GB 44495-2024是国内汽车整车信息安全强制性国标，2024年8月23 日正式发布，是智能网联汽车网络安全的核心基线法规，对标联合国 UN R155车辆网络安全法规，从全生命周期信息安全管理到整车硬件、软件、通信、数据安全提出强制约束，直接影响车企、Tier1、零部件供应商的产品开发与合规交付。

适用范围：M类（载客汽车）、N类（载货汽车），以及搭载至少1个电子控制单元 ECU的O类挂车。

一、重点：分阶段执行时间节点（核心）

工信部实施安排

1. 新申请型式批准车型（新车型）：2026-07-01起强制执行

   自2026年7月1日起，所有新申报型式检验、申报公告的车型，必须满足 GB 44495 全部要求，不满足将无法获得型式批准，不能上市销售。

2. 已取得型式批准的在产存量车型：最晚 2028-01-01完成整改达标

   存量车型有过渡期，车企需要在2028年1月1日前完成整车信息安全整改、测试验证并满足标准；2028-01-01之后，未达标车型禁止继续生产。

补充说明：标准本体标注实施日期为 2026年1月1日；工信部结合产业落地，设置分阶段实施窗口，区分新车型、存量车型，给产业链预留整改周期。

二、标准核心强制要求（完整梳理）

GB44495 分为两大块：信息安全管理体系要求 + 整车信息安全技术要求，配套试验验证方法。

1、全生命周期信息安全管理体系（体系层面强制）

车企必须建立覆盖车辆设计、开发、生产、售后、报废全生命周期的整车信息安全管理体系：

• 风险评估：整车、零部件、电子电气架构开展信息安全风险识别、风险分析、风险处置；
• 安全管控：明确组织、人员、职责，供应链管理（Tier1、软件供应商安全管控）；
• 漏洞管理：建立漏洞上报、评估、修复、发布机制；
• 事件响应：网络安全事件应急处置流程，发生攻击事件可追溯、可处置；
• 文档留存：完整的安全文档、风险报告、测试报告，支持监管核查。

2、外部连接安全要求（车对外接口防护）

针对车辆所有对外暴露的接口，是网络攻击的主要入口：

• 车载外部通信接口（以太网、CAN、诊断口、蓝牙、WiFi、蜂窝 4G/5G、V2X 等）必须做访问控制；
• 诊断接口：防止未授权访问，禁止外部随意读取 / 篡改 ECU 数据、刷写固件；
• 接口隔离：不同安全等级的网络域隔离，防止横向渗透（例如娱乐域不能直接侵入动力域）；
• 物理 / 逻辑防护，限制非法接入，降低攻击面。

3、通信安全要求（车 - 云、车 - 车、车 - 终端通信）

• 身份认证：车辆与车企云平台通信，双向身份校验，防止伪造服务器、伪造车辆接入；
• 传输加密：车外传输的敏感数据做加密保护，防止传输过程窃听、篡改；
• 安全日志：通信安全事件日志保存不少于 6 个月，日志包含事件时间、主体、操作内容、结果，支持审计追溯；
• 通信完整性校验，防止指令被篡改、重放攻击。

4、软件升级安全（和 GB44496 配套协同）

整车 OTA 远程升级纳入信息安全管控：

• 升级包完整性、真实性校验，防止恶意升级包；
• 升级过程保护，断电、网络中断场景下，保证车辆不会进入危险失效状态；
• 远程控制指令日志留存不少于6个月，记录指令时间、发送方、控制对象、执行结果；
• 版本管理、升级风险评估、用户告知机制。

5、数据安全要求

• 车辆采集、向外传输的个人敏感信息必须保护，遵循最小必要原则；
• 数据分类分级，区分普通数据、敏感个人信息；
• 防止数据泄露、非法采集、非法对外输出；
• 与《汽车数据安全管理若干规定》、GB/T 44464 协同落地。

6、整车安全日志与审计（可追溯）

• 关键安全操作、远程指令、异常通信、非法访问行为必须记录安全日志；
• 日志留存≥6 个月，不可随意篡改、删除，用于安全事件溯源、监管核查；
• 支持日志导出审计。

7、攻击检测与异常监测

整车具备基础异常行为监测能力，识别异常访问、异常报文、非法刷写等网络攻击行为，触发告警。

8、试验验证与同一型式判定

标准规定了整车信息安全试验方法；同型式车型判定规则，同一型式下如果电子电气架构、ECU、通信接口发生变更，需要重新评估信息安全风险。

三、行业影响解读

1. 车企：新项目开发必须前置信息安全设计（左移），存量车型需要做风险评估、架构整改、补做测试，2028 年前完成全部在产车型合规；

2. 零部件供应商 Tier1：ECU、网关、T-BOX、车机等零部件，需要配套满足整车安全需求，供应链安全审查成为车企准入门槛；

3. 检测机构：新增整车信息安全型式检验项目，没有通过信息安全测试，无法申报机动车公告；

4. 对标国际：GB44495 和 UN R155 逻辑对齐，国内合规成果可支撑出口车型网络安全认证，降低双重测试成本。

四、常见误区提醒

❌ 误区：2026 年 1 月 1 日所有车辆直接强制达标 

✅ 纠正：标准发布日 2024-08-23，标准纸面实施日 2026-01-01；工信部分阶段执行：新车型 2026-07-01，存量最晚 2028-01-01。

❌ 误区：只需要做软件防护即可 

✅ 纠正：属于整车级强制标准，覆盖硬件、ECU、网络架构、管理体系、供应链、日志审计，不是单一软件安全。

结尾

GB44495 落地，标志国内智能网联汽车正式进入整车网络安全强制监管时代。整车信息安全不再是可选加分项，而是车型上市、持续生产的硬性准入门槛。车企与供应链需要提前规划风险评估、安全架构改造、测试验证，把握过渡期，避免错过合规节点影响产品生产与上市。

上海沐睿科技服务有限公司是国内专业从事汽车法规合规的第三方咨询公司，多年来，为上汽，长城，宇通，大通，爱驰，蔚来等OEM提供汽车环保法规合规服务，团队跟踪与研究全球的环保合规，期待为更多的企业提供服务。www.automds.cn

详情咨询info@murqa.com

免责声明：版权归原作者所有，如有侵权请联系删除；文章内容属作者个人观点，不代表本公司观点和立场。转载请注明来源；文章内容如有偏颇，敬请各位指正。