GB 44495-2024 与 UN R155 有什么区别？中国车企面向欧洲的网络安全证据怎么准备

国内项目准备 GB 44495-2024 资料，欧洲客户又提到 UN R155。工程团队最容易犯的错误，是把两份法规理解为同一个认证清单。两者都涉及汽车网络安全，但适用范围、管理方式和证据接收方不能直接画等号。

GB 44495-2024 规定了什么？

GB 44495-2024 的名称是《汽车整车信息安全技术要求》。它属于中国强制性国家标准，于 2024 年 8 月 23 日发布，2026 年 1 月 1 日实施。国家标准信息平台已将其列为现行标准。工信部发布公告时明确提到标准制定与 UN R155 等国际法规进行了协调。^S4S5

“整车”二字值得注意。零部件供应商需要根据客户提出的整车项目要求，明确自己的工作范围。不能只看标准名称，就声称每一种单独售卖的 ECU 都要独立完成相同的整车认证程序。

UN R155 的重点是什么？

UN R155 围绕车辆网络安全和网络安全管理体系展开，属于联合国车辆法规框架的一部分。它在采用该法规的市场内，与车辆型式批准的相关要求联系紧密。制造商需要说明风险如何被识别、评估、处理及持续监测。^S1S2

供应商职责主要通过制造商的供应链管理和商业合同体现。项目团队应检查客户的网络安全接口协议、工程工作产品要求以及更新和问题上报机制。单独拿一份 TARA 报告，并不等于完成整套客户交付。

ISO/SAE 21434 又处在什么位置？

ISO/SAE 21434:2021 是道路车辆网络安全工程标准。它覆盖概念、开发、生产、运行、维护和退役等阶段。标准提供风险管理的工程语言与过程要求，但不是车辆型式批准法规，也不要求使用某一家软件产品。^S3

一套团队内部管理良好的 TARA，可以成为多种客户审查工作的技术基础。可复用的是经过批准的工程事实与证据，不是一个通用的“已合规”标记。具体要求仍需逐项核对。

怎样建立可复用的证据链？

建议以产品版本和 ECU 为主线整理材料。架构记录说明接口、外部连接和边界。资产记录说明固件、通信和权限。损害情景说明车辆会受到什么影响。威胁和攻击路径说明攻击条件。风险记录说明处理决定，控制和测试说明这些决定有没有工程依据。

不同项目的差异集中写在需求映射表中。例如，一家欧洲 OEM 要求某条供应商接口证据，国内项目需要另外一项整车安全资料。工程团队可以复用已经验证的底层记录，再补充客户专用说明。

不要简单复制风险矩阵的颜色。不同组织的评级方法、批准权限和产品边界可能不同。任何转换都应该显式记录，保留原始分数与所使用的方法版本。

特别注意：欧盟 CRA 不是所有汽车产品的默认要求

欧盟《网络韧性法案》（Regulation (EU) 2024/2847）第 2 条第 2 款(c) 对适用 Regulation (EU) 2019/2144 的数字产品设有排除规定。汽车相关数字产品是否落入排除范围，需要按产品实际适用法律判断。不能把“卖到欧洲”直接等同于“必须全面适用 CRA”。^S9

这一点对供应商营销和项目合同都很重要。网站若把 CRA、UN R155 和 ISO/SAE 21434 描述为完全等价，会让熟悉法规的采购团队产生疑问。

QuickTARA 如何配合多项目证据管理？

QuickTARA 将架构、TARA 记录、风险处理、漏洞管理与报告放在同一工作流中。团队可以从一个工程结论追到相关资产、威胁、控制和审批历史，减少反复整理关联信息的工作。

工具不替代法律适用性判断，也不会单凭一份报告赋予产品法规认证。正确的评估方式是选一个实际车型或 ECU，核对客户要求，并检查 QuickTARA 输出的工程证据是否满足项目审查需要。

常见问题

GB 44495-2024 什么时候实施？ 官方公布的实施日期为 2026 年 1 月 1 日。^S5

UN R155 和 ISO/SAE 21434 是同一类文件吗？ 不是。前者是车辆法规框架中的要求，后者是工程标准。^S1S3

中国 Tier 1 出口欧洲只需要准备一份网络安全报告吗？ 没有这样的通用规则。应由客户合同、产品范围和目标市场要求确定交付证据。