TISAX-Level und -Labels

Die drei TISAX-Level (Assessment Level)

Das TISAX-Teilnehmerhandbuch der ENX Association beschreibt drei Prüftiefen:

Assessment Level 1 (AL 1)

Im Wesentlichen eine interne Selbstbewertung. Der Prüfer stellt nur fest, dass eine ausgefüllte Selbstbewertung vorliegt, prüft aber weder Inhalte noch Nachweise. Ergebnisse auf AL 1 haben ein geringes Vertrauensniveau und werden in TISAX nicht verwendet.

Assessment Level 2 (AL 2)

Der Prüfer führt eine Plausibilitätsprüfung der Selbstbewertung durch, sichtet Nachweise und führt ein Gespräch mit der für Informationssicherheit verantwortlichen Person, üblicherweise per Webkonferenz. Für Nachweise, die Sie nicht versenden möchten, kann eine Einsichtnahme vor Ort vereinbart werden. Als Variante gibt es «AL 2.5», eine vollständige Fernprüfung, die formal als AL 2 gewertet wird und später auf AL 3 erweitert werden kann.

Assessment Level 3 (AL 3)

Der Prüfer überprüft die Erfüllung umfassend: Dokumentenprüfung, geplante und ungeplante Interviews, Beobachtung von Abläufen und Gegebenheiten und Besuch der Standorte. Ist ein Besuch vorübergehend nicht möglich, kann eine videogestützte Fernmethode eingesetzt werden. Sie wird aber als geringfügige Abweichung festgehalten und erfordert eine spätere Prüfung vor Ort.

Höhere Level schließen niedrigere ein: Ein Ergebnis auf AL 3 erfüllt auch Anforderungen auf AL 2.

Die TISAX-Labels im Überblick

Die Prüfziele (Assessment Objectives) entsprechen den späteren Labels. Laut Teilnehmerhandbuch gilt:

Umstellung der Informations-Labels

Bis zum 31. März 2024 gab es die Prüfziele «Info high» (AL 2) und «Info very high» (AL 3). Seit dem 1. April 2024 sind stattdessen «Confidential» und «Strictly confidential» sowie die Verfügbarkeits-Labels wählbar. Die neuen Labels sind Teilmengen der früheren; laut ENX bringt die Aufteilung keine neuen Anforderungen und keine Änderung der Prüftiefe. Ältere Ergebnisse mit «Info high» oder «Info very high» können daher noch im Umlauf sein, bis sie nach drei Jahren auslaufen.

Welche Prüfziele zusammengehören

In der Praxis werden häufig mehrere Prüfziele kombiniert, etwa Vertraulichkeit und Datenschutz für einen Entwicklungsdienstleister oder Prototypenschutz und Vertraulichkeit für einen Teilefertiger. Maßgeblich ist das Prüfziel mit dem höchsten Level: Ist eines davon AL 3, findet das Assessment insgesamt mit Besuch vor Ort statt.

Prototypenschutz

Die Prototypen-Labels betreffen Unternehmen, die mit nicht öffentlichen Fahrzeugen oder Teilen arbeiten, zum Beispiel in Entwicklung, Fertigung, Erprobung, Transport oder bei Foto- und Filmaufnahmen. Hier geht es besonders um physische Sicherheit: Zutrittskontrolle, Sichtschutz, Verwahrung, Transportsicherheit und Verhaltensregeln für Beschäftigte. Für diese Prüfziele steht die vereinfachte Gruppenbewertung für mehrere Standorte nicht zur Verfügung.

Datenschutz-Labels

«Data» und «Special data» richten sich an Unternehmen, die personenbezogene Daten im Auftrag eines Kunden verarbeiten. Sie prüfen datenschutzbezogene Anforderungen im ISA-Katalog und können die vertraglich ohnehin nötige Prüfung des Auftragsverarbeiters nach Art. 28 DSGVO unterstützen. Die datenschutzrechtliche Verantwortung des Auftraggebers ersetzen sie nicht.

Das richtige Level wählen

• Kundenanforderung zuerst: Das erwartete Label steht oft in Lieferantenverträgen oder Anfragen. Fragen Sie im Zweifel konkret nach.
• Nicht überdimensionieren: AL 3 bedeutet Besuch vor Ort, mehr Prüftage und höhere Anforderungen an Nachweise.
• Nicht unterdimensionieren: Ein Ergebnis auf AL 2 genügt nicht, wenn der Kunde «Strictly confidential» verlangt; dann ist ein erneutes Assessment nötig.
• Zukunft mitdenken: Wenn absehbar ist, dass Sie mit Prototypen arbeiten werden, kann es sinnvoll sein, das entsprechende Prüfziel gleich mitzunehmen.

Vorbereitung auf AL 3

Wer erstmals ein AL-3-Assessment plant, sollte besonders auf gelebte Prozesse achten. Prüfer führen ungeplante Interviews und beobachten Abläufe vor Ort. Dokumente, die nicht der Praxis entsprechen, fallen dabei auf. Hilfreich sind eine Begehung mit kritischem Blick (Zutritt, Besucherregelung, aufgeräumte Arbeitsplätze, Bildschirmsperre), eine Probe der wichtigsten Abläufe und eine kurze Einweisung der Beschäftigten, die befragt werden könnten.