TISAX-Beratung
Informationssicherheit aufbauen und die TISAX-Zertifizierung vorbereiten
Ein Automobilhersteller fordert einen TISAX-Nachweis, ein Auftrag hängt von einem bestimmten Label ab oder Ihre nächste Prüfung steht bevor? Dann benötigen Sie Klarheit darüber, welche Anforderungen gelten und wie Sie diese nachweisbar erfüllen. Entscheidend sind passende Prozesse, eindeutige Verantwortlichkeiten und Schutzmaßnahmen, die im Arbeitsalltag funktionieren.
Wir von CertMobile unterstützen Sie dabei, Ihre Informationssicherheit strukturiert aufzubauen und weiterzuentwickeln. Unsere TISAX-Beratung verbindet die Vorbereitung auf das Assessment mit einem praxistauglichen Managementsystem. Gemeinsam klären wir Ihre Ausgangslage, priorisieren Aufgaben und schaffen nachvollziehbare Nachweise für die externe Bewertung.
Was ist TISAX? Trusted Information Security Assessment Exchange erklärt
TISAX steht für „Trusted Information Security Assessment Exchange“. Das Verfahren verbindet eine standardisierte Bewertung der Informationssicherheit mit einem Austauschmechanismus für Prüfergebnisse. Unternehmen können ihren Geschäftspartnern dadurch nachweisen, dass sie festgelegte Sicherheitsanforderungen innerhalb eines definierten Geltungsbereichs erfüllen.
TISAX wurde 2017 vom VDA eingeführt.
Die gemeinsame Grundlage erleichtert die Anerkennung von Prüfergebnissen entlang der Lieferkette. Wiederholte Einzelprüfungen durch unterschiedliche Auftraggeber lassen sich dadurch reduzieren. Voraussetzung ist, dass Prüfziele und Geltungsbereich zu den jeweiligen Kundenanforderungen passen.
Was bedeutet „TISAX-Zertifizierung“ fachlich?
Der verbreitete Begriff TISAX-Zertifizierung bezeichnet keine klassische Zertifizierung mit einem allgemein vorzeigbaren Zertifikat. Nach einem erfolgreichen Assessment erhalten Teilnehmer entsprechende TISAX-Labels. Diese dokumentieren, welche Prüfziele erreicht wurden.
Ein Label gilt für den geprüften Scope, also den vorab festgelegten Geltungsbereich aus konkreten Standorten, Prozessen und IT-Systemen. Es bestätigt daher weder automatisch das gesamte Unternehmen noch jede einzelne Tätigkeit. Für die Zusammenarbeit zählt, ob der Nachweis genau die vereinbarten Anforderungen abdeckt.
Welche Rolle übernimmt die ENX Association?
Die ENX Association betreibt TISAX und verantwortet den organisatorischen Rahmen. Sie lässt Prüfdienstleister zu und überwacht die Qualität des Prüfverfahrens.
Die eigentliche Prüfung übernehmen unabhängige, speziell akkreditierte Zertifizierungs- und Wirtschaftsprüfungsgesellschaften, die im ENX-Portal gelistet sind (z. B. TÜV oder DEKRA).
Wir unterstützen Sie beratend bei der Vorbereitung und Umsetzung. Die Entscheidung über das Prüfergebnis liegt beim Prüfdienstleister. Diese Rollenteilung ist für die Unabhängigkeit des Verfahrens wesentlich.
Für welche Unternehmen ist TISAX relevant?
Automobilhersteller arbeiten mit Partnern aus aller Welt zusammen. Durch diese Vernetzung gelangen vertrauliche Informationen zu zahlreichen Beteiligten. TISAX betrifft deshalb neben Tier-1-Zulieferern auch nachgelagerte Lieferanten, Entwicklungsbüros, IT-Dienstleister und weitere Unternehmen der Automobilbranche.
Maßgeblich sind die verarbeiteten Informationen, angebotenen Leistungen und vertraglichen Vorgaben. Beispielsweise können Konstruktionszeichnungen, Produktionsdaten oder unveröffentlichte Fahrzeugmodelle einen besonderen Schutz erfordern. Die Unternehmensgröße allein entscheidet nicht über den Bedarf.
VDA ISA: Anforderungen des Information Security Assessment
Die fachliche Grundlage bildet der Katalog „VDA Information Security Assessment“, kurz VDA ISA. Der Prüfkatalog wird vom Verband der Automobilindustrie (VDA) gemeinsam mit der ENX-Arbeitsgruppe ISA weiterentwickelt und veröffentlicht. Der VDA-ISA-Katalog umfasst 80 Controls in drei Modulen. Diese enthalten Kriterien für Informationssicherheit, Datenschutz und Prototypenschutz. Welche Anforderungen für Ihr Assessment relevant sind, ergibt sich aus den festgelegten Prüfzielen. Deshalb beginnen wir mit der Klärung Ihrer Kundenanforderungen und der tatsächlich betroffenen Prozesse.
Informationssicherheit umfasst mehr als IT-Sicherheit
Zu betrachten sind beispielsweise Berechtigungen, sichere Datenübertragung, Personalprozesse, Lieferantenbeziehungen und der Umgang mit Sicherheitsvorfällen. Technische Maßnahmen müssen mit organisatorischen Regelungen zusammenpassen: Eine Zugriffsbeschränkung hilft beispielsweise wenig, wenn ausgeschiedene Beschäftigte weiterhin freigeschaltete Konten besitzen.
Datenschutz und die Verarbeitung personenbezogener Daten
Ein TISAX-Label ersetzt keinen umfassenden Nachweis der Einhaltung der Datenschutz-Grundverordnung. Wir betrachten deshalb die Schnittstellen zwischen Informationssicherheit und Datenschutzmanagement, etwa bei Zugriffsrechten, Löschprozessen und der Bearbeitung von Datenschutzvorfällen.
Prototypenschutz entlang der Lieferkette
Relevant sind auch externe Lager oder beauftragte Dienstleister. Prüfer betrachten den gesamten Weg eines Prototyps: von der Anlieferung über die Bearbeitung und sichere Verwahrung bis zum Weitertransport.
Welche Version des ISA-Katalogs gilt für das Prüfverfahren?
Seit Oktober 2026 steht die Fassung ISA2027.1 auch in deutscher Sprache zur Verfügung; maßgeblich bleibt die englische Version. Die Weiterentwicklung betrifft unter anderem Lieferantenanforderungen und Prototypenschutz. Wir berücksichtigen den vorgesehenen Beauftragungszeitpunkt und stimmen die anzuwendende Prüfgrundlage frühzeitig darauf ab. Bestehende Labels verlieren durch den Versionswechsel nicht automatisch ihre Gültigkeit.
TISAX und ISO 27001 im Vergleich
Die internationale Norm ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheits-Managementsystem, kurz ISMS. Sie ist branchenübergreifend anwendbar. TISAX richtet sich an die Anforderungen der Automobilindustrie und verwendet den eigenständig weiterentwickelten ISA-Katalog.
|
Aspekt |
TISAX |
ISO 27001 |
|---|---|---|
|
Ausrichtung |
Anforderungen der automobilen Lieferkette |
Unternehmen unterschiedlicher Branchen |
|
Prüfgrundlage |
VDA ISA und TISAX-Regelwerk |
ISO/IEC 27001 |
|
Ergebnis |
TISAX-Labels für erreichte Prüfziele |
Zertifikat für den definierten Geltungsbereich |
|
Weitergabe |
Geregelter Austausch über das ENX-Portal |
Zertifikat als Nachweis gegenüber Dritten |
Ein vorhandenes ISMS bietet eine gute Ausgangsbasis. Risikobewertungen, Richtlinien und interne Kontrollen lassen sich vielfach weiterverwenden. Branchenspezifische Anforderungen und abweichende Geltungsbereiche müssen dennoch gesondert geprüft werden.
Welches Assessment-Level benötigt Ihr Unternehmen?
Das Assessment-Level beschreibt die Tiefe der externen Prüfung. Es ergibt sich aus den gewählten Prüfzielen und den zugehörigen Schutzbedarfen. Die pauschale Vorgabe „Wir benötigen TISAX“ reicht daher für eine belastbare Planung nicht aus.
|
Assessment-Level |
Vorgehen |
Bedeutung |
|
AL 1 |
Selbsteinschätzung ohne externe Verifizierung |
Führt zu keinem TISAX-Label; Ergebnisse sind im ENX-Portal nicht mit Geschäftspartnern teilbar |
|
AL 2 |
Plausibilitätsprüfung der Selbsteinschätzung mit Nachweisen und Interview, üblicherweise remote |
Externe Prüfung mit begrenzter Prüftiefe |
|
AL 3 |
Umfassende Prüfung mit Dokumentensichtung, Interviews und Vor-Ort-Aktivitäten |
Eingehende Verifizierung der Umsetzung |
Assessment-Level und Reifegrad unterscheiden
Das Assessment-Level bestimmt, wie intensiv die Prüfung durchgeführt wird. Der Reifegrad hingegen beschreibt, wie systematisch und verlässlich Ihr Unternehmen die geforderten Prozesse umsetzt.
Im Informationssicherheitskatalog erfolgt die Bewertung auf einer Skala von 0 bis 5. Der Zielreifegrad liegt grundsätzlich bei 3: Die Prozesse müssen klar definiert, dokumentiert und im Arbeitsalltag etabliert sein. Aufzeichnungen und konkrete Anwendungsbeispiele belegen, dass die beschriebenen Abläufe tatsächlich eingehalten werden. Dabei zählt jede relevante Kontrollfrage einzeln. Ein höherer Reifegrad bei einer Frage kann einen unzureichenden Reifegrad bei einer anderen nicht ausgleichen.
Wie laufen TISAX-Assessments ab?
Die Durchführung gliedert sich in Vorbereitung, Registrierung, externe Prüfung und Ergebnisaustausch. Stimmen Sie Termine zwischen Fachbereichen, Beratung und Prüfdienstleister frühzeitig ab. Besonders bei mehreren Standorten müssen Unterlagen und Ansprechpartner rechtzeitig verfügbar sein.
Scope und Prüfziele festlegen
Wir betrachten deshalb die gesamte Verarbeitungskette: Wo werden Kundendaten angenommen, gespeichert, bearbeitet und übertragen? Welche zentralen Systeme oder externen Leistungen werden genutzt? Fehlen relevante Standorte oder Tätigkeiten im Scope, kann ein erfolgreiches Assessment den vom Kunden geforderten Nachweis trotzdem nicht vollständig abdecken.
Registrierung im ENX-Portal vorbereiten
Für einen fundierten Angebotsvergleich sollten die angefragten Leistungen auf derselben Grundlage beruhen. Berücksichtigen Sie neben den Prüfungskosten auch Termine, Standortabdeckung, erforderliche Vor-Ort-Aktivitäten und mögliche Nachprüfungen.
Self-Assessment und TISAX-Audit durchführen
Darauf baut das externe Security-Assessment auf. Im TISAX-Audit prüfen Auditoren entsprechend dem vereinbarten Level die Angaben und deren Umsetzung. Typische Nachweise sind freigegebene Richtlinien, dokumentierte Berechtigungsprüfungen, Schulungsunterlagen und Protokolle durchgeführter Kontrollen.
Abweichungen bearbeiten und nachweisen
Für die Umsetzung aller Maßnahmen und den Abschluss der anschließenden Follow-up-Prüfung stehen höchstens neun Monate ab dem letzten Tag der Erstprüfung zur Verfügung. Je nach Art der Abweichung können kürzere Fristen gelten. Planen Sie daher von Beginn an ausreichend Zeit für notwendige Nachbesserungen und deren Überprüfung durch den Prüfdienstleister ein.
Ergebnisse über die ENX-Plattform teilen
Die Ergebnisse sind nicht frei im Internet abrufbar. Der Austausch erfolgt nach den vorgesehenen Freigaberegeln. So lässt sich die Anerkennung des Nachweises ermöglichen, ohne sensible Informationen zur eigenen Sicherheitsorganisation allgemein offenzulegen.
Unsere TISAX-Beratung: So unterstützt CertMobile
Wir verbinden Erfahrung aus Informationssicherheit, Datenschutz, IT-Administration und Projektmanagement. Unser Ziel ist ein Managementsystem, das Ihre Anforderungen erfüllt und von Ihren Mitarbeitern dauerhaft betrieben werden kann. Den Beratungsumfang stimmen wir darauf ab, welche Strukturen bereits vorhanden sind, wie viel Zeit und Fachwissen Ihr Team einbringen kann, welches Budget zur Verfügung steht und wann die Prüfung stattfinden soll.
Ausgangslage analysieren und Lücken bewerten
Wir untersuchen beispielsweise, ob relevante IT-Systeme vollständig erfasst, Zugriffsrechte nachvollziehbar geregelt und Zuständigkeiten für externe Anbieter geklärt sind. Auch kontrollieren wir, ob geeignete Nachweise die Umsetzung belegen.
Aus den Ergebnissen erstellen wir eine Aufgabenübersicht mit Prioritäten, Verantwortlichkeiten und konkreten nächsten Schritten. Die Maßnahmen ordnen wir nach ihrer Dringlichkeit und berücksichtigen dabei, welche Vorarbeiten für die weitere Umsetzung erforderlich sind.
Ein passendes ISMS aufbauen
Die Geschäftsführung legt die Sicherheitsziele fest und stellt Personal, Zeit und Budget bereit. Die zuständigen Fachbereiche übernehmen die Umsetzung. Wir helfen Ihnen, Aufgaben und Verantwortlichkeiten klar zu regeln und in bestehende Managementprozesse einzubinden. Dabei berücksichtigen wir gemeinsame Anforderungen verschiedener Standards, um Doppelarbeit zu vermeiden.
Auf Grundlage der Risikobewertung planen Sie geeignete Schutzmaßnahmen. Die Dokumentation hält fest, warum diese Maßnahmen gewählt wurden, wie ihre Wirksamkeit überprüft wird und wer verbleibende Risiken akzeptiert. Auch die dafür erforderlichen Entscheidungen und Freigaben müssen nachvollziehbar sein.
Mehr dazu unter.
Maßnahmen und Nachweise zusammenführen
Mit unserem CertMobile Management Documentation Standard, kurz CMDS, schaffen wir eine gemeinsame Struktur für Informationssicherheit, Datenschutz, Notfallmanagement und Compliance. Bestehende Unterlagen und geeignete Werkzeuge können eingebunden werden. Die Methodik ist herstellerneutral; ausschlaggebend sind Ihre Prozesse und Anforderungen.
Infrastruktur und IT-Notfallplanung berücksichtigen
Darauf aufbauend unterstützen wir Ihre IT-Notfallplanung. Alarmierungswege, Zuständigkeiten und Wiederanlaufverfahren müssen zu den betrieblichen Bedingungen passen. Regelmäßige Übungen und Wiederherstellungstests zeigen, ob die vorgesehenen Abläufe funktionieren und wo Anpassungen notwendig sind.
Mitarbeiter einbinden und die Prüfung vorbereiten
Vor dem Assessment gleichen wir den Umsetzungsstand mit den vorgesehenen Nachweisen ab und klären offene Fragen. Nach der Prüfung begleiten wir die Weiterentwicklung des Managementsystems im vereinbarten Umfang. Regelmäßige Überprüfungen helfen, Veränderungen zu erfassen und die Vorbereitung auf spätere Assessments zu erleichtern.
Häufige Fragen zur TISAX-Zertifizierung
Ist TISAX gesetzlich vorgeschrieben?
Was kostet eine TISAX-Zertifizierung?
Wie lange dauert die Vorbereitung auf ein TISAX-Audit?
Wie lange ist ein TISAX-Label gültig?
Reicht eine ISO-27001-Zertifizierung für TISAX aus?
Müssen alle Lieferanten ein eigenes TISAX-Label besitzen?
Können mehrere Standorte gemeinsam geprüft werden?
Eignet sich TISAX auch für kleine Unternehmen?
TISAX-Beratung für Ihr Unternehmen anfragen
Sie möchten klären, welche Anforderungen für Ihr Unternehmen gelten und wie Sie die nächsten Schritte planen? In einer kostenfreien Erstberatung besprechen wir Ihre Ausgangssituation, vorhandene Managementsysteme und den gewünschten Zeitrahmen.
Bringen Sie möglichst die Anforderungen Ihres Auftraggebers, Angaben zu betroffenen Standorten und vorhandene Nachweise mit. Daraus leiten wir gemeinsam den Beratungsbedarf ab. So wird das Thema TISAX zu einem planbaren Vorhaben und leistet einen konkreten Beitrag zur Sicherheit Ihrer Geschäftsbeziehungen.
