TISAX®-beoordeling niveau 2: waarom de goedkoopste optie niet altijd de meest kosteneffectieve is

De gangbare aanname over beoordelingsniveau 2

Wanneer toeleveranciers in de automobielsector voor het eerst de mogelijkheden voor een TISAX®-beoordeling verkennen, lijkt beoordelingsniveau 2 (AL2) vaak het logische startpunt. De kosten voor een externe beoordeling zijn lager dan die voor hogere niveaus. De beoordeling vindt op afstand plaats, dus reizen is niet nodig, en op papier lijkt de weg naar een TISAX®-certificaat korter en goedkoper.

Organisaties die hun TISAX®-traject echter uitsluitend op basis van beoordelingskosten plannen, worden vaak geconfronteerd met een complexere realiteit. De totale inspanning die nodig is voor het verkrijgen en behouden van een TISAX®-certificaat hangt af van factoren die veel verder reiken dan wat er op de factuur van de auditor staat.

Het is van cruciaal belang dat toeleveranciers in de automobielsector het volledige plaatje begrijpen voordat ze zich vastleggen op een beoordelingsniveau.

Wat beoordelingsniveau 2 daadwerkelijk vereist

TISAX®-beoordelingsniveau 2 is een plausibiliteitsbeoordeling. De taak van de beoordelaar is te evalueren of de zelfbeoordeling van de organisatie op plausibele wijze een functionerend Informatiebeveiligingsbeheersysteem (ISMS) beschrijft dat voldoet aan de vereisten van de ISA-catalogus.

In tegenstelling tot beoordelingsniveau 3 omvat AL2 geen verificatie ter plaatse van de geïmplementeerde controles. De beoordeling wordt voornamelijk uitgevoerd op basis van de schriftelijke zelfbeoordeling van de organisatie en de ondersteunende documentatie.

Dit heeft een cruciale implicatie: de kwaliteit van de zelfbeoordeling bepaalt het succes van het proces.

Voor AL2 moet de beoordelaar in staat zijn om, uitsluitend op basis van de schriftelijke beschrijving in de ISA-catalogus, te begrijpen hoe aan elke beheersdoelstelling wordt voldaan. Bewijsstukken dienen ter ondersteuning van die toelichtingen — ze vervangen deze niet. Als de tekst van de zelfbeoordeling onduidelijk, inconsistent of onvoldoende gedetailleerd is, kan geen enkele hoeveelheid aanvullende documentatie dit compenseren. In dergelijke gevallen zijn herzieningen en verdere beoordelingscycli noodzakelijk, waardoor zowel de doorlooptijd als de interne inspanningen toenemen.

Waarom de interne inspanning vaak wordt onderschat

Beoordelingskosten zijn zichtbaar. Interne inspanningen zijn dat niet — en dit is waar veel organisaties door verrast worden.

Het opstellen van een plausibele zelfbeoordeling vereist een gedetailleerd, gedocumenteerd inzicht in hoe informatiebeveiligingsmaatregelen binnen de hele organisatie werken. Hierbij is doorgaans input nodig van:

• afdelingen voor informatiebeveiliging en IT
• Personeelszaken en Facilitair Management
• Compliance- en juridische afdelingen
• Het uitvoerend management

De benodigde tijd hangt sterk af van de expertise en toewijding van de persoon die verantwoordelijk is voor het documenteren van de maatregelen in de ISA-catalogus. Organisaties met een goed ingebed ISMS en personeel dat bekend is met de TISAX®-vereisten, kunnen het proces vaak efficiënt afronden. Daarentegen moeten organisaties met een minder volwassen ISMS doorgaans aanzienlijk meer inspanningen leveren om de benodigde informatie te verzamelen en de onderliggende processen en controles op een duidelijke en begrijpelijke manier te beschrijven. Op basis van beoordelingservaring besteden goed voorbereide organisaties doorgaans ongeveer 24 uur aan het opstellen van een plausibele zelfbeoordeling. Minder goed voorbereide organisaties kunnen 48 uur of meer nodig hebben — en extra herzieningsrondes die tijdens de plausibiliteitscontrole worden gevraagd, kunnen deze tijd nog verder verlengen.

AL2 versus AL2.5: een evenwichtiger kijk op de totale inspanning

De veronderstelling dat een lager beoordelingsniveau automatisch een lagere totale investering betekent, gaat niet altijd op.

Wanneer we AL2 en AL2.5 vergelijken op basis van de totale inspanning — inclusief zowel de interne voorbereiding van de organisatie als het beoordelingswerk van de assessor — ziet het plaatje er anders uit dan wat de beoordelingskosten op zich suggereren:

AL2.5 houdt een grondigere beoordeling en een actievere rol van de auditor in, wat resulteert in hogere externe kosten. De verminderde interne voorbereidingslast kan AL2.5 echter tot een daadwerkelijk efficiëntere optie maken voor organisaties die niet over de nodige documentatiediscipline of personele middelen beschikken om een hoogwaardige AL2-zelfbeoordeling efficiënt uit te voeren.

Geen van beide opties is per definitie de beste keuze. De juiste keuze hangt af van de specifieke omstandigheden van de organisatie, en niet van welke optie in het beoordelingsvoorstel goedkoper lijkt.

Het risico van veranderende eisen

Veel organisaties beginnen hun TISAX®-traject met een duidelijke, specifieke eis van één enkele klant: het behalen van een label op beoordelingsniveau 2. Op dat moment lijkt AL2 de enige verstandige keuze.

Het ecosysteem van de automobielindustrie is echter dynamisch. Nieuwe klantrelaties, een uitgebreide projectomvang of gewijzigde informatieclassificaties kunnen de noodzaak van hogere beoordelingsniveaus met zich meebrengen — soms zelfs binnen dezelfde geldigheidsperiode. Scenario’s die vaak voorkomen zijn onder meer:

• Omgang met strikt vertrouwelijke informatie
• Eisen met betrekking tot zeer hoge beschikbaarheid
• Uitbreidingen van de projectomvang met betrekking tot de bescherming van prototypes
• Aanvullende OEM-specifieke eisen

Geen enkele organisatie kan alle toekomstige vereisten met zekerheid voorspellen. Maar door in de planningsfase rekening te houden met mogelijke bedrijfsontwikkelingen — in plaats van er later op te reageren — kan onnodig dubbel werk worden voorkomen.

Inzicht in de werkelijke kosten van een upgrade van AL2

Voor organisaties die beginnen op AL2 en later AL3 nodig hebben, is het upgradepad niet zo eenvoudig als het op het eerste gezicht lijkt.

Omdat AL2 zich richt op plausibiliteit in plaats van op verificatie ter plaatse, is de methodologische overlap tussen AL2 en AL3 beperkt. Een upgrade van AL2 naar AL3 vergt over het algemeen evenveel inspanning als het uitvoeren van een volledige AL3-beoordeling vanaf nul. Voor één locatie kan dit neerkomen op ongeveer 24 uur aan beoordelingswerk — in feite een volledige herstart.

Daarentegen kunnen organisaties die op AL2.5 beginnen, in aanmerking komen voor een differentiële beoordeling bij de overstap naar AL3. Afhankelijk van de reikwijdte en labels kan dit de inspanning voor de upgrade aanzienlijk verminderen.

Dit betekent niet dat AL2 het verkeerde startpunt is. Maar voor organisaties waarvoor een realistische kans bestaat dat ze in de toekomst AL3 nodig zullen hebben, verdient de economische afweging van het starten op een hoger niveau zorgvuldige overweging.

Wanneer AL2 de juiste keuze is

Ondanks de hierboven beschreven factoren is beoordelingsniveau 2 voor veel organisaties een geschikte en effectieve keuze. Het kan met name zeer geschikt zijn wanneer:

• De organisatie al beschikt over een goed gedocumenteerd ISMS
• Het betrokken personeel ruime ervaring heeft met de TISAX®-eisen en -terminologie
• Er met minimale herhaling een zelfbeoordeling van hoge kwaliteit kan worden opgesteld
• Er geen voorzienbare noodzaak is om tijdens de huidige beoordelingscyclus te upgraden naar AL3

Onder deze omstandigheden kan AL2 een solide route bieden naar een TISAX®-certificaat, terwijl de kosten voor externe beoordelingen binnen de perken blijven.

Belangrijke vragen om u te helpen bij het bepalen van uw beoordelingsniveau

In plaats van uit te gaan van beoordelingskosten, doen organisaties er goed aan de volgende overwegingen door te nemen:

1. Hoe volwassen is onze bestaande ISMS-documentatie? Kunnen er duidelijk en begrijpelijk omschreven controles worden afgeleid uit de gedocumenteerde processen?
2. Beschikken we over de interne middelen om een grondig zelfbeoordelingsproces te leiden zonder dat er knelpunten ontstaan?
3. Welke certificaten vereisen onze huidige klanten? Zijn er momenteel of mogelijk in de nabije toekomst certificaten op AL3-niveau bij?
4. Breiden we uit naar nieuwe klantrelaties die mogelijk andere of hogere TISAX®-verwachtingen hebben?
5. Wat is ons realistische upgradepad? Als AL3 noodzakelijk wordt, wat zouden de kosten van die overgang dan zijn, afhankelijk van elk uitgangspunt?

Het beantwoorden van deze vragen over de TISAX®-beoordelingsniveaus, met input van de teams voor informatiebeveiliging, IT en de bedrijfsafdelingen, biedt een veel betrouwbaardere basis voor besluitvorming dan het simpelweg vergelijken van beoordelingskosten.

Verder kijken dan beoordelingskosten

Beoordelingsniveau 2 wordt vaak beschouwd als de meest economische route naar een TISAX®-certificaat. Voor organisaties met sterke documentatiepraktijken en geen voorzienbare behoefte aan hogere beoordelingsniveaus kan deze aanname heel goed kloppen.

Voor anderen kunnen de werkelijke kosten van AL2 – gemeten in interne voorbereidingsinspanningen, herhalingsbeoordelingen en mogelijke upgrade-uitgaven – echter hoger uitvallen dan de schijnbare besparingen op beoordelingskosten.

Het meest kosteneffectieve beoordelingsniveau is niet noodzakelijkerwijs het niveau met de laagste instapkosten. Het is het niveau dat de juiste balans biedt tussen inspanning, zekerheid en flexibiliteit voor de specifieke situatie van uw organisatie.