automotive-informationssicherheit-dqs-mann am computer

Check­lis­te: TISAX®-Be­reit­schaft

Eine schnelle Selbst­prü­fung anhand der VDA-ISA-Do­mä­nen. Er­mit­teln Sie Ihren Rei­fe­grad, bevor das TISAX®-Au­dit beginnt.


Über diese Checkliste

TISAX® (Trusted Information Security Assessment Exchange) ist ein in der gesamten Automobilindustrie verwendetes Bewertungssystem für Informationssicherheit, das auf dem VDA-Katalog zur Informationssicherheitsbewertung (ISA) basiert. Es ist eher als Bewertung denn als Zertifizierung konzipiert. Bitte beachten Sie, dass kein TISAX®-Zertifikat ausgestellt wird.

Mit dieser Checkliste können Sie den aktuellen Stand Ihres Unternehmens anhand der VDA-ISA-Domänen selbst überprüfen, bevor Sie ein TISAX®-Assessment vereinbaren. Gehen Sie jede Domäne durch und kennzeichnen Sie jeden Punkt je nach der aktuellen Praxis in Ihrem Unternehmen mit „Ja“, „Teilweise“ oder „Nein“.

Ein Hinweis zu den Bewertungsstufen

TISAX®-Bewertungen werden auf verschiedenen Bewertungsstufen (AL1–AL3) durchgeführt, wobei die anzuwendende Stufe und die Prüfungsintensität von den weitergegebenen Informationen und dem mit Ihren Geschäftspartnern vereinbarten Umfang abhängen. Bei höheren Bewertungsstufen ist in der Regel eine Überprüfung durch einen Auditor vor Ort oder per Fernzugriff erforderlich und nicht nur eine Selbstbewertung.

So verwenden Sie diese Checkliste

  • Weisen Sie jedem Bereich einen Verantwortlichen zu (z. B. IT-Sicherheitsbeauftragter, Personalabteilung, Facility Management)
  • Beantworten Sie jeden Punkt ehrlich. „Teilweise“ ist eine gültige und hilfreiche Antwort
  • Nutzen Sie die Bewertungshilfe auf der letzten Seite, um vorrangige Bereiche zu identifizieren
  • Überprüfen Sie diese Checkliste regelmäßig, wenn sich Ihr Umfang oder die Anforderungen Ihrer Geschäftspartner ändern
TISAX®-Bereitschafts-Checkliste

TISAX®-Bereitschafts-Checkliste

Prüfen Sie den aktuellen Stand Ihrer Organisation anhand der VDA-ISA-Domänen, bevor Sie ein TISAX®-Assessment planen.

32 Punkte · 8 Domänen · Ja / Teilweise / Nein
Ihr Fortschritt 0 von 32 beantwortet
1

Informationssicherheitsrichtlinie & Organisation

Es existiert eine dokumentierte Informationssicherheitsrichtlinie, die vom Management genehmigt wurde.

Die Verantwortlichkeiten für Informationssicherheit sind innerhalb der Organisation formal zugewiesen.

Die Richtlinie wird nach einem festgelegten Turnus überprüft und aktualisiert.

Die Ziele der Informationssicherheit sind mit dem Geschäftsrisiko verknüpft und werden nicht als reines IT-Thema behandelt.

2

Personalsicherheit & Sensibilisierung

Vertraulichkeitsverpflichtungen sind in Arbeitsverträgen oder gleichwertigen Vereinbarungen enthalten.

Neue Mitarbeitende erhalten während des Onboardings eine Schulung zur Sensibilisierung für Informationssicherheit.

Regelmäßige Auffrischungsschulungen werden allen Mitarbeitenden mit Zugang zu sensiblen Informationen angeboten.

Es existiert ein definierter Prozess zum Entzug von Zugriffsrechten, wenn Mitarbeitende das Unternehmen verlassen oder die Rolle wechseln.

3

Asset-Management

Ein Verzeichnis der Informationswerte (Daten, Systeme, Geräte) wird gepflegt und aktuell gehalten.

Werte werden nach ihrer Sensibilität klassifiziert (z. B. öffentlich, intern, vertraulich, streng vertraulich).

Regeln für den Umgang mit und die Kennzeichnung von klassifizierten Informationen sind dokumentiert und werden eingehalten.

Wechseldatenträger und mobile Endgeräte unterliegen festgelegten Regeln für den Umgang damit.

4

Physische & umgebungsbezogene Sicherheit

Der Zugang zu Gebäuden und sensiblen Bereichen wird kontrolliert (Ausweise, Besucherprotokolle, Begleitregeln).

Serverräume und Rechenzentren verfügen über einen eingeschränkten Zugang, getrennt vom allgemeinen Bürozugang.

Clear-Desk- und Clear-Screen-Praktiken sind definiert und werden eingehalten.

Umgebungsrisiken (Brand, Wasser, Stromausfall) werden für kritische Infrastrukturen berücksichtigt.

5

IT-Sicherheit: Zugriffskontrolle & Kryptografie

Der Benutzerzugriff folgt dem Prinzip der geringsten Rechte und des Need-to-know.

Zugriffsrechte werden nach einem festgelegten Zeitplan überprüft und bei Nichtbenötigung umgehend entzogen.

Multi-Faktor-Authentifizierung wird für Fernzugriffe und privilegierte Konten eingesetzt.

Sensible Daten werden im Ruhezustand und bei der Übertragung gemäß einem festgelegten Standard verschlüsselt.

Patch-Management und der Umgang mit Schwachstellen folgen einem dokumentierten Prozess.

6

Lieferanten- & Drittparteienbeziehungen

Anforderungen an die Informationssicherheit sind in Vereinbarungen mit Lieferanten und Subunternehmern enthalten.

Dritte mit Zugang zu sensiblen Informationen werden vor der Aufnahme der Zusammenarbeit bewertet.

Es existiert ein Prozess, um die Einhaltung der vereinbarten Sicherheitsanforderungen durch Lieferanten fortlaufend zu überwachen.

7

Vorfallmanagement & Business Continuity

Es existiert ein dokumentierter Prozess zur Meldung und Behandlung von Informationssicherheitsvorfällen.

Rollen und Eskalationswege für die Vorfallreaktion sind definiert und dem betreffenden Personal bekannt.

Für kritische Systeme und Prozesse existieren Business-Continuity- und Notfallwiederherstellungspläne.

Kontinuitätspläne werden nach einem festgelegten Turnus getestet oder geübt.

8

Datenschutz

Ein Datenschutzrahmenwerk im Einklang mit dem geltenden Datenschutzrecht (z. B. DSGVO) ist vorhanden.

Die Verarbeitung personenbezogener Daten ist dokumentiert, einschließlich Rechtsgrundlage und Aufbewahrungsfristen.

Es existiert ein Prozess zur Bearbeitung von Betroffenenanfragen und Meldungen von Datenschutzverletzungen.

Für internationale Übermittlungen personenbezogener Daten bestehen Schutzmaßnahmen (z. B. Standardvertragsklauseln).

Ihr Bereitschafts-Ergebnis

0 von 64 Punkten

Ergebnisse nach Domäne

Nächste Schritte

Ein ab­ge­schlos­se­ner Selbst­check ist ein guter Aus­gangs­punkt, aber nicht das Ziel. DQS führt unabhängige TISAX®-Bewertungen durch, die auf das von Ihren Geschäftspartnern gewünschte Niveau und den gewünschten Umfang ab­ge­stimmt sind. Kon­tak­tie­ren Sie uns, um das richtige Be­wer­tungs­ni­veau und die pas­sen­den Module für Ihr Un­ter­neh­men zu er­mit­teln und einen Termin zu ver­ein­ba­ren.

Sprechen Sie mit uns