TISAX einfach erklärt
TISAX einfach erklärt: was hinter dem Prüfverfahren der Autoindustrie steckt, wie Registrierung, Assessment und Austausch ablaufen und wie Sie sich vorbereiten.
TISAX ist das in der Automobilindustrie übliche Verfahren, mit dem Zulieferer und Dienstleister ihre Informationssicherheit nachweisen. Der Name steht für «Trusted Information Security Assessment Exchange». Betrieben wird TISAX von der ENX Association; die Prüfgrundlage ist der Fragenkatalog «Information Security Assessment» (ISA) des Verbands der Automobilindustrie.
Warum es TISAX gibt
Früher ließ jeder Autohersteller seine Lieferanten selbst prüfen. Mit TISAX genügt ein Assessment durch einen zugelassenen Prüfdienstleister, dessen Ergebnis Sie mit mehreren Kunden teilen können. Das spart beiden Seiten Aufwand.
Wer TISAX braucht
In der Regel verlangt ein Kunde aus der Automobilbranche ein bestimmtes TISAX-Ergebnis, etwa weil Sie mit vertraulichen Konstruktionsdaten, Prototypen oder personenbezogenen Daten arbeiten. Ohne diese Anforderung gibt es keinen Grund, TISAX von sich aus anzustoßen.
Wie es abläuft
Sie registrieren sich bei ENX, legen den Prüfumfang fest, wählen einen zugelassenen Prüfdienstleister und lassen sich prüfen. Vorher bewerten Sie sich selbst anhand des ISA-Katalogs. Das Ergebnis, die sogenannten Labels, ist drei Jahre gültig und wird nur mit den Partnern geteilt, die Sie freigeben.
Der nächste Schritt
Klären Sie mit Ihrem Kunden genau, welches Prüfziel er erwartet. Davon hängen Prüftiefe, Aufwand und Vorbereitung ab. Danach lohnt eine ehrliche Selbsteinschätzung mit dem ISA-Katalog, bevor Sie einen Prüftermin vereinbaren.
Grundlagen von TISAX
TISAX ist ein Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie. Die ENX Association, ein Zusammenschluss von Automobilherstellern, Zulieferern und Verbänden, steuert das Verfahren, lässt Prüfdienstleister zu und betreibt das Portal für den Austausch der Ergebnisse. Prüfgrundlage ist der vom Verband der Automobilindustrie (VDA) veröffentlichte Katalog VDA ISA (Information Security Assessment), den ENX pflegt. Der Katalog wird regelmäßig weiterentwickelt; welche Version für ein Assessment maßgeblich ist, nennt ENX auf seiner Website und im Teilnehmerhandbuch.
Der ISA-Katalog orientiert sich inhaltlich an der ISO/IEC 27001 und ergänzt branchenspezifische Themen, insbesondere den Prototypenschutz und die Anbindung an Dritte. Er enthält zudem Fragen zum Datenschutz.
Unterschied zu einer Zertifizierung
TISAX ist keine Zertifizierung im klassischen Sinn. Ergebnis ist ein Assessment-Bericht und eine Zuordnung von Labels zu einem festgelegten Prüfumfang. Diese Ergebnisse sind nicht öffentlich. Sie werden über das ENX-Portal nur mit den Partnern geteilt, denen Sie das ausdrücklich erlauben. Laut Teilnehmerhandbuch lassen sich einmal erteilte Freigaben nicht zurücknehmen.
Der Ablauf in drei Schritten
1. Registrierung
Sie registrieren sich als Teilnehmer bei ENX, hinterlegen Unternehmensdaten, akzeptieren die Teilnahmebedingungen, legen den Prüfumfang (Scope) und die Prüfziele fest und zahlen die Registrierungsgebühr. Für mehr als 99 % der Teilnehmer empfiehlt ENX den vordefinierten Standard-Scope, den alle TISAX-Teilnehmer akzeptieren. Zum Scope gehören die Standorte, die geprüft werden sollen.
2. Assessment
Sie bereiten sich mit dem ISA-Katalog vor, bewerten sich selbst und beauftragen einen von ENX zugelassenen Prüfdienstleister. Das Assessment besteht mindestens aus einer Erstprüfung; bei Abweichungen folgen eine Prüfung des Maßnahmenplans und gegebenenfalls eine Nachprüfung. Nach bestandener Prüfung stellt der Prüfdienstleister den offiziellen TISAX-Bericht aus, und Ihr Ergebnis erhält die entsprechenden Labels.
3. Austausch
Über das ENX-Portal geben Sie Ihr Ergebnis für Partner frei und wählen dabei die Freigabestufe. Kunden sehen dann, welche Labels für welche Standorte vorliegen.
Prüfziele, Prüftiefe und Labels
Welche Labels Sie benötigen, hängt davon ab, mit welchen Informationen Sie arbeiten: Informationen mit hohem oder sehr hohem Schutzbedarf hinsichtlich Vertraulichkeit oder Verfügbarkeit, Prototypen und Testfahrzeuge oder personenbezogene Daten im Auftrag. Je nach Prüfziel ist eine bestimmte Prüftiefe (Assessment Level) vorgegeben. Die einzelnen Labels und Level erläutert der Artikel zu TISAX-Level und -Labels.
Gültigkeit und Wiederholung
TISAX-Ergebnisse sind drei Jahre gültig. Sind Sie danach weiterhin Lieferant des Partners, wiederholen Sie die drei Schritte. Innerhalb der drei Jahre müssen Sie Ihr Sicherheitsniveau selbstverständlich halten; Kunden können im Rahmen ihrer Verträge zusätzliche Anforderungen stellen.
Mehrere Standorte
Für Unternehmen mit vielen Standorten bietet ENX eine vereinfachte Gruppenbewertung (Simplified Group Assessment) an. Der Hauptstandort wird dabei immer mit voller Prüftiefe geprüft, für weitere Standorte gelten abgestufte Regeln. Für Prüfziele des Prototypenschutzes steht diese Variante nicht zur Verfügung.
Vorbereitung in der Praxis
- Prüfziel klären: Lassen Sie sich vom Kunden schriftlich bestätigen, welche Labels er erwartet und bis wann.
- Scope festlegen: Welche Standorte bearbeiten die schutzbedürftigen Informationen?
- Selbsteinschätzung: Arbeiten Sie den ISA-Katalog ehrlich durch und bewerten Sie den Reifegrad je Frage. Viele Fragen setzen ein funktionierendes ISMS voraus, nicht nur einzelne technische Maßnahmen.
- Lücken schließen: Typische Baustellen sind dokumentierte Richtlinien, Risikobewertung, Lieferantensteuerung, Berechtigungsmanagement, Protokollierung und Notfallvorsorge.
- Prüfdienstleister früh anfragen: Prüftermine sind nicht immer kurzfristig verfügbar.
- Nachweise sammeln: Prüfdienstleister wollen Belege sehen, nicht nur Antworten im Katalog.
Häufige Missverständnisse
- «TISAX gilt für das ganze Unternehmen.» Geprüft wird der festgelegte Scope mit bestimmten Standorten. Kommt ein neuer Standort hinzu, auf dem schutzbedürftige Informationen verarbeitet werden, muss er gegebenenfalls nachgeprüft werden.
- «Ein Label reicht für alle Kunden.» Jeder Kunde legt fest, welche Labels er erwartet. Ein vorhandenes Ergebnis hilft nur, wenn es die geforderten Prüfziele abdeckt.
Kosten
Kosten entstehen für die ENX-Registrierung, den Prüfdienstleister und die eigene Vorbereitung einschließlich möglicher technischer Maßnahmen. Die Höhe hängt vor allem von Prüfziel, Prüftiefe, Anzahl der Standorte und Ausgangslage ab. Konkrete Beträge nennen ENX bzw. die Prüfdienstleister auf Anfrage.
TISAX, ISO 27001 und NIS-2
Wer bereits ein ISMS nach ISO 27001 betreibt, hat eine gute Grundlage, weil der ISA-Katalog auf denselben Prinzipien aufbaut. Ein ISO-Zertifikat ersetzt TISAX aber nicht, wenn der Kunde TISAX verlangt. Umgekehrt ersetzt TISAX keine gesetzlichen Pflichten: Zulieferer, die selbst unter NIS-2 fallen (etwa als Hersteller von Kraftwagen und -teilen nach Anlage 2 BSIG), müssen Registrierung, Meldepflichten und Geschäftsleitungspflichten gesondert erfüllen. ENX hat ein Gutachten veröffentlicht, das untersucht, wie weit TISAX die NIS-2-Anforderungen abdeckt; die Bewertung im Einzelfall bleibt Aufgabe des Unternehmens.
Häufige Fragen
Was bedeutet TISAX?
Trusted Information Security Assessment Exchange: ein Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie, betrieben von der ENX Association auf Grundlage des VDA-ISA-Katalogs.
Wie lange ist ein TISAX-Label gültig?
Drei Jahre. Danach wird das Verfahren wiederholt, wenn der Partner weiterhin ein Ergebnis verlangt.
Ist TISAX eine Zertifizierung?
Nein. TISAX liefert einen Assessment-Bericht und Labels, die nicht öffentlich sind und nur mit freigegebenen Partnern geteilt werden. In der Praxis erfüllt es aber eine ähnliche Funktion wie ein Zertifikat.