Delegierte Verordnung gibt neue Leitplanken für Secure Gateway, OBD-Zugang und RMI

Die Delegierte Verordnung (EU) 2026/699 ändert Anhang X der Verordnung (EU) 2018/858 grundlegend. Für Fahrzeughersteller ist das vor allem deshalb relevant, weil die EU nach der Secure-Gateway-Debatte erstmals detailliert regelt, welche Sicherheitsmaßnahmen beim Zugang zu OBD-Informationen zulässig sind – und wo die Grenze zur unzulässigen Zugangsbeschränkung verläuft.

Unabhängige Marktteilnehmer haben nach Art. 61 ff. i.V.m. Anhang X der Verordnung (EU) 2018/858 Anspruch auf uneingeschränkten, standardisierten und diskriminierungsfreien Zugang zu Fahrzeug-OBD-Informationen sowie zu Reparatur- und Wartungsinformationen (RMI). Gleichzeitig müssen Fahrzeughersteller Fahrzeuge vor Cyberangriffen und unberechtigten digitalen Zugriffen schützen. Genau dieses Spannungsfeld war unionsrechtlich bislang nicht ausreichend aufgelöst.

Besonders virulent wurde das Thema nach dem EuGH-Urteil C-296/22 in Sachen Carglass. In dem Verfahren stritten die unabhängigen Werkstattketten ATU und Carglass mit FCA Italy über das sogenannte „Secure Gateway“, das den Zugriff auf Fahrzeugdaten über die OBD-Schnittstelle an zusätzliche Voraussetzungen wie Registrierung, Serveranbindung und kostenpflichtige Abonnements knüpfte. Der EuGH führte diesbezüglich aus: „Daraus folgt, dass andere Voraussetzungen für den Zugang zu den in Art. 61 Abs. 1 der Verordnung 2018/858 genannten Informationen als die in dieser Verordnung vorgesehenen Voraussetzungen, wie eine Verbindung des Diagnosegerätes über das Internet mit einem vom Hersteller bestimmten Server oder eine vorherige Anmeldung der unabhängigen Wirtschaftsakteure bei diesem Hersteller, nach dieser Verordnung nicht zulässig sind“. In der Praxis wurde dieses Urteil teilweise dahingehend verstanden, dass Hersteller gar keine Sicherheitsvorkehrungen wie Secure-Gateway-Konzepte einsetzen dürfen, wenn dadurch der Zugang unabhängiger Marktteilnehmer auch nur geringfügig erschwert wird. Für OEMs führte das zu erheblicher Rechtsunsicherheit.

Dieser Rechtsunsicherheit versucht die Kommission nun durch die neue Delegierte Verordnung aufzulösen.

Kern der Reform: Cybersecurity ja, aber nur nach dem neuen Regelwerk

Die wichtigste Neuerung ist Anlage 4 zu Anhang X. Sie enthält die Bedingungen und Verfahren, die Fahrzeughersteller anwenden dürfen, wenn sie ihr Cybersecurity-Konzept mit Auswirkungen auf den Zugang zum Fahrzeugdatenstrom über den OBD-Port oder andere bordseitige Zugangsmöglichkeiten implementieren (mehr Flexibilität soll bei zusätzlichen Remote-Zugangsmöglichkeiten bestehen). Die Verordnung erlaubt Sicherheitsmaßnahmen nun ausdrücklich, aber nur innerhalb eines eng vorgegebenen Korridors.

Je nach Art des Zugriffs dürfen Hersteller insbesondere eine Authentifizierung des Diagnosegeräts und seines Herstellers verlangen; bei fahrzeugverändernden Eingriffen kann auch eine Authentifizierung des unabhängigen Wirtschaftsakteurs und in bestimmten Fällen sogar des Mitarbeiters verlangt werden.

Der Hersteller darf den Zugang nicht über die in Anlage 4 festgelegten Beschränkungen hinaus einschränken. Die Cybersicherheitsmaßnahmen müssen erforderlich und verhältnismäßig sein und dürfen unabhängige Marktteilnehmer nicht diskriminieren. Für OEMs lautet die entscheidende Frage daher nicht mehr, ob Sicherheitsmaßnahmen überhaupt zulässig sind, sondern ob ihr Security-Konzept im Einklang mit der Delegierten Verordnung umgesetzt ist.

Eine gesonderte Übergangsfrist für das neue Security-Konzept nach Anlage 4 sieht die Delegierte Verordnung nicht vor. Die Vorgaben der Anlage 4 gelten daher grundsätzlich ab Inkrafttreten der Verordnung am 23. Juni 2026. Die weiteren Umsetzungsfristen finden Sie nachfolgend im Überblick.

Praxisfolgen: Was Unternehmen jetzt tun sollten

Die neue Verordnung löst das Spannungsfeld zwischen Zugang und Sicherheit nur dann zugunsten des Herstellers auf, wenn das Security-Konzept den Vorgaben des neuen Regelwerks entspricht. Abweichungen können dazu führen, dass das Sicherheitskonzept unionsrechtswidrig ist.

Das Thema ist wirtschaftlich hoch relevant und steht unter intensiver Beobachtung durch unabhängige Marktteilnehmer, Verbände, Diagnosegerätehersteller und Aftermarket-Dienstleister. Entsprechend hoch ist das Risiko, dass nicht regelkonforme Zugangsbeschränkungen Gegenstand privater Rechtsdurchsetzung werden. Hinzu kommen behördliche Maßnahmen und typgenehmigungsrechtliche Konsequenzen. Das reicht -von aufsichtsrechtlichen Maßnahmen und Bußgeldern bis zu Maßnahmen mit Auswirkungen auf die relevante Typgenehmigung.

OEMs sollten ihre bestehenden Secure-Gateway- und sonstigen Zugangssicherheitskonzepte jetzt unverzüglich an Anlage 4 messen und, soweit erforderlich, anpassen. Dabei ist besonders zu berücksichtigen, dass die Kommission erkennbar von einer engen und strukturierten Einbindung der Diagnosetoolhersteller ausgeht. Diese Einbindung muss organisatorisch, technisch und insbesondere auch vertraglich abgebildet werden.

In der Praxis wird dies regelmäßig Anpassungen der bestehenden Verträge mit Diagnosetoolherstellern erfordern. Daneben sollten sie ihr RMI-Portal, ihre Datenpaketlogik und API-Strukturen überprüfen.

Unser Eindruck: Die Delegierte Verordnung (EU) 2026/699 beendet die Debatte um Secure Gateway nicht, sondern verlagert sie. Künftig wird nicht mehr im Vordergrund stehen, ob Sicherheitsmaßnahmen zulässig sind, sondern ob das konkrete Sicherheitskonzept innerhalb der engen unionsrechtlichen Leitplanken bleibt. Genau dort werden sich künftige Streitigkeiten entscheiden.

Weitere wesentliche Änderungen

 

Fristen im Überblick