关于车辆网络安全与网络安全管理体系批准的统一规定（UN Regulation No 155 [2021/387]）
联合国欧洲经济委员会世界车辆法规协调论坛（UNECE WP.29） · UN Regulation No 155 [2021/387]
第 155 号法规把车辆网络安全从技术要求升级为“组织能力＋车型证据”双重批准：制造商须先取得网络安全管理体系（CSMS）合规证书（有效期最长 3 年），再逐车型证明已完成穷尽风险评估、实施附件 5 所列缓解措施、并具备对已注册车辆的持续监测、检测与响应能力。审批机关在制造商未完成穷尽风险评估或未考虑附件 5 A 部分全部威胁时，应拒绝授予网络安全型式批准。
中国企业在以下动作下被管到：以整车厂身份向适用该法规的缔约方（含欧盟、英国、日本、韩国等）出口乘用车或商用车并申请型式批准；作为 Tier 1/Tier 2 向上述整车厂供应 ECU、域控制器、T-Box、智能座舱或自动驾驶域软硬件——整车厂须按第 7.2.2.5 段证明其 CSMS 覆盖对供应商与服务商的依赖，因此会把 CSMS 要求逐条下压到供应合同与审核中；为海外车型提供云端车联网平台、OTA 后台或安全运营中心服务。仅在中国境内销售的车型不受本法规约束，但同一平台跨市场复用时须做区域差异设计。
重点行业：智能驾驶、AI 硬件与算力
2021-01-22
第 155 号法规生效
适用该法规的 1958 年协定缔约方自此可依其颁发 CSMS 合规证书与车型网络安全型式批准。
2022-07-06
欧盟：新车型型式批准起强制适用第 155 号法规
第 (EU) 2019/2144 号条例自该日适用（第 18 条）。**强制适用日期写在附件二而不在正文**：附件二第 D4 项“车辆防网络攻击”（合并版“Regulatory acts”列载明 UN Regulation No 155）对 M1、M2、M3、N1、N2、N3、O1–O4 全部八列标注“B”；附件二“Notes to the table”把 B 的第一个日期定义为“拒绝授予欧盟型式批准之日：2022-07-06”。即：自该日起申请的新车型欧盟型式批准，须具备第 155 号法规意义上的 CSMS 与车型网络安全批准。序言第 26、27 项提供政策依据。
2024-07-01
附件 5 缓解措施“技术不可行”例外对新批准失效
第 7.3.4 段规定，仅对 2024 年 7 月 1 日之前的型式批准，制造商可在附件 5 B/C 部分缓解措施技术不可行时实施替代措施并向审批机关提供可行性评估；此后申请的型式批准不再享有该过渡安排。
2024-07-07
欧盟：全部新车注册起强制适用第 155 号法规
附件二“Notes to the table”把 B 的第二个日期定义为“禁止车辆注册、以及部件与独立技术总成投放市场与投入使用之日：2024-07-07”。即：自该日起，不符合第 D4 项（第 155 号法规）的车辆在欧盟不得注册，相关部件与独立技术总成不得投放市场或投入使用——既有车型的“老批准继续卖”窗口在此关闭。注意该日期晚于第 155 号法规第 7.3.4 段自身的 2024-07-01 过渡节点六天，两者是不同制度下的不同日期，排期时不可混用。
每条都写明触发条件、需要留存的证据与条款出处
由车辆制造商或其正式授权代表向缔约方指定的审批机关申请 CSMS 评估；评估通过并提交附件 1 附录 1 格式的签署声明后，按附件 4 格式颁发 CSMS 合规证书。证书自颁发之日起最长有效 3 年，除非被撤销；制造商须在有效期届满前留出足够时间申请换发或延期，并须就任何影响证书相关性的变更主动通知审批机关或技术服务机构，由其决定是否需要新的检查。
首次达标投入估算：60–180 人日（估算，非承诺）
制造商须识别车型的关键要素，对该车型开展穷尽风险评估并适当处置/管理已识别风险。评估须考虑车型各个要素及其相互作用，并须进一步考虑与任何外部系统的交互；评估风险时须考虑附件 5 A 部分列明的全部威胁以及其他相关风险。未做穷尽风险评估、或未考虑附件 5 A 部分全部威胁的，审批机关应拒绝授予批准。
首次达标投入估算：30–90 人日（估算，非承诺）
制造商须针对风险评估识别出的风险保护车型，实施相称的缓解措施，其中须包含附件 5 B、C 部分中与所识别风险相关的全部缓解措施；若某项缓解措施对所识别风险不相关或不充分，制造商须确保实施另一项适当的缓解措施。对 2024 年 7 月 1 日之前的型式批准，制造商在附件 5 B/C 措施技术上不可行时可实施替代措施，但须向审批机关提交技术可行性评估。
首次达标投入估算：25–80 人日（估算，非承诺）
制造商须证明其 CSMS 具备监测、检测并响应车型网络攻击、网络威胁与漏洞的流程，并能评估既有网络安全措施在新威胁面前是否仍然有效；监测须是持续的，须把首次注册后的车辆纳入，并具备从车辆数据与车辆日志中分析和检测威胁、漏洞与攻击的能力，同时尊重车主或驾驶人的隐私权（特别是同意问题）。对需要响应的威胁与漏洞，须在合理时限内完成缓解。制造商还须具备提供相关数据以支持已遂或未遂网络攻击分析的流程。
首次达标投入估算：40–120 人日（估算，非承诺）
制造商须证明其 CSMS 如何管理与签约供应商、服务提供商或制造商内部下属组织之间可能存在的依赖，以满足第 7.2.2.2 段的各项要求（包括风险识别、风险管理验证、网络安全测试、风险评估保持最新、监测检测响应等）。实践中体现为把网络安全要求写入采购规范与合同、对供应商开展审核、并约定漏洞通报与配合调查义务。
首次达标投入估算：15–45 人日（估算，非承诺）
本法规本身规定的后果是行政性的：审批机关可拒绝授予型式批准（第 5.1.3 段），可随时核查并在要求不再满足时撤销 CSMS 合规证书，CSMS 证书失效或被撤销将被视为相关车型批准的变更，可能导致型式批准被撤销。实际商业后果是车型无法上市或被停止销售。
本条目的法规文本依据欧盟官方公报刊载的 [2021/387] 版本核实（UNECE 官网本次返回 HTTP 403），其后 WP.29 通过的补充件/修订系列未能从一手文本核实，因此本条目不写入补充件层面的细化要求；具体申报前须查阅 UNECE 状态文件 TRANS/WP.29/343。欧盟侧的强制适用日期已核实：依第 (EU) 2019/2144 号条例附件二第 D4 项与“Notes to the table”注 B，新车型 2022-07-06、全部新车注册 2024-07-07，八个车辆类别一致；该等日期位于附件二而非条例正文，此前误以为“正文无直接条款”。欧盟以外缔约方（英国、日本、韩国等）的强制适用日期各自独立，不在本次核实范围内。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。