GB 44495-2024 完整名称为《汽车整车信息安全技术要求》，2024 年 8 月 23 日正式发布，自 2026 年 1 月 1 日实施。这也是国内第一项针对整车层面的汽车信息安全强制性国标。对于国内销售的网联车辆来说，信息安全合规不再是企业可选工作，而是法定强制要求。
标准实施分为两个阶段执行：2026 年 1 月 1 日之后新申请型式批准的车型，直接强制执行标准要求；已经拿到型式批准的存量车型，设置过渡期，最晚 2028 年 1 月 1 日完成合规整改。不少企业只盯着 2026 年的时间节点过度焦虑，存量车型拥有充足缓冲周期，可以分步完成整改。
GB 44495 填补了 UN-R155 法规在国内不具备强制效力的空白。两份文件整体框架相近，但是测试用例、数据属地管理、国密算法要求、供应链管控侧重点存在明显区别，报告不能互相替代。行业里非常普遍的误区：企业完成 UN-R155 认证，就认为国内市场可以直接免检，大量厂商在这个点踩坑，耽误整车 CCC 申报进度。
标准管控对象包含 M 类乘用车、N 类载货汽车。O 类挂车只要搭载至少一个电控单元，同样纳入管控范围，不只是带通信模块的挂车，装配制动电控单元的挂车也需要满足规范；纯机械结构、无任何电子控制单元的挂车，不在管控范围内，可以豁免。
整车合规需要通过两项审核：CSMS 网络安全管理体系审核，加上 VTA 实车信息安全测试，两项全部达标，相关结果纳入整车 CCC 报告。这里有一个高频误解：不存在独立的 GB44495 信息安全证书。CSMS 和 VTA 审核结果整合进整车 CCC 资料，没办法单独**一张名为 “GB44495 认证证书” 的文件，不少第三方机构以此宣传，车企需要警惕。
·CSMS 即网络安全管理体系，覆盖车辆信息安全全生命周期。从需求梳理、风险评估、安全方案设计一直到售后漏洞运维，各个阶段都要有可追溯、可供审核的管控文件。审核重点落在供应链管理上，TBOX、车载域控制器、车载**都在核查清单内，整车厂和零部件供应商之间的安全责任划分、漏洞应急联动机制，必须落实到书面协议。
·VTA 实车测试，可以在实车或者台架上开展，验证车辆各项信息安全防护能力。测试项目包含外部网络接入防护、传输数据加密、设备身份认证、安全日志留存、远程升级防护、车载诊断接口安全防护等核心模块。
二、GB 44495 与 GB 44496、CCC 认证的关联
GB 44495 约束整车信息安全，配套国标 GB 44496 规范汽车软件 OTA 升级，两项标准协同执行。车辆具备远程升级功能的，两项标准都必须满足。在 CCC 体系当中，两项标准的审核结果统一汇总至同一份整车 CCC 报告。
并不是所有固件改动都触发 CCC 变更：底层 OTA 固件升级、更换 TCU 通信模块、SUMS 体系调整，是否启动车型变更申报，需要结合改动影响范围判断。如果改动调整信息安全防护架构、影响 VTA 测试覆盖项目，就要走变更流程；仅应用层功能微调，安全架构没有改动，企业内部完成风险评估备案即可，不用提交 CCC 变更申请。每一次软硬件改动都需要单独评估，不能简单理解为只要修改固件就要完整重走认证流程。
零部件无法单独办理 GB44495 型式批准，型式批准只针对整车发放。TBOX、**、域控制器这类零部件厂商，配合整车厂完成安全评估，相关资料依附于整车 CCC 体系。
开展 SUMS 体系审核的机构，必须经过 CNCA 认定，只能在官方指定实验室与认证机构名单内选择。海外机构取得 UN-R156 资质，不代表拥有国内 GB44496 体系审核资格，不能直接使用海外 R156 机构出具报告用于国内合规申报，这是很多出口车企容易忽略的关键点。
三、GB44495 和 UN-R155 能不能互通？
大量布局海内外市场的车企都会关心，已经完成 UN-R155 认证，还需要落地 GB 44495 吗？**是肯定的，两套体系互不承认，UN-R155 测试报告不能替代国内 GB44495 合规材料。很多企业踩过这个坑，拿着 R155 相关材料申报国内型式批准，在型式试验阶段被退回，重新开展 VTA 测试，拉长项目周期。
企业已搭建的 CSMS 体系文件可以适当复用，节省文档筹备时间。但 VTA 实车测试用例必须按照 GB44495 要求重新适配，无法直接递交 UN-R155 测试报告。反过来同样适用，GB44495 合规报告，无法用于欧盟、日韩等海外市场准入。
另外容易被忽视的存档要求：GB 44496 明确，软件升级相关记录至少保存至车型停产之后 10 年。举个例子，一款车型 2028 年停产，相关记录需要持续保存到 2038 年。保存起始时间以车型停产日期为准，不是市场上所有车辆报废时间，不用过度放大存档周期。
四、2026 年监管持续收紧，获证后监督重点
监管部门强化获证之后的持续性监督，核查重心放在 CSMS 体系是否真实落地运行。审核员会重点检查安全风险评估文件是否定期更新、新爆出的网络安全威胁有没有纳入管控、供应商安全管控机制是否持续有效。很多企业出现不合规问题，根源都是体系文件完善，但长期没有更新风险评估文档，现场审核很容易被识别。
进口车辆同样适用这套标准。平行进口车辆只要落在 GB 44495 管控范围，信息安全相关要求随整车 CCC 同步审核，由进口商负责完成合规评估，不存在独立的 GB44495 评估通道，缺少 CCC 证书无法完成报关。
五、对上下游供应链带来的实际影响
GB 44495 不只是整车厂的工作，整条产业链都受到约束。
1.TBOX 作为车载通信核心节点，绝大多数远程攻击路径都会经过该设备；车载**、域控制器同样是重点评估对象，不要误以为审核仅仅针对 TBOX。审核过程中，零部件供应商需要配合整车厂完成安全接口定义、加密方案评审、远程指令安全验证。安全开发文档、漏洞处置流程、应急响应预案，都会被审核机构随机抽查。
2.软件供应商同样无法规避要求。车载操作系统、中间件、应用层软件，但凡涉及信息安全，都需要提供安全设计文档与测试报告。使用开源组件的团队，要完善开源漏洞管理、代码**、安全编译配置，以往可选的管控措施，现在全部变成必查项。
3.最大变化在于安全责任向下传导。标准要求整车厂把信息安全条款写入供应商合作协议，零部件厂商需要提供证据证明产品、开发流程满足安全规范。无法提供有效证明的供应商，大概率会失去供货资格。
GB44495是什么？有疑问可联系蓝亚技术检测认证机构顾问 13632500972（Benson）
