TISAX® einfach erklärt

Standpunkte der DQS als unabhängige, akkreditierte Zertifizierungsstelle. 

TISAX^® (Trusted Information Security Assessment EXchange) ist das etablierte Bewertungssystem für Informationssicherheit in der Automobilindustrie. Es ermöglicht Automobilherstellern (Original Equipment Manufacturer, OEMs), Zulieferern und Dienstleistern, ihre Fähigkeiten im sicheren Umgang mit vertraulichen Informationen nachzuweisen: die erforderliche Verfügbarkeit von Waren und Dienstleistungen sicherzustellen, als vertraulich eingestufte Prototypen zu schützen und personenbezogene Daten zu sichern. TISAX^® ist entlang der gesamten automobilen Lieferkette relevant, darunter OEMs, Tier-1- und Tier-2-Zulieferer, Ingenieurdienstleister, IT- und Softwareanbieter sowie Logistikunternehmen.

Ein erfolgreiches TISAX^® Assessment belegt, dass eine Organisation über die erforderlichen Fähigkeiten verfügt und diese wirksam umsetzt. Die Assessments führen von der ENX Association zugelassene Prüfdienstleister durch. Die bewerteten Standorte erhalten daraufhin die entsprechenden TISAX^®-Label, die sich über das ENX-Portal mit anderen Teilnehmern teilen lassen. Anders als bei herkömmlichen Zertifizierungen, wo akkreditierte Zertifizierungsstellen ein Zertifikat ausstellen, vergibt die ENX Association nach erfolgreichem Assessment ein Label.

Die TISAX^®-Labels legen fest, welche Anforderungen des ISA-Katalogs (Information Security Assessment) für eine Organisation gelten. Im Rahmen des Lieferantenmanagements legen Organisationen fest, welche Kombination von TISAX^®-Labels sie von jedem Lieferanten verlangen. Diese Anforderungen lassen sich auf die Verantwortlichkeiten des Lieferanten, die erbrachten Leistungen sowie die ihm anvertrauten Informationswerte und Prototypen abstimmen. Das ermöglicht einen risikobasierten Ansatz, bei dem die TISAX^®-Anforderungen auf die jeweilige Rolle und Verantwortung eines Lieferanten zugeschnitten sind.

Information Security Assessment: ISA-Katalog

Ab 2027 stellt der VDA den ISA-Katalog auf einen jährlichen Veröffentlichungszyklus um. Jede neue Ausgabe erscheint etwa Mitte des Jahres und wird ab Anfang des Folgejahres zur aktuellen Version.

Ab Januar lassen sich neue Assessments nur noch nach der jeweils aktuellen Katalogversion durchführen. Bereits beauftragte Assessments, die auf der vorherigen Version basieren, können während einer begrenzten Übergangsfrist  weiterhin durchgeführt werden. Die Eröffnungssitzung des Assessments muss jedoch spätestens Ende März stattfinden.

Der jährliche Veröffentlichungszyklus ermöglicht es der Automobilindustrie, schneller und flexibler auf die sich wandelnde Bedrohungslandschaft zu reagieren, insbesondere da KI die Entwicklung neuer Technologien, Angriffsmethoden und damit verbundener Informationssicherheitsrisiken beschleunigt.

Die wichtigsten Fakten zu TISAX^® auf einen Blick

Warum Unternehmen auf TISAX^® setzen

Informationssicherheit und Prototypenschutz im Automobilsektor

Die Automobilindustrie tauscht entlang ihrer Lieferkette große Mengen sensibler technischer, kommerzieller und personenbezogener Daten aus. Der Schutz von Prototypen, Konstruktionen, gemeinsam genutzten technischen Dokumentationen von Zulieferern und Kundendaten ist seit Langem ein wichtiges Anliegen. TISAX^® ist aus früheren VDA-Initiativen hervorgegangen und bietet eine gemeinsame Bewertungsmethode, auf die sich OEMs und Zulieferer ohne wiederholte bilaterale Audits verlassen können. Angesichts der sich wandelnden Cyberbedrohungen und regulatorischen Anforderungen wurde das Bewertungssystem schrittweise aktualisiert, um diesen Anforderungen gerecht zu werden.

Rolle in der Lieferkette

Die Verfügbarkeit von Waren und Dienstleistungen wurde neben der Vertraulichkeit als zentrales Schutzziel der Informationssicherheit festgelegt. Das spiegelt die unterschiedlichen Rollen und Verantwortlichkeiten wider, die Zulieferer in der Automobilindustrie haben können. Die TISAX^®-Labels unterscheiden zwischen Vertraulichkeit und Verfügbarkeit, jeweils auf den Schutzstufen „Hoch" und „Sehr hoch". Das ermöglicht es Kunden, die Fähigkeiten ihrer Zulieferer präziser zu definieren und zu bewerten. Maßgeblich sind dabei die spezifischen Anforderungen an Vertraulichkeit und Verfügbarkeit, die mit der jeweiligen Rolle des Zulieferers verbunden sind.

Gegenseitige Anerkennung über das ENX-Portal

TISAX^® basiert auf gegenseitiger Anerkennung: Eine Organisation beauftragt einmalig ein Assessment und teilt die Ergebnisse über das ENX-Portal mit teilnehmenden Automobilkunden. Dies reduziert Doppelprüfungen bei verschiedenen Kunden und unterstützt fundierte Beschaffungsentscheidungen der Einkaufs- und Informationssicherheitsabteilungen von OEMs und Tier-1-Zulieferern.

Informationssicherheit (ISA-Modul)

Der Katalog zur Informationssicherheit umfasst organisatorische und technische Sicherheitsmaßnahmen, die sich an ISO 27001 und ISO 27002 orientieren: Informationssicherheitsrichtlinien, Organisation der Informationssicherheit, Personalsicherheit, Anlagenmanagement, Zugriffskontrolle, Kryptographie, physische und Umweltsicherheit, Betriebssicherheit, Kommunikationssicherheit, Systembeschaffung, Lieferantenbeziehungen, Vorfallmanagement, Geschäftskontinuität und die Einhaltung von Compliance-Verpflichtungen.

Prototypenschutz (ISA-Modul)

Der Katalog zum Schutz von Prototypen legt spezifische Kontrollmaßnahmen für den Umgang mit physischen Prototypen, Testfahrzeugen, Bauteilen in der Entwicklung und ähnlichen sensiblen Gütern fest – einschließlich Standortsicherheit, Transportschutz, Tests in der Öffentlichkeit und Handhabung auf Ausstellungen. Dieser Teil der ISA unterscheidet TISAX® von generischen Bewertungssystemen für Informationssicherheit.

Datenschutz (ISA-Modul)

Der ISA-Katalog zum Datenschutz umfasst 12 Kontrollmechanismen, die auf Datenschutzerwartungen wie die der DSGVO abgestimmt sind, und behandelt Themen wie Verarbeitungsverzeichnisse, Rechte der betroffenen Personen, Umgang mit Datenschutzverletzungen, Auftragsverarbeitermanagement und internationale Datenübermittlungen.

Bewertungsstufen und Schutzbedarf

TISAX^® definiert drei Assessment-Level: AL 1 (Selbstbewertung, sehr begrenzt), AL 2 (Remote-Bewertung) und AL 3 (Assessment vor Ort), abgestimmt auf den Schutzbedarf des jeweiligen Anwendungsbereichs.

Zielgruppen und Anwendungsbereiche für TISAX^®

TISAX® richtet sich an alle Organisationen im automobilen Ökosystem, die geschützte Kundendaten verarbeiten: vertrauliche technische oder kommerzielle Informationen, Prototypen, personenbezogene Daten oder andere Informationen, die von Automobilkunden als sicherheitsrelevant eingestuft werden. Typische Teilnehmer sind OEMs, Tier-1-Zulieferer, Tier-2-Zulieferer von Komponenten und Unterkomponenten, Ingenieurdienstleister (Design- und Validierungsdienstleistungen), IT-Dienstleister und Softwareanbieter sowie Logistik- und Lagerdienstleister für Automobiltransporte.

Kunden aus der Automobilindustrie fordern in der Regel ein aktuelles TISAX^®-Label als Voraussetzung für die Vergabe von Aufträgen, die geschützte Informationen betreffen. TISAX^®-Bewertungen unterstützen fundierte Beschaffungsentscheidungen der Einkaufs- und Informationssicherheitsabteilungen in Automobilunternehmen und bieten Partnern entlang der Lieferkette eine einheitliche Referenz für den Reifegrad der Informationssicherheit.

Organisationen außerhalb der Automobilbranche nutzen ISO 27001 oder andere branchenspezifische Informationssicherheitsnormen anstelle von TISAX^®. Wenn eine Organisation sowohl Kunden aus der Automobilbranche als auch aus anderen Branchen bedient, werden das ISO 27001 Zertifikat und das TISAX^®-Label oft parallel geführt. Die zugrunde liegenden Kontrollmechanismen weisen dabei erhebliche Überschneidungen auf.

Standards im Zusammenhang mit TISAX®

ISO 27001 (ISMS)

Der ISA-Katalog baut auf der konzeptionellen Struktur von ISO 27001 und dem Anhang A. Die Sicherheitsmaßnahmen wurden an den Automobilbereich angepasst. ISO 27001 ist eine international anerkannte, zertifizierbare Managementsystemnorm für Informationssicherheit. Beide Regelwerke sind zwar verwandt, aber nicht formal gleichwertig: Eine ISO 27001 Zertifizierung führt nicht automatisch zu TISAX^®-Labels, auch wenn sich Zertifizierung und Labels in der Regel gegenseitig verstärken.

ISO 27701 (Datenschutz)

ISO 27701 ist die Erweiterung von ISO 27001 um den Bereich Datenschutzmanagement. Sie steht dem Datenschutz-Modul des ISA-Katalogs inhaltlich nahe, ist aber als eigenständige, zertifizierbare Erweiterung von ISO 27001 strukturiert, nicht als Teil des Automobilstandards. Organisationen mit DSGVO-relevanten Geschäftsbereichen können ISO 27701 sinnvoll ergänzend zu TISAX^® einsetzen.

IEC 62443-2-1 (Anforderungen an Sicherheitsprogramme für IACS-Besitzer)

IEC 62443-2-1 definiert die Anforderungen für die Einrichtung und den Betrieb eines Cybersicherheitsmanagementsystems für industrielle Automatisierungs- und Steuerungssysteme (IACS). Es umfasst Bereiche wie Governance, Risikobewertung, Anlagenmanagement, Zugriffskontrolle, Reaktion auf Sicherheitsvorfälle, Datensicherung, Änderungsmanagement, Lieferantenmanagement und fortlaufende Verbesserung. Ziel ist es, dass Betreiber von IACS-Anlagen die Cybersicherheit über den gesamten Lebenszyklus ihrer IT-Umgebung systematisch managen.

ENX VCS (Fahrzeug-Cybersicherheitsprogramm)

ENX VCS ist das von der ENX Association betriebene Cybersicherheitsprogramm für Fahrzeuge. Es erfüllt die UN-Regelung Nr. 155 (Cybersicherheitsmanagement) sowie die damit verbundenen Anforderungen der Norm ISO/SAE 21434 für die Automobilindustrie. ENX VCS und TISAX^® sind beides ENX-Standards, decken aber unterschiedliche Themen ab: VCS konzentriert sich auf die Cybersicherheits-Governance von Fahrzeugen und bewertet die Cybersicherheits-Managementsysteme von Zulieferern im Rahmen der Fahrzeugtypgenehmigung. TISAX® stellt dagegen die Informationssicherheit am Standort des Zulieferers in den Mittelpunkt.

Abgrenzung von generischen Cybersicherheits-Standards

Standards wie das NIST Cybersecurity Framework und das US-CMMC-Programm behandeln verwandte Themen, finden aber in unterschiedlichen Kontexten Anwendung (US-Bundesaufträge, freiwillige Selbstverpflichtung). Beide Standards werden nicht als gleichwertig mit TISAX^® anerkannt. Automobilkunden verlassen sich im Allgemeinen eher auf TISAX^®-Labels als auf alternative Standards.