Para os fornecedores, a norma UNECE R155 deixou de ser um assunto secundário para as montadoras de veículos. O Regulamento nº 155 da ONU sobre segurança cibernética e sistemas de gestão de segurança cibernética é a primeira norma internacional desse tipo, e seu impacto vai muito além da própria organização da montadora (OEM). Para empresas de Nível 1 (Tier 1) e Nível 2 (Tier 2), os clientes agora exigem comprovação de capacidade em segurança cibernética como parte do relacionamento comercial. Este artigo não explica como obter a conformidade; ele apresenta as questões que um diretor deve ser capaz de responder hoje e explica por que essas perguntas são importantes.
O que as normas R155 e R156 significam para o setor
A norma UN R155 exige que as montadoras operem um sistema de gestão de segurança cibernética que abranja todo o ciclo de vida do veículo. Segundo a UNECE, ela introduz disposições de auditoria que permitem avaliar as medidas de segurança cibernética implementadas pelos fabricantes — incluindo a capacidade de seus fornecedores de mitigar riscos relacionados à segurança cibernética —, além de estabelecer a obrigatoriedade de realizar e manter atualizadas as avaliações de risco. A norma UN R156 aborda um tema correlato: a governança de atualizações de software, garantindo que elas sejam planejadas, entregues e registradas de maneira controlada e auditável ao longo da vida útil do veículo. Embora os regulamentos se apliquem aos fabricantes, os veículos são montados a partir de componentes projetados e produzidos por fornecedores. Por isso, os requisitos são transmitidos ao longo da cadeia de suprimentos por meio de especificações do cliente, acordos de qualidade e critérios de seleção de fornecedores.
O que geralmente se exige dos fornecedores em relação à UNECE R155
As solicitações feitas aos fornecedores no contexto da UNECE R155 tendem a seguir um padrão. As montadoras perguntam quais produtos estão no escopo, quem é o responsável dentro da empresa fornecedora e quais evidências comprovam que a segurança cibernética é considerada em todo o ciclo de vida do produto. Elas também questionam como é feita a governança de vulnerabilidades e atualizações de software após o início da produção — ponto em que a norma UN R156 se torna relevante. O aspecto central é que os fornecedores são avaliados com base em sua capacidade organizacional, e não apenas em um documento isolado. Os clientes querem constatar que o tema possui um responsável definido, um escopo claro e práticas consistentes, independentemente do produto ou da unidade fabril.
Por que os fornecedores enfrentam uma nova dinâmica de diálogo em relação à UNECE R155
Três mudanças são visíveis em todo o setor:
- A segurança cibernética passa a integrar as discussões sobre aquisição e seleção de fornecedores. Solicitações de evidências surgem juntamente com critérios de qualidade e entrega. Um fornecedor que responde de forma clara se destaca daqueles que não conseguem fazê-lo.
- A responsabilidade atravessa diferentes áreas funcionais. A cibersegurança do produto envolve engenharia, qualidade, TI e jurídico. Sem um responsável definido, as solicitações dos clientes circulam sem uma resposta clara.
- O ciclo de vida do produto é extenso. As obrigações não terminam com o início da produção. O tratamento de vulnerabilidades e as atualizações de software permanecem relevantes durante toda a vida útil do veículo.
Programas globais de veículos trazem expectativas globais, independentemente de qual fábrica produza o componente.
Seis perguntas para sua equipe de liderança
1. Escopo. Quais de nossos produtos e serviços estão sujeitos aos requisitos do cliente vinculados à R155 ou R156?
2. Expectativas do cliente. Temos por escrito os requisitos de cibersegurança e atualização de software de cada OEM e sabemos onde eles diferem entre os clientes?
3. Responsabilidade. Quem é o responsável pela cibersegurança do produto em nossa organização? É uma única pessoa ou uma responsabilidade compartilhada (com possíveis lacunas)?
4. Evidências. Podemos demonstrar práticas documentadas em conformidade com a norma ISO/SAE 21434 ou apenas a intenção de segui-las?
5. Pós-produção. O que acontece quando uma vulnerabilidade é relatada após o início da produção e quem toma a decisão?
6. Subfornecedores. O que exigimos de nossos próprios fornecedores e o que realmente sabemos sobre o que eles entregam?
O que isso significa para sua organização
Em nossa experiência, as organizações que enfrentam dificuldades raramente são aquelas que não têm respostas. São aquelas cujas respostas estão dispersas em diferentes departamentos e nunca foram consolidadas. Se levar mais de um minuto para responder a várias dessas perguntas, a lacuna provavelmente já é visível para o seu cliente, mesmo que ninguém a tenha apontado ainda. O objetivo não é preparar respostas para um auditor, mas sim conhecer sua própria situação antes que uma nomeação, uma auditoria do cliente ou uma discussão contratual a coloque à prova. Essas questões também se somam às expectativas de segurança da informação já comuns no setor. Muitos fornecedores tratam a cibersegurança do produto e a segurança da informação organizacional de forma integrada, e os clientes veem, cada vez mais, o TISAX e a cibersegurança do produto como um retrato único da maturidade do fornecedor. Para fornecedores sujeitos à UNECE R155, o passo mais útil é uma análise interna honesta sobre onde essas respostas se encontram atualmente. Essa perspectiva serve de base para todas as interações futuras com o cliente, sendo menos custoso implementá-la antes da fase de nomeação do que durante ela.
Conclusão
Os fornecedores sujeitos à norma UNECE R155 que tratarem essas seis questões como uma pauta de gestão — e não apenas como uma tarefa de engenharia — estarão em melhor posição nas futuras negociações com clientes. A Ariol Automotive auxilia montadoras (OEMs) e fornecedores de Nível 1 e 2 em todo o mundo a se prepararem para a TISAX, IATF 16949, VDA 6.x e para os requisitos de cibersegurança automotiva, oferecendo suporte em consultoria e auditoria.
