Was ist TISAX®? Labels, Assessment-Level und Ablauf
Die Anforderung steht meist im Liefervertrag oder im Einkaufsportal: „Der Lieferant muss vor Entwicklungsbeginn ein gültiges TISAX®-Label mit dem Prüfziel ‚Confidential‘ nachweisen.“ Für einen Zulieferer, der zum ersten Mal für einen deutschen Autohersteller arbeitet, wirft dieser Satz eine Reihe von Fragen auf. Was ist TISAX®? Ist das ein Zertifikat? Welches Label brauchen wir, und wie lange dauert es?
Das Wichtigste in Kürze
- TISAX® ist ein Prüf- und Austauschverfahren, entwickelt vom Verband der Automobilindustrie (VDA) und betrieben von der ENX Association.
- Es ist keine Zertifizierung. Ein akkreditierter Prüfdienstleister bewertet Sie, und das Ergebnis sind Labels, die Sie über das ENX-Portal mit Partnern teilen.
- Grundlage ist der VDA-ISA-Katalog, derzeit in Version 6, der auf ISO/IEC 27001 aufbaut. Für Assessments, die ab 1. Januar 2027 beauftragt werden, gilt VDA ISA2027.
- Ihr Kunde legt fest, welche Labels Sie brauchen. Die Labels bestimmen das Assessment-Level.
- Labels gelten drei Jahre. Danach steht ein neues Assessment an.
- Ein ISO-27001-Programm verschafft Ihnen einen deutlichen Vorsprung, Prototypenschutz und Reifegradmodell brauchen aber eigene Arbeit.
Was TISAX® ist
TISAX® steht für Trusted Information Security Assessment Exchange. Autohersteller teilen vertrauliche Informationen mit Hunderten Zulieferern: Zeichnungen, Spezifikationen, Prototypen, Testdaten. Vor TISAX® prüfte jeder Hersteller seine Lieferanten selbst. TISAX® hat das durch ein Assessment ersetzt, das ein Zulieferer mit allen teilnehmenden Partnern teilen kann.
Drei Parteien sind beteiligt. Der Teilnehmer ist das geprüfte Unternehmen. Der Prüfdienstleister ist eine unabhängige, von der ENX zugelassene Gesellschaft, die das Assessment durchführt. Die ENX betreibt das Portal, setzt die Regeln und veröffentlicht das Ergebnis als Labels. Der Teilnehmer entscheidet, wer seine Labels sehen darf.
Der VDA-ISA-Katalog
Die Prüfkriterien stammen aus dem VDA Information Security Assessment, kurz VDA ISA. Es ist ein Katalog von Kontrollen, gegliedert in Module: Informationssicherheit, Prototypenschutz und Datenschutz. Das Modul Informationssicherheit folgt dem Aufbau von ISO/IEC 27001 und verweist auf die Ausgabe 2022. Version 6 gilt für Assessments, die seit 1. April 2024 beauftragt werden. Sie hat Betriebstechnik, Verfügbarkeit und Resilienz stärker aufgenommen und die heutigen Label-Namen eingeführt. Für Assessments, die ab 1. Januar 2027 beauftragt werden, gilt die Nachfolgeversion VDA ISA2027. Bestehende Labels bleiben bis zum Ende ihrer Laufzeit gültig.
Jede Kontrolle wird auf einer Reifegradskala von 0 bis 5 bewertet. Ziel für ein Label ist in der Regel Reifegrad 3: Die Maßnahme ist etabliert, also festgelegt, dokumentiert, angewendet und überprüft. Eine schriftliche Richtlinie ohne Nachweis, dass sie gelebt wird, erreicht diesen Reifegrad nicht.
Labels und Assessment-Level
Ihr Kunde verlangt das Label. Jedes Label steht für ein Prüfziel, und jedes Prüfziel verlangt ein bestimmtes Assessment-Level:
Assessment-Level 1 ist eine Selbstbewertung. Es führt zu keinem Label im ENX-Portal und reicht einem Hersteller selten aus. Assessment-Level 2 ist eine Plausibilitätsprüfung durch den Prüfdienstleister, meist remote, auf Basis Ihrer Selbstbewertung, Ihrer Nachweise und von Interviews. Assessment-Level 3 ist eine umfassende Prüfung, in der Regel vor Ort, bei der der Prüfer die Maßnahmen direkt überprüft.
Lesen Sie Ihren Vertrag genau. Verlangt er „Strictly confidential“ und Sie werden für „Confidential“ geprüft, erfüllt das Label die Anforderung nicht und das Assessment muss erweitert werden.
Der Ablauf
- Registrierung im ENX-Portal. Sie legen den Umfang fest: Standorte, Prüfziele und Ansprechpartner. Danach wählen Sie einen Prüfdienstleister aus der Liste, die die ENX veröffentlicht.
- Selbstbewertung. Sie arbeiten den VDA-ISA-Katalog durch, bewerten jede Kontrolle und sammeln Nachweise. Hier steckt der größte Teil des Aufwands.
- Erst-Assessment. Der Prüfdienstleister prüft Ihre Maßnahmen im vereinbarten Level und berichtet Feststellungen.
- Korrekturmaßnahmen. Gibt es Lücken, vereinbaren Sie mit dem Prüfdienstleister einen Maßnahmenplan. Je nach Feststellungen kann ein vorläufiges Label ausgestellt werden, während Sie die Lücken schließen.
- Label und Austausch. Ist das Assessment abgeschlossen, veröffentlicht die ENX die Labels, und Sie teilen sie im Portal mit Ihren Kunden.
Wie lange das insgesamt dauert, hängt vor allem davon ab, wie reif Ihr Sicherheitsprogramm schon ist. Ein Unternehmen mit etabliertem ISMS kann sich in wenigen Wochen vorbereiten. Wer bei null anfängt oder Prototypenschutz vor Ort braucht, sollte deutlich mehr Zeit einplanen.
Was ISO 27001 beiträgt
Da das Modul Informationssicherheit auf ISO/IEC 27001 aufbaut, deckt ein zertifiziertes ISMS einen großen Teil davon ab: Risikomanagement, Richtlinien, Zugriffssteuerung, Kryptografie, Betriebssicherheit, Lieferantenbeziehungen und Vorfallbehandlung. Mit diesen Unterschieden sollten Sie rechnen:
- Reifegrad statt bloßem Vorhandensein. TISAX® bewertet jede Kontrolle. Eine ISO-27001-Maßnahme, die zwar existiert, aber ungleichmäßig angewendet wird, erreicht vielleicht Reifegrad 2, nicht 3.
- Prototypenschutz. Physische Sicherheit für Prototypenbereiche, Tarnung, Transport und Umgang mit Erprobungsfahrzeugen sowie Regeln für Veranstaltungen haben in ISO 27001 keine Entsprechung.
- Umfang nach Standort. TISAX® wird je Standort geprüft. Ihr ISO-27001-Geltungsbereich kann weiter oder enger sein.
- Branchenspezifische Anforderungen, etwa der Umgang mit Informationen, die der Hersteller klassifiziert hat.
Betreiben Sie beides auf einem Control-Set und ordnen Sie die VDA-ISA-Fragen den Kontrollen zu, die Sie bereits haben. Unser Leitfaden zum Control-Mapping über mehrere Frameworks zeigt, wie das geht, und unsere TISAX®-Seite erklärt, wie GetTeddy die Vorbereitung unterstützt.
Woran Zulieferer häufig hängen bleiben
- Das Label Zertifikat nennen. Verträge und Kunden verwenden genaue Begriffe. Sie sollten es auch.
- Das Label wählen, ohne den Vertrag zu lesen. Das Prüfziel legt der Kunde fest, nicht der Zulieferer.
- Reifegrad 3 unterschätzen. Prüfer suchen Nachweise, dass eine Maßnahme läuft, nicht nur, dass sie aufgeschrieben ist.
- Den Prototypenschutz ans Ende schieben. Physische Maßnahmen brauchen Zeit.
- Den Dreijahreszyklus vergessen. Planen Sie das nächste Assessment rechtzeitig, bevor die Labels ablaufen.
TISAX® ist eine eingetragene Marke der ENX Association.
