TISAX: Informationssicherheit in der Automobilindustrie

Die Idee dahinter ist einfach. Ein Zulieferer lässt sich einmal prüfen und teilt das Ergebnis mit vielen Kunden. So muss nicht jeder Hersteller jeden Lieferanten selbst auditieren. Der Fragenkatalog wird vom VDA veröffentlicht. Seit 2019 pflegt ihn die Arbeitsgruppe ISA der ENX Association.

Ist TISAX eine Zertifizierung?

Formal nein, auch wenn viele nach „TISAX-Zertifizierung“ suchen. TISAX ist ein Assessment. Am Ende steht kein Zertifikat, sondern ein TISAX-Label. Das Label bestätigt, dass Ihr Informationssicherheits-Managementsystem festgelegte Anforderungen erfüllt. ENX stellt bewusst kein Zertifikat aus, weil das Ergebnis über einen standardisierten Austausch geteilt wird.

Das Ergebnis liegt auf der ENX-Plattform. Sie entscheiden selbst, welcher Partner es sehen darf. Ohne Ihre Freigabe sieht es niemand. Eine erteilte Freigabe lässt sich allerdings nicht zurücknehmen.

Wer braucht TISAX?

Ein Gesetz schreibt TISAX nicht vor. Die Pflicht kommt vom Kunden. Viele Automobilhersteller und große Zulieferer verlangen ein TISAX-Label von ihren Partnern. Betroffen sind vor allem:

• Zulieferer, die vertrauliche Konstruktions- oder Projektdaten erhalten
• Unternehmen, die Prototypen, Bauteile oder Testfahrzeuge handhaben
• Dienstleister wie Engineering-Büros, Agenturen oder IT-Anbieter mit Zugriff auf Kundendaten
• Auftragsverarbeiter, die personenbezogene Daten für Kunden aus der Branche verarbeiten

Welche Anforderungen gelten, legt Ihr Kunde fest. Er sagt Ihnen meist, welches Label er erwartet.

Assessment-Level und Assessment-Ziele

Die Assessment-Level

Das Assessment-Level (AL) bestimmt, wie gründlich der Prüfer vorgeht:

• AL 1: im Kern eine Selbsteinschätzung. Weil das Vertrauen gering ist, wird AL 1 in TISAX nicht genutzt.
• AL 2: Der Prüfer prüft Ihre Selbsteinschätzung auf Plausibilität, sichtet Nachweise und führt ein Interview. Das läuft meist per Videokonferenz.
• AL 3: eine umfassende Prüfung mit Dokumenten, Beobachtung von Abläufen und Terminen vor Ort.

Die Assessment-Ziele

Welches Level nötig ist, ergibt sich aus dem Assessment-Ziel. Jedes Ziel steht für einen Schutzbedarf. Das TISAX-Teilnehmerhandbuch nennt diese Ziele:

• Vertraulichkeit: „Confidential“ (AL 2) und „Strictly confidential“ (AL 3)
• Verfügbarkeit: „High availability“ (AL 2) und „Very high availability“ (AL 3)
• Prototypenschutz: „Proto parts“ und „Proto vehicles“ (AL 3), „Test vehicles“ und „Proto events“ (AL 2)
• Datenschutz: „Data“ (AL 2) und „Special data“ für besondere Kategorien personenbezogener Daten (AL 3)

Die früheren Ziele „Info high“ und „Info very high“ wurden mit ISA 6 durch die Ziele für Vertraulichkeit und Verfügbarkeit abgelöst. Mehr zu diesen Begriffen lesen Sie im Eintrag Schutzziele der Informationssicherheit.

Aktueller Fragenkatalog

Am 1. Juli 2026 hat der VDA die neue Version VDA ISA2027 veröffentlicht. Sie gilt für TISAX-Assessments, die ab dem 1. Januar 2027 beauftragt werden. Vorher beauftragte Assessments laufen noch nach ISA 6. Bestehende Labels bleiben bis zum Ende ihrer Laufzeit gültig.

Ablauf eines TISAX-Assessments

1. Registrierung bei ENX: Sie registrieren sich online und akzeptieren die Teilnahmebedingungen.
2. Scope festlegen: Sie bestimmen Standorte und Assessment-Ziele.
3. Selbsteinschätzung: Sie bewerten Ihr Unternehmen mit dem VDA-ISA-Katalog und schließen Lücken.
4. Prüfdienstleister wählen: Das Assessment führt ein von ENX zugelassener Prüfdienstleister durch.
5. Assessment: Der Prüfer bewertet Ihr ISMS nach dem gewählten Level.
6. Korrekturmaßnahmen: Bei Abweichungen erstellen Sie einen Maßnahmenplan. Die Nachprüfung muss innerhalb von neun Monaten nach dem Erst-Assessment stattfinden. Bei kleineren Abweichungen gibt es vorläufige Labels für bis zu neun Monate.
7. Label: Ist alles erfüllt, erhalten Sie das Label.
8. Freigabe an Partner: Sie geben das Ergebnis über die ENX-Plattform für Ihre Kunden frei.

Ein TISAX-Label gilt grundsätzlich drei Jahre. Danach durchlaufen Sie das Verfahren erneut. Ändert sich der Scope deutlich, etwa durch einen Umzug, kann die Gültigkeit früher enden. Für Konzerne mit mindestens drei Standorten und zentral geführtem ISMS gibt es außerdem das „Simplified Group Assessment“.

TISAX und ISO 27001

Beide Verfahren prüfen ein ISMS. Der VDA-ISA-Katalog ist an ISO/IEC 27001 ausgerichtet und verweist auf die Fassung von 2022. Es gibt aber klare Unterschiede:

• Ergebnis: ISO 27001 endet mit einem Zertifikat. TISAX endet mit einem Label, das Sie gezielt freigeben.
• Scope: Bei ISO 27001 legen Sie den Geltungsbereich selbst fest. Bei TISAX umfasst er alle Teile des Unternehmens, die vertrauliche Informationen von Partnern aus der Automobilbranche verarbeiten.
• Inhalte: TISAX enthält eigene Anforderungen zum Prototypenschutz und zum Datenschutz.

Ein bestehendes ISMS nach ISO 27001 ist eine gute Basis. Viele Prozesse, Richtlinien und Nachweise können Sie weiterverwenden.

TISAX und NIS2

Viele Zulieferer gehören zum Fahrzeugbau. Dieser zählt zum verarbeitenden Gewerbe in Anlage 2 des BSIG. Ab der passenden Größe fallen diese Unternehmen damit unter die NIS2-Richtlinie.

Die ENX-Arbeitsgruppe ISA hat TISAX mit NIS2 verglichen. Ihr Ergebnis: Ein TISAX-Label deckt die Pflichten aus Artikel 20 und 21 ab. Das gilt aber nur, wenn die Assessment-Ziele das tatsächliche Risiko abbilden und alle betroffenen Standorte geprüft wurden. Die nationalen Meldepflichten müssen Sie trotzdem zusätzlich erfüllen.

So unterstützen wir Sie

Wir unterstützen Sie bei der Vorbereitung auf TISAX. Dazu gehören die Bestimmung des Scopes, die Selbsteinschätzung und der Aufbau fehlender ISMS-Prozesse. Mehr dazu finden Sie bei unserer ISMS-Beratung. Wenn Ihnen intern die Kapazität fehlt, hilft ein externer Informationssicherheitsbeauftragter. Das Assessment selbst führt ein zugelassener Prüfdienstleister durch.

Häufige Fragen

Ist TISAX eine Zertifizierung?

Nein. TISAX ist ein Assessment mit einem Label als Ergebnis. ENX stellt kein Zertifikat aus. Im Alltag spricht man trotzdem oft von „TISAX-Zertifizierung“.

Wie lange ist ein TISAX-Label gültig?

In der Regel drei Jahre. Danach starten Sie ein neues Assessment. Vorläufige Labels bei kleineren Abweichungen gelten höchstens neun Monate.

Reicht ISO 27001 statt TISAX?

Meist nicht. Verlangt Ihr Kunde ein TISAX-Label, ersetzt ein ISO-27001-Zertifikat es nicht. Prototypenschutz und Datenschutz deckt ISO 27001 nicht in der Form ab, die TISAX prüft. Ein ISO-27001-ISMS erleichtert die Vorbereitung aber deutlich.