# Insolvenzvorsorge im Lichte der UN-R155 - Link: https://smartnuts.com/2025/09/09/insolvenzvorsorge-im-lichte-der-un-r155/ - Veröffentlicht: 2025-09-09T23:26:52+02:00 - Autor: Michael Bunzel Die **UN-R155** hat die Automobilwelt aufgemischt: Sie verpflichtet Hersteller, ein **Cybersecurity Management System (CSMS)** nachzuweisen, um neue Fahrzeugtypen überhaupt genehmigt zu bekommen. Klingt erstmal nach einem reinen OEM-Thema – doch wer genauer hinsieht, erkennt: Auch **Supplier stehen unter Druck**. Denn der OEM trägt die volle Verantwortung für die Cybersicherheit der Lieferkette. Wenn ein Supplier insolvent geht, können Sicherheits-Updates oder Bugfixes plötzlich ins Leere laufen – und das gefährdet nicht nur die Typgenehmigung, sondern auch die Verkehrssicherheit und den Ruf der Marke. Die UN-R155 sagt zwar nicht explizit: _„Supplier, ihr müsst euch gegen Insolvenz absichern“_, aber sie fordert indirekt genau das – über den Supply-Chain-Ansatz. Deshalb werden OEMs künftig bei Vertragsverhandlungen immer öfter auf **Insolvenzvorsorge- Klauseln** pochen. --- ## Praxisbeispiel: Wenn der Update-Kanal plötzlich versiegt Stellen wir uns vor: Ein Tier-2-Supplier liefert ein zentrales Steuergerät mit eigener Firmware in die Serie. Zwei Jahre später geht der Supplier überraschend in die Insolvenz. Ergebnis: * **Update-Server werden abgeschaltet.** * **Bugfixes bleiben aus**, obwohl bereits kritische Schwachstellen gemeldet sind. * Millionen Fahrzeuge sind plötzlich auf sich allein gestellt – mit potenziellen Angriffspunkten für Hacker. Der OEM sitzt nun in der Zwickmühle: Ohne Quellcode, Dokumentation oder Rechteübertragung ist er handlungsunfähig. Das CSMS wackelt – und die Typgenehmigungsbehörde stellt unangenehme Fragen. Genau für dieses Szenario ist **Insolvenzvorsorge** kein Luxus, sondern eine Notwendigkeit. --- ## Fit für den Ernstfall **1. Quellcode- und Dokumentationssicherung** * Einrichtung von **Quellcode-Escrow-Vereinbarungen** mit unabhängigen Treuhändern. * Vollständige technische Dokumentation, inkl. Sicherheitsarchitektur, Schnittstellen und Update-Prozessen. * Klare Beschreibung, wie Patches und Bugfixes eingespielt werden können. **2. Vertragliche Absicherungen** * **Step-in Rights** für den OEM: Recht, bei Ausfall des Suppliers selbst oder über Dritte aktiv zu werden. * **IP-Rechte-Optionen**: OEM erhält Nutzungsrechte an sicherheitskritischer Software. * Klare **Wartungs- und Supportpflichten**, auch im Falle einer Insolvenz. **3. Business Continuity & Risikomanagement** * Solider **Business Continuity Plan (BCP)** mit Szenarien für Liquiditätsprobleme. * Sicherstellung, dass **Cybersecurity-Services** (Monitoring, Patches, Incident Response) weiterlaufen – unabhängig von der Finanzlage. * **Redundante Infrastruktur** mit OEM-zugänglichen Backups. **4. Transparenz & Reporting** * Pflicht zur **frühzeitigen Information**, wenn wirtschaftliche Probleme drohen. * Regelmäßige Bestätigung, dass Cybersecurity-Verpflichtungen eingehalten werden. * Offenlegung von **Sub-Supplier-Abhängigkeiten**, um Kaskadeneffekte zu vermeiden. **5. Technische & organisatorische Maßnahmen** * Update-Infrastruktur, die im Zweifel auch vom OEM betrieben werden kann. * Logging- und Monitoring-Daten in **OEM-zugänglichen Systemen**. * Notfallkontakte und definierte Eskalationsprozesse. **6. Audits & Verifizierbarkeit** * Zulassung von **OEM-Audits** zur Insolvenzabsicherung. * Periodische Prüfung der Escrow-Daten, Dokumentationen und Recovery-Pläne. --- ## Wenn der Supplier blockt … Natürlich gibt es Fälle, in denen ein Supplier **keine Escrow- oder Step-in-Klauseln** akzeptieren will – sei es aus Angst vor IP-Verlust oder weil er sich schlicht im stärkeren Verhandlungshebel sieht. OEMs haben dann verschiedene Optionen: 1. **Technische Redundanz schaffen:** Aufbau einer eigenen Update- und Patch-Infrastruktur beim OEM, auch wenn die Inhalte vom Supplier kommen. 2. **Second Source etablieren:** Kooperation mit einem alternativen Supplier, der im Notfall übernehmen kann – auch wenn das teurer ist. 3. **Risikoreserve einkalkulieren:** OEM übernimmt bewusst das Risiko, dokumentiert es aber im CSMS und stellt gegenüber Behörden dar, wie er es überwacht und mitigiert. 4. **Politische/legislative Schiene nutzen:** OEMs können in Gremien oder mit Behörden darauf drängen, dass insolvenzbezogene Sicherheitsgarantien künftig verpflichtend geregelt werden. Kurz gesagt: Auch wenn ein Supplier mauert, bleibt der OEM handlungsfähig – muss aber tiefer in die Tasche greifen oder Risiken stärker managen. --- ## Fazit Die UN-R155 hat den OEMs die Gesamtverantwortung für die Cybersecurity in der Lieferkette aufgebürdet. Doch jeder Supplier, der clever ist, baut **Insolvenzvorsorge als festen Bestandteil seiner Compliance-Strategie** ein. Am Ende gilt: Wer dem OEM heute glaubhaft zeigt, dass Updates, Patches und Security- Maßnahmen auch im Insolvenzfall gesichert sind, hat morgen einen klaren Wettbewerbsvorteil. Und wer es nicht tut? Der könnte irgendwann im Audit nicht nur Insolvenz-, sondern auch Typgenehmigungs-Schweißperlen ins Gesicht treiben.