TISAX.
Процедурата за проверка и обмен на автомобилната индустрия: изяснете целите, възложете проверка на подходящия обхват и споделете резултатите с бизнес партньори.
- ENX · VDA ISA · Ръководство за участниците в TISAX
- От Derya Altinay
- Актуално към: 22.10.2026 г.
- Време за четене: 8 мин.
Кратък отговор.
TISAX е процедурата за проверка и обмен за информационна сигурност в автомобилната верига за доставки. Предприятията възлагат оценка на определен обхват по VDA ISA на одобрен доставчик на одитни услуги. Етикетите TISAX обобщават постигнатите цели на проверката; резултатите се споделят с избрани бизнес партньори в портала на ENX. Основа е ръководството за участниците в TISAX на ENX.
TISAX, ENX и VDA ISA имат различни роли.
TISAX означава Trusted Information Security Assessment Exchange и свързва външни проверки с регламентиран обмен на резултати. ENX Association управлява процедурата. Information Security Assessment, съкратено ISA, е каталогът за оценка; работната група ENX Working Group ISA го разработва, а Германската асоциация на автомобилната индустрия го публикува като VDA ISA. ENX описва тези роли на информационната страница за ISA.
VDA ISA създава обща основа за работа с информация, нуждаеща се от защита. Производители, доставчици, доставчици на развойни услуги и софтуерни компании могат да си сътрудничат на една и съща оценъчна основа. Според прегледа на ENX за ISA това трябва да намали индивидуалните проверки за сигурност от всеки отделен възложител. Кои резултати приема даден клиент обаче зависи от договорените цели на проверката и действително обхванатата дейност.
ISA2027.1 е наличен на немски и английски от 1 октомври 2026 г.; английската версия остава определяща за оценките. ENX обявява ISA2027 за основа за проверки, възложени от 1 януари 2027 г. Съгласно преходната информация на ENX от 7 август 2026 г. е важна датата на възлагане, а не датата на регистриране на обхвата. За проверки, възложени по-рано, все още може да се използва ISA6 при условията на преходните правила.
Годишните издания на ISA не означават ежегодна повторна проверка. Публикацията на ENX за ISA2027 от 1 юли 2026 г. разграничава новия график на издаване от срока на действащите етикети. Затова при планиране през смяната на годината предприятията трябва изрично да документират договорената версия на каталога и възлагането на проверката, вместо да използват само името на последно изтегления файл.
TISAX се отнася до сътрудничеството във веригата за доставки.
TISAX става приложим, когато бизнес партньор изисква съответно доказателство за сигурност за сътрудничеството. Прегледът на ENX за ISA посочва освен производители и доставчици също доставчици на услуги, разработчици на софтуер и инженерни партньори. Решаващи са информацията, дейностите и обектите в бизнес отношенията. От това не следва общо законово задължение за TISAX за всяко предприятие.
Обхватът на проверката описва коя част от предприятието се оценява. Изяснете с клиента кои дружества и обекти трябва да бъдат включени и какви цели на проверката се очакват. Подготовката трябва да отчита и поддържащите услуги, така че централно управлявана ИТ среда или външно сътрудничество да не останат извън полезрението. Съгласувайте конкретните граници с доставчика на одитни услуги.
Предприятие може да предоставя резултати и едновременно да изисква резултати от собствените си бизнес партньори. Това прави регламентирания обмен полезен за снабдяването и управлението на доставчиците. Самата регистрация на участник обаче още не показва успешно премината оценка или обхванати цели на проверката; тази информация се установява едва от съответния резултат.
TISAX разглежда организацията и сигурността на практика.
Подготовката обхваща организационна, техническа и свързана с обектите работа по сигурността. Следните теми описват общи работни области и не възпроизвеждат каталога с изисквания на ISA. Кои от тях и до каква дълбочина се проверяват в конкретната оценка зависи от договорените цели и приложимата версия на ISA.
Отговорност и управление на сигурността.
Организацията се нуждае от проследими отговорности и решения за защита на информацията си. Политиката описва предвидения начин на работа; подготовката става надеждна, когато отговорниците могат да обяснят и как се оценяват рисковете, управляват мерките и отчитат промените.
Хора и сътрудничество.
Служителите и външните участници трябва да познават задачите си при работа със защитена информация. Затова в подготовката са свързани процесите за персонала, поверителността, обученията и координацията между звената. Практическото изпълнение остава задача на организацията дори когато отделни дейности са възложени навън.
Информация, достъп и ИТ експлоатация.
Защитните мерки трябва да обхващат действителния информационен поток. Разглеждайте съвместно правата, използваните системи, обмена на данни, възстановяването и управлението на инциденти със сигурността. Съществуващата статия за подготовка за TISAX оценка разглежда подробностите на техническата подготовка и подходящите доказателства.
Обекти и физическа среда.
Сигурността на обектите не може да се изведе само от централно ИТ правило. За договорения обхват са относими и помещенията, физическият достъп и действителната работа с посетители или предмети, нуждаещи се от защита. Отговорните екипи трябва да могат да обясняват местните си процедури и да намират съответните записи.
Доставчици и външни услуги.
Външните услуги могат да влияят на сигурността на собствената услуга. Затова подготовката трябва да показва кои доставчици участват, каква информация получават и какви очаквания са договорени. Общото допускане, че всеки доставчик се нуждае от един и същ етикет, не замества разглеждането на конкретната му роля.
Защита на прототипи и данни според целите.
Защитата на прототипи и на данни се добавят според избраните цели на проверката. Прегледът на ENX за TISAX изрично посочва тези области наред с информационната сигурност. Изяснете рано дали например развойни обекти, изпитвания или лична информация са част от клиентското изискване; общо формулирана цел за информационна сигурност още не отговаря на този въпрос.
TISAX оценката започва с клиентското изискване.
Изяснете целите и обхвата.
Документирайте поисканите цели на проверката, обектите и необходимия срок, преди да планирате подготовката като съвместна инициатива на звената и отговорниците за сигурността.
Регистрирайте участника и обхвата.
Регистрирайте предприятието и обхвата на оценката в портала на ENX; според прегледа на процеса на ENX регистрацията е предпоставка за следващите процедурни стъпки.
Изберете доставчик на одитни услуги.
Изберете доставчик от официалния регистър на ENX и съгласувайте обхвата, версията на каталога и датите на проверката, вместо да приемате, че всяко възлагане на одит е подходящо.
Подгответе самооценката.
Опишете действителното състояние на прилагане и свържете наличните документи, така че твърденията да могат да бъдат проверени проследимо при последващата външна оценка.
Работете по проверката и корекциите.
Проведете договорената оценка и обработете констатациите с отговорните екипи съгласно съгласуваната процедура за проверка.
Споделете целево резултата.
Предоставете достъп до наличния резултат от проверката в портала на ENX на предвидените бизнес партньори и след това проверете дали поисканите цели и обекти са видимо обхванати.
Етикетът TISAX и нивото на оценка описват различни неща.
TISAX оценката дава доклад и резултат за договорения обхват. Етикетите обобщават постигнати цели на проверката; те не са неограничено заключение за всички дейности на група предприятия. Регистърът на ENX съдържа одобрените доставчици на одитни услуги. При избора им трябва да се изяснят например географското покритие и конкретният обем на услугите, така че офертите да се отнасят до една и съща потребност от проверка.
Нивото на оценка описва метода на проверка, а степента на зрялост — състоянието на прилагане. Съгласно раздел 4.3.3.5 от ръководството за участниците в TISAX AL1 служи за вътрешни самооценки и не се използва в TISAX като резултат за обмен. AL2 включва проверка за правдоподобност; AL3 — по-обстойна проверка, включително дейности на място. Следователно по-високото ниво не е свободно избрана оценка за зрялост.
Етикетите TISAX по правило са валидни три години. Раздел 5.4.14.2 от ръководството за участниците посочва промени в обхвата като възможно основание за по-кратка валидност. Резултатът може да се споделя целево чрез портала на ENX и не е публична класация на предприятия. Определете вътрешно кой следи промените, клиентските запитвания и следващия цикъл на проверка.
Другите рамки запазват собственото си предназначение.
ISO 27001 описва изисквания към система за управление на информационната сигурност; TISAX използва собствен процес за проверка и обмен за автомобилната верига за доставки. Вече извършената работа по сигурността може да подпомогне подготовката, но не замества договорените цели на TISAX проверката и обхвата. ОРЗД отделно урежда работата с лични данни; етикетът TISAX не отговаря на всички въпроси за защитата на данните при дадено обработване.
В Secani.
Secani предоставя редакционен каталог за проверка по TISAX въз основа на VDA ISA 6.0.3. В профила на оценката могат да се запишат обхватът и данните за избраните цели. Продуктовият каталог се различава от бъдещата основа за проверка ISA2027.1; определяща за външната оценка остава версията, потвърдена с доставчика на одитни услуги.
Следваща стъпка: определете необходимото доказателство.
Поискайте от бизнес партньора очакваните цели на проверката и засегнатите обекти. Съпоставете тези данни със собствените услуги и изяснете отворените граници преди регистрацията. След това подготовката може да се планира целево, без първо да се събират обширни документи за неопределен обхват.
Източници.
- ENX: TISAX и преглед на процеса
- ENX: роля и предназначение на VDA ISA
- Ръководство за участниците в TISAX 2.8: раздели 4.3.3.5, 5.4.13–5.4.14 и 6
- ENX: публикуване на ISA2027, 1 юли 2026 г.
- ENX: преходна информация за ISA2027, 7 август 2026 г.
- ENX: ISA2027.1 на немски и английски, 1 октомври 2026 г.
- ENX: център за изтегляне с версиите на каталога
- ENX: регистър на доставчиците на одитни услуги по TISAX
Често задавани въпроси.
TISAX е процедура за проверка и обмен с резултат от оценка и етикети. Затова честата формулировка при търсене „TISAX сертифициране“ обозначава различна форма на доказване от сертификата ISO 27001.
Не. Нивото на оценка описва дълбочината на проверката; степента на зрялост описва оцененото състояние на прилагане. Затова изяснявайте поисканите цели на проверката, вместо да договаряте само число за ниво.
Не. AL1 служи за вътрешни цели; тези резултати не се споделят чрез TISAX и не водят до етикети TISAX.
По правило три години. Временни етикети и съществени промени в обхвата на проверката могат да означават по-кратък срок; за следващия цикъл процедурата трябва да се премине отново.
Подгответе TISAX с ясен обхват.
Запознайте се с каталога TISAX и профила на оценката в Secani.
Тази страница представя TISAX на общо ниво. Определящи са актуалните публикации на ENX, VDA ISA и договореното възлагане на проверката.