Was ist TISAX?

TISAX einfach erklärt

Automobilhersteller arbeiten mit vielen Zulieferern und Dienstleistern zusammen und teilen mit ihnen sensible Informationen – Konstruktionsdaten, Prototypen, Produktionspläne. Früher prüfte jeder Hersteller seine Partner auf eigene Weise. Für Zulieferer bedeutete das viele ähnliche Audits.

TISAX löst dieses Problem. Die Abkürzung steht für „Trusted Information Security Assessment Exchange“.

Ein Vergleich: Statt bei jeder Bank einzeln Ihre Kreditwürdigkeit nachzuweisen, legen Sie eine allgemein anerkannte Auskunft vor. Bei TISAX bewertet ein zugelassener Prüfdienstleister die Informationssicherheit eines Unternehmens nach einheitlichen Regeln. Das Ergebnis lässt sich anschließend mit mehreren Kunden teilen.

Betrieben wird TISAX von der ENX Association im Auftrag des Verbands der Automobilindustrie (VDA). Die ersten Unternehmen haben sich 2016 registriert. Wichtig: TISAX ist kein Gesetz. Gefordert wird es von den Kunden, häufig als Voraussetzung für einen Auftrag.

So läuft ein TISAX-Assessment ab

Grundlage ist der Anforderungskatalog VDA ISA (Information Security Assessment), der sich an der Norm ISO/IEC 27001 orientiert. Er wird regelmäßig aktualisiert. Für Assessments, die ab dem 1. Januar 2027 beauftragt werden, gilt die Version ISA2027.

Der Ablauf in Schritten:

1. Registrieren: Das Unternehmen registriert sich im ENX-Portal, legt fest, welche Standorte geprüft werden, und wählt die Prüfziele. Welche Prüfziele infrage kommen, hängt davon ab, welche Informationen es verarbeitet – etwa vertrauliche Daten, Prototypen oder personenbezogene Daten.
2. Selbsteinschätzung: Anhand des VDA-ISA-Katalogs bewertet das Unternehmen den eigenen Reifegrad. Das ist der beste Zeitpunkt, um Lücken zu schließen.
3. Prüfdienstleister beauftragen: Ein für TISAX zugelassener Prüfdienstleister übernimmt die Bewertung.
4. Assessment: Je nach Schutzbedarf folgt eine Plausibilitätsprüfung der Selbsteinschätzung anhand von Nachweisen und Interviews (Assessment Level 2) oder eine umfassende Prüfung mit Begutachtung vor Ort (Assessment Level 3).
5. Nacharbeiten: Stellt der Prüfdienstleister Abweichungen fest, erstellt das Unternehmen einen Maßnahmenplan und setzt ihn um.
6. Ergebnis teilen: Das Ergebnis erhält das Unternehmen in Form von TISAX-Labels, die bis zu drei Jahre gültig sind. Über das ENX-Portal entscheidet es selbst, welche Partner das Ergebnis sehen dürfen.

Ein Beispiel aus der Praxis

Ein mittelständischer Kunststoffverarbeiter soll Innenraumteile für ein neues Fahrzeugmodell entwickeln. Der Automobilhersteller verlangt vor dem Austausch der Konstruktionsdaten ein TISAX-Label für den Umgang mit vertraulichen Informationen und für den Prototypenschutz.

Das Unternehmen startet mit der Selbsteinschätzung und stellt fest: Es fehlt ein dokumentiertes Verfahren für den Umgang mit technischen Schwachstellen, und der Zutritt zum Entwicklungsbereich ist kaum geregelt. Bis zum Assessment führt es regelmäßige Schwachstellenscans ein, lässt einen Penetrationstest durchführen und richtet eine Zutrittskontrolle für die Prototypenwerkstatt ein. Das Assessment verläuft ohne größere Abweichungen.

Warum ist das für Unternehmen wichtig?

Für viele Zulieferer und Dienstleister der Automobilindustrie ist TISAX eine Eintrittskarte: Ohne gültiges Label gibt es oft keine sensiblen Projektdaten und damit keinen Auftrag. Das betrifft nicht nur Teilelieferanten, sondern etwa auch Entwicklungsdienstleister, Agenturen oder Logistikunternehmen, die mit vertraulichen Informationen arbeiten.

Zugleich ist TISAX mehr als eine Pflichtübung. Die Anforderungen schaffen eine solide Grundlage für ein ISMS, also ein systematisches Management der Informationssicherheit, und erschweren Angriffe über die Lieferkette. Ein TISAX-Label ist allerdings kein Zertifikat nach ISO/IEC 27001 – und umgekehrt ersetzt eine ISO-Zertifizierung TISAX nicht automatisch.

Was Unternehmen jetzt tun sollten

• Anforderungen klären: Fragen Sie Ihre Kunden, welche Prüfziele und welches Assessment Level sie erwarten.
• Früh beginnen: Die Vorbereitung kann je nach Ausgangslage mehrere Monate dauern.
• Ehrlich selbst einschätzen: Nutzen Sie den VDA-ISA-Katalog, um Lücken systematisch zu finden.
• Katalogversion prüfen: Klären Sie, nach welcher ISA-Version Ihr Assessment durchgeführt wird.
• Technische Nachweise sammeln: Schwachstellenmanagement, Netzwerktrennung und Zugriffsschutz sollten nachweisbar funktionieren.
• Verantwortung festlegen: Benennen Sie eine Person, die den Prozess steuert und Fristen im Blick behält.

Wie Rootsektor unterstützt

Das TISAX-Assessment selbst führt ein zugelassener Prüfdienstleister durch. Rootsektor liefert Ihnen dafür belastbare technische Nachweise: Unsere Leistungen im Penetration Testing zeigen, ob Schwachstellenbehandlung, Netzwerktrennung und Zugriffsschutz in der Praxis wirken, und physische Tests prüfen den Zutritt zu Prototypenbereichen. Bericht und Prüfbescheinigung können Sie Ihrem Prüfdienstleister und Ihren Kunden vorlegen. Mehr zu den Anforderungen der Branche lesen Sie unter Industrie & Produktion.