01 · 合规体系全景
车联网安全合规呈"工程方法（ISO/SAE 21434）＋准入法规（UNECE R155/R156）＋强制国标（GB 44495/44496）＋数据与漏洞监管"四层叠加结构。出海车企需同时满足目标市场法规，国内销售则以强制国标为底线：
| 规范 | 性质 | 适用范围 | 关键要求 | 时间 |
|---|---|---|---|---|
| ISO/SAE 21434:2021 | 工程方法（自愿） | 道路车辆全生命周期 | TARA、CAL、网络安全计划、全生命周期过程 | 2021.8发布 |
| UNECE R155 | 法规 | 缔约方市场车型准入（欧盟等） | CSMS体系＋车辆级网络安全证明 | 2021.1生效；欧盟2022.7/2024.7分阶段强制 |
| UNECE R156 | 法规 | 同上 | SUMS体系＋OTA技术要求（完整性/真实性/失败安全/用户告知） | 同上 |
| GB 44495—2024 | 强制性国标 | 中国市场新申请型式批准车型 | 整车信息安全技术要求＋相应试验方法（覆盖外部连接、通信、数据等安全要求） | 2024.8.23发布；第1号修改单（2026.1.28批准）：新申请型式批准车型2026.7.1起执行，已获批准车型2028.1.1起执行 |
| GB 44496—2024 | 强制性国标 | 同上 | 软件升级管理体系与升级安全技术要求＋试验方法 | 2024.8.23发布；第1号修改单同步调整为2026.7.1（新申请）/2028.1.1（已获批准） |
| GB/T 40861—2021 | 推荐性国标 | 汽车网络安全通用能力 | 整车及零部件网络安全通用技术要求，可作差距分析参考框架 | 2021发布，2022.5实施 |
| 《汽车数据安全管理若干规定（试行）》 | 部门规章 | 中国境内汽车数据处理活动 | 默认不收集、敏感信息强化保护、重要数据风险评估与年度报送（每年12月15日前） | 2021.10.1施行 |
| 《网络产品安全漏洞管理规定》 | 部门规章 | 汽车产品属网络产品范围 | 漏洞接收渠道、按规定时限报送（一般2日内）并立即组织修复、不得违规披露 | 2021.9.1施行 |
| 《缺陷汽车产品召回管理条例》 | 行政法规 | 缺陷汽车产品（含软件缺陷） | 缺陷调查与召回义务——网络安全缺陷已成为召回实践中的正式类别 | 2013.1.1施行 |
02 · GB 44495—2024 / GB 44496—2024 落地拆解
两项强制国标于2024年8月23日发布，原定2026年1月1日实施；2026年1月28日第1号修改单（GB 44495-2024/XG1-2026、GB 44496-2024/XG1-2026）经批准发布：新申请型式批准车型自2026年7月1日起执行，已获得型式批准车型自2028年1月1日起执行；修改单同时将GB 44495适用范围调整为M类、N类车辆（GB 44496仍适用于具备软件升级功能的M类、N类、O类车辆）。落地要点：
- 证据前置：型式试验机构将按标准的试验方法逐项测试——车企需在申请前完成内部预测试并留存可追溯证据（测试环境、版本、结果）；
- 体系与技术并审：整车信息安全技术要求的满足，背后依赖CSMS/SUMS类体系的持续运转（漏洞管理记录、OTA发布记录、渗透测试报告）；21434/R155的过程证据可直接转化复用；
- 与OTA强绑定：GB 44496的升级安全要求（升级包保护、车端执行安全、失败处理）与GB 44495的整车要求需统一设计，避免"按44496过了升级、但升级引入的功能破坏了44495的防护"这类内部矛盾；
- 数据合规协同：标准中的数据安全要求与《汽车数据安全管理若干规定》衔接——重要数据识别与年报机制应纳入数据字典设计阶段（第4页）。
03 · CSMS/SUMS建设要点
- 治理层：董事会责任、CSO任命、跨部门例会机制——体系审核时首先核查"责任是否真实存在"；
- 过程层：TARA嵌入开发节点、需求双向追溯、供应商安全条款（含漏洞通报义务与时限）、变更管理；
- 技术层：密钥管理（HSM、产线注入）、OTA安全链（第5页）、监测与检测能力（车队SOC）；
- 响应层：PSIRT（产品安全事件响应团队）建设、漏洞定级标准、修复与OTA/召回决策流程、监管报送接口；
- 改进层：内审（可参照ISO/PAS 5112）、管理评审、事件复盘、供应商绩效评价。
04 · 差距分析与六步实施路线
05 · 安全运营与响应
- 漏洞管理时限：依据《网络产品安全漏洞管理规定》，网络产品提供者应在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息并立即组织修复；同时建立对外的漏洞接收渠道（邮箱/平台）与内部定级流程；
- 召回衔接：网络安全缺陷可触发缺陷汽车召回（2015年Jeep召回是先例）——OTA修复与召回的决策边界、监管沟通流程应预案化；
- 车队监测：建立车企级SOC，覆盖T-Box异常行为、云API滥用、V2X异常消息（第6页）三类信号；
- 攻防演练：年度整车红队演练（台架＋封闭场地）＋供应商协同演练；演练结论回写TARA风险库（第3页）；
- 数据合规运营：重要数据识别台账、风险评估报告、每年12月15日前年度报送、出境评估流程。
06 · 交付物清单与度量指标
- 交付物：①适用法规清单与差距分析报告；②CSMS/SUMS体系文件包；③GB 44495/44496预测试证据包；④漏洞管理与事件响应预案；⑤数据合规制度包（数据字典、PIA、年报模板）；⑥年度演练与审计报告。
| 度量指标 | 口径说明 |
|---|---|
| 高危漏洞修复时长 | 从确认到OTA发布/缓解的中位天数，按季度统计（对标：监管报送时限与行业公开案例的修复节奏） |
| OTA安全覆盖率 | 具备签名验签＋防回滚的ECU占比；EOL车型除外但需清单化管理 |
| 产线密钥注入合规率 | 按车型审计密钥注入记录完整性与调试口封闭核查通过率 |
| 演练频次与闭环率 | 年度红队/桌面演练次数；发现问题的整改闭环比例 |
| 合规报送及时率 | 漏洞报送（2日内）与汽车数据年报（每年12月15日前）的按时完成率 |
本节参考来源（第8页）
GB 44495—2024《汽车整车信息安全技术要求》（含第1号修改单，2026.1.28批准：新申请型式批准车型2026.7.1起执行、已获批准车型2028.1.1起执行，适用范围调整为M类、N类）、GB 44496—2024《汽车软件升级通用技术要求》（含第1号修改单）、GB/T 40861—2021《汽车网络安全通用技术要求》：openstd.samr.gov.cn（国家标准全文公开系统）。
UNECE UN R155/R156官方文本：unece.org/transport/vehicle-regulations/wp29。
《汽车数据安全管理若干规定（试行）》（2021年10月1日施行）：gov.cn；《网络产品安全漏洞管理规定》（2021年9月1日施行）：miit.gov.cn；《缺陷汽车产品召回管理条例》（2013年1月1日施行）：gov.cn。
ISO/SAE 21434:2021、ISO 24089:2023、ISO/PAS 5112:2022（审计指南）：iso.org。
工业和信息化部等五部门智能网联汽车"车路云一体化"应用试点城市名单（2024年7月）：miit.gov.cn。