TISAX-Vorbereitung für Automobilzulieferer

Ein Kunde aus der Automobilindustrie verlangt ein TISAX-Ergebnis. Bevor Sie Aufgaben verteilen, klären Sie, welche Prüfziele und Standorte der Kunde erwartet. Diese Anfrage bestimmt die Nachweisarbeit, die Sie organisieren müssen: Systeme, physische Umgebungen, verantwortliche Teams und Nachweise.

TISAX ist ein Prüf- und Austauschverfahren, das von der ENX verwaltet wird und auf dem VDA Information Security Assessment (ISA) beruht. Es liefert Prüfergebnisse und Labels nach seinen eigenen Regeln, kein Zertifikat nach ISO-Art. Für einen CTO bedeutet Vorbereitung, Kundenerwartungen mit umgesetzten Maßnahmen zu verbinden, nicht einfach einen Fragebogen auszufüllen.

Die Kundenanfrage in einen Prüfumfang übersetzen

Anfragen können von einem OEM oder von einem anderen Zulieferer kommen. Erfragen Sie die genauen Ziele, die erwarteten Labels, den erforderlichen Zeitpunkt und die abzudeckenden Standorte. Bestätigen Sie die teilnehmenden Gesellschaften und ob Entwicklungsbüros, Produktionsstätten, Regelungen zum mobilen Arbeiten und unterstützende Dienste die Grenze beeinflussen.

Die Prüfziele bestimmen die relevanten Anforderungen und die Prüftiefe. Informationssicherheit, Prototypenschutz und Datenschutz sind wichtige Dimensionen, ersetzen aber nicht die Auswahl der konkreten Ziele nach den aktuellen ENX-Vorgaben.

Die Assessment Level beschreiben die Prüftiefe:

• AL1: Selbsteinschätzung für interne Zwecke; die Ergebnisse werden nicht über TISAX geteilt und erhalten keine TISAX-Labels.
• AL2: eine Plausibilitätsprüfung der Selbsteinschätzung und der stützenden Nachweise.
• AL3: eine umfassende Prüfung einschließlich einer Prüfung vor Ort.

Nutzen Sie die TISAX-Informationen und Teilnehmerhinweise der ENX, um die anwendbaren Ziele, Prüfregelungen und die ISA-Version zu bestätigen. Registrieren Sie den Umfang und wählen Sie über das vorgesehene Verfahren einen zugelassenen Prüfdienstleister aus. Besprechen Sie Voraussetzungen und Verfügbarkeit frühzeitig; eine Kundenfrist ist kein garantierter Prüftermin.

Das Ergebnis ist eine Dokumentation des Umfangs mit den Akzeptanzkriterien des Kunden, Standorten, Zielen, Abhängigkeiten, Verantwortlichen und dem vereinbarten Prüfansatz. Vermeiden Sie sowohl eine unnötige Ausweitung des Umfangs als auch Ausschlüsse, die Dienste auslassen, die geschützte Informationen unterstützen.

Die ISA-Selbsteinschätzung in Umsetzungsarbeit überführen

Füllen Sie die anwendbare Selbsteinschätzung anhand der tatsächlichen Betriebspraxis aus. Wo eine Anforderung einen Ziel-Reifegrad hat, erklären Sie, wie Ihre Umsetzung die Antwort stützt, statt eine Bewertung allein auf Grundlage einer vorhandenen Richtlinie zu vergeben.

Nutzen Sie ein Arbeitsregister mit Anforderung, Umsetzungsbeschreibung, verantwortlicher Person, Standort, Nachweisverweis, Lücke und Korrekturmaßnahme. Weisen Sie neben der Umsetzungsverantwortung auch die Prüfverantwortung zu: Jemand sollte hinterfragen, ob der Nachweis die Aussage belegt.

Entwicklungsinformationen und unterstützende IT absichern

Verfolgen Sie vertrauliche Zeichnungen, Quellcode, Spezifikationen und Kundendaten vom Eingang über Zusammenarbeit, Speicherung und Auslieferung bis zur Entsorgung. Prüfen Sie Klassifizierung, Berechtigungen, externe Freigaben, privilegierte Zugriffe, Endpoint-Schutz, Protokollierung, die Wiederherstellung von Backups und die Bewältigung von Vorfällen.

So sollte ein genehmigter Prozess zum Austausch von Zeichnungen den zulässigen Kanal, die berechtigten Empfänger, das Ablaufdatum des Zugriffs und die Verantwortung für das Entfernen veralteter Zugriffe benennen. Eine Richtlinie, die öffentliche Links verbietet, ist ein schwacher Nachweis, wenn Projektteams sie weiterhin nutzen.

Bewerten Sie auch externe Anbieter. Dokumentieren Sie, welche Dienste den Umfang unterstützen, wer sie administriert, welche vertraglichen Sicherheitserwartungen gelten und welche Nachweise Sie erhalten können. Die Auslagerung eines Dienstes entbindet Sie nicht davon, seine Maßnahmen zu verstehen.

Lokale physische Maßnahmen und Prototypenschutz etablieren

Zentrale Richtlinien können mehrere Standorte unterstützen, doch jeder Standort braucht Nachweise der Umsetzung. Verknüpfen Sie Zutrittsregeln mit Ausweisberechtigungen, Besucheraufzeichnungen, Begleitregelungen und dem Entzug von Zutrittsrechten, wenn Beschäftigte ausscheiden.

Wo Prototypenschutz gilt, prüfen Sie die Umgebung, in der mit Prototypen umgegangen wird: Sperrbereiche, Einsehbarkeit von außen, Fotografierverbote, Transport, Zwischenlagerung und genehmigte Entsorgung. Benennen Sie verantwortliches Personal und dokumentieren Sie, wo angemessen, Übergaben. Digitale Zugriffslogs allein belegen keine Kontrolle über ein physisches Bauteil.

Personal und Datenschutz berücksichtigen

Das Personalwesen sollte Onboarding, Vertraulichkeitsverpflichtungen, rollenspezifische Schulungen und die Koordination von Austritten unterstützen. Einkauf, Facility Management und Entwicklung brauchen ausdrückliche Aufgaben statt einer allgemeinen Anweisung, „die IT zu unterstützen“.

Wo Datenschutzziele gelten, bewerten Sie die betreffende Verarbeitung und die vertraglichen Verantwortlichkeiten. Ein TISAX-Ergebnis belegt nicht die Einhaltung der DSGVO; rechtliche Pflichten hängen weiterhin von Ihrer Rolle und Ihren Verarbeitungstätigkeiten ab.

Nachweise zusammenstellen, die den Betrieb belegen

Nachweise sollten belegen, was wo, wann und unter wessen Verantwortung geschehen ist. Nutzen Sie als praktische Empfehlung die folgenden Unterscheidungen, wenn Sie die Vorbereitung prüfen:

Dokumentieren Sie Datum, Quellsysteme, Standorte und prüfende Personen der Nachweise. Bewahren Sie historische Aufzeichnungen auf, wo sie nötig sind, um Betrieb und Änderungen zu erklären. Ein alter Screenshot ist nicht automatisch nutzlos, kann aber ohne stützenden Kontext nicht die heutige Konfiguration belegen.

Halten Sie vertrauliche Prüfnachweise zugriffsgeschützt. Vermeiden Sie es, unnötig Kundendesigns oder personenbezogene Informationen zu sammeln, wenn eine geschwärzte Aufzeichnung die Maßnahme belegen kann.

Wiederholbare Erhebung automatisieren, nicht die Verantwortung

Beginnen Sie mit wiederkehrenden Aufgaben, die klare Eingaben und Ergebnisse haben: Berechtigungsexporte, Aktualisierungen des Asset-Inventars, Schulungsnachweise, Erinnerungen an Überprüfungen und Prüfungen der Aktualität von Nachweisen. Dokumentieren Sie zuerst den manuellen Prozess, damit die Automatisierung nicht einen unklaren Ablauf nur schneller wiederholt.

Legen Sie für jede automatisierte Erhebung Quelle, Umfang, Häufigkeit, Fehlerbehandlung und die für die Prüfung verantwortliche Person fest. Testen Sie, ob Exporte jeden relevanten Standort und jede Kontoart einschließen. Ein erfolgreicher Erhebungsjob kann dennoch Identitäten externer Mitarbeitender oder ein separat verwaltetes Werksnetz auslassen.

Testen Sie bei der Bewertung von Werkzeugen die Nachvollziehbarkeit von Nachweisen, standortbezogene Verantwortlichkeiten, Versionsverwaltung, Prüfentscheidungen und die Nutzbarkeit von Exporten. Fragen Sie gesondert, wie Nachweise zum Prototypenschutz abgebildet werden; eine Zuordnung zur Informationssicherheit belegt keinen physischen Prototypenschutz. Nehmen Sie nicht an, dass das Ausgabeformat eines Werkzeugs akzeptiert wird, ohne die Erwartungen an Nachweise mit dem Prüfer zu besprechen.

Praxisbeispiel: zwei Standorte, ein Entwicklungsprozess

Angenommen, ein Zulieferer betreibt zur Veranschaulichung ein Entwicklungsbüro und eine Prototypenwerkstatt. Sein Kunde verlangt Ziele, die vertrauliche Entwicklungsinformationen und den Prototypenschutz an beiden Standorten abdecken.

Das Entwicklungsteam ermittelt das Design-Repository und den Austauschdienst. Das Facility Management erfasst den Zutritt zur Werkstatt und den Umgang mit Besuchern. Eine Überprüfung ergibt, dass die Repository-Berechtigungen zentral überprüft werden, der Zutritt zur Werkstatt aber noch zwei versetzte Beschäftigte umfasst.

Die Korrekturmaßnahme entfernt diese Berechtigungen, weist eine lokal prüfende Person zu und dokumentiert den nächsten Prüftermin. Die Nachweise umfassen Zutrittsaufzeichnungen vor und nach der Änderung, die Genehmigungsentscheidung und das aktualisierte Verfahren der Werkstatt. Die Antwort in der Selbsteinschätzung verweist auf diese Aufzeichnungen und benennt den betroffenen Standort. So werden Feststellung, Abhilfe und Umsetzung nachvollziehbar, ohne die zentrale Richtlinie als Beleg für beide Standorte zu behandeln.

Den Prüfzyklus handhabbar halten

Üben Sie vor der Prüfung mit den Verantwortlichen für Maßnahmen das Auffinden von Nachweisen und vereinbaren Sie, wer Feststellungen bearbeitet. Verfolgen Sie Korrekturmaßnahmen über Umsetzung und erneute Prüfung, wie es das Verfahren des Prüfdienstleisters vorsieht. Klären Sie, wie die Ergebnisse innerhalb der ENX-Regeln mit dem anfragenden Kunden geteilt werden. TISAX-Labels haben in der Regel eine Gültigkeit von drei Jahren; halten Sie die Maßnahmen aufrecht und berücksichtigen Sie Änderungen des Umfangs zwischen den Prüfungen.

Secani bietet einen verbundenen Arbeitsbereich für Anforderungen, Verantwortliche, Aufgaben und Nachweise. Teams können standortbezogene Aufzeichnungen an Maßnahmen anhängen, Lücken verfolgen und menschliche Prüfentscheidungen bewahren. Eine strukturierte Auditvorbereitung hilft, gemeinsame Arbeit wiederzuverwenden, ohne den lokalen Kontext zu verlieren.

Beginnen Sie mit den vom Kunden angefragten Zielen, wählen Sie dann einen kritischen Informationsfluss aus und verfolgen Sie die Aufzeichnungen, die seinen Schutz an jedem einbezogenen Standort belegen.