ISA 2027: Was ändert sich im neuen TISAX®-Ka­ta­log?

Jährlicher Veröffentlichungszyklus

Die erste Änderung zeigt sich bereits im Titel selbst: Anstelle einer Versionsnummer trägt der Katalog nun das Jahr seiner Gültigkeit, in diesem Fall 2027. Dies deutet darauf hin, dass der ISA-Katalog künftig jährlich veröffentlicht wird.

Ein jährlicher Veröffentlichungszyklus bietet die Möglichkeit, schneller auf Veränderungen in der Bedrohungslage innerhalb der Automobilindustrie zu reagieren. Sicherheitsanforderungen können zeitnah angepasst und gezielt verschärft werden, um neuen Bedrohungen wirksam entgegenzuwirken.

Künftig werden neue Ausgaben des ISA-Katalogs voraussichtlich Mitte des Vorjahres veröffentlicht. Mit Beginn des jeweils folgenden Jahres wird der neue ISA-Katalog für alle Organisationen verbindlich, die sich einer Erst- oder Erneuerungsprüfung für TISAX^® unterziehen. Damit haben Organisationen, die eine Erneuerung ihrer TISAX^®-Label planen, etwa sechs Monate Zeit, um die Änderungen zu prüfen, die erforderlichen Maßnahmen zu ermitteln und diese vor dem Assessment umzusetzen.

Was bedeutet das für Ihren Vorbereitungsaufwand?

Unsere Erfahrungen mit der Einführung des ISA-Katalogs 6.0 zeigen, dass Unternehmen in der Praxis ohnehin erst etwa sechs Monate vor der Umstellung damit begonnen haben, sich intensiv mit den neuen Anforderungen auseinanderzusetzen. Der geplante jährliche Veröffentlichungszyklus dürfte den Anpassungsdruck für die meisten Organisationen daher kaum erhöhen: Die verfügbare Vorlaufzeit entspricht dem Zeitraum, der sich bereits im Rahmen des bisherigen Dreijahreszyklus als ausreichend erwiesen hat.

Eine Ausnahme können jedoch große, international tätige Unternehmen bilden. Aufgrund unserer Erfahrungen mit global tätigen Organisationen gehen wir davon aus, dass die konsequente Umsetzung neuer Anforderungen in Tochtergesellschaften mit unterschiedlichen Organisationsstrukturen und kulturellen Umfeldern erheblich länger als sechs Monate dauern kann. Das gilt insbesondere dann, wenn Anforderungen in lokale Sprachen übersetzt, mit nationalen Rechtsrahmen abgeglichen oder erst durch organisatorische oder technische Investitionen ermöglicht werden müssen. Für diese Unternehmen bleibt ein sechsmonatiges Vorbereitungsfenster daher unabhängig vom neuen Zyklus eine organisatorische Herausforderung. Ob sich diese Annahme als richtig erweist, wird letztlich von der Übergangsregelung der aktuell noch ausstehenden TISAX^® ACAR-Dokumente abhängen.

„Prototypenschutz“ wird einfacher und einheitlicher

Bislang gehörte das Modul „Prototypenschutz“ zu den komplexeren Bereichen von TISAX^®. Unternehmen mussten sich oft durch mehrere Labels mit unterschiedlichen Geltungsbereichen navigieren, was leicht zu Missverständnissen darüber führen konnte, welche Labels erforderlich waren. In der Praxis führte dies gelegentlich dazu, dass Organisationen unbeabsichtigt ein erforderliches Label ausließen, was anschließend eine Erweiterung des Geltungsbereichs erforderlich machte.

ISA 2027 begegnet dieser Komplexität mit einer wesentlich einfacheren, intuitiveren Struktur. Künftig gibt es nur noch zwei Labels für den Prototypenschutz:

• Prototypenschutz Basic („Prototype Protection Basic“, AL2)
• Prototypenschutz Einrichtungen („Prototype Protection Facilities“, AL3)

„Prototype Protection Facilities“ umfasst alle Anforderungen von „Prototype Protection Basic“. Es ist dasselbe hierarchische Modell, das bereits für andere TISAX^®-Labels verwendet wird, wobei „Strictly Confidential“ alle Anforderungen von „Confidential“ umfasst, „Very High Availability“ alle Anforderungen von „High Availability“ und „Special Categories of Personal Data“ alle Anforderungen von „Standard Categories of Personal Data“ abdeckt.

Das Label „Prototype Protection Basic“ (AL2) belegt, dass eine Organisation geeignete Prozesse und qualifiziertes Personal für den sicheren Umgang mit Prototypen – einschließlich Komponenten und Fahrzeugen – eingerichtet hat. „Prototype Protection Facilities“ (AL3) geht noch einen Schritt weiter: Zusätzlich zu den in „Basic“ abgedeckten Prozessanforderungen wird nachgewiesen, dass die Standorte und Einrichtungen der Organisation die erforderlichen physischen Sicherheitsvorkehrungen bieten, um Prototypen vor Ort sicher zu lagern und zu schützen.

Diese Harmonisierung macht das Modul „Prototypenschutz“ wesentlich verständlicher und verringert die Wahrscheinlichkeit, dass Organisationen einen unvollständigen Umfang für das TISAX^®-Assessment wählen.

Mehr Klarheit im Modul „Informationssicherheit“

Auch das Modul „Informationssicherheit“ ändert sich, allerdings weitaus weniger weitreichend. Es enthält 43 überarbeitete Maßnahmen (Controls), von denen die meisten darauf abzielen, die Klarheit und Übereinstimmung der Auslegung zwischen Organisationen und Auditoren zu verbessern, sowie eine kleine Anzahl von Anforderungen, bei denen der Schwerpunkt von „sollte" auf „muss" verlagert wird. Dazu zählen etwa:

• Schwachstellenmanagement (5.2.6): Es reicht künftig nicht mehr aus, Schwachstellen zu identifizieren, sie müssen zusätzlich innerhalb einer definierten Frist behoben werden.
• Krisenmanagement (1.6.3): Ein Krisenmanagementplan muss nicht nur vorliegen, sondern auch nachweislich getestet werden.
• Lieferantenmanagement (6.1.1): Anforderungen an Auftragnehmer und Kooperationspartner müssen künftig nicht nur definiert, sondern auch überwacht und auditiert werden.

Zudem wurde der Begriff „IT-Dienstleister" erweitert: Er umfasst nun ausdrücklich alle extern bereitgestellten IT- und OT-Dienste, einschließlich Cloud- und webbasierter Services, nicht mehr nur klassisch ausgelagerte IT-Leistungen. Die vollständige Control-für-Control-Analyse haben wir in einem PDF zusammengefasst: ISA 2027: Das Informationssicherheitsmodul.

Was bedeuten die Änderungen in ISA 2027 für Ihr nächstes Assessment?

Für Organisationen, die bereits die Anforderungen von ISA 6.0 erfüllen, dürfte der Übergang zu ISA 2027 keine nennenswerten Herausforderungen mit sich bringen. Bestehende Zertifizierungen bleiben gültig, und die neuen Anforderungen werden erst beim nächsten Assessment relevant.

Die im Modul „Prototypenschutz“ eingeführten Vereinfachungen sind besonders zu begrüßen. Die Änderungen im Modul „Informationssicherheit“ stellen eher eine Evolution als eine Revolution dar. Insgesamt ist der Übergang zu ISA 2027 weitaus weniger aufwendig als der Wechsel zum ISA Katalog 6.0.

Wenn Ihre TISAX^®-Label zur Verlängerung anstehen, haben Sie etwa sechs Monate Zeit, um den Übergang abzuschließen. Dies ist ein guter Zeitpunkt, um Ihr Informationssicherheitsmanagement anhand der Anforderungen von ISA 2027 zu überprüfen, etwaige Lücken zu identifizieren und die notwendigen Verbesserungen vor Ihrem nächsten Assessment umzusetzen.

Einige praktische Hinweise, die Sie beachten sollten:

• Bestehende, gültige TISAX^®-Label sind davon nicht betroffen. ISA 2027 wird erst bei Ihrer nächsten Begutachtung relevant, nicht rückwirkend.
• Überprüfen Sie Ihre Richtliniendokumentation anhand der Anforderungen, deren Gewichtung sich schrittweise von „sollte“ zu „muss“ verschoben hat.
• Überprüfen Sie Ihre Lieferanten und Dienstleister im Hinblick auf den erweiterten Geltungsbereich für IT-Dienstleister, wobei der Schwerpunkt auf einer klaren Aufteilung der Verantwortlichkeiten liegen sollte.

Seien Sie den Veränderungen einen Schritt voraus

Zu verstehen, was sich in ISA 2027 geändert hat, ist der erste Schritt. Zu verstehen, was dies konkret für Ihr Unternehmen bedeutet, ist der nächste. Die DQS wird weiterhin faktenbasierte Updates zu ISA 2027 bereitstellen, sobald der Zeitplan für die Umstellung und weitere Details vorliegen.

Dieser Beitrag spiegelt die zum Zeitpunkt der Erstellung öffentlich verfügbaren Informationen zu ISA 2027 wider. Wie bei jeder neuen Version können einige Details, zum Beispiel zum genauen Zeitplan und Ablauf der Umstellung, noch von ENX und dem VDA präzisiert werden.

Was die DQS für Sie tun kann

Als bei ENX gelisteter Prüfdienstleister führt die DQS weltweit TISAX^®-Assessments durch: mit einem globalen Netzwerk, das lokale Marktkenntnis und internationale Standards vereint. Da unsere Auditoren zugleich für die internationale Norm ISO 27001 zugelassen sind, bringen sie ein breites Branchenwissen rund um Informationssicherheit in der Automobilindustrie mit. Unsere Experten beantworten Ihnen gerne Ihre Fragen. Wir freuen uns auf das Gespräch mit Ihnen.

Vertrauen und Expertise

Unsere Texte und Broschüren werden ausschließlich von unseren Normexperten oder langjährigen Auditoren verfasst. Sollten Sie Fragen zu den Textinhalten oder unseren Dienstleistungen an unseren Autor haben, senden Sie uns gerne eine E-Mail: [email protected]

Hinweis: Wir verwenden aus Gründen der besseren Lesbarkeit das generische Maskulinum. Die Direktive schließt jedoch grundsätzlich Personen jeglicher Geschlechteridentitäten mit ein, soweit es für die Aussage erforderlich ist.