TISAX:
Informationssicherheit in der Automobilindustrie

TISAX (Trusted Information Security Assessment Exchange) ist ein branchenweiter Standard für Informationssicherheit in der Automobilindustrie. Er wurde von der ENX Association in Zusammenarbeit mit dem Verband der Automobilindustrie (VDA) entwickelt und basiert auf dem VDA ISA Fragenkatalog (Information Security Assessment). TISAX ermöglicht es Lieferanten, ihre Informationssicherheit einmalig prüfen zu lassen und das Ergebnis über die ENX-Plattform mit mehreren OEMs und Tier-1-Lieferanten zu teilen - ohne für jeden Auftraggeber ein separates Assessment durchführen zu müssen.

Eine TISAX-Zertifizierung (genauer: ein TISAX-Label) benötigen alle Unternehmen, die als Lieferant oder Dienstleister in der Automobilindustrie tätig sind und dabei schutzbedürftige Informationen verarbeiten. Dazu gehören insbesondere: Zulieferer, die Prototypen-Daten, Konstruktionspläne oder Fahrzeugdesigns erhalten; IT-Dienstleister, die Systeme für OEMs oder Tier-1-Lieferanten betreiben; Marketingagenturen, die mit noch nicht öffentlichen Fahrzeugmodellen arbeiten; sowie alle Unternehmen, die von einem OEM (BMW, Mercedes-Benz, Volkswagen, Stellantis u. a.) eine entsprechende Anforderung erhalten. Die Anforderung kommt in der Regel über Lieferantenverträge oder Supplier Portals.

TISAX kennt drei Assessment-Levels (AL) mit steigendem Prüfungsaufwand: AL 1 (Selbstbewertung mit Plausibilitätsprüfung): Der Lieferant bewertet sich anhand des VDA ISA selbst; ein akkreditierter Prüfdienstleister überprüft die Plausibilität der Antworten remote. Dieser Level wird für normale Informationssicherheits-Anforderungen ohne erhöhten Schutzbedarf eingesetzt. AL 2 (Remote-Assessment): Ein akkreditierter Prüfdienstleister führt ein strukturiertes Remote-Interview durch. Dieser Level ist der Standard für die meisten Lieferanten mit normalen Schutzzielen (Vertraulichkeit, Verfügbarkeit, Integrität). AL 3 (Vor-Ort-Assessment): Vollständige Prüfung am Standort durch einen akkreditierten Prüfdienstleister. Dieser Level ist zwingend für Unternehmen mit hohem oder sehr hohem Schutzbedarf - insbesondere für Prototypenschutz und die Verarbeitung hochsensibler Fahrzeugdaten.

Ein TISAX-Assessment durchläuft typischerweise fünf Phasen: (1) Scope-Definition und ENX-Registrierung: Das Unternehmen definiert den zu bewertenden Scope (welche Standorte, Systeme, Prozesse) und registriert sich bei der ENX Association. Dabei wird auch das Prüfziel (z. B. Informationssicherheit, Prototypenschutz, Datenschutz) festgelegt. (2) Selbstbewertung: Das Unternehmen beantwortet alle relevanten Fragen des VDA ISA Fragenkatalogs und dokumentiert Nachweise. (3) Gap-Analyse und Maßnahmenumsetzung: Nicht erfüllte Anforderungen werden identifiziert und Maßnahmen zur Lückenbeseitigung umgesetzt. (4) Assessment durch akkreditierten Prüfdienstleister: Abhängig vom Assessment-Level erfolgt eine Plausibilitätsprüfung, ein Remote- oder ein Vor-Ort-Assessment. (5) TISAX-Label und Austausch: Nach erfolgreichem Assessment wird das TISAX-Label in der ENX-Plattform hinterlegt und kann gezielt mit Auftraggebern geteilt werden.

Die Kosten für ein TISAX-Assessment setzen sich aus mehreren Komponenten zusammen: ENX-Registrierungsgebühr (einmalig, ca. 200-500 EUR), Prüfgebühren des akkreditierten Prüfdienstleisters (abhängig von Assessment-Level, Scope-Umfang und Standortanzahl; typischerweise 3.000-15.000 EUR für AL 2, 8.000-30.000 EUR für AL 3) sowie Kosten für die Implementierungsberatung zur Vorbereitung (variiert stark je nach Ausgangssituation). Unternehmen mit einem bestehenden ISO-27001-ISMS haben typischerweise ca. 60-70% geringere Vorbereitungsaufwände, da viele Anforderungen bereits abgedeckt sind. AWARE7 erstellt Ihnen ein individuelles Festpreisangebot nach einer kostenlosen Ersteinschätzung.

Der VDA ISA (Information Security Assessment) ist der Fragenkatalog, der die Grundlage jedes TISAX-Assessments bildet. Er wird vom Verband der Automobilindustrie (VDA) herausgegeben und regelmäßig aktualisiert - aktuell gilt VDA ISA 6.0 (seit 2024). Der Fragebogen ist in drei Module gegliedert: (1) Informationssicherheit (Pflichtmodul): Enthält Fragen zu allen grundlegenden Sicherheitsdomänen - Organisation, Physische Sicherheit, IT-Systeme, Identitätsmanagement, Kryptographie, Incident Management, Compliance. (2) Prototypenschutz (optionales Modul): Spezifische Anforderungen für Unternehmen, die unveröffentlichte Fahrzeugprototypen, -teile oder -designs handhaben. (3) Datenschutz (optionales Modul): DSGVO-bezogene Anforderungen für die Verarbeitung personenbezogener Daten im automobilen Umfeld. Jede Frage wird auf einer 0-3-Skala bewertet; für ein TISAX-Label müssen alle Muss-Anforderungen (Maturity Level ≥ 3) und Soll-Anforderungen (Maturity Level ≥ 2) erfüllt sein.

TISAX und ISO 27001 überschneiden sich zu ca. 80 % in ihren inhaltlichen Anforderungen. ISO 27001 definiert einen allgemeinen Rahmen für ein Informationssicherheits-Managementsystem (ISMS); TISAX konkretisiert und erweitert diesen für die spezifischen Bedürfnisse der Automobilindustrie. Ein bestehendes, zertifiziertes ISO-27001-ISMS ist die ideale Ausgangsbasis für ein TISAX-Assessment - viele Nachweise können direkt übernommen werden. Umgekehrt deckt ein TISAX-Assessment nicht alle ISO-27001-Anforderungen ab, da TISAX branchenspezifische Schwerpunkte setzt (insbesondere Prototypenschutz und automobile Lieferkette). Unternehmen, die sowohl ISO 27001 als auch TISAX anstreben, profitieren von einem integrierten Implementierungsansatz, der Synergien gezielt nutzt.

AWARE7 begleitet Unternehmen durch den gesamten TISAX-Prozess: von der initialen Gap-Analyse anhand des VDA ISA über die Umsetzung identifizierter Maßnahmen bis zur Vorbereitung auf das Assessment durch einen akkreditierten Prüfdienstleister. Wir sind spezialisiert auf die Synergienutzung zwischen ISO 27001 und TISAX - Unternehmen, die bereits ISO 27001 anstreben oder zertifiziert sind, können mit unserem integrierten Ansatz beiden Anforderungen gleichzeitig gerecht werden. Unsere Leistungen umfassen: VDA-ISA-Selbstbewertung und Gap-Analyse, Maßnahmenplanung und -umsetzungsbegleitung, ISMS-Aufbau mit TISAX-Alignment, interne Vorbereitung auf AL-2- und AL-3-Assessments sowie fortlaufende Unterstützung im Dreijahres-Zyklus.