Der VDA ISA ist die Frageliste, gegen die in einem TISAX-Assessment geprüft wird. Er kommt als Arbeitsmappe mit Kriterien, Zielreifegraden, Feldern für den eigenen Ist-Stand, für Begründungen und für geplante Maßnahmen. Erst füllt das Unternehmen ihn selbst aus, dann prüft ein zugelassener Prüfdienstleister diese Selbsteinschätzung vor Ort oder remote gegen die Realität.
Drei Bereiche, nicht einer
Der Katalog besteht aus mehreren Modulen. Der Kern behandelt Informationssicherheit: Organisation, Personal, physische Sicherheit, Identitäts- und Zugriffsmanagement, IT-Betrieb, Lieferantenbeziehungen, Vorfälle und Kontinuität.
Dazu kommen zwei Ergänzungen. Der Prototypenschutz betrifft den Umgang mit Fahrzeugen, Bauteilen und Erprobungsträgern, die noch nicht öffentlich sind — von der Zutrittsregelung über Kamera- und Handyverbote bis zu Vorgaben für Testfahrten und Veranstaltungen. Der Datenschutzteil greift Anforderungen aus der Auftragsverarbeitung auf.
Welche Module gelten, hängt vom Prüfziel ab, das der Auftraggeber verlangt. Ein Zulieferer, der ausschließlich Daten verarbeitet und nie ein Bauteil sieht, braucht den Prototypenschutz nicht. Wer ihn trotzdem mitprüfen lässt, bezahlt Aufwand für einen Nachweis, den niemand von ihm fordert.
Das Reifegradmodell ist der Kern
Jedes Kriterium wird nicht mit ja oder nein beantwortet, sondern mit einem Reifegrad zwischen 0 und 5. Die Logik stammt aus der Prozessbewertung: Zuerst muss etwas überhaupt getan werden, dann geregelt und dokumentiert, dann gesteuert, dann gemessen und schließlich verbessert.
Praktisch heißt das: Eine gelebte, aber unbeschriebene Praxis erreicht die mittleren Stufen nicht. Umgekehrt reicht eine schöne Richtlinie ohne Nachweis der Anwendung ebenfalls nicht. Der Nachweis ist immer die Kombination aus Regelung und Beleg, dass sie greift.
Die Kriterien sind zudem nach Verbindlichkeit gestaffelt. Neben den Grundanforderungen gibt es Anforderungen, die erst bei hohem oder sehr hohem Schutzbedarf zusätzlich gelten. Wer diese Staffelung übersieht, arbeitet sich an Punkten ab, die für sein Prüfziel gar nicht gefordert sind.
Wo Selbsteinschätzungen regelmäßig scheitern
Der häufigste Fehler ist die zu freundliche Bewertung. Unternehmen tragen den Zielreifegrad in die Ist-Spalte ein, weil das Thema „im Prinzip abgedeckt“ ist. Im Assessment führt jede solche Position zu einer Abweichung, und die Summe kleiner Abweichungen kostet einen zweiten Termin.
Der zweite Fehler betrifft den Geltungsbereich. Der ISA wird für einen definierten Standort und einen definierten Umfang ausgefüllt. Wer die Konzern-IT beschreibt, aber den Standort prüfen lässt, an dem die Fertigung mit eigener Infrastruktur läuft, erlebt eine unangenehme Überraschung.
Der dritte betrifft die Lieferkette. Anforderungen an Dienstleister müssen weitergegeben und deren Einhaltung überwacht werden — die Frage nach dem Rechenzentrumsbetreiber und dem Entwicklungsdienstleister kommt zuverlässig.
Wie aus dem ausgefüllten Katalog ein Nachweis wird, beschreibt der Eintrag TISAX-Label; die Organisation dahinter der Eintrag ENX Association. Den Ablauf im Überblick finden Sie unter TISAX-Zertifizierung und Branche Automotive.