Sind die Kfz-Hersteller verpflichtet, das Cyber-Sicherheitskonzept der einzelnen Fahrzeuge offen zu legen?

Eine generelle Verpflichtung des Kfz-Herstellers, dem Arbeitgeber oder Fahrzeughalter das vollständige Cyber-Sicherheitskonzept eines Fahrzeugs offenzulegen, besteht nicht. Bei dienstlich genutzten Fahrzeugen handelt es sich grundsätzlich um Arbeitsmittel im Sinne der Betriebssicherheitsverordnung (BetrSichV). Die TRBS 1115 Teil 1 „Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen“ (s) konkretisiert die BetrSichV hinsichtlich erforderlicher Cybersicherheitsmaßnahmen.

Bei verwendungsfertigen Arbeitsmitteln kann sich der Arbeitgeber grundsätzlich auf die vom Hersteller vorgesehenen Cybersicherheitsmaßnahmen und Hinweise, z. B. zu erforderlichen Updates, stützen. Für moderne Kraftfahrzeuge bestehen zusätzlich Anforderungen nach der UN-Regelung Nr. 155 zur Cybersicherheit und zum Cyber Security Management System (CSMS). Der Hersteller muss gegenüber der Typgenehmigungsbehörde nachweisen, dass Cyberrisiken bewertet und geeignete Schutzmaßnahmen umgesetzt werden. Eine Verpflichtung zur vollständigen Offenlegung dieser technischen Sicherheitskonzepte gegenüber dem Fahrzeughalter ergibt sich daraus jedoch nicht.

Für den Arbeitgeber ist daher insbesondere wichtig, Herstellerhinweise und Sicherheitsupdates zu beachten. Werden zusätzliche Systeme oder Schnittstellen eingesetzt, z. B. Flottenmanagement-, Telematik-, OBD- oder Drittanbietersysteme oder Verbindungen zum betrieblichen Netzwerk, sind die dadurch entstehenden Gefährdungen im Rahmen der Gefährdungsbeurteilung gesondert zu betrachten.