汽车电子出口欧盟的 E/e-Mark 技术门槛（UNECE R155：零部件供应商要交哪些网络安全交付物）

主机厂去拿欧盟型式批准（WVTA）的时候，网络安全这一项不是只查车型，会一路追溯到零部件供应商。你的 ECU、网关、车机、T-Box 想进欧盟项目，主机厂在项目定点前往往会先问你要几样网络安全交付物——不少工厂到这时候才发现，自己一样都没准备。

很多做汽车电子零部件的厂家，默认 UNECE R155 是主机厂自己的事：反正拿证书的是车厂，跟一颗芯片、一块控制板没关系。等到项目定点被集中索要一堆网络安全文件，才意识到车辆合规是从零部件一层层堆起来的。

UNECE R155 管的是 CSMS（网络安全管理体系）。型式批准前，主机厂必须证明车辆整体的网络安全体系在持续运行。落到零部件供应商，主机厂要的是两样：一份 CSMS 符合性声明，以及针对本部件的安全支撑证据——这个范围由 TARA（威胁分析与风险评估）确定，覆盖资产识别、攻击路径和已经落地的控制措施。

型式批准是一张车型的证书，但合规是逐颗芯片、逐行代码喂出来的。

具体要交付的物项，通常有三块。

一是针对本零部件的 TARA 报告。这不是套模板的泛泛而谈，而是按部件真实的对外接口、通信总线和暴露面做的：先认资产，再画攻击树，给每条路径定影响和可行度，最后落到缓解措施和残余风险等级。主机厂审的正是「这份 TARA 是不是真的对着我的零件做的」。

二是软件变更的对接机制。零部件一旦要走 OTA 或现场升级，更新动作之前必须先过 UNECE R155 的安全评估——确认这次更新不会引入新的网络安全漏洞，再走 UNECE R156 的 SUMS（软件更新管理体系）批准。两套体系在这个节点是咬合的：没有 R155 的安全背书，SUMS 的更新批准站不住。

三是漏洞披露与事件响应流程。发现漏洞怎么上报、怎么跟主机厂协同处置、多久给初步结论，都得书面化。监管要的是「出事了有人管、有迹可查」，不是临时救火。

需要划清一条边界：UNECE R155 只管网络安全体系，电磁兼容是另一回事，归 UNECE R10 法规管（CISPR 25 只是测量方法，不是 EMC 门槛依据）。迈科检测在汽车电子合规摸底中观察到，不少工厂把这两件事混在一起准备，反而两头都漏。

先按法规把边界分清楚，再逐物项补齐证据，比临时抱佛脚便宜得多。

对接欧盟项目前，先按这四样自查：

• 有没有做过针对本零部件的 TARA
• 能不能拿出 CSMS 符合性声明
• 软件变更接口是否对接了 UNECE R156 的 SUMS
• 漏洞披露与事件响应流程是否书面化

UNECE R155 与 R156 是逐级追溯的，越早把零部件这一层的证据理顺，后面车型拿型式批准越顺。如需按 UNECE R155 与 ISO/SAE 21434 梳理合规证据、做合规摸底，可与迈科检测确认评估与测试方案。