Die Organisation muss in ihrer Risikoanalyse zumindest die gewonnenen Erkenntnisse (engl.: lessons learned) aus:
a) Rückrufaktionen, Produktaudits, Feldbeanstandungen und Reparaturen, Reklamationen, Ausschuss und Nacharbeit einbeziehen,
b) Bedrohungen durch Cyberangriffe auf informationstechnische Systeme (IT-Systeme).

Die Organisation muss dokumentierte Informationen als Nachweis für die Ergebnisse der Risikoanalyse aufbewahren.

Begründung für diese Änderung:
Potenzielle Cyberangriffe stellen für alle zertifizierten Organisationen ein Risiko dar, da in ihren IT-Systemen wichtige und wertvolle Informationen gespeichert sind. Organisationen müssen potenzielle Cyberangriffe in ihrer Risikoanalyse berücksichtigen.

Die Organisation muss:
a) – d) (…)
e) die Notfallpläne regelmäßig auf Wirksamkeit prüfen (z. B. Simulationen, soweit angemessen);
Cybersicherheitstests können die Simulation von Cyberangriffen, die regelmäßige Überprüfung auf bestimmte Bedrohungen, das Identifizieren von Abhängigkeiten und die Priorisierung von Sicherheitsschwachstellen umfassen. Das Testen ist an das Risiko damit verbundener Kundenstörungen angepasst;
Hinweis: Die Cybersicherheitstests können entweder intern von der Organisation selbst oder – wenn zweckdienlich – durch externe Dienstleister durchgeführt werden.

Begründung für diese Änderung:
Kombiniert mit SI 3, da für diese die gleiche IATF 16949 Anforderung gilt

Die Organisation muss:
a) – b) (…)
c) Notfallpläne erstellen, um die Teileversorgung auch im Falle einer nicht nur auf die folgenden Ereignisse beschränkten Situation³ aufrechtzuerhalten: Ausfall von wesentlichen Produktionseinrichtungen (siehe auch Abschnitt 8.5.6.1.1), Lieferunterbrechung extern bereitgestellter Produkte, Prozesse und Dienstleistungen, wiederkehrende Naturkatastrophen, Feuer, Pandemien³,Unterbrechungen der Versorgungssysteme, Cyber-Angriffe auf informationstechnische Systeme (IT-Systeme)¹, Arbeitskräftemangel oder Störungen der Infrastruktur,
d) als Ergänzung zu den Notfallplänen einen Benachrichtigungsprozess an den Kunden und andere interessierte Parteien einrichten, der das Ausmaß und die Dauer von Situationen beinhaltet, die eine Auswirkung auf den Geschäftsbetrieb der Kunden haben,
e) die Notfallpläne regelmäßig auf Wirksamkeit prüfen (z. B. Simulationen, soweit angemessen); für die Cybersicherheit³: Das Testen kann die Simulation eines Cyberangriffs, die regelmäßige Überwachung auf spezifische Bedrohungen, die Identifizierung von Abhängigkeiten und die Priorisierung von Schwachstellen umfassen. Die Tests müssen dem Risiko der damit verbundenen Kundenunterbrechung angemessen sein; Hinweis: Cybersicherheits-Tests können intern von der Organisation verwaltet oder gegebenenfalls an Unterauftragnehmer vergeben werden²,
f) Notfallpläne (mindestens jährlich) durch ein multidisziplinäres Team bewerten, einschließlich der obersten Leitung, und aktualisieren, sofern notwendig,
g) die Notfallpläne dokumentieren und dokumentierte Informationen zu Änderungen aufbewahren, einschließlich der Personen, die diese Änderungen veranlasst haben,
h) in den Notfallplänen die Entwicklung und Umsetzung geeigneter Mitarbeiterschulungen und Sensibilisierung vorsehen³

Die Notfallpläne müssen Vorkehrungen beinhalten, die sicherstellen, dass das hergestellte Produkt nach einem Notfall, in dem die Produktion gestoppt wurde und die regulären Abschaltprozesse nicht eingehalten wurden, nach dem Wiederanlaufen der Produktion weiterhin die Kundenspezifikationen erfüllt.

Begründung(en) für diese vorgenannte(n) Änderung(en):
¹ Organisationen müssen sich mit der Möglichkeit von Cyberangriffen/Onlineattacken befassen, die dazu führen könnten, dass die Herstellungsprozesse und Logistikabläufe blockiert werden. Dies schließt auch sog. „Ransomware“ mit ein. Organisationen müssen sicherstellen, dass sie auf Cyberangriffe/Onlineattacke vorbereitet sind.
² Der SI 17 entnommen und zu einer SI für diese IATF 16949 Anforderung zusammengefasst. Cybersicherheit stellt für alle Produktionsanlagen und -einrichtungen ein zunehmendes Risiko hinsichtlich der Aufrechterhaltung aller Fertigungseinrichtungen dar – einschließlich der Automobilindustrie. Das Prüfen der Notfallpläne auf ihre Wirksamkeit wurde darüber hinaus von den Organisationen und Zertifizierungsgesellschaften als ein Bereich identifiziert, der einer Klärung bedurfte. Diese Aktualisierung liefert nun die Details, was im Rahmen der Validierung eines Cyberangriff-Notfallplans getestet werden muss.
³ Kleinere Klarstellungen, einschließlich der Aufnahme von Pandemien in Situationen die Notfallpläne erfordern. Ebenfalls eingeflossen ist die Erkenntnis, dass das Wissen der Mitarbeiter ein wichtiger Schritt für einen effektiven Notfallplan ist.