Die UN-R155 hat die Automobilwelt aufgemischt: Sie verpflichtet Hersteller, ein Cybersecurity Management System (CSMS) nachzuweisen, um neue Fahrzeugtypen überhaupt genehmigt zu bekommen. Klingt erstmal nach einem reinen OEM-Thema – doch wer genauer hinsieht, erkennt: Auch Supplier stehen unter Druck.
Denn der OEM trägt die volle Verantwortung für die Cybersicherheit der Lieferkette. Wenn ein Supplier insolvent geht, können Sicherheits-Updates oder Bugfixes plötzlich ins Leere laufen – und das gefährdet nicht nur die Typgenehmigung, sondern auch die Verkehrssicherheit und den Ruf der Marke.
Die UN-R155 sagt zwar nicht explizit: „Supplier, ihr müsst euch gegen Insolvenz absichern“, aber sie fordert indirekt genau das – über den Supply-Chain-Ansatz. Deshalb werden OEMs künftig bei Vertragsverhandlungen immer öfter auf Insolvenzvorsorge-Klauseln pochen.
Praxisbeispiel: Wenn der Update-Kanal plötzlich versiegt
Stellen wir uns vor: Ein Tier-2-Supplier liefert ein zentrales Steuergerät mit eigener Firmware in die Serie. Zwei Jahre später geht der Supplier überraschend in die Insolvenz.
Ergebnis:
- Update-Server werden abgeschaltet.
- Bugfixes bleiben aus, obwohl bereits kritische Schwachstellen gemeldet sind.
- Millionen Fahrzeuge sind plötzlich auf sich allein gestellt – mit potenziellen Angriffspunkten für Hacker.
Der OEM sitzt nun in der Zwickmühle: Ohne Quellcode, Dokumentation oder Rechteübertragung ist er handlungsunfähig. Das CSMS wackelt – und die Typgenehmigungsbehörde stellt unangenehme Fragen.
Genau für dieses Szenario ist Insolvenzvorsorge kein Luxus, sondern eine Notwendigkeit.
Fit für den Ernstfall
1. Quellcode- und Dokumentationssicherung
- Einrichtung von Quellcode-Escrow-Vereinbarungen mit unabhängigen Treuhändern.
- Vollständige technische Dokumentation, inkl. Sicherheitsarchitektur, Schnittstellen und Update-Prozessen.
- Klare Beschreibung, wie Patches und Bugfixes eingespielt werden können.
2. Vertragliche Absicherungen
- Step-in Rights für den OEM: Recht, bei Ausfall des Suppliers selbst oder über Dritte aktiv zu werden.
- IP-Rechte-Optionen: OEM erhält Nutzungsrechte an sicherheitskritischer Software.
- Klare Wartungs- und Supportpflichten, auch im Falle einer Insolvenz.
3. Business Continuity & Risikomanagement
- Solider Business Continuity Plan (BCP) mit Szenarien für Liquiditätsprobleme.
- Sicherstellung, dass Cybersecurity-Services (Monitoring, Patches, Incident Response) weiterlaufen – unabhängig von der Finanzlage.
- Redundante Infrastruktur mit OEM-zugänglichen Backups.
4. Transparenz & Reporting
- Pflicht zur frühzeitigen Information, wenn wirtschaftliche Probleme drohen.
- Regelmäßige Bestätigung, dass Cybersecurity-Verpflichtungen eingehalten werden.
- Offenlegung von Sub-Supplier-Abhängigkeiten, um Kaskadeneffekte zu vermeiden.
5. Technische & organisatorische Maßnahmen
- Update-Infrastruktur, die im Zweifel auch vom OEM betrieben werden kann.
- Logging- und Monitoring-Daten in OEM-zugänglichen Systemen.
- Notfallkontakte und definierte Eskalationsprozesse.
6. Audits & Verifizierbarkeit
- Zulassung von OEM-Audits zur Insolvenzabsicherung.
- Periodische Prüfung der Escrow-Daten, Dokumentationen und Recovery-Pläne.
Wenn der Supplier blockt …
Natürlich gibt es Fälle, in denen ein Supplier keine Escrow- oder Step-in-Klauseln akzeptieren will – sei es aus Angst vor IP-Verlust oder weil er sich schlicht im stärkeren Verhandlungshebel sieht.
OEMs haben dann verschiedene Optionen:
- Technische Redundanz schaffen: Aufbau einer eigenen Update- und Patch-Infrastruktur beim OEM, auch wenn die Inhalte vom Supplier kommen.
- Second Source etablieren: Kooperation mit einem alternativen Supplier, der im Notfall übernehmen kann – auch wenn das teurer ist.
- Risikoreserve einkalkulieren: OEM übernimmt bewusst das Risiko, dokumentiert es aber im CSMS und stellt gegenüber Behörden dar, wie er es überwacht und mitigiert.
- Politische/legislative Schiene nutzen: OEMs können in Gremien oder mit Behörden darauf drängen, dass insolvenzbezogene Sicherheitsgarantien künftig verpflichtend geregelt werden.
Kurz gesagt: Auch wenn ein Supplier mauert, bleibt der OEM handlungsfähig – muss aber tiefer in die Tasche greifen oder Risiken stärker managen.
Fazit
Die UN-R155 hat den OEMs die Gesamtverantwortung für die Cybersecurity in der Lieferkette aufgebürdet. Doch jeder Supplier, der clever ist, baut Insolvenzvorsorge als festen Bestandteil seiner Compliance-Strategie ein.
Am Ende gilt: Wer dem OEM heute glaubhaft zeigt, dass Updates, Patches und Security-Maßnahmen auch im Insolvenzfall gesichert sind, hat morgen einen klaren Wettbewerbsvorteil.
Und wer es nicht tut? Der könnte irgendwann im Audit nicht nur Insolvenz-, sondern auch Typgenehmigungs-Schweißperlen ins Gesicht treiben.
