ISA 2027: 새로운 TISAX® 평가 카탈로그의 변경 사항

연간 발행 주기

첫 번째 변경 사항은 제목 자체에서 명확히 드러납니다. 버전 번호 대신, 카탈로그에는 이제 적용 연도(이 경우 2027년)가 표기됩니다. 이는 향후 ISA 카탈로그가 매년 발간될 것임을 시사합니다.

연간 발행 주기는 자동차 산업 내 위협 환경의 변화에 더 신속하게 대응할 수 있는 기회를 제공합니다. 보안 요구 사항을 적시에 조정하고, 새로운 위협에 효과적으로 대응하기 위해 필요한 부분을 구체적으로 강화할 수 있습니다.

향후 ISA 카탈로그의 새 판은 전년도 중반에 발간될 예정입니다. 다음 해 초부터 TISAX® 인증의 초기 또는 갱신 평가를 받는 모든 조직은 새로운 ISA 카탈로그를 의무적으로 준수해야 합니다. 이를 통해 TISAX® 인증 갱신을 계획 중인 조직은 평가 전 약 6개월의 기간 동안 변경 사항을 검토하고, 필요한 조치를 파악하며, 이를 이행할 수 있게 됩니다.

ISA 카탈로그 6.0 도입 경험을 보면, 실제로 기업들은 변경 사항이 적용되기 약 6개월 전이 되어서야 새로운 요구 사항을 집중적으로 다루기 시작했습니다. 따라서 계획된 연간 발간 주기가 적응 부담을 가중시킬 가능성은 낮습니다. 주어진 준비 기간은 TISAX® 인증 갱신을 위한 이전 3년 주기 하에서도 이미 충분함이 입증된 기간과 일치하기 때문입니다.

그렇긴 하지만, 전 세계적으로 사업을 운영하는 조직들과의 경험을 바탕으로 볼 때, 많은 기업들이 더 긴 전환 기간을 선호할 가능성이 높습니다. 서로 다른 조직 구조와 문화적 환경을 가진 해외 자회사들에 걸쳐 새로운 요구 사항을 일관되게 이행하는 데는 6개월보다 훨씬 더 오랜 시간이 소요될 수 있으며, 특히 요구 사항을 현지 언어로 번역하거나, 각국의 법적 체계에 따라 검토하거나, 조직적 또는 기술적 투자가 뒷받침되어야 하는 경우에는 더욱 그렇습니다.

이러한 이유로, 우리는 많은 대규모 국제 기업들이 6개월의 준비 기간을 추가적인 조직적 과제로 간주할 것으로 예상합니다. 이 가정이 옳은지 여부는 궁극적으로 곧 발표될 TISAX® ACAR에 정의된 이행 방식에 달려 있을 것입니다.

프로토타입 보호 모듈, 이제 다른 평가 모듈과 동일한 논리적 구조를 따릅니다

지금까지 프로토타입 보호 모듈은 TISAX®에서 비교적 복잡한 영역 중 하나였습니다. 기업들은 종종 범위가 서로 다른 여러 라벨을 파악해야 했기 때문에, 어떤 라벨이 필수인지 오해하기 쉬웠습니다. 실제로 이로 인해 조직이 의도치 않게 필수 라벨을 누락하는 경우가 종종 발생했고, 그 결과 범위 확장이 필요해지기도 했습니다.

ISA 2027은 훨씬 더 단순하고 직관적인 구조를 통해 이러한 복잡성을 해소합니다. 앞으로는 단 두 가지의 시제품 보호 라벨만 존재합니다:

• 시제품 보호 기본(AL2)
• 시제품 보호 시설(AL3)

‘시제품 보호 시설(AL3)’은 ‘시제품 보호 기본(AL2)’의 모든 요구 사항을 포함합니다. 이는 다른 TISAX® 라벨에 이미 적용된 것과 동일한 계층적 모델로, ‘극비(Strictly Confidential)’에는 ‘기밀(Confidential)’의 모든 요구 사항이 포함되고, ‘매우 높은 가용성(Very High Availability)’에는 ‘높은 가용성(High Availability)’의 모든 요구 사항이 포함되며, ‘개인정보의 특별 범주(Special Categories of Personal Data)’에는 ‘개인정보의 표준 범주(Standard Categories of Personal Data)’의 모든 요구 사항이 포함되는 방식과 같습니다.

'프로토타입 보호 기본(AL2) ' 인증은 조직이 부품 및 차량을 포함한 프로토타입을 안전하게 취급하기 위한 적절한 프로세스와 자격을 갖춘 인력을 구축했음을 입증합니다. '프로토타입 보호 시설(AL3) '은 한 단계 더 나아간 것으로, '기본'에서 다루는 프로세스 요구 사항 외에도 조직의 사업장 및 시설이 프로토타입을 현지에서 안전하게 보관하고 보호하는 데 필요한 물리적 보안 조치를 갖추고 있음을 입증합니다.

이러한 조화를 통해 프로토타입 보호 모듈을 훨씬 더 쉽게 이해할 수 있게 되었으며, 조직이 불완전한 라벨 세트를 선택할 가능성을 줄여줍니다.

정보 보안에 대한 보다 유연한 접근

정보 보안 모듈도 변경되었지만, 그 변화는 그리 크지 않습니다. 이 모듈에는 43개의 개정된 통제 사항이 포함되어 있으며, 대부분은 조직과 감사자 간의 해석 명확성과 일관성을 높이는 데 목적이 있고, 소수의 요구 사항에 대해서는 강조점이 “~해야 한다(should)”에서 “~해야만 한다(must)”로 변경되었습니다. 당사는 별도의 심층 분석 자료에서 이러한 통제 사항을 하나씩 다루었습니다. ISA 2027의 정보 보안 모듈: 통제 항목별 분석 – ISMS를 일상적으로 관리하는 책임자라면 꼭 읽어볼 만한 자료입니다.

다음 평가에 미치는 영향

이미 ISA 6.0을 준수하고 있는 조직의 경우, ISA 2027로의 전환이 큰 어려움을 초래하지는 않을 것으로 예상됩니다. ‘프로토타입 보호’ 모듈에 도입된 간소화 조치는 특히 환영할 만하며, ‘정보 보안’ 모듈의 변경 사항은 혁명이라기보다는 진화에 가깝습니다. 전반적으로 ISA 2027로의 전환은 ISA 6.0으로의 전환 때보다 훨씬 수월할 것입니다.

TISAX® 인증 갱신 시기가 다가온 경우, 전환을 완료하기까지 약 6개월의 기간이 주어집니다. 지금이 ISA 2027 요구 사항에 따라 귀사의 ISMS를 검토하고, 미비한 부분을 파악하며, 다음 평가 전에 필요한 개선 사항을 구현하기에 좋은 시기입니다.

유념해야 할 몇 가지 실용적인 사항은 다음과 같습니다:

• 기존의 유효한 인증 마크는 영향을 받지 않습니다. ISA 2027은 소급 적용되지 않으며, 다음 평가 시점부터 적용됩니다.
• 정책 문서를 검토하여, 강조점이 ‘~해야 한다(should)’에서 ‘~해야만 한다(must)’로 점진적으로 변화한 요구 사항을확인하십시오.
• 확대된 IT 서비스 제공업체 범위를 고려하여공급업체 및 서비스 제공업체 현황을 검토하고, 특히 책임 분담을 명확히 하는 데 중점을 두십시오.

변화에 한 발 앞서 나가세요

무엇이 변경되었는지 파악하는 것이 첫 번째 단계이며, 이것이 귀사에 구체적으로 어떤 의미를 지니는지 이해하는 것이 다음 단계입니다. DQS는 전환 일정이 명확해지는 대로 ISA 2027에 대한 사실에 기반한 최신 정보를 지속적으로 제공할 예정이며, 이 주제를 다룰 예정인 웨비나도 포함됩니다.

ISA 2027에 관한 예정된 ENX 웨비나

• 📅 2026년 7월 21일 (15:00–17:00 CEST) – 영어
• 📅 2026년 7월 22일 (09:00–11:00 CEST) – 독일어
• 📅 2026년 7월 23일 (09:00–11:00 CEST) – 영어

이 기사는 작성 시점의 ISA 2027에 관한 공개된 정보를 반영합니다. 새로운 카탈로그가 출시될 때마다 그렇듯이, 정확한 전환 일정 및 절차와 관련된 일부 세부 사항은 ENX와 VDA에 의해 추후 명확해질 수 있습니다. 추가 정보가 확보되는 대로 이 내용을 업데이트하겠습니다.