認定認証機関であるDQSによる独立した概要。
TISAX®（Trusted Information Security Assessment Exchange）は、自動車業界向けに確立された情報セキュリティ評価スキームです。自動車メーカー、サプライヤー、サービスプロバイダーは、TISAX®を利用することで、機密情報の安全な取り扱い、必要な製品およびサービスの可用性の確保、機密プロトタイプの保護、個人データの保護といった能力を実証できます。TISAX®は、自動車サプライチェーン全体に適用可能で、自動車メーカー、ティア1およびティア2サプライヤー、エンジニアリングサービスプロバイダー、ITおよびソフトウェアプロバイダー、物流会社、アフターマーケット企業などが含まれます。
TISAX®評価に合格すると、必要な機能が実装され、効果的に機能していることが証明されます。評価を受けた拠点には、対応する認定が授与されます。 TISAX®ラベル従来の認証制度とは異なり、TISAX®は証明書を発行しません。評価はENX協会が承認した監査機関によって実施され、その結果得られたTISAX®ラベルはENXポータルを通じて自動車エコシステムの他の参加者と共有できます。
TISAX®ラベルは、VDA情報セキュリティ評価（ISA）カタログのどの要件が組織に適用されるかを決定します。サプライヤー管理においては、組織は各サプライヤーに要求するTISAX®ラベルの組み合わせを指定できます。これらの要件は、サプライヤーの責任、提供されるサービス、および委託される情報またはプロトタイプ資産に合わせて設定できます。これにより、リスクベースのアプローチが可能になり、TISAX®要件を各サプライヤーの具体的な役割と責任に合わせて調整できます。
既に自動車サプライチェーンで事業を展開しており、情報セキュリティの実証が求められていますか？
貴社が自動車業界のお客様の機密情報を取り扱っており、TISAX®評価の準備を進めている場合は、専用の評価ページをご覧ください。プロセス概要から個別の見積もりまで、必要な情報がすべて揃っています。
情報セキュリティ評価カタログ
2027年から、VDAはISAカタログを年1回のリリースサイクルに移行します。各新版は毎年半ば頃に発行され、翌年の初めには最新のISAバージョンとなります。
1月以降、新規の評価は最新のISAバージョンに基づいてのみ実施可能となります。以前のISAバージョンに基づいて既に発注済みの評価については、限定された移行期間中は引き続き実施できます。ただし、評価開始会議は3月末までに開催する必要があります。
年間リリースサイクルにより、自動車業界は、特にAIが新たな技術、攻撃手法、およびそれに関連する情報セキュリティリスクの開発を加速させる中で、進化する脅威の状況に、より迅速かつ機敏に対応することができる。
ISA 2027の新機能について知りたいですか？
貴社が既に現行のISAカタログに準拠しており、ISA 2027がもたらす変更点や適応点について理解を深めたい場合は、以下のブログ記事をご覧ください。
TISAX®の主な特徴を一覧でご紹介します
| フルタイトル | 信頼できる情報セキュリティ評価交換システム（TISAX®） |
| 発行元 | ENX協会は、ドイツ自動車工業会（VDA）を代表して活動しています。 |
| 初版 | 2017 |
| 管理システムの種類 | 自動車業界特有の制御機能と保護ニーズを重視した情報セキュリティ管理システム。 |
| 適用対象 | 自動車情報資産を取り扱う組織（OEM、ティア1およびティア2サプライヤー、エンジニアリングサービスプロバイダー、ITおよびソフトウェアベンダー、物流プロバイダー、アフターマーケット組織など）。 |
| 認証済み | TISAX®は評価制度であり、認証制度ではありません。評価に合格すると、ENXポータルを通じて1つ以上のTISAX®ラベルが発行されます。これはISO規格に準拠した認証書ではありません。 |
| 要件 | ISAカタログは、特定のTISAX®ラベルに関する要件を規定しています。 |
TISAX®の背景と推進要因
自動車情報セキュリティとプロトタイプ保護
自動車業界では、サプライチェーン全体で大量の機密性の高い技術データ、商業データ、個人データがやり取りされています。試作品、設計図、サプライヤー間で共有される技術パッケージ、顧客の個人データを保護することは、長年の課題となっています。TISAX®は、VDAのこれまでの取り組みから発展し、OEMとサプライヤーが繰り返しの二者間監査を経ることなく信頼できる共通の評価基準を提供するようになりました。サイバー脅威や規制要件の進化に伴い、VDA ISAはそれらに対応するために段階的に更新されています。
サプライチェーンにおける役割
商品やサービスの入手可能性が重要な要素として確立された。保護目標機密保持に加え、自動車業界におけるサプライヤーの多様な役割と責任を反映したTISAX®ラベル構造は、機密保持と可用性を「高」および「非常に高い」保護レベルの両方で区別しています。これにより、顧客は各サプライヤーの役割に関連する特定の機密保持および可用性の要件に基づいて、サプライヤーの能力をより正確に定義および評価することができます。
ENXポータルを通じた相互承認
TISAX®は相互承認を基本としています。組織は一度評価を依頼し、スキームの規則に従って、ENXポータルを通じて参加している自動車関連顧客と結果を共有します。これにより、顧客間での重複監査が削減され、OEMおよびティア1サプライヤーの調達部門と情報セキュリティ部門による、情報に基づいた調達決定が支援されます。
情報セキュリティ（ISAモジュール）
情報セキュリティカタログは、ISO/IEC 27001 の概念に準拠した組織的および技術的な管理を網羅しています。情報セキュリティ ポリシー、情報セキュリティの組織、人的資源セキュリティ、資産管理、アクセス制御、暗号化、物理的および環境的セキュリティ、運用セキュリティ、通信セキュリティ、システム取得、サプライヤー関係、インシデント管理、事業継続性、そしてコンプライアンス。
プロトタイプ保護（ISAモジュール）
プロトタイプ保護カタログでは、物理的なプロトタイプ、テスト車両、開発中のコンポーネント、および関連する機密資産の取り扱いに関する具体的な管理策を規定しています。これには、サイトのセキュリティ、輸送時の保護、公共の場でのテスト、展示時の取り扱いなどが含まれます。ISAのこの部分は、TISAX®を一般的な情報セキュリティ評価スキームと区別するものです。
データ保護（ISAモジュール）
データ保護カタログは、GDPRなどのプライバシーに関する期待に沿った12の管理策を網羅しており、処理記録、データ主体の権利、侵害への対応、処理者管理、国際移転といったトピックを取り上げています。
評価レベルと保護ニーズ
TISAX®は、評価対象範囲の保護ニーズに合わせて調整された3つの評価レベル（AL 1（自己評価、非常に限定的）、AL 2（遠隔評価）、AL 3（現地評価））を定義しています。
TISAX®の対象グループと適用分野
TISAX®は、自動車業界のエコシステムにおいて、保護された顧客情報（機密性の高い技術情報や商業情報、試作品、個人データ、その他自動車顧客が管理された取り扱いを必要とすると指定した情報）を取り扱うあらゆる組織を対象としています。主な参加企業としては、OEM、ティア1部品サプライヤー、ティア2部品およびサブ部品サプライヤー、エンジニアリングサービスプロバイダー（設計および検証サービス）、ITサービスプロバイダーおよびソフトウェアベンダー、自動車輸送を扱う物流および倉庫業者、アフターマーケットおよびサービス組織などが挙げられます。
自動車業界の顧客は通常、機密情報に関わる契約を締結する際の前提条件として、最新のTISAX®ラベルを要求します。TISAX®評価は、自動車業界の顧客企業の調達部門および情報セキュリティ部門による情報に基づいた調達決定を支援し、サプライチェーンパートナーに対して情報セキュリティ成熟度に関する一貫した基準を提供します。
自動車業界以外の組織では、通常、TISAX®ではなく、ISO/IEC 27001などの業界固有の情報セキュリティ規格が用いられます。自動車業界と非自動車業界の両方にサービスを提供する組織では、ISO/IEC 27001認証とTISAX®ラベルが並行して維持されることが多く、その基盤となる管理策にはかなりの重複が見られます。
TISAX®に関連する規格
ISO/IEC 27001（情報セキュリティマネジメントシステム）
ISAカタログは、概念構造に基づいて構築されています。 ISO/IEC 27001 、そしてその付属書A自動車業界向けに調整された制御システム。ISO/IEC 27001は、情報セキュリティに関する国際的に認められた認証可能なマネジメントシステム規格です。この2つは関連していますが、正式には同等ではありません。ISO/IEC 27001認証を取得しても、自動的にTISAXラベルが付与されるわけではありませんが、認証とラベルは、両方を取得している組織にとっては通常、互いに強化し合います。
ISO/IEC 27701（データ保護）
ISO/IEC 27701 は、ISO/IEC 27001 のプライバシー情報管理拡張です。概念的には、データ保護ISO/IEC 27701はISAの一部ですが、自動車業界向けの認証制度ではなく、ISO/IEC 27001の認証可能な拡張版として構成されています。GDPRに関連する範囲で事業を展開する組織は、TISAX®と併せてISO/IEC 27701を活用すると役立つでしょう。
IEC 62443-2-1（IACS所有者向けセキュリティプログラム要件）
IEC 62443-2-1は、産業オートメーションおよび制御システム（IACS）のサイバーセキュリティ管理システムの構築と維持に関する要件を規定しています。この規格は、ガバナンス、リスク評価、資産管理、アクセス制御、インシデント対応、バックアップ、変更管理、サプライヤー管理、継続的改善といった分野を網羅しています。その目的は、IACSの資産所有者が、運用技術環境のライフサイクル全体を通してサイバーセキュリティを体系的に管理できるようにすることです。
ENX VCS（車両サイバーセキュリティスキーム）
ENX VCSこれは、ENX協会が運営する車両サイバーセキュリティ計画であり、国連規則第155号（サイバーセキュリティ管理）および関連する規制に対応しています。 ISO/SAE 21434自動車業界への期待。ENX VCSとTISAX®はどちらもENXスキームですが、対象とするトピックが異なります。VCSは車両のサイバーセキュリティガバナンスと、車両型式認証のためのサプライヤーのサイバーセキュリティ管理システムの評価に重点を置いていますが、TISAX®はサプライヤーのサイトにおける情報セキュリティに重点を置いています。
一般的なサイバーセキュリティフレームワークとの差別化
NISTサイバーセキュリティフレームワークや米国のCMMCプログラムといったフレームワークは、関連するトピックを扱っていますが、適用される状況（米国連邦政府の契約、自主的なフレームワーク）が異なります。これらはTISAX®と同等のものとして正式に認められておらず、自動車業界の顧客は一般的に、代替フレームワークよりもTISAX®の認証ラベルを信頼しています。
貴社は自動車業界のお客様の機密情報を取り扱っています。現在、TISAX®評価の準備を進めていらっしゃいますか？
TISAX®に関する詳細は、専用ページをご覧ください。
認証機関としてのDQSについて
この記事は、マネジメントシステム規格と認証プロセスに関するリソースであるDQSナレッジセンターの一部です。作成者については、以下をご覧ください。
- ドイツ初のマネジメントシステム認証機関の一つであるDQSは、最初の証明書で
- 60か国に80以上のオフィスを持ち、世界中に3,000人以上のネットワークを持つ。監査人。
- ENX協会によりTISAX®およびVCS監査プロバイダーとして承認され、認定されたENX VCS、ISO/IEC 27001などの関連規格については、 IATF ―つまり、自動車関連企業は、TISAX評価と情報セキュリティ認証の両方を単一のプロバイダーから受けることができる。
- メンバーIQNet国際認証ネットワークであり、DQS認証の国境を越えた相互承認を支援しています。
このナレッジセンターの記事は、監査実務においてこれらの基準を取り扱うDQSの専門家によって執筆およびレビューされています。該当する場合、内容は基準の最新版、発行機関の公式刊行物、および最新の規制または認定に関するガイダンスと照合して検証されています。この記事は2026年6月3日に最終更新されました。
TISAX®に関するよくある質問
TISAX®は必須ですか？
TISAX®は自主的な評価制度です。しかし、自動車メーカー（OEM）やティア1サプライヤーといった自動車関連顧客は、機密情報に関わる契約を締結する条件として、通常、最新のTISAX®認証ラベルを要求します。そのため、実際には、TISAX®は自動車サプライチェーンにおける多くの組織にとって、ビジネス上の必須要件となっています。
TISAX®は資格認定制度ですか？
いいえ。TISAX®は認証制度ではなく、評価制度です。評価に合格すると、ISO形式の証明書ではなく、ENXポータルを介して交換されるTISAX®ラベル（または複数のラベル）が発行されます。この違いは、この制度の相互承認設計を反映したものです。
TISAX®ラベルの有効期間はどれくらいですか？
TISAX®ラベルには、制度の規定に基づき、発行日から通常3年間という明確な有効期間が定められています。組織は、ラベルの有効期限が切れる前に再評価をスケジュールし、ラベルのステータスを継続的に維持する必要があります。一部の顧客は、継続的な取引の条件として、特定のラベルが常に有効な状態であることを期待しています。