Was ist der Unterschied zwischen TISAX und ISO 27001?

ISO 27001 ist eine internationale Zertifizierungsnorm für ein ISMS. TISAX ist ein branchenspezifisches Prüf- und Austauschverfahren der Automobilindustrie auf Basis des VDA-ISA-Katalogs (an ISO 27001 angelehnt, ergänzt um Prototypenschutz). Ein bestehendes ISO-27001-ISMS ist eine sehr gute Grundlage für TISAX, ersetzt es aber nicht automatisch.

Welche Assessment-Level gibt es bei TISAX?

Drei: AL 1 (Selbsteinschätzung, geringe Prüftiefe), AL 2 (Prüfung überwiegend per Dokumentenprüfung/Plausibilisierung) und AL 3 (vertiefte Vor-Ort-Prüfung, höchste Prüftiefe). Das erforderliche Level gibt üblicherweise der Auftraggeber vor.

Wie läuft eine TISAX-Prüfung ab?

In vier Schritten: ENX-Registrierung und Scope-Festlegung, Self-Assessment nach VDA ISA, Assessment durch einen akkreditierten Prüfdienstleister und Vergabe des TISAX-Labels, das über die ENX-Plattform mit Partnern geteilt wird.

Wie lange ist ein TISAX-Label gültig?

In der Regel drei Jahre. Danach ist eine erneute Prüfung erforderlich, um das Label zu erhalten.

Wissen · TISAX

TISAX-Zertifizierung: Ablauf, Assessment-Level und Aufwand

TISAX (Trusted Information Security Assessment Exchange) ist das branchenweite Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie, betrieben von der ENX Association. Grundlage ist der Fragenkatalog VDA ISA (Information Security Assessment). Das Verfahren läuft in vier Schritten – Registrierung, Self-Assessment, Prüfung durch einen akkreditierten Dienstleister und Erhalt des TISAX-Labels –, das in der Regel drei Jahre gültig ist und über die ENX-Plattform mit Geschäftspartnern geteilt wird.

Betreiber: ENX Association
Katalog: VDA ISA (an ISO/IEC 27001 angelehnt)
Prüfziele: Info-Sicherheit, Prototypenschutz, Datenschutz
Assessment-Level: AL 1 / AL 2 / AL 3
Label-Gültigkeit: in der Regel 3 Jahre

Was TISAX ist – und was nicht

TISAX ist keine eigene Norm, sondern ein Assessment- und Austauschmechanismus, der auf dem VDA-ISA-Katalog beruht. Dieser lehnt sich an ISO/IEC 27001 an, ergänzt aber automotive-spezifische Aspekte wie Prototypenschutz und Anbindung an Kundendaten. Ein TISAX-Label ersetzt keine ISO-27001-Zertifizierung, deckt sich aber inhaltlich in großen Teilen – ein bestehendes ISMS ist eine sehr gute Grundlage.

Prüfziele und Assessment-Level

TISAX prüft je nach Bedarf verschiedene Prüfziele: Informationssicherheit (Standard), Schutz von Prototypen und Datenschutz. Der Umfang und die Prüftiefe richten sich nach dem Assessment-Level (AL): AL 1 (Selbsteinschätzung, geringe Prüftiefe, nur intern relevant), AL 2 (Prüfung überwiegend per Dokumentenprüfung und Plausibilisierung, Nachweis für Partner) und AL 3 (vertiefte Vor-Ort-Prüfung, höchste Prüftiefe, für hohe Schutzbedarfe).

Welches Level gefordert ist, gibt in der Regel der Auftraggeber (OEM/Zulieferer) vor – abhängig vom Schutzbedarf der ausgetauschten Informationen.

Der Ablauf in vier Schritten

1. Registrierung bei der ENX Association und Festlegung des Prüfumfangs (Scope, Standorte, Prüfziele, Level). 2. Self-Assessment anhand des VDA-ISA-Katalogs: Reifegrad je Anforderung bewerten und Nachweise sammeln. 3. Assessment durch einen von ENX akkreditierten Prüfdienstleister – je nach Level Dokumentenprüfung und/oder Vor-Ort-Audit; festgestellte Abweichungen werden über einen Maßnahmenplan behoben.

4. Nach erfolgreichem Abschluss wird das TISAX-Label vergeben und auf der ENX-Plattform hinterlegt. Dort geben Sie es gezielt für Geschäftspartner frei – ein erneutes Audit bei jedem Kunden entfällt. Das Label ist in der Regel drei Jahre gültig.

Aufwand und Vorbereitung

Der Aufwand richtet sich nach Level, Scope und vorhandenem Reifegrad. Unternehmen mit einem gelebten ISMS (idealerweise nach ISO 27001) sind klar im Vorteil, da große Teile des VDA-ISA-Katalogs bereits abgedeckt sind. Der größte Aufwand liegt meist im Sammeln belastbarer Nachweise und im Schließen von Reifegradlücken vor dem Assessment.

Mit dem TISAX-Modul in MGMSYS pflegen Sie den VDA-ISA-Katalog, verwalten den Scope, bewerten Reifegrade, dokumentieren Nachweise und bereiten das Audit-Paket strukturiert vor.

Häufige Fragen

Was ist der Unterschied zwischen TISAX und ISO 27001?: ISO 27001 ist eine internationale Zertifizierungsnorm für ein ISMS. TISAX ist ein branchenspezifisches Prüf- und Austauschverfahren der Automobilindustrie auf Basis des VDA-ISA-Katalogs (an ISO 27001 angelehnt, ergänzt um Prototypenschutz). Ein bestehendes ISO-27001-ISMS ist eine sehr gute Grundlage für TISAX, ersetzt es aber nicht automatisch.
Welche Assessment-Level gibt es bei TISAX?: Drei: AL 1 (Selbsteinschätzung, geringe Prüftiefe), AL 2 (Prüfung überwiegend per Dokumentenprüfung/Plausibilisierung) und AL 3 (vertiefte Vor-Ort-Prüfung, höchste Prüftiefe). Das erforderliche Level gibt üblicherweise der Auftraggeber vor.
Wie läuft eine TISAX-Prüfung ab?: In vier Schritten: ENX-Registrierung und Scope-Festlegung, Self-Assessment nach VDA ISA, Assessment durch einen akkreditierten Prüfdienstleister und Vergabe des TISAX-Labels, das über die ENX-Plattform mit Partnern geteilt wird.
Wie lange ist ein TISAX-Label gültig?: In der Regel drei Jahre. Danach ist eine erneute Prüfung erforderlich, um das Label zu erhalten.