TISAX: Informationssicherheit in der Automobil-Lieferkette

TISAX wird von der ENX Association betrieben: Sie definiert die Anforderungen an Prüfdienstleister (TISAX ACAR), lässt diese zu und überwacht die Prüfqualität; den Prüfkatalog VDA ISA gibt der Verband der Automobilindustrie (VDA) heraus. TISAX ist dabei kein klassisches Zertifizierungsprogramm, sondern ein Austauschmechanismus: Aktive Teilnehmer lassen sich assessieren und geben ihre Ergebnisse frei, passive Teilnehmer fragen die Ergebnisse ihrer Geschäftspartner an — beide Rollen können parallel eingenommen werden. Ergebnisse und Labels sind ausschließlich über die ENX-Plattform einsehbar, nicht öffentlich.

Der VDA ISA umfasst drei Kriterienkataloge: Informationssicherheit als Kernmodul sowie Prototypenschutz und Datenschutz als zusätzliche Module je nach Prüfziel. Bewertet wird nicht binär, sondern über ein Reifegradmodell von 0 bis 5; als Zielwert gilt in der Regel Reifegrad 3 („etabliert“), höhere Ist-Werte werden bei der Ergebnisberechnung auf den Ziel-Reifegrad gekappt. Aktuelle Basis ist ISA 6 (Stand 6.0.3), verbindlich für alle seit dem 01.04.2024 beauftragten Assessments. Am 01.07.2026 hat der VDA die Nachfolgeversion ISA2027 veröffentlicht: Sie gilt für ab dem 01.01.2027 beauftragte Assessments, aktualisiert die Mappings auf ISO/IEC 27001:2022 und NIST CSF 2.0 und restrukturiert den Prototypenschutz von fünf Control-Gruppen auf zwei Domänen; künftige ISA-Versionen erscheinen jährlich und tragen das Jahr ihrer Verbindlichkeit im Namen.

Das Assessment-Level bestimmt die Prüftiefe und leitet sich aus dem Schutzbedarf der Prüfziele ab — es ist keine freie Wahl des Unternehmens. Bei AL1 bestätigt der Prüfdienstleister lediglich die Existenz eines vollständig ausgefüllten Self-Assessments, ohne die Angaben inhaltlich zu prüfen; AL1-Ergebnisse werden in TISAX nicht verwendet und führen zu keinem Label. AL2 ist eine Plausibilitätsprüfung des Self-Assessments anhand von Nachweisen und Interviews, üblicherweise per Web-Konferenz, und gilt für Prüfziele mit hohem Schutzbedarf. AL3 verlangt eine umfassende Prüfung vor Ort mit Dokumenteneinsicht und Interviews und gilt für sehr hohen Schutzbedarf, etwa beim Prüfziel „Strictly confidential“.

Erfolgreiche Assessments führen zu TISAX-Labels je Prüfziel: für Informationssicherheit „Confidential“ und „Strictly confidential“ (seit 01.04.2024, zuvor „Info high“/„Info very high“) sowie „High availability“ und „Very high availability“, für Prototypenschutz „Proto parts“, „Proto vehicles“, „Test vehicles“ und „Proto events“, für Datenschutz „Data“ und „Special data“. Labels sind drei Jahre ab dem Abschlussgespräch des Assessments gültig; Überwachungsaudits innerhalb dieses Zeitraums gibt es nicht, danach ist ein vollständiges Neu-Assessment erforderlich. Werden im Erst-Assessment geringfügige Abweichungen festgestellt, können auf Basis eines geprüften Korrekturmaßnahmenplans temporäre Labels vergeben werden — sie verfallen neun Monate nach dem Abschlussgespräch des Erst-Assessments.

Der Assessment-Scope ist standortbezogen und wird bei der Registrierung festgelegt. Im Regelfall kommt der vordefinierte Standard-Scope zum Einsatz, dessen Beschreibung nicht verändert werden kann; Custom Scopes bleiben Sonderfällen vorbehalten, und für Unternehmensgruppen mit vielen Standorten existiert das Simplified Group Assessment. Der Ablauf folgt einem festen Muster: Registrierung als Teilnehmer bei der ENX mit Scope und Prüfzielen, Self-Assessment nach VDA ISA und Schließen erkannter Lücken, Assessment durch einen von der ENX zugelassenen Prüfdienstleister, bei Abweichungen Korrekturmaßnahmen mit Follow-up-Assessment innerhalb des Neun-Monats-Fensters, abschließend Freigabe der Ergebnisse für Geschäftspartner über die ENX-Plattform. Die Vorbereitung beansprucht in der Praxis meist deutlich mehr Zeit als das Assessment selbst.

Der VDA ISA basiert auf Kernaspekten der ISO/IEC 27001, das Verfahren unterscheidet sich jedoch deutlich. TISAX bewertet über Reifegrade statt einer reinen Konformitätsaussage, arbeitet mit standardisierten, standortbezogenen Scopes statt eines frei definierten ISMS-Geltungsbereichs und ergänzt mit Prototypenschutz und Datenschutz branchenspezifische Module, die ISO 27001 nicht abdeckt. Das Ergebnis ist kein öffentliches Zertifikat, sondern Labels, die ausschließlich über die ENX-Plattform mit anderen Teilnehmern geteilt werden. Zudem gilt ein TISAX-Label drei Jahre ohne Überwachungsaudits, während ISO-27001-Zertifikate im Drei-Jahres-Zyklus jährliche Überwachungsaudits vorsehen. Ein bestehendes ISO-27001-Zertifikat ersetzt das TISAX-Label daher in der Regel nicht — ein gelebtes ISMS verkürzt die Vorbereitung aber erheblich, da sich Dokumentation und Prozesse weitgehend wiederverwenden lassen.