TISAX.

TISAX steht für Trusted Information Security Assessment Exchange und verbindet externe Prüfungen mit einem geregelten Ergebnisaustausch. Die ENX Association steuert das Verfahren. Der Information Security Assessment, kurz ISA, ist der Bewertungskatalog; die ENX Working Group ISA entwickelt ihn, der Verband der Automobilindustrie veröffentlicht ihn als VDA ISA. Diese Rollen beschreibt ENX auf der ISA-Informationsseite.

Der VDA ISA schafft eine gemeinsame Grundlage für den Umgang mit schutzbedürftigen Informationen. Hersteller, Zulieferer, Entwicklungsdienstleister und Softwareunternehmen können auf derselben Bewertungsbasis zusammenarbeiten. Nach der ENX-ISA-Übersicht soll dies individuelle Sicherheitsprüfungen durch jeden einzelnen Auftraggeber verringern. Welche Ergebnisse ein Kunde akzeptiert, hängt trotzdem von den vereinbarten Prüfzielen und dem tatsächlich erfassten Umfang ab.

ISA2027.1 ist seit dem 1. Oktober 2026 auf Deutsch und Englisch verfügbar; die englische Fassung bleibt für Assessments maßgeblich. ENX kündigt ISA2027 als Grundlage für ab dem 1. Januar 2027 beauftragte Prüfungen an. Nach der ENX-Übergangsinformation vom 7. August 2026 zählt dabei das Auftragsdatum und nicht das Datum der Scope-Registrierung. Vorher beauftragte Prüfungen können unter den Übergangsregeln noch ISA6 verwenden.

Jährliche ISA-Ausgaben bedeuten keine jährliche Wiederholungsprüfung. Die ENX-Veröffentlichung zu ISA2027 vom 1. Juli 2026 trennt den neuen Veröffentlichungsrhythmus von der Laufzeit bestehender Labels. Für eine Planung über den Jahreswechsel sollten Unternehmen deshalb die vereinbarte Katalogversion und den Prüfauftrag ausdrücklich dokumentieren, statt nur den Namen der zuletzt heruntergeladenen Datei zu verwenden.

TISAX wird relevant, wenn ein Geschäftspartner einen entsprechenden Sicherheitsnachweis für die Zusammenarbeit verlangt. Die ENX-ISA-Übersicht nennt neben Herstellern und Zulieferern auch Dienstleister, Softwareentwickler und Engineering-Partner. Entscheidend sind die Informationen, Tätigkeiten und Standorte der Geschäftsbeziehung. Eine allgemeine gesetzliche TISAX-Pflicht für jedes Unternehmen folgt daraus nicht.

Der Prüf-Scope beschreibt, welcher Teil des Unternehmens bewertet wird. Klären Sie mit dem anfragenden Kunden, welche Gesellschaften und Standorte einbezogen werden sollen und welche Prüfziele erwartet werden. Die Vorbereitungsarbeit sollte auch unterstützende Dienste berücksichtigen, damit eine zentral betriebene IT oder eine externe Zusammenarbeit nicht außerhalb des Blickfelds bleibt. Die konkrete Abgrenzung stimmen Sie mit dem Prüfdienstleister ab.

Ein Unternehmen kann Ergebnisse bereitstellen und zugleich Ergebnisse seiner eigenen Geschäftspartner anfordern. Das macht den geregelten Austausch für Einkauf und Lieferantensteuerung nutzbar. Die Registrierung eines Teilnehmers allein sagt jedoch noch nichts über ein bestandenes Assessment oder die abgedeckten Prüfziele aus; diese Informationen ergeben sich erst aus dem jeweiligen Prüfergebnis.

Das TISAX Assessment liefert einen Bericht und ein Ergebnis für den vereinbarten Scope. Labels fassen erreichte Prüfziele zusammen; sie sind kein uneingeschränktes Urteil über sämtliche Tätigkeiten einer Unternehmensgruppe. Das ENX-Verzeichnis führt die zugelassenen Prüfdienstleister. Bei deren Auswahl sind etwa örtliche Abdeckung und der konkrete Leistungsumfang zu klären, damit Angebote denselben Prüfbedarf betreffen.

Der Assessment-Level beschreibt die Prüfmethode, der Reifegrad den Umsetzungsstand. Nach Abschnitt 4.3.3.5 des TISAX-Teilnehmerhandbuchs dient AL1 internen Selbsteinschätzungen und wird in TISAX nicht als austauschbares Ergebnis verwendet. AL2 umfasst eine Plausibilitätsprüfung; AL3 eine umfassendere Prüfung einschließlich Vor-Ort-Aktivitäten. Ein höherer Level ist deshalb keine frei gewählte Reifegradnote.

TISAX-Labels gelten in der Regel drei Jahre. Abschnitt 5.4.14.2 des Teilnehmerhandbuchs nennt Änderungen am Scope als möglichen Grund für eine kürzere Gültigkeit. Das Ergebnis bleibt über das ENX-Portal gezielt teilbar und ist kein öffentliches Unternehmensranking. Legen Sie intern fest, wer Änderungen, Kundenanfragen und den nächsten Prüfzyklus verfolgt.

ISO 27001 beschreibt Anforderungen an ein Informationssicherheitsmanagementsystem; TISAX verwendet einen eigenen Prüf- und Austauschprozess für die automobile Lieferkette. Bereits vorhandene Sicherheitsarbeit kann die Vorbereitung unterstützen, ersetzt aber nicht die vereinbarten TISAX-Prüfziele und den Scope. Die DSGVO regelt daneben den Umgang mit personenbezogenen Daten; ein TISAX-Label beantwortet nicht sämtliche Datenschutzfragen einer Verarbeitung.

Secani stellt einen redaktionellen TISAX-Prüfkatalog zu VDA ISA 6.0.3 bereit. Im Assessment-Profil lassen sich Umfang und Angaben zu den gewählten Zielen festhalten. Der Produktkatalog ist von der künftig geltenden ISA2027.1-Prüfgrundlage zu unterscheiden; maßgeblich für das externe Assessment bleibt die mit dem Prüfdienstleister bestätigte Fassung.

Bitten Sie den anfragenden Geschäftspartner um die erwarteten Prüfziele und betroffenen Standorte. Gleichen Sie diese Angaben mit dem eigenen Leistungsumfang ab und klären Sie offene Grenzen vor der Registrierung. Danach lässt sich die Vorbereitung gezielt planen, ohne zuerst umfangreiche Unterlagen für einen unbestimmten Scope zusammenzustellen.