Załącznik II

1. Niniejszy załącznik ma zastosowanie wyłącznie do etapu 2 OBW.

2. Pojazd silnikowy i przyczepy lub naczepy w zespole pojazdów, w których zainstalowano przyrząd rejestrujący w przyczepie lub naczepie (TU), muszą być wyposażone w stację C-ITS podłączoną do przyrządu rejestrującego w pojeździe silnikowym („MVU”) lub TU, który umieszczono w odpowiednim pojeździe. MVU i TU mogą być zintegrowane w ramach przypisanych im stacji C-ITS.

3. MVU i TU przesyłają informacje do połączonych z nimi stacji C-ITS, niezbędne do przesyłania komunikatów zgodnie z pkt 4.3 niniejszego załącznika.

Rysunek 3

Przykładowy przepływ komunikatów w ramach etapu 2 OBW

Czujnik

Czujnik

Dane z czujników do obliczania masy

Nacisk osi przyczepy lub naczepy, naruszenie zabezpieczenia...

Nacisk osi pojazdu silnikowego, masa całkowita, naruszenie zabezpieczenia...

Stacja C-ITS

Nacisk osi przyczepy lub naczepy, naruszenie zabezpieczenia, błąd połączenia

Stacja C-ITS

Dane z czujników do obliczania masy

TU

MVU

Przyczepa wyposażona w OBW

Pojazd silnikowy z OBW

4. Wymiana informacji między pojazdem silnikowym a przyczepą lub naczepą

4.1. Wymiana informacji dotyczących masy między pojazdem silnikowym a ciągniętymi przyczepami lub naczepami odbywa się za pośrednictwem bezprzewodowego łącza ustanowionego między stacjami C-ITS pojazdu silnikowego a stacjami C-ITS przyczep lub naczep, zgodnie z normami EN 302 663-V1.1.1, z wyłączeniem klauzuli 4.2.1, EN 302 636-4-1-V1.3.1, EN 302 636-5.1-V2.1.1, oraz zgodnie z europejską normą w sprawie stosowania OBW w przypadku współpracującego inteligentnego systemu transportowego, która zostanie opracowana przez ETSI.

4.2. Komunikaty wymieniane między stacjami C-ITS są zabezpieczone w sposób określony w pkt 5.1.

4.3. Między stacjami C-ITS przesyłane są następujące informacje:

a) nacisk osi ciągniętych przyczep lub naczep;

b) komunikaty informujące o wystąpieniu „błędu połączenia z OBW”: zdarzenie klasyfikowane jako błąd połączenia z OBW jest inicjowane, gdy stacje C-ITS, podjąwszy więcej niż trzy próby, nie są w stanie nawiązać wzajemnie zabezpieczonego połączenia zgodnie z pkt 5.1;

c) komunikaty informujące o wystąpieniu zdarzenia klasyfikowanego jako „próba naruszenia zabezpieczenia”: zdarzenie stanowiące próbę naruszenia zabezpieczenia jest inicjowane w momencie wykrycia przez OBW próby dokonania ich manipulacji, jak określono w pkt 5.2 oraz w dodatku.

4.4. Norma dotycząca stosowania OBW, o której mowa w pkt 4.1, określa format komunikatów wymagany na etapie przypisywania adresu oraz do przesyłania informacji, o których mowa w pkt 4.3.

5. Postanowienia dotyczące zabezpieczenia

5.1. Zabezpieczone połączenie między stacjami C-ITS

5.1.1. Połączenie między stacjami C-ITS musi być zabezpieczone zgodnie z normą europejską ETSI TS 103 097-V1.3.1 oraz normą europejską dotyczącą stosowania OBW w przypadku współpracującego inteligentnego systemu transportowego, o której mowa w pkt 4.1.

5.1.2. Zgodnie z przyjętą przez Komisję polityką certyfikacji ds. wdrażania i operacyjnego stosowania europejskich współpracujących inteligentnych systemów transportowych stacjom C-ITS przyznaje się:

a) poświadczenie rejestracji od organu rejestrującego, upoważniające je do działania w charakterze stacji C-ITS do celów ważenia pokładowego;

b) pewną liczbę biletów autoryzacyjnych, wydawanych przez organ upoważniający, umożliwiających im działanie w środowisku C-ITS jako część systemu OBW.

5.2. Ochrona przed próbami naruszenia zabezpieczenia

Ochrona etapu 2 OBW przed próbami naruszenia zabezpieczenia wdrażana jest zgodnie z dodatkiem do niniejszego załącznika.

DODATEK DO ZAŁĄCZNIKA II

ŚWIADECTWO BEZPIECZEŃSTWA DLA ETAPU 2 OBW

1. MVU i TU muszą posiadać certyfikat bezpieczeństwa zgodny z normą Common Criteria. W dalszej części niniejszego dodatku MVU i TU określa się jako „OBW-VU”.

2. Minimalne wymogi w zakresie zabezpieczenia, jakie musi spełnić OBW-VU, określa cel zabezpieczenia („ST”) zgodnie z normą Common Criteria.

3. ST opracowuje producent sprzętu, który ma być certyfikowany, i podlega zatwierdzeniu przez rządową jednostkę certyfikującą ds. bezpieczeństwa informatycznego, skupioną w grupie roboczej ds. wspólnej interpretacji („JIWG”), która wspiera wzajemne uznawanie certyfikatów pod egidą SOGIS-MRA (Umowa o wzajemnym uznawaniu świadectw z oceny bezpieczeństwa informatycznego).

4. Brama sieciowa V2X i sprzętowy moduł zabezpieczeń stacji C-ITS muszą posiadać świadectwa bezpieczeństwa w zakresie profili ochrony bramy sieciowej V2X i sprzętowego modułu zabezpieczeń opracowanych przez konsorcjum komunikacyjnego Car2Car.

5. Poziom gwarancji w odniesieniu do świadectwa bezpieczeństwa OBW-VU wynosi EAL2. Jeżeli jednak tachografu używa się w charakterze MVU, to pierwszy z nich podlega certyfikacji na podstawie poziomu gwarancji EAL4, wzmocnionego elementami gwarancji ATE_DPTT2 i AVA_VAN.5, jak określono w dodatku 10 do załącznika IC do rozporządzenia (UE) 2016/799.

6. Aktywa, które należy chronić w ramach celu zabezpieczenia

Następujące aktywa podlegają ochronie:

a) komunikat OBW-VU każdy komunikat wysyłany lub otrzymywany za pośrednictwem odpowiedniego modułu OBW-VU zawierający informacje niezbędne do obliczenia masy.

Odpowiednimi modułami OBW są te urządzenia i moduły oprogramowania OBW-VU, które przetwarzają informacje mogące, w przypadku ataku, skutkować błędnym obliczeniem przez OBW całkowitej masy lub nacisku osi.

OBW-VU może składać się z jednego odpowiedniego modułu lub różnych odpowiednich modułów, zgodnie z pkt 1.5 załącznika I, w którym to przypadku ST musi je zidentyfikować;

b) komunikat dotyczący masy: komunikat informujący o masie całkowitej lub nacisku osi obliczonym przez OBW-VU;

c) dane dotyczące kalibracji: informacje wprowadzane do pamięci OBW-VU w celu dokonania kalibracji OBW;

d) informacje z audytu: informacje na temat prób naruszenia zabezpieczenia w odniesieniu do zagrożeń, o których mowa w niniejszym dodatku;

e) oprogramowanie OBW-VU: oprogramowanie stosowane w OBW-VU w celu wykonywania i wspierania funkcji OBW, co jest istotne przy obliczaniu masy i wykrywaniu prób naruszenia zabezpieczenia.

Rysunek 4

Przykład komunikatów OBW-VU i komunikatów dotyczących masy, które mają być chronione w przypadku MVU składającego się z dwóch odpowiednich modułów

Komunikat OBW: surowe dane

Odpowiedni moduł 1: otrzymuje dane na temat nacisku osi i oblicza masę całkowitą pojazdu silnikowego lub zespołu pojazdów

Komunikat dotyczący masy: nacisk osi pojazdu silnikowego

Komunikat dotyczący masy: nacisk osi i masa całkowita pojazdu silni-kowego

MVU

Stacja C-ITS

Czujnik

Odpowiedni moduł 2: otrzymuje surowe dane z czujników i oblicza nacisk osi pojazdu silnikowego

Pojazd silnikowy z OBW

7. Zagrożenia, które należy uwzględnić w ST

ST uwzględnia następujące zagrożenia:

a) T.OBW-VU_message_spoof: atakujący może podrabiać komunikaty OBW-VU w taki sposób, aby OBW-VU błędnie obliczyły masę całkowitą lub nacisk osi.

b) T.OBW-VU_message_tamper: atakujący może manipulować komunikatami OBW-VU w taki sposób, aby OBW-VU błędnie obliczyły masę całkowitą lub nacisk osi;

c) T.Weight_message_spoof: atakujący może podrabiać komunikaty dotyczące masy w taki sposób, aby masa obliczona przez OBW-VU została zmodyfikowana;

d) T.Weight_message_tamper: atakujący może manipulować komunikatami dotyczącymi masy w taki sposób, aby masa obliczona przez OBW-VU została zmodyfikowana;

e) T.Audit_spoof: atakujący może podrabiać komunikaty zawierające informacje z audytu;

f) T.Audit_tamper: atakujący może manipulować komunikatami informacyjnymi;

g) T.Calibration_tamper: atakujący może wprowadzać błędne wartości jako dane do kalibracji, aby spowodować błędne obliczenie masy przez OBW-VU;

h) T.Software_tamper: atakujący może zmodyfikować lub zastąpić oprogramowanie OBW VU w celu zmiany normalnego sposobu obliczania masy;

i) T.Stored_Data_tamper: atakujący może podjąć próbę modyfikacji lub usunięcia istotnych danych przechowywanych w OBW-VU, w tym danych dotyczących audytu.

8. Cele w zakresie zabezpieczenia w odniesieniu do OBW-VU są następujące:

a) O.Plausibility_validation: OBW-VU sprawdza, czy informacje zawarte w komunikacie przesłanym do odpowiedniego modułu, z czujników albo z innego modułu, są wiarygodne na podstawie analizy prawdopodobieństwa wystąpienia takiego komunikatu;

b) O.OBW-VU_stored_information_protection: OBW-VU muszą być zdolne chronić przechowywane oprogramowanie i dane przed manipulacją;

c) O.Notification: OBW-VU muszą być zdolne powiadamiać o próbie naruszenia zabezpieczenia.

9. Uzasadnienie

a) Rozwiązaniem w przypadku T.OBW-VU_message_spoof jest cel: O.Plausibility_validation oraz by O.Notification.

b) Rozwiązaniem w przypadku zagrożenie: T.OBW-VU_message_tamper jest cel: O.Plausibility_validation oraz O.Notification.

c) Rozwiązaniem w przypadku T.Weight_message_spoof jest cel: O.Plausibility_validation oraz O.Notification.

d) Rozwiązaniem w przypadku T.Weight_message_tamper jest cel: O.Plausibility_validation oraz O.Notification.

e) Rozwiązaniem w przypadku T.Audit_spoof jest cel: O.Plausibility_validation oraz O.Notification.

f) Rozwiązaniem w przypadku T.Calibration_tamper jest cel: O.Plausibility_validation oraz O.Notification.

g) Rozwiązaniem w przypadku T.Software_tamper jest cel: O.OBW-VU_stored_information_protection oraz O.Notification.

h) Rozwiązaniem w przypadku T.Stored_data_tamper jest cel: O.OBW-VU_stored_information_protection oraz O.Notification.

Tabela 1

Uzasadnienie celów w zakresie zabezpieczenia

O.Plausibility_validation

O.OBW-VU_stored_information_protection

O.Notification

T.OBW_message_spoof

X

X

T.OBW_message_tamper

X

X

T.Weight_message_spoof

X

X

T.Weight_message_tamper

X

X

T.Audit_spoof

X

X

T.Audit_tamper

X

X

T.Calibration_tamper

X

X

T.Software_tamper

X

X

T.Stored_data_tamper

X

X