TISAX® As­sess­ment Level 2: Warum die güns­tigs­te Option nicht immer die wirt­schaft­lichs­te ist

Die gängige Vorstellung von Assessment Level 2

Wenn Automobilzulieferer erstmals die Optionen für eine TISAX^® Zertifizierung prüfen, erscheint das Level 2 (AL2) meist als der naheliegende Einstiegspunkt. Die Kosten sind niedriger als bei höheren Levels und die Bewertung erfolgt remote, sodass keine Reisen erforderlich sind. Auf dem Papier erscheint dieser Weg zum TISAX® Label kürzer und kostengünstiger.

Unternehmen, die ihr TISAX^® Assessment allein auf Basis der Kosten planen, stoßen jedoch häufig auf eine komplexere Realität. Der Gesamtaufwand für den Erwerb und die Aufrechterhaltung eines TISAX^® Labels hängt von Faktoren ab, die weit über das hinausgehen, was auf der Rechnung des Prüfdienstleisters erscheint.

Nur wer sich vor der Entscheidung für ein Assessment Level ein vollständiges Bild verschafft, vermeidet Mehraufwand, Verzögerungen und unerwartete Kosten.

Was das Level 2 tatsächlich erfordert

Die TISAX^®-Prüfstufe 2 ist eine Plausibilitätsprüfung. Die Aufgabe des Auditors besteht darin zu bewerten, ob die Selbstbewertung des Unternehmens ein funktionierendes Informationssicherheits-Managementsystem (ISMS) plausibel beschreibt, das den Anforderungen des ISA-Katalogs 6.0 entspricht.

Im Gegensatz zum Level 3 umfasst AL2 keine Vor-Ort-Prüfung der implementierten Maßnahmen. Das Assessment erfolgt vorwiegend auf Basis der schriftlichen Selbstauskunft der Organisation und der zugehörigen Nachweisdokumente.

Dies hat eine entscheidende Konsequenz: Die Qualität der Selbstbewertung bestimmt den Erfolg des Prozesses.

Für Assessment Level 2 muss der Auditor allein anhand der schriftlichen Beschreibung im ISA-Katalog nachvollziehen können, wie jedes Kontrollziel erfüllt wird. Nachweisdokumente dienen dazu, die Erläuterungen zu untermauern – sie ersetzen diese jedoch nicht. Ist der Text der Selbstauskunft unklar, widersprüchlich oder unzureichend detailliert, kann dies durch keine noch so umfangreiche zusätzliche Dokumentation ausgeglichen werden. In solchen Fällen werden Überarbeitungen und weitere Prüfzyklen notwendig, was sowohl den Zeitrahmen als auch den internen Aufwand erhöht.

Warum der interne Aufwand häufig unterschätzt wird

Die externen Kosten eines TISAX^® Assessments sind sichtbar. Der interne Aufwand ist es nicht – und genau hier werden viele Organisationen überrascht.

Die Erstellung einer plausiblen Selbstbewertung erfordert ein detailliertes, dokumentiertes Verständnis darüber, wie Informationssicherheitskontrollen unternehmensweit funktionieren. Dafür ist typischerweise der Input folgender Bereiche erforderlich:

• Informationssicherheit und IT
• Personalabteilung und Facility Management
• Compliance- und Rechtsabteilungen
• Geschäftsleitung

Der Zeitaufwand hängt maßgeblich von der Fachkompetenz und der Sorgfalt jener Person ab, die für die Dokumentation der Kontrollen im ISA-Katalog verantwortlich ist. Organisationen mit einem gut etablierten Informationssicherheits-Managementsystem (ISMS) und Mitarbeitern, die mit den TISAX^®-Anforderungen vertraut sind, können den Prozess oft effizient abschließen. 

Im Gegensatz dazu haben Organisationen mit einem weniger ausgereiften ISMS in der Regel einen deutlich höheren Aufwand bei der Erfassung der erforderlichen Informationen und der klaren und verständlichen Beschreibung der zugrunde liegenden Prozesse und Kontrollen. Basierend auf Erfahrungen aus der Assessment-Praxis investieren gut vorbereitete Organisationen in der Regel etwa 24 Stunden in die Erstellung einer plausiblen Selbstbewertung. Weniger gut vorbereitete Organisationen benötigen 48 Stunden oder mehr – zusätzliche Überarbeitungsrunden im Rahmen der Plausibilitätsprüfung können diesen Aufwand weiter erhöhen.

AL2 versus AL2.5

Eine differenziertere Betrachtung des Gesamtaufwands

Die Annahme, ein niedrigeres Assessment-Level bedeute automatisch eine geringere Gesamtinvestition, trifft nicht immer zu.

Vergleicht man AL2 und AL2.5 hinsichtlich des Gesamtaufwands – sowohl die interne Vorbereitung der Organisation als auch die Prüfarbeit des Assessors –, ergibt sich ein anderes Bild als es die externen Kosten allein vermuten lassen:

AL2.5 umfasst eine größere Prüftiefe und eine aktivere Rolle des Auditors, was zu höheren externen Kosten führt. Der reduzierte interne Vorbereitungsaufwand kann AL2.5 jedoch zu einer tatsächlich effizienteren Option für Organisationen machen, denen die Kompetenz bei der Dokumentation oder die personellen Ressourcen fehlen, um eine qualitativ hochwertige AL2-Selbstbewertung effizient zu erstellen.

Keine der beiden Optionen ist grundsätzlich vorzuziehen. Die richtige Wahl hängt von den spezifischen Gegebenheiten Ihrer Organisation ab und nicht davon, welche Option im Angebot kostengünstiger erscheint.

Das Risiko sich ändernder Anforderungen

Viele Organisationen beginnen TISAX^® mit einer klaren, konkreten Anforderung eines einzelnen Kunden: ein Label auf Assessment Level 2 zu erlangen. In diesem Moment scheint AL2 als die einzig sinnvolle Wahl.

Das automobile Umfeld ist jedoch dynamisch. Neue Kundenbeziehungen, ein erweiterter Projektumfang oder veränderte Informationsklassifizierungen können den Bedarf an höheren Assessment-Levels mit sich bringen – mitunter innerhalb desselben Gültigkeitszeitraums. Häufig auftretende Szenarien sind:

• Umgang mit streng vertraulichen Informationen
• Anforderungen hinsichtlich sehr hoher Verfügbarkeit
• Scope-Erweiterungen im Bereich Prototypenschutz
• zusätzliche OEM-spezifische Anforderungen

Kein Unternehmen kann alle zukünftigen Anforderungen mit Sicherheit vorhersagen. Wer mögliche geschäftliche Entwicklungen jedoch bereits in der Planungsphase berücksichtigt – anstatt später darauf zu reagieren – kann unnötigen Doppelaufwand vermeiden.

Die tatsächlichen Kosten eines Upgrades von AL2

Für Organisationen, die mit Assessment Level 2 starten und später Level 3 benötigen, ist das Upgrade nicht so einfach, wie es zunächst erscheinen mag.

Da sich AL2 auf Plausibilität statt auf eine Vor-Ort-Verifizierung der Kontrollen konzentriert, ist die methodische Überschneidung zwischen AL2 und AL3 begrenzt. Ein Upgrade von AL2 auf AL3 ist im Aufwand in der Regel vergleichbar mit einem vollständigen Erst-Assessment auf Level 3. Für einen einzelnen Standort kann dies einen Aufwand von etwa 24 Stunden bedeuten – praktisch ein kompletter Neustart.

Im Gegensatz dazu kommen Organisationen, die bei AL2.5 beginnen, beim Übergang auf AL3 möglicherweise für ein Differenz-Assessment in Frage. Je nach Scope und Labels kann dies den Assessment-Aufwand für das Upgrade erheblich reduzieren. Das bedeutet nicht, dass AL2 der falsche Ausgangspunkt ist. Für Organisationen, bei denen eine realistische Wahrscheinlichkeit besteht, dass sie künftig AL3 benötigen, lohnt sich jedoch eine sorgfältige Betrachtung der Wirtschaftlichkeit eines höheren Einstiegslevels.

Wann ist ein TISAX^® Assessment Level 2 die richtige Wahl?

Trotz der oben genannten Faktoren ist das Level 2 für viele Organisationen eine geeignete und wirksame Wahl. Es eignet sich besonders gut, wenn:

• die Organisation bereits über ein gut dokumentiertes ISMS verfügt
• verantwortliche Mitarbeitende über fundierte Erfahrung mit den TISAX^®-Anforderungen und der Terminologie verfügt
• eine qualitativ hochwertige Selbstbewertung mit minimalem Überarbeitungsaufwand erstellt werden kann
• kein absehbarer Bedarf besteht, während des aktuellen Assessment-Zyklus auf Level 3 zu wechseln

Unter diesen Voraussetzungen kann Level 2 einen soliden Weg zum TISAX®-Label bieten und gleichzeitig die externen Assessment-Kosten gering halten.

Schlüsselfragen für die richtige Entscheidung 

über das passende Assessment Level

Statt von den Assessment-Kosten auszugehen, profitieren Organisationen davon, folgende Überlegungen durchzugehen:

1. Wie ausgereift ist unsere bestehende ISMS-Dokumentation? Lassen sich aus den dokumentierten Prozessen unmittelbar klare und nachvollziehbare Kontrollbeschreibungen ableiten?
2. Verfügt unsere Organisation über die internen Ressourcen, um einen gründlichen Selbstbewertungsprozess durchzuführen, ohne dass es zu Engpässen kommt?
3. Welche Labels fordern unsere Kunden aktuell?
4. Erweitern wir unsere Kundenbeziehungen um neue Partner, die möglicherweise andere oder höhere TISAX^® Anforderungen stellen?
5. Wie sieht unser realistischer Upgrade-Pfad aus? Falls AL3 erforderlich wird, welche Kosten würde uns dieser Übergang von den jeweiligen Ausgangspunkten aus bevorstehen?

Die Beantwortung dieser Fragen sollte unter Einbeziehung entsprechender Fachabteilungen sowie dem Bereichen Informationssicherheit und IT erfolgen. Das liefert eine deutlich verlässlichere Entscheidungsgrundlage als der reine Vergleich externer Kosten.

Der Blick über die reinen Kosten hinaus

Das Assessment Level 2 gilt häufig als der wirtschaftlichste Weg zu einem TISAX^® Label. Für Organisationen mit starker Dokumentationspraxis und ohne absehbaren Bedarf an höheren Assessment-Levels kann diese Annahme durchaus zutreffen.

Für alle andere Unternehmen können die tatsächlichen Kosten von Level 2 die vermeintliche Ersparnis bei den Assessment-Kosten jedoch übersteigen, gemessen an internem Vorbereitungsaufwand, den Überarbeitungsrunden und potenziellen Ausgaben für ein Upgrade. 

Das wirtschaftlichste Assessment-Level ist nicht zwangsläufig jenes mit dem niedrigsten Einstiegspreis. Es ist jenes, dass die richtige Balance aus Aufwand, Sicherheit und Flexibilität für die spezifische Situation Ihrer Organisation bietet.

DQS – der richtige Partner von Anfang an

Die DQS steht seit 1985 für fundierte Expertise, internationale Anerkennung und höchste Auditqualität. Als erste deutsche Zertifizierungsgesellschaft und mit den Gründungsgesellschaftern DGQ und DIN an unserer Seite verbinden wir Normungswissen, praktische Erfahrung und modernes Auditverständnis. Unsere Auditoren sind erfahrene Praktiker, die nicht nur prüfen, sondern verstehen wollen – und Ihnen wertvolle Impulse für die fortlaufende Verbesserung Ihres Managementsystems geben.

Unsere Auditphilosophie basiert darauf, weit über das Abarbeiten von Checklisten hinauszugehen: Wir stellen die richtigen Fragen, zeigen Verbesserungspotenziale auf und schaffen durch unabhängige, akkreditierte Verfahren weltweit gültige Vergleichbarkeit und Vertrauen. Ein DQS-Zertifikat steht für Qualität, Effizienz und gelebte Kundenorientierung – und ist damit ein starkes Zeichen für Vertrauen, sowohl innerhalb Ihrer Organisation als auch gegenüber Ihren interessierten Parteien. Nehmen Sie uns beim Wort! Wir freuen uns auf den Kontakt mit Ihnen.

Vertrauen und Expertise

Unsere Texte und Broschüren werden ausschließlich von unseren Normexperten oder langjährigen Auditoren verfasst. Sollten Sie Fragen zu den Textinhalten oder unseren Dienstleistungen an unseren Autor haben, freuen wir uns auf den Kontakt mit Ihnen.

Hinweis: Wir verwenden aus Gründen der besseren Lesbarkeit das generische Maskulinum. Die Direktive schließt jedoch grundsätzlich Personen jeglicher Geschlechteridentitäten mit ein, soweit es für die Aussage erforderlich ist.