AIS-189
背景
- インドは自動車市場の全世界新車販売台数シェアNo.3で急成長中（2025年の自動車市場、2025年の国別自動車市場規模予測）。
- AIS-189は、UN R155やISO/SAE 21434を参考に、インド事情を加味して作成された自動車向けサイバーセキュリティ法規。
- 本記事は、AIを使って要約させた内容や調べた内容を整理して備忘録とする。
まとめ
2027年までに義務化される見込みのAIS-189は、インド市場向けに最適化されている一方で、欧州法規と原則的にはほぼ一致しているため、グローバル自動車メーカーでは共通のアプローチ（ISO/SAE 21434、UN R155/R156への準拠）が推奨されている。
日本語訳：
インドの今後導入される予定の自動車サイバーセキュリティ規制であるAIS 189は、2027年までに義務化される見込みであり、業界に大きな変化をもたらすと期待されています。まだ正式には公布されていないものの、AIS 189はUN R155やISO 21434といった世界的なサイバーセキュリティの枠組みに沿った内容となる可能性が高いです。
AIS-189の適用範囲
-
対象車両カテゴリー
- M/N：乗用車・商用車
- T：ECU搭載の農業等特殊車両
- L7：自動運転レベル3以上車両
※カテゴリーの定義はインド独自ではなく、UNECE（国連欧州経済委員会）規格で定めたものをベースに、インドの規格AIS-053 に記載されている。
主な要件
5.0 承認（Approval）
- 型式承認は、AIS-189規定に適合した車種のみに与えられる。
- 承認機関（テスト機関）は、申請メーカーが以下を実施しているか確認する必要がある：
- サプライチェーン全体を通じたリスクの特定と管理
- 開発時または事後のリスクアセスメント、テスト結果、リスク対応の文書化
- 設計段階からの適切なサイバーセキュリティ対策の実施
- サイバー攻撃の検出・対応体制
- インシデント分析のためのデータロギングとフォレンジック機能
- 検証には書類調査および実車試験が用いられる。
- 必要な要件を満たさない場合や情報が十分でない場合は承認が拒否される。
- 承認の与否は指定フォーマット（Annexure B）でメーカーに通知。
- テスト機関は自らも適切な専門知識や評価手順を整備していることが求められる。
6.0 サイバーセキュリティマネジメントシステム（CSMS）適合証明
- メーカーはCSMS適合証明書の取得が必要（申請書・関連資料を添付して申請）。
- CSMSの十分性をテスト機関が審査し、要件を満たせば適合証明書を発行。
- 証明書の有効期間は最大3年。要件不適合時には取り消される場合がある。
- 有効期間満了前に更新または延長の申請が必要。
- 証明書の有効性に影響がある変更を行った場合も報告義務あり。
- CSMS証明の失効・取り消しは型式承認の見直しや取消の対象となる[^1]。
7.0 仕様（Specifications）
- 本基準は他のAIS基準の要件も妨げない。
- CSMSには開発・生産・廃止後の全フェーズを網羅したセキュリティ管理体制が必要。
- CSMSの必須要素：
- リスクの同定・評価・対応策の策定と実施
- サプライチェーンを含めた攻撃監視・検知・対応の継続的運用
- 攻撃や脆弱性への迅速な対応、調査用データの保持
- 適切な暗号技術の適用
- 車両型式ごとにリスクアセスメントを実施し、評価・緩和策を文書化
- サイバー対策の有効性確認テストの実施
- インシデントや脅威情報については年1回以上、所管機関へ報告義務
- 報告対応が不十分な場合、CSMSの承認取り消しの可能性あり[^1]。
8.0 車両型式の変更・拡張（Modification and Extension）
- サイバーセキュリティ性能や関連書類に影響を及ぼす型式変更は、承認機関に通報必須。
- 機関は、変更内容が現行承認と整合しているか審査し、必要なら追加評価や試験を実施する。
欧州規格とAIS-189の違い
- 適用範囲・カバー領域
AIS-189は自動車分野に特化し、UN R155やISO/SAE 21434に準拠した形となっているが、欧州は自動車だけでなく幅広いデジタル製品・サービスもカバーしている。 - 認証スキーム
AIS-189はインド国内の自動車市場向け審査機関による証明が必要。
欧州はENISA主導でEU全域共通の認証体系（Cybersecurity Actによる認証スキーム）を採用。 - 実装義務・ライフサイクル管理
両者とも“セキュリティ・バイ・デザイン”原則で開発段階からの対応が義務。
AIS-189はインド版UN R155として設計されており、OEMに対して年次監査や継続的なリスク管理も厳格に義務付けている。 - レギュレーション更新や導入速度
EUはNIS2/EU Cyber Resilience Act等で絶えず規制がアップデートされ、デジタル分野全体で早期義務化が進行中。
AIS-189は2025年以降段階的適用であり、市場ごとの国情が反映されている。
※PwC Indiaのレポートなど、専門コンサル資料でも「2027年10月がAIS-189の型式認証関連ルールの発効目安」と記載されている。