TISAX.
Postup ověřování a sdílení výsledků v automobilovém průmyslu: vyjasněte cíle, nechte posoudit odpovídající rozsah a sdílejte výsledky s obchodními partnery.
- ENX · VDA ISA · příručka účastníka TISAX
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Doba čtení: 7 min
Stručná odpověď.
TISAX je postup ověřování bezpečnosti informací a sdílení výsledků v automobilovém dodavatelském řetězci. Podniky nechávají vymezený rozsah posoudit podle VDA ISA schváleným poskytovatelem posuzování. Štítky TISAX shrnují dosažené cíle posouzení; výsledky se prostřednictvím portálu ENX sdílejí s vybranými obchodními partnery. Základem je příručka účastníka TISAX od ENX.
TISAX, ENX a VDA ISA mají různé role.
TISAX znamená Trusted Information Security Assessment Exchange a spojuje externí posuzování s řízeným sdílením výsledků. Postup řídí ENX Association. Information Security Assessment, zkráceně ISA, je hodnoticí katalog; vyvíjí jej pracovní skupina ENX Working Group ISA a Svaz automobilového průmyslu jej zveřejňuje jako VDA ISA. Tyto role popisuje ENX na informační stránce ISA.
VDA ISA vytváří společný základ pro nakládání s informacemi vyžadujícími ochranu. Výrobci, dodavatelé, poskytovatelé vývojových služeb a softwarové společnosti mohou spolupracovat na stejném hodnoticím základě. Podle přehledu ENX k ISA má tento přístup omezit individuální bezpečnostní kontroly každého jednotlivého odběratele. Přijetí výsledků zákazníkem přesto závisí na dohodnutých cílech posouzení a skutečně pokrytém rozsahu.
ISA2027.1 je od 1. října 2026 dostupná německy a anglicky; pro posuzování zůstává rozhodující anglická verze. ENX oznamuje ISA2027 jako základ pro posuzování objednaná od 1. ledna 2027. Podle přechodné informace ENX ze 7. srpna 2026 rozhoduje datum objednávky, nikoli datum registrace rozsahu. Dříve objednaná posuzování mohou podle přechodných pravidel ještě používat ISA6.
Každoroční vydání ISA neznamenají každoroční opakované posouzení. Publikace ENX k ISA2027 z 1. července 2026 odděluje nový rytmus vydávání od platnosti stávajících štítků. Při plánování přes přelom roku by proto podniky měly výslovně dokumentovat dohodnutou verzi katalogu a objednávku posouzení, místo aby používaly pouze název naposledy staženého souboru.
TISAX se týká spolupráce v dodavatelském řetězci.
TISAX je relevantní, pokud obchodní partner požaduje pro spolupráci odpovídající bezpečnostní doklad. Přehled ENX k ISA uvádí vedle výrobců a dodavatelů také poskytovatele služeb, vývojáře softwaru a inženýrské partnery. Rozhodující jsou informace, činnosti a lokality obchodního vztahu. Obecná zákonná povinnost TISAX pro každý podnik z toho nevyplývá.
Rozsah posouzení popisuje, která část podniku se hodnotí. Vyjasněte s požadujícím zákazníkem, které společnosti a lokality mají být zahrnuty a jaké cíle posouzení očekává. Příprava by měla zohlednit také podpůrné služby, aby centrálně provozované IT nebo externí spolupráce nezůstaly mimo zorné pole. Konkrétní vymezení dohodněte s poskytovatelem posuzování.
Podnik může poskytovat výsledky a současně požadovat výsledky svých obchodních partnerů. Řízené sdílení je tak využitelné pro nákup a řízení dodavatelů. Samotná registrace účastníka však nic nevypovídá o úspěšném posouzení ani o pokrytých cílech; tyto informace vyplývají až z příslušného výsledku posouzení.
TISAX posuzuje organizaci a bezpečnost v praxi.
Příprava zahrnuje organizační, technickou a místně specifickou bezpečnostní práci. Následující témata popisují obecné pracovní oblasti a nereprodukují katalog požadavků ISA. Hloubka ověřování v konkrétním posouzení závisí na dohodnutých cílech a platné verzi ISA.
Odpovědnost a řízení bezpečnosti.
Organizace potřebuje dohledatelné odpovědnosti a rozhodnutí pro ochranu svých informací. Směrnice přitom popisuje zamýšlený způsob práce; příprava je průkazná, když odpovědné osoby dokážou také vysvětlit, jak se hodnotí rizika, řídí opatření a zohledňují změny.
Lidé a spolupráce.
Zaměstnanci a externí účastníci musí znát své úkoly při nakládání s chráněnými informacemi. Do přípravy proto patří personální procesy, důvěrnost, školení a koordinace odborných útvarů. Praktické provádění zůstává úkolem organizace, i když jsou jednotlivé činnosti zajišťovány externě.
Informace, přístupy a provoz IT.
Ochranná opatření mají pokrývat skutečný tok informací. Posuzujte společně oprávnění, používané systémy, výměnu dat, obnovu a řešení bezpečnostních incidentů. Podrobnostem technické přípravy a vhodným důkazům se věnuje stávající blogový příspěvek o přípravě posouzení TISAX.
Lokality a fyzické prostředí.
Bezpečnost lokalit nelze odvodit pouze z centrálního pravidla IT. Pro dohodnutý rozsah jsou relevantní také prostory, vstup a skutečné zacházení s návštěvníky nebo předměty vyžadujícími ochranu. Odpovědné týmy by měly umět vysvětlit místní postupy a dohledat příslušné záznamy.
Dodavatelé a externí služby.
Externí služby mohou ovlivnit bezpečnost vlastní služby. Příprava by proto měla ukázat, kteří poskytovatelé jsou zapojeni, jaké informace získávají a jaká očekávání byla dohodnuta. Paušální předpoklad, že každý dodavatel potřebuje stejný štítek, nenahrazuje posouzení jeho konkrétní role.
Ochrana prototypů a osobních údajů podle cílů.
Ochrana prototypů a osobních údajů se přidává podle zvolených cílů posouzení. Přehled ENX k TISAX tyto oblasti výslovně uvádí vedle bezpečnosti informací. Včas vyjasněte, zda jsou součástí požadavku zákazníka například vývojové předměty, zkoušky nebo osobní údaje; obecně formulovaný cíl bezpečnosti informací tuto otázku ještě nezodpovídá.
Posouzení TISAX začíná požadavkem zákazníka.
Vyjasnit cíle a rozsah.
Zaznamenejte požadované cíle posouzení, lokality a potřebný termín, než naplánujete přípravu jako společný projekt odborných útvarů a osob odpovědných za bezpečnost.
Zaregistrovat účastníka a rozsah.
Zaregistrujte podnik a rozsah posouzení na portálu ENX; podle přehledu procesu ENX je registrace podmínkou dalších kroků postupu.
Vybrat poskytovatele posuzování.
Vyberte poskytovatele z oficiálního seznamu ENX a dohodněte rozsah, verzi katalogu a termíny posouzení, namísto předpokladu, že postačí libovolná objednávka auditu.
Připravit sebehodnocení.
Popište skutečný stav zavedení a přiřaďte existující podklady, aby bylo možné tvrzení při následném externím posouzení průkazně ověřit.
Zpracovat posouzení a nápravy.
Nechte provést dohodnuté posouzení a řešte zjištění s odpovědnými týmy podle sjednaného postupu.
Cíleně sdílet výsledek.
Zpřístupněte dostupný výsledek posouzení na portálu ENX určeným obchodním partnerům a poté ověřte, zda zjevně pokrývá požadované cíle a lokality.
Štítek TISAX a úroveň posouzení popisují různé věci.
Posouzení TISAX poskytuje zprávu a výsledek pro dohodnutý rozsah. Štítky shrnují dosažené cíle posouzení; nejsou neomezeným verdiktem o všech činnostech podnikové skupiny. Seznam ENX uvádí schválené poskytovatele posuzování. Při výběru je třeba vyjasnit například místní pokrytí a konkrétní rozsah služeb, aby se nabídky vztahovaly ke stejné potřebě posouzení.
Úroveň posouzení (Assessment-Level) popisuje metodu ověřování, stupeň vyspělosti stav zavedení. Podle oddílu 4.3.3.5 příručky účastníka TISAX slouží AL1 interním sebehodnocením a v TISAX se nepoužívá jako sdílitelný výsledek. AL2 zahrnuje ověření věrohodnosti; AL3 podrobnější ověřování včetně činností na místě. Vyšší úroveň proto není libovolně zvoleným hodnocením vyspělosti.
Štítky TISAX zpravidla platí tři roky. Oddíl 5.4.14.2 příručky účastníka uvádí změny rozsahu jako možný důvod kratší platnosti. Výsledek lze cíleně sdílet prostřednictvím portálu ENX a není veřejným žebříčkem podniků. Interně určete, kdo sleduje změny, požadavky zákazníků a příští cyklus posouzení.
Další rámce si zachovávají vlastní účel.
ISO 27001 popisuje požadavky na systém řízení bezpečnosti informací; TISAX používá vlastní postup posuzování a sdílení výsledků pro automobilový dodavatelský řetězec. Stávající bezpečnostní práce může podpořit přípravu, nenahrazuje však dohodnuté cíle posouzení TISAX a jeho rozsah. GDPR navíc upravuje nakládání s osobními údaji; štítek TISAX nezodpovídá všechny otázky ochrany osobních údajů při konkrétním zpracování.
V Secani.
Secani nabízí redakční kontrolní katalog TISAX k VDA ISA 6.0.3. V profilu posouzení lze zaznamenat rozsah a údaje o zvolených cílech. Produktový katalog je třeba odlišovat od budoucího platného základu pro posouzení ISA2027.1; pro externí posouzení zůstává rozhodující verze potvrzená s poskytovatelem posuzování.
Další krok: určit potřebný doklad.
Požádejte obchodního partnera o očekávané cíle posouzení a dotčené lokality. Porovnejte tyto údaje s vlastním rozsahem služeb a před registrací vyjasněte otevřené hranice. Poté lze přípravu cíleně naplánovat, aniž byste nejprve sestavovali rozsáhlé podklady pro neurčený rozsah.
Zdroje.
- ENX: TISAX a přehled procesu
- ENX: role a účel VDA ISA
- Příručka účastníka TISAX 2.8: oddíly 4.3.3.5, 5.4.13–5.4.14 a 6
- ENX: zveřejnění ISA2027, 1. července 2026
- ENX: přechodné informace k ISA2027, 7. srpna 2026
- ENX: ISA2027.1 německy a anglicky, 1. října 2026
- ENX: centrum stahování s verzemi katalogu
- ENX: seznam poskytovatelů posuzování TISAX
Časté dotazy.
TISAX je postup ověřování a sdílení s výsledkem posouzení a štítky. Často vyhledávaný výraz „certifikace TISAX“ proto označuje jiný druh dokladu než certifikát ISO 27001.
Ne. Úroveň posouzení popisuje hloubku ověřování; stupeň vyspělosti popisuje hodnocený stav zavedení. Vyjasněte proto požadované cíle posouzení, místo abyste sjednali pouze číslo úrovně.
Ne. AL1 slouží interním účelům; tyto výsledky se prostřednictvím TISAX nesdílejí a nevedou ke štítkům TISAX.
Zpravidla tři roky. Dočasné štítky a podstatné změny rozsahu posouzení mohou znamenat kratší platnost; pro příští cyklus posouzení je třeba postup absolvovat znovu.
Připravte TISAX s jasným rozsahem.
Seznamte se s katalogem TISAX a profilem posouzení v Secani.
Tato stránka obecně vysvětluje TISAX. Rozhodující jsou aktuální publikace ENX, VDA ISA a dohodnutá objednávka posouzení.