UN-R155とは — 自動車サイバーセキュリティ規制（CSMS認証）の構造と実務

UN-R155は、自動車のサイバーセキュリティに関する世界初の強制規格であり、対応できなければ型式認証が通らず車両を市場に出せない「前提条件」である。本記事は、UN-R155が何を求める規制か、なぜ問われるのが「製品」ではなく「組織の体制」なのか、SDV開発に実務上どう影響するかを整理する。結論を先に言えば、UN-R155が要求するのは個別のセキュリティ技術ではなく、設計から運用まで継続して回るサイバーセキュリティ管理体制である。

UN-R155とは何か

UN-R155とは、車両のサイバーセキュリティと、それを管理する組織体制に関する国連の統一規則であり、2021年1月に国連の自動車基準調和フォーラム（UNECE WP.29、1958年協定の枠組み）で採択された世界初の強制規格である（出典：UNECE UN Regulation No. 155）。EUでは2022年7月から新型車、2024年7月から継続生産車へ適用が及んでいる。背景にあるのは、SDV（ソフトウェア・デファインドな車）化によって車両のソフトウェア依存と外部接続が増え、サイバー攻撃を受けうる面（攻撃面）が大きく広がったことである。

問われるのは「製品」ではなく「体制」——二段階の認証構造

UN-R155の最大の特徴は、「組織の認証」と「車両の認証」の二段階構造にある。

第一段階のCSMS（サイバーセキュリティ管理体制）認証は、メーカー組織全体の管理体制を認証するものである。CSMS認証はISO/SAE 21434（車両サイバーセキュリティエンジニアリングの国際規格）と密接に関連し、TARA（脅威分析・リスクアセスメント）のプロセス、脆弱性管理、インシデント対応体制の整備が求められる。認証の有効期間は3年で、期限前の更新が必要になる。

第二段階の車両型式認証は、個別の車両型式がCSMSの管理下で開発・製造されていることを確認する。車両のE/Eアーキテクチャ、通信インターフェース、OTA更新機構、外部接続ポイントのすべてがサイバーセキュリティ要件を満たすかが審査される。審査を担う技術サービス機関としては、KBA（ドイツ連邦自動車局）、UTAC（フランス）、TÜV SÜD などが指定されている。

つまり問われるのは「良い車を1台つくれるか」ではなく、「サイバーセキュリティを組織として管理し続けられるか」である。これがUN-R155を従来の安全基準と分かつ最大の点だ。

7つの脅威カテゴリ（Annex 5）

UN-R155のAnnex 5は、車両が直面しうるサイバー脅威を7カテゴリに分類し、合計70項目以上の緩和策を規定している。メーカーはこれらすべてに対する対策を文書化し、認証機関に提出する必要がある。

更新手順（カテゴリ3）は、ソフトウェア更新管理を定めるUN-R156（SUMS：ソフトウェア更新管理体制）と密接に連動する。サイバーセキュリティと更新管理は、制度としても一体で運用される。

SDVアーキテクチャへの影響——設計段階からの統合とサプライチェーン

UN-R155は、SDVの設計に二つの構造的な影響を与える。

第一に、「セキュリティ・バイ・デザイン」（設計段階からセキュリティを組み込む考え方）の義務化である。従来はセキュリティを開発の後半で「追加」しがちだったが、UN-R155はCSMSを通じて設計段階からの統合を求める。これは、機能を安全度ごとに分離するドメイン分離設計と親和性が高く、各領域のセキュリティ境界が明確に定義されたアーキテクチャほど認証取得が容易になる。

第二に、サプライチェーン全体のセキュリティ管理である。UN-R155 §7.2.2.2は、メーカーが一次・二次サプライヤのサイバーセキュリティ管理体制を監査する義務を明記している。これは「系列」を含む既存の取引構造に対し、長年の信頼関係とは独立した、文書化されたセキュリティ監査プロセスの構築を求めるものである。

認証取得の実務と「継続する」性質

CSMS認証の取得は、一般にギャップ分析（現状体制と要件の差分特定）→CSMS構築（TARAプロセス・脆弱性管理・インシデント対応体制・サプライチェーン監査の整備）→認証審査（書類審査と現地監査）という段階を踏む。取得には相応の費用と、一般に1年を超える期間を要するとされる（規模・体制により大きく異なるため、本記事では特定の金額・期間を断定しない）。

重要なのは、CSMS認証が有効期間3年で、期限前の更新審査を要する点である。サイバー脅威は日々変化するため、「一度取れば終わり」ではなく、継続的なセキュリティ能力の維持・向上が求められる。この継続性はSDVのOTA更新とも連動し、セキュリティパッチの配信体制がCSMS維持の一部になる。

なお、他地域も同種の規制を整えつつある。中国は2024年8月にGB 44495／GB 44496を発行し2026年1月から新型車に適用しているが、独自暗号（SM2/SM3/SM4）の実装義務やデータの国内保存要件など中国固有の要素を含む。グローバルに展開する場合、UN-R155準拠の体制に加えて地域固有の要件への対応が要る。

まとめ：UN-R155は技術要件ではなく組織要件

UN-R155の核心は、「サイバーセキュリティは個別技術ではなく組織の能力である」という一点に尽きる。暗号やファイアウォール製品の導入では足りず、ガバナンス・インシデント対応・サプライチェーン管理を継続して運用する体制が問われる。自社で具体化する際、まず確かめたい論点は次のあたりになる。

• CSMS（管理体制）を、誰が・どの責任で構築し、3年ごとの更新も含めて継続運用するか。
• 設計段階からのセキュリティ統合を、アーキテクチャ（ドメイン分離など）にどう織り込むか。
• サプライヤのセキュリティ体制を、文書化された監査プロセスとしてどう確立するか。

経営インパクトの全体像はSDVとサイバーセキュリティ／法規制の経営インパクトを、SDVそのものの全体像は【SDV入門】経営層が掴むSDVの全体像をあわせて参照してほしい。ここまではUN-R155の構造と枠組みだが、自社の製品・体制に即した認証対応の設計は個別性が高く、自社固有の前提に落とし込む段階では、外部の視点を入れると論点整理が速い。