GB 44495 和 GB 44496 这两条强标，从 2024 年发布那天起，网上的解读就没消停过。光是"延期了没"这一件事，我一周能被问三四遍，问的人一半是车企合规，一半是供应链供应商，都怕排错计划。
前两天又有个客户甩过来一句：这两条是不是延期了？到底哪天开始卡？我反问他：你问的是新车，还是已经在卖的车？他愣了——这还有区别？区别大了。今天就把这俩标准掰开讲，网上说法太杂，有的拿旧时间当新时间，有的把存量车的节点安到新车头上，照着排计划非出事不可。
先把话放前头：GB 44495 和 GB 44496 是两项不同的强制性国标，一个管整车信息安全，一个管软件升级。但做公告申报的时候，它俩必须一起过、一起报审，单过一项没用，监管审核根本不认。这俩都是 2024 年 8 月 23 日发布的，2026 年 1 月 28 日第 1 号修改单正式发布（见国标委 2026 年第 7 号公告），把执行时间、适用范围、测试项目、申报要求都动了一遍。
第 1 号修改单，动了三件事
先说时间，这是大家最关心的。原版标准写的是 2026 年 1 月 1 日实施，修改单把新申请型式批准的车型延后 6 个月，自 2026 年 7 月 1 日起执行。注意，延后的是新申请车型，已经拿到型式批准、在产在售的存量车型，整改收尾节点是 2028 年 1 月 1 日——修改单没有给存量车额外宽限，这个节点没随新车一起顺延。很多人只听说"延期了"，以为全线都松了，其实只松了新车这一头，排计划的时候别搞混。
改动最大的其实是第二条——不再单独审核 CSMS 体系认证。原版要求企业先拿到独立的 CSMS 车辆信息安全管理体系认证，才能开展车型测试；修改单将"信息安全管理体系"统一更名为"信息安全保障要求"，不再单独审核发证，体系资料并入整车公告资料一并评审。对企业来说，少排一条队，体系资料筹备和整车测试可以同步推，整体周期能省不少。但别理解成"体系不用做了"——漏洞管理机制、安全事件响应流程、供应商管理这些制度文件还得有，还得有运行记录，工厂审核看的是实际运营状态，不是文件漂不漂亮。
还有一处不起眼但会卡人的：术语统一。"检查"统一改成"检验"，"信息安全管理体系/要求"统一改成"信息安全保障要求"（原 CSMS 相关表述同步更名），顺带"备查"改"备检"。看着像文字游戏，实际是硬规矩——申报材料、技术文件、测试报告里还沿用旧术语的，审核机构直接打回来让改，年审还会专门核查文档整改情况。做资料的同事最好现在就自查一遍，别等退回了才动手。
GB 44495 管什么：整车的四层防线
GB 44495-2024《汽车整车信息安全技术要求》，管的是车辆整体的信息安全防护能力。行业常说的"四层防线"就是按它来的。这四条防线从外到里一层层说，你对着自己车的架构，一层层对。
最外头这层，叫外部连接安全。所有对外的口子都算：T-BOX 蜂窝通信、WiFi、蓝牙、车载 USB、OBD 诊断口、手机 APP 远程通道。核验的核心就一件事：这些口子能不能被外部攻破。今年最大的变化在这——渗透测试从过去的抽检模式改成全车型强制实测。实验室会真刀真枪地模拟攻击，外部接口漏洞探测、车载总线劫持、远程指令篡改、云端通信中间人抓包，测完出一份完整漏洞清单，每个漏洞都得有整改闭环材料。只交风险评估报告、纸面设计说明的，过不了。这一条把不少前期只整理资料、没做过摸底渗透的厂子打了个措手不及，临送检才整改，公告进度全耽误了。这一条我每次都提醒客户，临送检才补渗透测试的，没有一个不赶工。
往里一层，通信安全。管车内 CAN 总线、车载以太网的数据交互，也覆盖车云通信和 V2X。要求链路安全等级不低于 TLS 1.2 的水平，数据防篡改、防重放的基础防护都得有。说白了，数据在路上不能被改、不能被人偷听，伪造指令更不行。
再往里，软件升级安全，只管带 OTA 的车。升级包要加密签名校验，篡改过的包能自动识别拒绝；升级中遇到断网、断电，系统能自己回滚到稳定版本；升级指令要有严格的身份验证。这里有个今年的实操点：带 OTA 的车型，GB 44495 和 GB 44496 可以同步送检，共用同一套样车和工位，两块重叠的升级安全测试拆分核验、分摊工时，避免重复送样重复测。
最里头这层，数据安全。管车辆采集、存储、传输的用户个人信息、行驶轨迹、驾驶行为数据。加密存储是硬要求，用的是国密算法——SM2、SM3、SM4 这一套，明文存储直接判不合规。这里多说一句：市面上有些资料写"AES-256 或 SM4 都行"，那是错的，强标只认国密，这也是 GB 44495 跟 UN R155 不互认的核心原因之一，做海外认证的人别把两边的密码要求混着套。数据传输行为也全程受监管，私自对接境外服务器、隐私数据不脱敏外传，都是雷。另外，用户要求删数据，应在规定时限内响应（具体时限以数据相关条款为准），前台删了后台日志还留着的，检测面前藏不住。
还有个背景消息：据行业公开信息，汽车数据安全的强制性国标已正式立项并于 2026 年一季度过审、进入文稿编制阶段（以国标委/工信部正式计划公告为准）。等它落地，会替代现行的推荐性标准 GB/T 44464，数据安全这一块就从指导性条款升级成强制条款。头部车企现在开发新车型已经直接按未来强标的标准设计数据防护了，就是不想等落地了再大规模改款。
GB 44496 管什么：软件升级这块，中国比 R156 严得多
GB 44496-2024《汽车软件升级通用技术要求》，管的是远程软件升级的全流程。它参考了联合国 UN R156 的框架，但加了不止一道本土化加码，整体比 R156 严得多。
最扎眼的改动，是静默升级彻底禁了。UN R156 允许部分合规场景下的静默升级，不用用户手动确认；GB 44496 一刀切禁止。每一次在线 OTA，升级前必须向用户明示升级内容、升级时长、功能变更、潜在风险、保修影响，而且必须拿到用户主动确认——默认勾选不行、倒计时结束自动开始也不行。以前设计成"夜间后台自动升级"的车企，HMI 交互和后台逻辑都得重新设计。今年实验室对这块的核查尺度收得很紧，会逐项模拟整个升级交互流程，检测到未经确认的后台静默升级，直接判不合格。申报资料里要完整包含车机端、手机 APP、短信等多渠道的升级告知记录。
升级失败，必须完整回滚。R156 对升级失败后的状态只给了框架性原则——确保车辆不处于危险状态；GB 44496 直接上硬规则：升级中断、失败、异常，系统必须完整回滚到升级前的稳定版本，同时进入安全应急运行模式，不允许卡在中间状态等下次重试。"部分回滚""直接重启"这类设计都不合规。升级涉及动力域、底盘域、ADAS 这类安全域的，回滚验证还会格外加严，每种失败场景都得证明车辆回到了经过验证的安全状态。
升级前还得做型式认证关联评估，这条 R156 里根本没有。每次发布软件升级版本之前，都得评估这次升级影不影响车辆已经认证的排放、制动、被动安全、电子电控这些核心参数，形成评估报告归档，等监管核查。从今往后，每一次 OTA 推送都伴随一份"型式认证影响评估报告"，只测功能不测合规的做法到此为止。
记录要留多久？车型停产后不少于 10 年（以 GB 44496 记录留存条款为准；R156 没定这个期限）。软件升级记录、安全评估资料、测试合规台账，全得电子化留存。传统 Excel 手工记、零散归档的管理方式扛不住 10 年期的审计，电子化记录系统基本是标配了。
还有一条 R156 里完全没有的独有要求，容易忽略：车门防锁止保护。升级过程中，系统不能自动执行车门锁止操作，防止把人锁在车里。你的车如果引进的是海外平台版本，这一条尤其要查——海外版软件逻辑里可能压根没考虑过这个场景，直接拿进来用，检测必卡。
三个时间节点，背下来
2026 年 7 月 1 日，新申请公告的车型，必须配齐 GB 44495、GB 44496 全套合规材料，新车强制线。
然后是 2027 年 7 月 1 日，CCC 认证全面强制。所有在产在售车型——新认证的、存量已公告的——都得在这个节点前完成信息安全合规整改，更新 CCC 证书符合性备案记录。这一条覆盖最广、整改周期最紧。网上传的"2027 年 3 月 1 日"没有官方文件支撑，认监委 2025 年 11 月底的 WTO 通报只说拟把这两项标准纳入 CCC 目录，没写具体日期；2027 年 7 月 1 日这一行业通行节点，最终以认监委 CCC 实施规则正式发布为准。别照着假日期排计划。
最后是 2028 年 1 月 1 日，存量车型整改收尾。这个节点没随修改单顺延，所有存量在产车型在此之前完成全部整改，没有过渡期可谈。过了这天的，下架、停产、停售。
三个日子，管的是三类车，你现在手上的车型踩在哪条线上，心里得有数。
适用范围改了，谁跑不掉、谁不用管
修改单对适用范围做了明确调整：最显眼的一刀，是把原标准里带条件纳入的 O 类挂车整个删了；同时把原本就不在范围内的 L 类、纯机械整车等再明确一遍，强制和豁免分清楚。
强制的：所有 M 类乘用车、N 类载货车辆，只要搭载了电控单元 ECU、具备网络通信功能或软件升级能力，两项标准都跑不掉。
豁免的分几种情况。O 类挂车是修改单最大的一刀——原标准带条件把 O 类纳入，修改单把 O 类的适用条款整个删了，不管挂车带不带 EBS、智能 TPMS、电控模块，全部豁免，此前网传"带电控挂车也要做合规"的说法作废。L 类摩托车（两轮、三轮）不在标准原始适用范围内——GB 44495/44496 的适用对象本就是 M、N 类（44495 另带条件涵盖 O 类），L 类从未纳入，自然不用测，也不存在"豁免"一说，只是明确一下别误排。场内特种作业车辆，叉车、矿车、场内转运车这类只在封闭场地用、不上公共道路的，豁免；但注意，一旦办了临时通行牌照开上公共道路，豁免资格自动失效。还有纯机械结构的整车，一个 ECU 都没有，没有攻击面，自然不用管。
实操上，几件事提前安排
同平台车型能共享检测报告，但报告有三年有效期。基础电子架构、信息安全防护设计、外部接口完全一致的同平台系列车型，按同一型式判定规则可以共享有效检测报告，不用逐车重测。但修改单同时明确，这类检验检测报告签发后 3 年内有效，而且子车型迭代如果动了网络架构、通信模式、外部接口这些核心条件，得重新梳理技术文件送测。共享不是一劳永逸，台账里把报告有效期盯住。
实验室要选，就往公告、CCC 双资质的挑。一次送样、同步测试，共享基础测试数据，避免重复试验。常规车型信息安全全项测试周期六到八周，带多域控制器、高阶智驾的复杂车型更久。实验室旺季工位紧张是常态，提前两到三个月预约排期比较稳。
摸底测试也别省。内部自测或找机构做一轮摸底渗透，把常规漏洞、基础问题先排掉，正式测试的通过率能明显上来，避免多轮整改的周期损耗。单轮整改省下一到两周，多轮整改省下的就是一个半月两个月。摸底报告没有法律效力，不能拿来申报，但它是正式测试的"排雷"工具，这笔账怎么算都划算。
落到具体项目上
2026 年这俩标准的变动，根子都在第 1 号修改单上：新车强制延后到 7 月 1 日、取消独立 CSMS 认证（更名为"信息安全保障要求"并合并评审）、术语统一、O 类挂车等车型豁免。它俩是配套的，拆不开，公告申报必须一起过。
时间线也不复杂：2026 年 7 月 1 日卡新车，2027 年 7 月 1 日卡全量，2028 年 1 月 1 日卡存量。存量车型的节点没得商量，现在不启动整改，后面就是赶工加价抢实验室档期的局面。
你手上的车型具体踩在哪条线上、该补哪些测试、同平台能不能共享报告，拿配置清单来逐车对一遍最稳妥——这类活儿对一遍配置比看十篇文章管用。
