Das Assessment Level legt fest, wie tief ein TISAX-Prüfdienstleister Ihr Informationssicherheits-Managementsystem prüft. Sie wählen es nicht selbst. Es wird von dem Auftraggeber vorgegeben, der den Nachweis verlangt. Zulieferern der Automobilindustrie begegnen in der Praxis zwei Stufen: AL 2 und AL 3.
Der Auftraggeber bestimmt die Stufe
Grundlage ist der Schutzbedarf der Informationen, mit denen Sie umgehen. Hoher Schutzbedarf führt zu AL 2, sehr hoher zu AL 3. Diese Einstufung nimmt der Kunde vor — nicht der Prüfdienstleister und erst recht nicht Sie. Welches Level gilt, steht meist in den Lieferantenvorgaben, die im Automobilumfeld als kundenspezifische Anforderungen geführt werden.
Daneben gibt es AL 1. Dabei bleibt es bei der Selbsteinschätzung ohne externe Verifizierung. Für den Nachweis gegenüber Kunden ist das praktisch bedeutungslos, weil kein extern bestätigtes Ergebnis entsteht. Wer AL 1 als günstige Variante angeboten bekommt, sollte fragen, wofür der Auftraggeber es akzeptieren soll.
AL 2 und AL 3 unterscheiden sich in der Nachweistiefe
Bei AL 2 ist Ihre Selbsteinschätzung nach VDA ISA die Grundlage. Der Prüfdienstleister verlangt Belege, führt Gespräche und prüft, ob die Reifegrade, die Sie sich selbst gegeben haben, durch Nachweise gedeckt sind. Eine Begehung ist möglich, aber nicht zwingend.
Bei AL 3 kommt der Prüfer in jedem Fall vor Ort. Er sieht sich Räume, Zutrittsregelungen, Serverstandorte und Arbeitsplätze an und zieht Stichproben aus der laufenden Arbeit. Der Aufwand liegt deutlich über AL 2, und zwar nicht nur beim Dienstleister: Sie müssen Ansprechpartner aus IT, Personal, Facility Management und den Fachbereichen über mehrere Tage verfügbar halten. Das wird bei der Terminplanung regelmäßig unterschätzt.
Level und Prüfziel werden ständig verwechselt
Das Assessment Level beschreibt die Prüftiefe, das Prüfziel den Inhalt. Informationssicherheit ist der Regelfall. Hinzukommen können der Prototypenschutz und der Umgang mit personenbezogenen Daten. Beides wird getrennt festgelegt und getrennt beauftragt.
Ein Assessment auf der richtigen Stufe, aber mit dem falschen Prüfziel, nützt Ihrem Kunden nichts und muss wiederholt werden. Fragen Sie deshalb beides in einem Satz ab: welches Level, welche Prüfziele, für welchen Standort. Die Antwort gehört schriftlich in die Akte, bevor Sie ein Angebot einholen. Das Verfahren im Ganzen beschreibt die Seite zu TISAX.
Wo der Zeitplan reißt
Registrierung und Scope-Festlegung laufen über die ENX-Plattform, bevor der Prüfdienstleister terminieren kann. Bei AL 3 kommt hinzu, dass Prüfer mit passender Qualifikation und freien Vor-Ort-Terminen knapp sind.
Der zweite Engpass liegt hinter dem Assessment. Werden Abweichungen festgestellt, folgt ein Maßnahmenplan mit Fristen; das endgültige Ergebnis steht erst, wenn die Umsetzung nachgewiesen ist. Wer die Erneuerung eines auslaufenden Labels erst kurz vor Ablauf startet, hat für diese Schleife keine Reserve. Das Label läuft dann aus, ohne dass eine Übergangsfrist greift — und der Kunde sieht auf der Plattform schlicht keinen gültigen Eintrag mehr.