TISAX.
Bilindustriens revisions- og udvekslingsordning: afklar mål, få det passende omfang vurderet, og del resultater med forretningspartnere.
- ENX · VDA ISA · TISAX-deltagerhåndbog
- Af Derya Altinay
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
TISAX er revisions- og udvekslingsordningen for informationssikkerhed i bilindustriens forsyningskæde. Virksomheder får et fastlagt omfang vurderet ud fra VDA ISA af en godkendt revisionsudbyder. TISAX-labels sammenfatter de opnåede vurderingsmål; resultaterne deles i ENX-portalen med udvalgte forretningspartnere. Grundlaget er ENX’s TISAX-deltagerhåndbog.
TISAX, ENX og VDA ISA har forskellige roller.
TISAX står for Trusted Information Security Assessment Exchange og forbinder eksterne vurderinger med en reguleret udveksling af resultater. ENX Association styrer ordningen. Information Security Assessment, forkortet ISA, er vurderingskataloget; ENX Working Group ISA udvikler det, og Verband der Automobilindustrie offentliggør det som VDA ISA. ENX beskriver disse roller på ISA-informationssiden.
VDA ISA skaber et fælles grundlag for håndtering af informationer med beskyttelsesbehov. Producenter, leverandører, udviklingstjenesteudbydere og softwarevirksomheder kan samarbejde på samme vurderingsgrundlag. Ifølge ENX’s ISA-oversigt skal dette mindske individuelle sikkerhedsundersøgelser fra hver enkelt kunde. Hvilke resultater en kunde accepterer, afhænger dog fortsat af de aftalte vurderingsmål og det faktisk omfattede område.
ISA2027.1 har været tilgængelig på tysk og engelsk siden den 1. oktober 2026; den engelske udgave er fortsat afgørende for assessments. ENX angiver ISA2027 som grundlag for vurderinger bestilt fra den 1. januar 2027. Ifølge ENX’s overgangsinformation af 7. august 2026 er bestillingsdatoen afgørende og ikke datoen for registrering af omfanget. Vurderinger bestilt tidligere kan stadig bruge ISA6 under overgangsreglerne.
Årlige ISA-udgaver betyder ikke årlig gentagelse af vurderingen. ENX’s publikation om ISA2027 af 1. juli 2026 adskiller den nye udgivelsesrytme fra eksisterende labels’ gyldighed. Ved planlægning hen over årsskiftet bør virksomheder derfor udtrykkeligt dokumentere den aftalte katalogversion og vurderingsopgaven frem for kun at bruge navnet på den senest downloadede fil.
TISAX vedrører samarbejdet i forsyningskæden.
TISAX bliver relevant, når en forretningspartner kræver tilsvarende sikkerhedsdokumentation for samarbejdet. ENX’s ISA-oversigt nævner ud over producenter og leverandører også tjenesteudbydere, softwareudviklere og engineering-partnere. Informationer, aktiviteter og lokationer i forretningsforholdet er afgørende. Det medfører ikke en generel lovpligt til TISAX for alle virksomheder.
Vurderingsomfanget beskriver, hvilken del af virksomheden der vurderes. Afklar med den anmodende kunde, hvilke selskaber og lokationer der skal inddrages, og hvilke vurderingsmål der forventes. Forberedelsen bør også tage højde for understøttende tjenester, så centralt drevet IT eller eksternt samarbejde forbliver i synsfeltet. Den konkrete afgrænsning aftales med revisionsudbyderen.
En virksomhed kan stille resultater til rådighed og samtidig anmode om resultater fra sine egne forretningspartnere. Det gør den regulerede udveksling anvendelig til indkøb og leverandørstyring. Registreringen af en deltager alene siger dog endnu intet om en bestået vurdering eller de dækkede vurderingsmål; dette fremgår først af det enkelte vurderingsresultat.
TISAX ser på organisation og sikkerhed i praksis.
Forberedelsen omfatter organisatorisk, teknisk og lokationsrelateret sikkerhedsarbejde. Følgende emner beskriver generelle arbejdsområder og gengiver ikke ISA-kravkataloget. Hvilke emner der undersøges hvor indgående i den konkrete vurdering, afhænger af de aftalte mål og den gældende ISA-udgave.
Ansvar og sikkerhedsledelse.
Organisationen har brug for sporbare ansvarsfordelinger og beslutninger om beskyttelse af sine informationer. En politik beskriver den tilsigtede arbejdsform; forberedelsen bliver holdbar, når de ansvarlige også kan forklare, hvordan risici vurderes, foranstaltninger styres og ændringer indarbejdes.
Mennesker og samarbejde.
Ansatte og eksterne deltagere skal kende deres opgaver ved håndtering af beskyttede informationer. Derfor hører personaleprocesser, fortrolighed, uddannelse og koordinering mellem fagområder sammen i forberedelsen. Den praktiske gennemførelse forbliver organisationens opgave, også når enkelte aktiviteter outsources.
Informationer, adgang og IT-drift.
Beskyttelsesforanstaltningerne skal dække den faktiske informationsstrøm. Betragt rettigheder, anvendte systemer, dataudveksling, genopretning og håndtering af sikkerhedshændelser samlet. Det eksisterende blogindlæg om forberedelse af TISAX-assessment behandler den tekniske forberedelse og passende dokumentation i detaljer.
Lokationer og fysiske omgivelser.
Lokationsrelateret sikkerhed kan ikke alene udledes af en central IT-regel. For det aftalte omfang er lokaler, fysisk adgang og den faktiske håndtering af besøgende eller genstande med beskyttelsesbehov også relevante. De ansvarlige teams bør kunne forklare deres lokale procedurer og finde de tilhørende registreringer.
Leverandører og eksterne tjenester.
Eksterne tjenester kan påvirke sikkerheden i egen ydelse. Forberedelsen bør derfor vise, hvilke udbydere der er involveret, hvilke informationer de modtager, og hvilke forventninger der er aftalt. En generel antagelse om, at alle leverandører behøver samme label, erstatter ikke en vurdering af deres konkrete rolle.
Målafhængig prototypebeskyttelse og databeskyttelse.
Prototypebeskyttelse og databeskyttelse tilføjes efter de valgte vurderingsmål. ENX’s TISAX-oversigt nævner udtrykkeligt disse områder sammen med informationssikkerhed. Afklar tidligt, om for eksempel udviklingsgenstande, afprøvning eller personoplysninger indgår i kundekravet; et generelt formuleret informationssikkerhedsmål besvarer endnu ikke dette spørgsmål.
TISAX-assessment begynder med kundekravet.
Afklar mål og omfang.
Dokumenter de efterspurgte vurderingsmål, lokationer og den nødvendige dato, før De planlægger forberedelsen som et fælles projekt for fagområder og sikkerhedsansvarlige.
Registrer deltager og omfang.
Registrer virksomheden og vurderingsomfanget via ENX-portalen; ifølge ENX’s procesoversigt er registrering en forudsætning for de videre trin i proceduren.
Vælg revisionsudbyder.
Vælg en udbyder fra ENX’s officielle register, og aftal omfang, katalogversion og vurderingsdatoer frem for at gå ud fra en vilkårlig auditbestilling.
Forbered selvevalueringen.
Beskriv den faktiske implementeringsstatus, og tilknyt eksisterende dokumenter, så udsagnene kan kontrolleres sporbart i den efterfølgende eksterne vurdering.
Håndter vurdering og korrektioner.
Få den aftalte vurdering gennemført, og behandl fund med de ansvarlige teams efter den aftalte procedure.
Del resultatet målrettet.
Giv de tiltænkte forretningspartnere adgang til det tilgængelige vurderingsresultat i ENX-portalen, og kontroller derefter, at de efterspurgte mål og lokationer tydeligt er dækket.
TISAX-label og assessment-level beskriver forskellige ting.
TISAX-assessment giver en rapport og et resultat for det aftalte omfang. Labels sammenfatter opnåede vurderingsmål; de er ikke en ubegrænset dom over alle aktiviteter i en koncern. ENX’s register angiver de godkendte revisionsudbydere. Ved valget skal blandt andet geografisk dækning og det konkrete ydelsesomfang afklares, så tilbud vedrører det samme vurderingsbehov.
Assessment-level beskriver vurderingsmetoden, mens modenhedsgraden beskriver implementeringsstatus. Ifølge afsnit 4.3.3.5 i TISAX-deltagerhåndbogen bruges AL1 til intern selvevaluering og anvendes ikke i TISAX som et udveksleligt resultat. AL2 omfatter en plausibilitetskontrol; AL3 en mere omfattende vurdering med aktiviteter på stedet. Et højere niveau er derfor ikke en frit valgt modenhedskarakter.
TISAX-labels gælder normalt i tre år. Afsnit 5.4.14.2 i deltagerhåndbogen nævner ændringer i omfanget som en mulig grund til kortere gyldighed. Resultatet kan fortsat deles målrettet via ENX-portalen og er ikke en offentlig virksomhedsrangliste. Fastlæg internt, hvem der følger ændringer, kundeforespørgsler og den næste vurderingscyklus.
Andre rammeværker bevarer deres eget formål.
ISO 27001 beskriver krav til et ledelsessystem for informationssikkerhed; TISAX anvender sin egen vurderings- og udvekslingsproces for bilindustriens forsyningskæde. Eksisterende sikkerhedsarbejde kan understøtte forberedelsen, men erstatter ikke de aftalte TISAX-vurderingsmål og omfanget. GDPR regulerer desuden håndteringen af personoplysninger; et TISAX-label besvarer ikke alle databeskyttelsesspørgsmål for en behandling.
I Secani.
Secani stiller et redaktionelt TISAX-kontrolkatalog til VDA ISA 6.0.3 til rådighed. I vurderingsprofilen kan omfang og oplysninger om de valgte mål dokumenteres. Produktkataloget skal skelnes fra det fremtidige ISA2027.1-vurderingsgrundlag; den udgave, der er bekræftet med revisionsudbyderen, er fortsat afgørende for den eksterne vurdering.
Næste skridt: fastlæg den nødvendige dokumentation.
Bed den anmodende forretningspartner om de forventede vurderingsmål og berørte lokationer. Sammenhold oplysningerne med Deres eget ydelsesomfang, og afklar åbne grænser før registreringen. Derefter kan forberedelsen planlægges målrettet uden først at samle omfattende dokumenter til et ubestemt omfang.
Kilder.
- ENX: TISAX og procesoversigt
- ENX: VDA ISA’s rolle og formål
- TISAX-deltagerhåndbog 2.8: afsnit 4.3.3.5, 5.4.13–5.4.14 og 6
- ENX: ISA2027 offentliggjort, 1. juli 2026
- ENX: overgangsinformation for ISA2027, 7. august 2026
- ENX: ISA2027.1 på tysk og engelsk, 1. oktober 2026
- ENX: Download Center med katalogversioner
- ENX: register over TISAX-revisionsudbydere
Ofte stillede spørgsmål.
TISAX er en revisions- og udvekslingsordning med et vurderingsresultat og labels. Den hyppige søgeformulering »TISAX-certificering« betegner derfor en anden dokumentationsform end et ISO 27001-certifikat.
Nej. Assessment-level beskriver vurderingsdybden; modenhedsgraden beskriver den vurderede implementeringsstatus. Afklar derfor de efterspurgte vurderingsmål frem for blot at aftale et niveautal.
Nej. AL1 tjener interne formål; disse resultater deles ikke via TISAX og fører ikke til TISAX-labels.
Normalt tre år. Midlertidige labels og væsentlige ændringer i vurderingsomfanget kan betyde kortere gyldighed; proceduren skal gennemføres igen i den næste vurderingscyklus.
Forbered TISAX med et klart omfang.
Lær TISAX-kataloget og vurderingsprofilen i Secani at kende.
Denne side forklarer TISAX generelt. ENX’s aktuelle publikationer, VDA ISA og den aftalte vurderingsopgave er afgørende.