ISA 2027: Co się zmienia w nowym katalogu TISAX®

Roczny cykl publikacji

Pierwsza zmiana jest widoczna już w samym tytule: zamiast numeru wersji katalog zawiera teraz rok, w którym ma zastosowanie – w tym przypadku 2027. Sugeruje to, że katalog ISA będzie odtąd publikowany co roku.

Roczny cykl publikacji daje możliwość szybszego reagowania na zmiany w krajobrazie zagrożeń w branży motoryzacyjnej. Wymagania bezpieczeństwa można na bieżąco dostosowywać i zaostrzać tam, gdzie jest to konieczne, aby skutecznie przeciwdziałać nowym zagrożeniom.

W przyszłości nowe wydania katalogu ISA będą publikowane w połowie poprzedniego roku. Od początku następnego roku nowy katalog ISA stanie się obowiązkowy dla wszystkich organizacji przechodzących ocenę wstępną lub odnowieniową w celu uzyskania certyfikatu TISAX®. Daje to organizacjom planującym odnowienie certyfikatu TISAX® około sześciu miesięcy na zapoznanie się ze zmianami, określenie niezbędnych działań i wdrożenie ich przed oceną.

Nasze doświadczenia związane z wprowadzeniem katalogu ISA 6.0 pokazują, że w praktyce firmy i tak zaczynały intensywnie zajmować się nowymi wymaganiami dopiero na około sześć miesięcy przed zmianą. Planowany roczny cykl publikacji prawdopodobnie nie zwiększy zatem presji związanej z dostosowaniem się – dostępny czas na przygotowanie odpowiada okresowi, który już okazał się wystarczający w ramach poprzedniego trzyletniego cyklu odnowienia certyfikatu TISAX ®.

Niemniej jednak, opierając się na naszych doświadczeniach z organizacjami działającymi na skalę globalną, wiele z nich prawdopodobnie wolałoby dłuższy okres przejściowy. Konsekwentne wdrożenie nowych wymagań we wszystkich międzynarodowych oddziałach o zróżnicowanych strukturach organizacyjnych i środowiskach kulturowych może zająć znacznie więcej niż sześć miesięcy, zwłaszcza w przypadkach, gdy wymagania muszą zostać przetłumaczone na języki lokalne, zweryfikowane pod kątem krajowych ram prawnych lub poparte inwestycjami organizacyjnymi lub technicznymi.

Z tych powodów spodziewamy się, że wiele dużych, działających na arenie międzynarodowej przedsiębiorstw uzna sześciomiesięczny okres przygotowawczy za dodatkowe wyzwanie organizacyjne. To, czy to założenie okaże się słuszne, będzie ostatecznie zależało od podejścia do przejścia określonego w nadchodzących wytycznych TISAX® ACAR.

Moduł ochrony prototypów ma teraz taką samą strukturę logiczną jak pozostałe moduły oceny

Do tej pory moduł ochrony prototypów był jednym z bardziej złożonych obszarów TISAX®. Firmy często musiały poruszać się po wielu etykietach o różnym zakresie, co ułatwiało błędne zrozumienie, które etykiety są wymagane. W praktyce prowadziło to czasami do nieumyślnego pominięcia przez organizacje wymaganej etykiety, co w konsekwencji powodowało konieczność rozszerzenia zakresu.

Norma ISA 2027 rozwiązuje tę złożoność dzięki znacznie prostszej i bardziej intuicyjnej strukturze. Od tej pory istnieją tylko dwie etykiety dotyczące ochrony prototypów:

• Ochrona prototypów – poziom podstawowy (AL2)
• Ochrona prototypów – obiekty (AL3)

Oznaczenie „Ochrona prototypów – obiekty” obejmuje wszystkie wymagania oznaczenia „Ochrona prototypów – podstawowa” – ten sam model hierarchiczny, który jest już stosowany w przypadku innych oznaczeń TISAX®, gdzie oznaczenie „Ściśle poufne” obejmuje wszystkie wymagania oznaczenia „Poufne”, oznaczenie „Bardzo wysoka dostępność” obejmuje wszystkie wymagania oznaczenia „Wysoka dostępność”, a oznaczenie „Specjalne kategorie danych osobowych” obejmuje wszystkie wymagania oznaczenia „Standardowe kategorie danych osobowych”.

Etykieta „Prototype Protection Basic (AL2) ” potwierdza, że organizacja wdrożyła odpowiednie procesy i dysponuje wykwalifikowanym personelem do bezpiecznego obchodzenia się z prototypami, w tym zarówno z komponentami, jak i pojazdami. Oznaczenie „Obiekty ochrony prototypów” (AL3) idzie o krok dalej: oprócz wymagań procesowych objętych poziomem „Podstawowym” potwierdza ono, że zakłady i obiekty organizacji zapewniają fizyczne zabezpieczenia niezbędne do bezpiecznego przechowywania i ochrony prototypów na miejscu.

Ta harmonizacja sprawia, że moduł „Ochrona prototypów” jest znacznie łatwiejszy do zrozumienia i zmniejsza prawdopodobieństwo, że organizacje wybiorą niekompletny zestaw oznaczeń.

Lżejsze podejście do bezpieczeństwa informacji

Zmiany dotyczą również modułu „Bezpieczeństwo informacji”, choć są one znacznie mniej radykalne. Zawiera on 43 zaktualizowane środki kontroli, z których większość ma na celu poprawę jasności i spójności interpretacji między organizacjami a audytorami, a także niewielką liczbę wymagań, w których nacisk przesunięto z „powinno” na „musi”. Omówiliśmy je szczegółowo, środek po środku, w towarzyszącym artykule pogłębiającym temat: Moduł bezpieczeństwa informacji w standardzie ISA 2027: analiza poszczególnych środków kontroli – warto ją przeczytać, jeśli odpowiadasz za bieżące utrzymywanie systemu zarządzania bezpieczeństwem informacji (ISMS).

Co to oznacza dla Twojej następnej oceny

W przypadku organizacji, które już spełniają wymagania normy ISA 6.0, przejście na normę ISA 2027 nie powinno stanowić większego wyzwania. Szczególnie mile widziane są uproszczenia wprowadzone w module „Ochrona prototypów”, a zmiany w module „Bezpieczeństwo informacji” stanowią raczej ewolucję niż rewolucję. Ogólnie rzecz biorąc, przejście na standard ISA 2027 jest znacznie mniej wymagające niż było przejście na standard ISA 6.0.

Jeśli termin odnowienia certyfikatów TISAX® zbliża się ku końcowi, będziecie mieli około sześciu miesięcy na zakończenie procesu przejścia. Jest to dobry moment, aby zweryfikować swój system zarządzania bezpieczeństwem informacji (ISMS) pod kątem wymagań normy ISA 2027, zidentyfikować ewentualne luki i wdrożyć niezbędne ulepszenia przed kolejną oceną.

Kilka praktycznych kwestii, o których należy pamiętać:

• Nie ma to wpływu na istniejące, ważne certyfikaty. Norma ISA 2027 zacznie obowiązywać przy następnej ocenie, a nie z mocą wsteczną.
• Sprawdź dokumentację polityki pod kątem wymagań, w których nacisk stopniowo przesuwał się z „powinno” na „musi”.
• Przeanalizujcie strukturę dostawców i usługodawców w świetle rozszerzonego zakresu definicji dostawcy usług IT, kładąc nacisk na jasny podział obowiązków.

Wyprzedź zmiany

Zrozumienie, co się zmieniło, to pierwszy krok; zrozumienie, co to konkretnie oznacza dla Twojej organizacji, to kolejny. DQS będzie nadal dostarczać oparte na faktach aktualizacje dotyczące normy ISA 2027 w miarę jak harmonogram zmian stanie się bardziej jasny, w tym podczas nadchodzącego webinarium poświęconego temu tematowi.

Nadchodzące webinaria ENX dotyczące normy ISA 2027

• 📅 21 lipca 2026 r. (15:00–17:00 CEST) – język angielski
• 📅 22 lipca 2026 r. (09:00–11:00 CEST) – niemiecki
• 📅 23 lipca 2026 r. (09:00–11:00 CEST) – angielski

Niniejszy artykuł odzwierciedla informacje dotyczące standardu ISA 2027 dostępne publicznie w momencie jego napisania. Podobnie jak w przypadku każdej nowej wersji katalogu, niektóre szczegóły dotyczące dokładnego harmonogramu i procesu przejścia mogą jeszcze zostać doprecyzowane przez ENX i VDA. Będziemy aktualizować tę treść w miarę pojawiania się nowych informacji.