TISAX steht für Trusted Information Security Assessment Exchange. Der Name beschreibt den Zweck präziser als die verbreitete Bezeichnung „TISAX-Zertifizierung”: Es geht um den Austausch von Prüfergebnissen. Ein Zulieferer lässt sich einmal prüfen und gibt das Ergebnis anschließend gezielt für die Auftraggeber frei, die es sehen sollen.
Vor TISAX prüfte jeder Hersteller seine Zulieferer selbst. Ein Zulieferer mit sechs OEM-Kunden durchlief sechs Prüfungen mit sechs Fragebögen. Das Verfahren wurde geschaffen, um genau das abzuschaffen.
Betrieben wird es von der ENX Association, einem Zusammenschluss europäischer Automobilhersteller, Zulieferer und Verbände. Die inhaltliche Grundlage liefert der VDA ISA, der Fragenkatalog des Verbands der Automobilindustrie.
Warum es kein Zertifikat ist
Der Unterschied ist nicht akademisch, er hat praktische Folgen:
| ISO 27001 | TISAX | |
|---|---|---|
| Ergebnis | Zertifikat einer akkreditierten Zertifizierungsstelle | Label auf der ENX-Plattform |
| Sichtbarkeit | Öffentlich vorzeigbar, frei verwendbar | Nur für gezielt freigegebene Partner sichtbar |
| Prüfgrundlage | Normtext mit Anhang A | VDA ISA, je nach Prüfziel erweitert |
| Laufender Nachweis | Jährliches Überwachungsaudit | Keine jährliche Überwachung |
| Gültigkeit | 3 Jahre | 3 Jahre |
| Wer prüft | Akkreditierte Zertifizierungsstelle | Von der ENX zugelassener Prüfdienstleister |
Daraus folgt der wichtigste Punkt für die Praxis: Beide Nachweise ersetzen sich nicht gegenseitig. Wer TISAX vorweisen muss, kommt mit einem ISO-27001-Zertifikat nicht durch — und umgekehrt hilft ein TISAX-Label nicht in einer öffentlichen Ausschreibung, die ISO 27001 verlangt.
Wer beides braucht, sollte das Managementsystem einmal so aufbauen, dass es beide Prüfungen trägt. Die inhaltliche Überschneidung ist groß genug, dass sich der doppelte Aufbau nicht lohnt — die Prüfwege bleiben trotzdem getrennt.
Assessment-Level und Prüfziele
Das Assessment-Level bestimmt die Prüftiefe und wird vom Auftraggeber vorgegeben:
- AL 2 — bei hohem Schutzbedarf. Die Bewertung stützt sich im Kern auf Ihre Selbsteinschätzung, die der Prüfdienstleister anhand von Nachweisen und Gesprächen plausibilisiert. Eine Vor-Ort-Begehung ist nicht zwingend.
- AL 3 — bei sehr hohem Schutzbedarf. Vor-Ort-Prüfung mit deutlich höherer Nachweistiefe. Aufwand und Kosten liegen erheblich über AL 2.
Davon getrennt sind die Prüfziele: Informationssicherheit ist die Basis, hinzukommen können Prototypenschutz (mit eigenen Anforderungen an Gelände, Zutritt und Fotografierverbote) und der Umgang mit personenbezogenen Daten.
Klären Sie beides zusammen ab, bevor Sie ein Angebot einholen. Ein Assessment, das zwar bestanden ist, aber das falsche Prüfziel abdeckt, nützt Ihrem Auftraggeber nichts — und muss wiederholt werden.
Standorte, Geltungsbereich und was mitgeprüft wird
Geprüft wird nicht das Unternehmen, sondern ein Standort mit einem Prüfziel und einem Assessment-Level. Diese drei Angaben zusammen ergeben das, was Ihr Auftraggeber später auf der Plattform sieht — und woran er abgleicht, ob sein Bedarf gedeckt ist.
Daraus folgen zwei Fragen, die vor der Registrierung geklärt sein müssen. Erstens: An welchem Standort werden die Daten des Auftraggebers tatsächlich verarbeitet? Nicht dort, wo der Vertrag unterschrieben wird, sondern dort, wo Konstruktionsdaten liegen, Prototypen stehen oder Entwickler arbeiten. Zweitens: Welche zentralen Funktionen hängen mit drin? Wird die IT eines Werks aus der Konzernzentrale betrieben, endet die Prüfung nicht an der Werksgrenze — Berechtigungsvergabe, Protokollierung und Wiederanlauf liegen dann woanders und müssen dort nachweisbar sein.
Ein dritter Punkt fällt regelmäßig erst im Assessment auf: mobiles Arbeiten. Wer Entwicklungsdaten im Homeoffice, im Zug oder beim Kunden bearbeitet, verlagert den Schutzbedarf an Orte, die im Standortkonzept nicht vorkommen. Dafür braucht es Regelungen zu Geräten, Sichtschutz, Netzzugang und Papier — und zwar nachweislich angewendete, nicht nur beschlossene.
Der Prototypenschutz verschiebt die Grenze noch einmal: Er betrifft Flächen, Zufahrten, Fotografierverbote und die Frage, wer ein Fahrzeug überhaupt sehen darf. Ein Standort, der Informationssicherheit sauber abbildet, kann an diesem Prüfziel trotzdem scheitern.
Der Ablauf
- Registrierung bei der ENX Association. Sie legen fest, welche Standorte einbezogen werden.
- Selbsteinschätzung nach VDA ISA. Der Fragenkatalog wird für jeden Standort ausgefüllt, mit Reifegradbewertung je Anforderung.
- Lückenschluss. Aus der Selbsteinschätzung ergibt sich der Maßnahmenplan. Dieser Schritt ist der eigentliche Aufwand und dauert bei Unternehmen ohne bestehendes ISMS meist mehrere Monate.
- Prüfdienstleister beauftragen. Auswahl aus den von der ENX zugelassenen Anbietern.
- Assessment. Je nach Level Nachweisprüfung und Gespräche oder Vor-Ort-Prüfung.
- Maßnahmenplan bei Abweichungen. Werden Anforderungen nicht erreicht, folgt eine Nachbewertung nach Umsetzung.
- Label und Freigabe. Das Ergebnis erscheint auf der ENX-Plattform. Sie entscheiden, welcher Partner es sehen darf.
Was die Reifegrade bedeuten
Der VDA ISA bewertet jede Anforderung nicht mit erfüllt oder nicht erfüllt, sondern mit einem Reifegrad. Die Skala reicht von „nicht vorhanden” über „wird zwar getan, ist aber nicht geregelt” und „dokumentiert, eingeführt und nachweisbar gelebt” bis zu Stufen, auf denen die Wirksamkeit gemessen und der Prozess fortlaufend verbessert wird.
Maßgeblich ist der Zielreifegrad, den die Prüfung ansetzt — im Regelfall die Stufe, auf der ein Prozess dokumentiert, eingeführt und belegbar angewendet wird. Darüber hinauszugehen bringt für das Label nichts.
Daraus folgt eine Priorisierung, die viele falsch herum angehen: Es ist wirksamer, alle Anforderungen auf den Zielreifegrad zu heben, als einzelne Lieblingsthemen auf Spitzenniveau auszubauen. Das Ergebnis hängt an den Lücken, nicht an den Vorzeigethemen.
Ein Punkt, der im Assessment regelmäßig fehlt: Ihre eigenen Dienstleister zählen mit. Wenn Sie Entwicklungs-, IT- oder Entsorgungsleistungen vergeben, muss Ihr System die Sicherheit dieser Kette abbilden — mit Auswahlkriterien, vertraglichen Regelungen und einem Nachweis, dass Sie den Unterauftragnehmer tatsächlich geprüft haben.
Was im Assessment regelmäßig beanstandet wird
Die Feststellungen wiederholen sich über Branchen und Betriebsgrößen hinweg. Fünf Muster treten besonders häufig auf:
Berechtigungen ohne Kontrolle. Zugriffsrechte werden vergeben, aber nie überprüft. Wer die Abteilung gewechselt oder das Unternehmen verlassen hat, steht Monate später noch auf Projektlaufwerken und in Verteilern. Erwartet wird ein wiederkehrender Abgleich mit dokumentiertem Ergebnis, nicht die Zusicherung, dass man das im Blick habe.
Regelungen ohne Nachweis. Eine Richtlinie existiert, ist aber nirgends angewendet worden. Der Reifegrad hängt am Beleg, nicht am Dokument: ein Protokoll, ein Ticket, eine unterschriebene Unterweisung.
Der Notfall wurde nie geprobt. Wiederanlaufpläne stehen auf Papier, ein Rücksicherungstest hat nie stattgefunden. Diese Feststellung lässt sich am schlechtesten kurzfristig heilen, weil der Test selbst Zeit und einen Termin braucht.
Der Schutzbedarf wurde nie eingestuft. Ohne Klassifizierung der Informationen fehlt der Maßstab, an dem sich die Angemessenheit einer Maßnahme messen ließe. Jede Diskussion darüber, ob etwas ausreicht, läuft dann ins Leere.
Datenträger und Papier am Ende des Lebenszyklus. Ausgemusterte Rechner, Prototypenteile, Ausdrucke aus Besprechungen: Der Weg nach draußen ist die Stelle, an der Schutzkonzepte am häufigsten aufhören.
Keine dieser Feststellungen setzt besondere Technik voraus. Sie entstehen fast durchgängig dort, wo ein Prozess zwar gelebt, aber nicht belegt wird.
Wenn Anforderungen nicht erfüllt sind
Ein Assessment endet selten mit einem glatten Ergebnis. Der Regelfall ist: Der Prüfdienstleister stellt Abweichungen fest, Sie legen einen Maßnahmenplan vor, und erst nach dem Nachweis der Umsetzung entsteht das Ergebnis, das Sie freigeben können.
Entscheidend ist die Reihenfolge. Solange der Maßnahmenplan nicht abgearbeitet und bestätigt ist, gibt es nichts freizugeben — Ihr Auftraggeber sieht kein Ergebnis, auch wenn das Assessment längst stattgefunden hat. Wer den Termin auf den letztmöglichen Zeitpunkt legt, hat für diese Schleife keinen Puffer.
Die Fristen für Maßnahmenplan, Nachbewertung und Wirksamkeitsnachweis sind im Verfahren geregelt und ändern sich mit dessen Fassungen. Verlassen Sie sich deshalb nicht auf Erfahrungswerte aus einem früheren Durchgang, sondern auf das Regelwerk in der Fassung, die für Ihr Assessment gilt; der Prüfdienstleister benennt sie auf Nachfrage.
Für die Verlängerung gilt dieselbe Rechnung rückwärts. Das TISAX-Label endet zu einem festen Datum. Wer erst dann mit der Neubewertung beginnt, produziert eine Lücke — und Lücken fallen genau dann auf, wenn ein Auftraggeber vor einer Vergabe in die Plattform schaut.
Woran es in der Praxis hakt
Der Prototypenschutz wird unterschätzt. Er verlangt bauliche und organisatorische Maßnahmen — abgetrennte Bereiche, Zutrittsregelungen, Umgang mit Kameras und Mobilgeräten. Das lässt sich nicht kurzfristig nachrüsten und ist der häufigste Grund, warum Termine platzen.
Die Selbsteinschätzung wird zu gut ausgefüllt. Ein hoher Reifegrad, den die Nachweise nicht tragen, kostet im Assessment Zeit und Glaubwürdigkeit. Die realistische Bewertung ist der schnellere Weg.
Der Geltungsbereich passt nicht zur Erwartung. Wenn der Auftraggeber den Standort geprüft sehen will, an dem seine Daten verarbeitet werden, nützt ein Label für die Konzernzentrale nichts.
Das Label wird als Dauerzustand missverstanden. Ohne jährliche Überwachungsaudits fehlt der externe Takt. Drei Jahre später steht die vollständige Neubewertung an — und trifft Unternehmen, die das Thema in der Zwischenzeit ruhen ließen, mit voller Wucht.
Für wen TISAX relevant ist
Nicht jeder Automobilzulieferer braucht es. Maßgeblich ist, ob Sie mit schützenswerten Informationen Ihres Auftraggebers umgehen: Entwicklungsdaten, Konstruktionsunterlagen, Prototypen, personenbezogene Daten. Ein Lieferant von Normteilen ohne Zugriff auf Entwicklungsdaten wird selten dazu aufgefordert; ein Entwicklungsdienstleister, eine Werbeagentur mit Zugang zu unveröffentlichten Modellen oder ein IT-Dienstleister praktisch immer.
Ein zweites Kriterium wird häufig übersehen: Nicht nur Ihr direkter Vertragspartner fragt. Auch Tier-1-Zulieferer reichen die Anforderung an ihre eigenen Dienstleister weiter, sobald diese Daten des Herstellers verarbeiten. Wer als Unterauftragnehmer arbeitet, klärt deshalb besser früh, ob die Forderung durchgereicht wird — sie kommt sonst kurzfristig und mit engem Termin.
Mehr zum Standardgefüge der Branche — TISAX, IATF 16949 und VDA 6.3 — steht auf der Seite Automobilindustrie.