出口欧洲卡住的不是关税，是两张证书：CSMS 与 SUMS 正在重排供应商名单

结论先行：一台车要进入欧盟市场，除了整车型式批准，还必须持有两张体系证书——UN R155 的网络安全管理体系（CSMS）与 UN R156 的软件更新管理体系（SUMS）。R155 自 2022 年 7 月起对新车型强制、2024 年 7 月起覆盖所有新生产车辆；R156 同步实施。这两张证书按「体系」审核、有效期 3 年并需年度监督，意味着合规不是一次性投入，而是常年的组织成本；也意味着整车厂在选供应商时，必须先看对方能不能交出可审计的信息安全证据链。

国内对应的是 GB 44495-2024 与 GB 44496-2024，2024 年 8 月 23 日发布、2026 年 1 月 1 日起施行。要注意两套体系并不互认：欧盟按 UN 法规做 VTA，中国按 GB 做公告与 CCC，同一份 TARA 报告往往要按两套模板各出一遍。

三张纸：体系证书、车型批准、工程标准

关键区别在于：R155 强制的是 CSMS 体系审核与车型技术要求，不强制第三方 ISO/SAE 21434 证书。企业自建符合 21434 的工程流程即可，但审核时会被追问证据——威胁分析与风险评估（TARA）怎么做的、攻击面怎么枚举的、漏洞怎么闭环的。R155 附件的威胁清单按 7 大类展开，覆盖 30 余项具体威胁与 60 余项缓解措施，从后端服务器、通信信道、更新程序一直到物理接口与传感器欺骗。

这也是「一张证书 3 年、审核 3 天、准备 9 个月」的由来：真正的成本不在审核费，而在把研发流程改造成可审计状态。

供应商要交的五样东西

整车厂的 CSMS 覆盖全供应链，所以一级供应商会被要求提供五类材料，缺一项就无法进入定点名单：

第一是信息安全接口协议（CIA），明确双方在漏洞通报、事件响应上的责任边界与时限。第二是部件级 TARA，包含资产识别、攻击可行性评级（按攻击潜力法，3 到 6 级）与缓解措施映射到具体条款。第三是软件物料清单（SBOM），逐层列出开源组件与版本——这一项最容易被低估，一个 T-BOX 固件可能引用上百个开源包，其中任意一个出 CVE 都要能追溯。第四是漏洞管理流程，含 PSIRT 组织与披露窗口。第五是更新能力的证明：升级包签名、回滚机制、失败处理，与 R156/GB 44496 的条款一一对应。

成本与门槛：为什么小供应商会被筛掉

一套完整的 CSMS 建设，中等规模一级供应商的投入大致在 50 万到 150 万元（含咨询、工具、审核、人员），建成周期 6 到 12 个月，之后每年维护 15 万到 40 万元。SBOM 工具与代码扫描平台的年费在 10 万到 30 万元。对年营收 2 亿元以下的零部件企业，这笔支出相当于净利的 5% 到 15%，且不产生直接收入。

更硬的约束是能力，不是钱。TARA 需要既懂整车电子电气架构、又懂攻击面的人；一个 20 人的电子件团队通常只能抽出 1 到 2 人专职。这解释了 2024 年之后欧洲项目定点名单的一个明显变化：具备 CSMS 经验的一级供应商被优先纳入，二三线供应商被要求「随整车厂的体系走」，实质是把合规成本向上集中。

关税决定一辆车卖多少钱，CSMS 决定它能不能被注册；前者可以谈判，后者没有豁免。

对国内企业的现实路径是：先按 GB 44495 建立体系（施行时间 2026-01-01，新申请车型与存量车型另有过渡安排，具体以第 1 号修改单与主管部门口径为准），再用同一套资产清单与 TARA 模板映射到 R155 的条款，避免两套体系各做一遍。工程上最省力的做法不是买工具，而是先统一「资产—威胁—缓解措施」的三级编号，让每一份报告都能互相引用。

×

微信分享

微信扫一扫，或复制链接发送给朋友

复制链接