Was versteht man unter TISAX?

TISAX steht für „Trusted Information Security Assessment Exchange“. Es ist ein standardisiertes Verfahren der Automobilindustrie, mit dem die Informationssicherheit von Unternehmen geprüft wird und die Ergebnisse zwischen Geschäftspartnern ausgetauscht werden können. Die Steuerung (Governance) liegt bei der ENX Association. Automobilhersteller, Zulieferer und Prüfdienstleister entwickeln das Verfahren in Gremien gemeinsam weiter.

Ziel

TISAX soll ein einheitliches Informationssicherheitsniveau in der Lieferkette der Automobilindustrie schaffen. Geschützt werden sollen unter anderem Konstruktionsdaten, Produktionsinformationen, Kundeninformationen, Prototypen und geistiges Eigentum. Weil Prüfergebnisse mit mehreren Partnern geteilt werden können, entfallen viele Einzelprüfungen durch einzelne Kunden.

Grundlage: der ISA-Katalog

TISAX beruht auf dem Information Security Assessment (ISA), einem Anforderungskatalog für Informationssicherheit, den der Verband der Automobilindustrie (VDA) veröffentlicht und die ENX Association pflegt. Der Katalog ist mit anderen wichtigen Standards abgestimmt und lehnt sich an die Norm ISO/IEC 27001 für Informationssicherheits-Managementsysteme an, ergänzt um branchenspezifische Anforderungen. Neben der Informationssicherheit deckt TISAX auch Prototypenschutz und Datenschutz ab.

Ablauf

1. Registrierung: Das Unternehmen registriert sich als TISAX-Teilnehmer und legt den Umfang der Prüfung (Scope) fest, also Standorte, Prozesse und Schutzbedarf.
2. Auswahl: Es wählt einen zugelassenen TISAX-Prüfdienstleister.
3. Assessment: Auf eine Selbsteinschätzung anhand des ISA-Katalogs folgt ein externes Audit. Je nach Schutzniveau reicht es von Dokumentenprüfungen bis zu Prüfungen vor Ort.
4. Austausch: Die Ergebnisse werden über das ENX-Portal mit ausgewählten Partnern geteilt. Sie sind nicht öffentlich zugänglich.

Labels und Gültigkeit

Die Ergebnisse werden als TISAX-Labels vergeben, die die jeweiligen Prüfziele abbilden, zum Beispiel Informationssicherheit, Datenschutz oder Prototypenschutz. Die Labels sind drei Jahre gültig. Danach ist eine erneute Prüfung erforderlich.

Bedeutung für Zulieferer

Automobilhersteller verlangen von ihren Zulieferern häufig ein TISAX-Label als Voraussetzung für die Zusammenarbeit. Für kleinere Zulieferer kann ein fehlendes Label den Zugang zu Aufträgen erschweren. Den Kosten für Vorbereitung und Prüfung steht gegenüber, dass ein Label mehreren Kunden gegenüber genutzt werden kann.

Häufige Fragen zu TISAX

Was ist TISAX und wer braucht es?

TISAX (Trusted Information Security Assessment Exchange) ist ein Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie. Zulieferer und Dienstleister von Automobilherstellern benötigen häufig ein TISAX-Label, um ihren Kunden ein angemessenes Informationssicherheitsniveau nachzuweisen.

Wie läuft ein TISAX-Audit ab?

Nach der Registrierung und Festlegung des Prüfumfangs wählt das Unternehmen einen zugelassenen Prüfdienstleister. Auf eine Selbsteinschätzung anhand des ISA-Katalogs folgt das externe Audit, je nach Schutzniveau als Dokumentenprüfung oder vor Ort. Das Ergebnis wird als TISAX-Label vergeben und kann über das ENX-Portal mit Partnern geteilt werden.

Welche Vorteile bietet eine TISAX-Zertifizierung?

TISAX vergibt keine Zertifikate, sondern Labels. Ein Label erfüllt eine häufige Anforderung von Automobilherstellern und kann gegenüber mehreren Kunden genutzt werden, was Einzelprüfungen erspart. Zudem hilft die Vorbereitung, Risiken bei der Verarbeitung sensibler Daten zu verringern.

Gibt es Unterschiede zwischen TISAX und ISO 27001?

ISO/IEC 27001 ist eine branchenunabhängige internationale Norm für Informationssicherheits-Managementsysteme, nach der zertifiziert werden kann. TISAX ist auf die Automobilindustrie zugeschnitten, beruht auf dem ISA-Katalog des VDA, ergänzt branchenspezifische Anforderungen wie den Prototypenschutz und arbeitet mit Labels und einem Austausch der Ergebnisse über das ENX-Portal.

Wie lange ist ein TISAX-Label gültig und was passiert nach Ablauf?

Ein TISAX-Label ist drei Jahre gültig. Danach muss das Unternehmen erneut geprüft werden. Damit das Label ohne Lücke gilt, sollte die erneute Prüfung rechtzeitig vor Ablauf geplant werden.

Wie unterscheidet sich der TISAX-Prozess für Kleinunternehmen im Vergleich zu Großunternehmen?

Der Ablauf ist für alle Unternehmensgrößen gleich. Unterschiede ergeben sich aus dem Prüfumfang und dem Schutzbedarf der verarbeiteten Informationen, die den Aufwand bestimmen.