Para los fabricantes de vehículos, los proveedores y la normativa UNECE R155 ya no son un tema secundario. El Reglamento n.º 155 de la ONU sobre ciberseguridad y sistemas de gestión de la ciberseguridad es la primera normativa internacional de este tipo, y su impacto trasciende la propia organización del fabricante de equipos originales (OEM). En el caso de las empresas de nivel 1 (Tier 1) y nivel 2 (Tier 2), los clientes ahora exigen pruebas de su capacidad en materia de ciberseguridad como parte de la relación comercial. Este artículo no explica cómo cumplir con la norma, sino que expone qué debería poder responder un directivo hoy en día y por qué dichas cuestiones son importantes.
Qué implican la R155 y la R156 para el sector
El reglamento R155 de la ONU exige a los fabricantes de vehículos implementar un sistema de gestión de la ciberseguridad que abarque todo el ciclo de vida del vehículo. Según la UNECE, esta norma introduce disposiciones de auditoría que permiten evaluar las medidas de ciberseguridad aplicadas por los fabricantes —incluida la capacidad de sus proveedores para mitigar riesgos relacionados con la ciberseguridad—, así como la obligación de realizar evaluaciones de riesgos y mantenerlas actualizadas. El reglamento R156 de la ONU aborda una cuestión conexa: la gestión de las actualizaciones de software, garantizando que estas se planifiquen, distribuyan y registren de manera controlada y auditable durante la vida útil del vehículo. Aunque la normativa se aplica a los fabricantes, los vehículos se componen de piezas diseñadas y producidas por proveedores. Por ello, los requisitos se trasladan a lo largo de la cadena de suministro mediante especificaciones del cliente, acuerdos de calidad y criterios de selección de proveedores.
Qué se suele exigir a los proveedores en el marco de la UNECE R155
Las solicitudes de los clientes a los proveedores respecto a la UNECE R155 suelen seguir un patrón común. Los fabricantes (OEM) preguntan qué productos están sujetos a la norma, quién es el responsable dentro de la empresa proveedora y qué pruebas existen de que se ha tenido en cuenta la ciberseguridad a lo largo de todo el ciclo de vida del producto. También solicitan información sobre cómo se gestionan las vulnerabilidades y las actualizaciones de software una vez iniciada la producción; es aquí donde cobra relevancia el reglamento R156 de la ONU. El denominador común es que la evaluación de los proveedores bajo la UNECE R155 se basa en su capacidad organizativa, y no en un documento aislado. Los clientes quieren constatar que existe un responsable de esta materia, un alcance definido y prácticas coherentes, independientemente del producto o de la planta de fabricación.
Por qué los proveedores se enfrentan a un nuevo tipo de diálogo sobre la UNECE R155
Se observan tres cambios fundamentales en el sector:
- La ciberseguridad se incorpora a las conversaciones sobre aprovisionamiento. Las solicitudes de evidencias aparecen junto a los criterios de calidad y entrega. Un proveedor que responde con claridad destaca frente a uno que no puede hacerlo.
- La responsabilidad trasciende las funciones específicas. La ciberseguridad del producto afecta a las áreas de ingeniería, calidad, TI y legal. Sin un responsable designado, las solicitudes de los clientes circulan sin obtener una respuesta clara.
- El ciclo de vida del producto se prolonga. Las obligaciones no terminan con el inicio de la producción; la gestión de vulnerabilidades y las actualizaciones de software siguen siendo relevantes durante toda la vida útil del vehículo.
Los programas globales de vehículos conllevan expectativas globales, independientemente de la planta que fabrique el componente.
Seis preguntas para su equipo directivo
1. Alcance. ¿Cuáles de nuestros productos y servicios están sujetos a los requisitos del cliente vinculados a las normas R155 o R156?
2. Expectativas del cliente. ¿Disponemos por escrito de los requisitos de ciberseguridad y actualización de software de cada fabricante (OEM) y sabemos en qué difieren entre ellos?
3. Responsabilidad. ¿Quién es el responsable de la ciberseguridad del producto en nuestra organización? ¿Es una sola persona o una responsabilidad compartida?
4. Evidencias. ¿Podemos demostrar prácticas documentadas coherentes con la norma ISO/SAE 21434, o solo tenemos la intención de seguirlas?
5. Postproducción. ¿Qué sucede cuando se notifica una vulnerabilidad tras el inicio de la producción y quién toma la decisión?
6. Subproveedores. ¿Qué exigimos a nuestros propios proveedores y qué sabemos realmente sobre lo que suministran?
Lo que esto significa para su organización
Según nuestra experiencia, las organizaciones que tienen dificultades rara vez son aquellas que carecen de respuestas. Son aquellas cuyas respuestas residen en departamentos distintos y nunca se han unificado. Si responder a varias de estas preguntas lleva más de un minuto, es probable que la brecha ya sea visible para el cliente, aunque nadie la haya señalado todavía. El objetivo no es preparar respuestas para un auditor, sino conocer su propia situación antes de que una adjudicación, una auditoría del cliente o una negociación contractual la ponga a prueba. Estas cuestiones se suman a las expectativas de seguridad de la información ya habituales en el sector. Muchos proveedores abordan conjuntamente la ciberseguridad del producto y la seguridad de la información de la organización; además, los clientes evalúan cada vez más TISAX y la ciberseguridad del producto como un indicador único de la madurez del proveedor. Para los proveedores sujetos a la norma UNECE R155, el paso más útil es realizar un análisis interno honesto sobre dónde se encuentran actualmente dichas respuestas. Esa perspectiva constituye la base de cualquier conversación posterior con el cliente, y resulta más económico abordarla antes de la fase de adjudicación que durante la misma.
Conclusión
Los proveedores sujetos a la normativa UNECE R155 que traten estas seis cuestiones como una prioridad de gestión —y no meramente como una tarea de ingeniería— estarán en una posición más ventajosa de cara a sus futuras conversaciones con los clientes. Ariol Automotive ayuda a fabricantes de equipos originales (OEM) y a proveedores de niveles Tier 1 y Tier 2 de todo el mundo a prepararse para cumplir con TISAX, IATF 16949, VDA 6.x y los requisitos de ciberseguridad en el sector de la automoción, ofreciendo servicios de consultoría y auditoría.
