非個別車輛的系統，其管理範圍必須涵蓋車輛開發、生產及售後階段。UN R155 要求取得兩個層級的認證：
- CSMS 合規證書（CSMS Certificate of Compliance）：針對車輛製造商的網路安全管理體系進行認證，有效期限最長為三年（UN R155 第 6.7 節）。
- 車型網路安全認證（Cybersecurity Type Approval）：針對各個車型進行認證，評估依據包括資安風險評估、與風險程度相稱的緩解措施、安全測試，以及網路攻擊偵測與應變能力（UN R155 第 7.3 節）。
UN R155 的適用範圍涵蓋乘用車與貨車（M 類及 N 類）、配備至少一個電子控制單元（Electronic Control Unit, ECU）的拖車（O 類）。此外，修訂版法規納入的 L 類車輛。VicOne 的產品可支援上述兩個層級的認證要求，如下方對照圖所示。
UN R155 與 ISO/SAE 21434 有什麼關係？
UN R155 具有法律約束力，規範車輛取得車型認證所需符合的網路安全要求。
ISO/SAE 21434:2021《道路車輛－網路安全工程》（Road Vehicles — Cybersecurity Engineering）則是由國際標準化組織（International Organization for Standardization, ISO）與 SAE International 於 2021 年 8 月 31 日共同發布的自願性工程標準。該標準規範車輛全生命週期的網路安全風險管理，但不強制指定特定技術或解決方案。
多數車廠與供應商以 ISO/SAE 21434 作為建立網路安全管理系統（CSMS）的基礎，並運用標準所要求的工作產出（Work Products），例如威脅分析與風險評估（Threat Analysis and Risk Assessment, TARA），作為稽核時的佐證資料。
符合 ISO/SAE 21434 有助於滿足 UN R155 的法規要求，但無法取代 CSMS 符合性證書或車型認證。
VicOne 自身的產品開發流程已通過 DEKRA 的 ISO/SAE 21434 認證。
UN R155 何時開始適用？重要實施日期
| 法規要求 | 日期 |
|---|---|
| UNECE | |
| WP.29 正式通過 UN R155 法規 | 2020 年 6 月 24 日 |
| UN R155 正式生效 | 2021 年 1 月 22 日 |
| 歐盟 | |
| UN R155 強制適用於新車型 | 2022 年 7 月 6 日 |
| UN R155 強制適用於所有新車 | 2024 年 7 月 7 日 |
| 英國（大不列顛地區） | |
| UN R155 適用於新型式的完整車輛與基礎車輛 | 2026 年 6 月 1 日 |
| UN R155 適用於新完成車輛 | 2028 年 6 月 1 日 |
| 中國 | |
| 新車型對應國家標準 GB 44495-2024 | 2026 年 1 月 1 日 |
| 所有車輛對應國家標準 GB 44495-2024 | 2028 年 1 月 1 日 |
已上路的車輛無須追溯改裝以符合新法規。然而，在歐盟自 2024 年 7 月 7 日起，所有新登記的車輛均須符合 UN R155 法規要求，包括依據舊有車型認證所生產的車輛。日本也透過聯合國《1958 年協定》實施 UN R155 法規。針對需要掌握這些市場法規要求的團隊，VicOne 的 xAurient 威脅情資可將資安威脅對應至 UN R155 與 ISO/SAE 21434 標準，協助團隊追蹤相關法規與標準要求。
UD Trucks 如何運用 xNexus 因應 UN R155 法規要求
為符合 UN R155 法規要求，UD Trucks 成立了產品資安事件應變團隊（Product Security Incident Response Team, PSIRT），並導入 VicOne 的 xNexus 車輛安全營運中心（Vehicle Security Operations Center, VSOC）平台，將其整合至資安事件應變流程中。
xNexus 為團隊提供即時且可採取行動的威脅情資。UD Trucks 表示，這些情資已直接應用於其產品設計流程。UD Trucks 預期，此舉將有助於縮短軟體創新週期，並協助其滿足 UN R155 認證要求。
VicOne 憑藉業界領先的 AI 技術與嚴選的車用威脅情資，為我們提供精準且可付諸行動的洞察資訊。
如何符合 UN R155 法規要求？六大實施步驟
以下六個步驟提供實務上的執行指引，但不能取代 UN R155 的適用法規要求或型式認證主管機關的審查與評估。
- 確認目標市場與車輛類別，並選定車輛型式認證主管機關或技術服務機構。
- 依據 ISO/SAE 21434 建立網路安全管理系統（CSMS），涵蓋組織治理、風險管理、供應商管理、持續監控及資安事件應變。
- 針對各車型執行威脅分析與風險評估（TARA），涵蓋 UN R155 附錄 5 所列的資安威脅，並隨著新漏洞出現持續更新評估結果。
- 管理供應鏈資安風險，透過資安介面協議、供應商提供的佐證資料，以及各電子控制單元（ECU）的軟體物料清單（SBOM），掌握供應商相關資安風險。
- 驗證並測試資安防護措施的有效性，例如透過滲透測試，確認相關風險緩解措施是否有效。
- 持續監控、偵測並應對車輛量產後的資安攻擊，通常透過車輛安全營運中心（VSOC），持續掌握整體車隊的資安威脅並進行應變。
VicOne 透過動態威脅分析與風險評估（Live TARA）、軟體物料清單（SBOM）與漏洞管理、滲透測試，以及車隊資安監控，協助企業落實上述第 3 至第 6 項步驟。
為什麼符合法規不代表具備完善的資安防護？
取得網路安全管理系統（CSMS）認證，代表企業在接受稽核時已建立符合要求的管理流程，但不代表車輛能夠抵禦日後新出現的資安攻擊。即使通過認證，新的資安漏洞仍會持續出現。根據 VicOne 於 2026 年 2 月發布的《2026 年汽車資安報告》，2025 年共發生 610 起汽車相關資安事件，並發現 1,384 項漏洞。
這也是為什麼 UN R155 要求車輛在量產後仍須持續進行資安監控與事件應變。為因應這項需求，VicOne 結合持續更新的漏洞情資、車載威脅偵測與車隊資安監控，協助車廠持續掌握並應對新興資安威脅。
VicOne 如何協助車廠與 Tier 1 供應商符合 UN R155 法規要求？
VicOne 是趨勢科技旗下專注於汽車與 Physical AI 資安的公司，協助車廠（OEM）與一階供應商（Tier 1）建立並持續維護符合 UN R155 與 ISO/SAE 21434 要求的資安合規佐證資料。
除了取得 DEKRA 核發的 ISO/SAE 21434 認證外，VicOne 亦通過汽車軟體流程改善及能力評定（Automotive SPICE®, ASPICE）能力等級 2（Capability Level 2）評估，並取得可信資訊安全評估交換機制（Trusted Information Security Assessment Exchange, TISAX®）評估等級 3（Assessment Level 3）標籤。
| UN R155 法規要求 | VicOne 對應解決方案 |
|---|---|
| 管理車輛及供應商軟體中的漏洞第 7.2 節 | xZETA提供漏洞與軟體物料清單（SBOM）管理，涵蓋已知、尚未公開及零日漏洞 |
| 持續更新風險評估第 7.2 節 | Live TARA整合 SystemWeaver 與 Saphira，將 xZETA 威脅情資導入威脅分析與風險評估（TARA）工具 |
| 驗證並測試風險緩解措施第 7.3 節 | xScope提供符合 UN R155 與 ISO/SAE 21434 要求的滲透測試服務，並結合趨勢科技漏洞懸賞計畫（Zero Day Initiative, ZDI）的研究資源 |
| 偵測車輛遭受的資安攻擊第 7.3 節 | xCarbon車載入侵偵測與防禦系統（IDPS） |
| 監控並應對整體車隊的資安威脅第 7.2 與 7.3 節 | xNexus車輛安全營運中心（VSOC）平台，提供資安監控、威脅偵測、事件應變與數位鑑識功能 |
| 掌握資安威脅態勢附錄 5 | xAurient提供對應 UN R155 與 ISO/SAE 21434 的車用威脅情資 |
車廠（OEM）透過 VicOne 的解決方案管理供應商軟體資安風險，並持續監控車隊的資安狀態（OEM 解決方案）；一階供應商（Tier 1）則運用 VicOne 的解決方案，向客戶提供軟體物料清單（SBOM）、漏洞狀態資訊及測試佐證資料（Tier 1 解決方案）。
UN R155 常見問題
Tier 1 與 Tier 2 供應商是否需要取得 UN R155 認證？
不需要。車輛型式認證與網路安全管理系統（CSMS）認證是核發給車輛製造商，而非供應商。
不過，供應商通常須依據合約要求，提供相關資安佐證資料，例如威脅分析與風險評估（TARA）資料、軟體物料清單（SBOM）、漏洞狀態資訊及測試結果。
2026 年如何符合汽車資安法規要求？
依據 ISO/SAE 21434 建立網路安全管理系統（CSMS），針對各車型持續進行威脅分析與風險評估（TARA）、管理供應商資安風險、測試風險緩解措施的有效性，並在車輛量產後持續監控車隊資安狀態。2026 年的重要法規實施時程之一是英國（大不列顛地區），自 2026 年 6 月 1 日起，UN R155 已開始適用於新車型。
ISO/SAE 21434 是否為強制性標準？與 UN R155 有何不同？
ISO/SAE 21434 是自願性標準，不是強制性。UN R155 則是在適用市場中取得車輛型式認證的強制性法規要求。
ISO/SAE 21434 可協助車輛製造商建立網路安全管理系統（CSMS），並準備 UN R155 所要求的資安合規佐證資料，但不能取代車輛型式認證。
ISO/SAE 21434 與 IEC 62443 有什麼不同？
ISO/SAE 21434 主要規範道路車輛電子電氣（E/E）系統的網路安全工程，適用於車輛開發流程。國際電工委員會（International Electrotechnical Commission, IEC）制定的 IEC 62443 系列標準則聚焦於工業自動化與控制系統的資安防護，例如工廠中的工業控制系統，而非車載系統。
從我們的資源了解更多
深入了解 汽車網路安全
來自Pwn2Own Automotive：零日漏洞如何暴露電動車充電樁網路安全標準的不足
我們分析了Pwn2Own Automotive競賽中發現的電動車充電樁漏洞，揭示現行電動車充電樁網路安全標準的不足之處，以及為何更強大、更統一的資安防護措施對於保障充電基礎設施的安全至關重要。
閱讀更多 →
Euro 7 排放法規如何重新定義汽車產業的合規要求
Euro 7 將排放完整性與資安正式掛鉤。我們將展示如何透過對現有聯合國R155框架進行最小程度的更新，利用差異化的分級TARA（技術評估和審查）機制，實務性地滿足 Euro 7 的防竄改（anti-tampering）合規要求。
閱讀更多 →
VicOne 加入 eSync 聯盟協助強化汽車 OTA 安全性
隨著 UN R155/R156 和 ISO 24089 法規推升對強大 OTA 框架的需求，汽車網路安全專家以專業知識協助建構車界安全標準
閱讀更多 →
VicOne xAurient汽車威脅情報平台正式亮相：揭露新興威脅的成因與發生方式 打造更高效率、更精準的資安應變能力
VicOne xAurient定義攻擊路徑、提供威脅情報、減少車廠與供應商的人力負擔
閱讀更多 →資料來源：聯合國第 155 號法規（UN R155；聯合國歐洲經濟委員會 UNECE；歐盟法規 EUR-Lex 2021/387；UN R155 修訂版本，歐盟官方公報 OJ L 2025/5）；UNECE 於 2020 年 6 月 24 日發布的新聞稿；ISO/SAE 21434:2021 標準（iso.org/standard/70918）；英國法定文書 SI 2025/1110。