TISAX.
El procedimiento de evaluación e intercambio del sector del automóvil: aclarar los objetivos, someter el alcance adecuado a evaluación y compartir los resultados con socios comerciales.
- ENX · VDA ISA · Manual del participante de TISAX
- Por Derya Altinay
- Actualizado: 22/10/2026
- Tiempo de lectura: 10 min.
Respuesta breve.
TISAX es el procedimiento de evaluación e intercambio de seguridad de la información en la cadena de suministro del automóvil. Un proveedor autorizado evalúa un alcance definido conforme al VDA ISA. Las etiquetas TISAX resumen los objetivos alcanzados; los resultados se comparten con socios seleccionados en el portal ENX. La base es el manual del participante de TISAX de ENX.
TISAX, ENX y VDA ISA tienen funciones distintas.
TISAX significa Trusted Information Security Assessment Exchange y combina evaluaciones externas con un intercambio regulado de resultados. ENX Association dirige el procedimiento. Information Security Assessment, abreviado ISA, es el catálogo de evaluación; el grupo de trabajo ISA de ENX lo desarrolla y la asociación alemana de la industria del automóvil lo publica como VDA ISA. ENX describe estas funciones en su página informativa sobre ISA.
VDA ISA establece una base común para gestionar la información que requiere protección. Fabricantes, proveedores, empresas de servicios de desarrollo y empresas de software pueden colaborar sobre una misma base de evaluación. Según la página general de ISA de ENX, esto pretende reducir las evaluaciones de seguridad individuales de cada cliente. Aun así, los resultados que acepta un cliente dependen de los objetivos de evaluación acordados y del alcance realmente cubierto.
ISA2027.1 está disponible en alemán e inglés desde el 1 de octubre de 2026; la versión inglesa sigue siendo la determinante para las evaluaciones. ENX anuncia ISA2027 como base de las evaluaciones contratadas a partir del 1 de enero de 2027. Según la información transitoria de ENX del 7 de agosto de 2026, cuenta la fecha de contratación, no la fecha de registro del alcance. Las evaluaciones contratadas antes pueden seguir utilizando ISA6 conforme a las reglas transitorias.
Las ediciones anuales de ISA no implican una nueva evaluación anual. La publicación de ENX sobre ISA2027 del 1 de julio de 2026 distingue el nuevo ritmo de publicación de la vigencia de las etiquetas existentes. Por ello, al planificar un proyecto que cruce el cambio de año, las empresas deben documentar expresamente la versión del catálogo acordada y el encargo de evaluación, en lugar de utilizar solo el nombre del último archivo descargado.
TISAX se refiere a la colaboración en la cadena de suministro.
TISAX resulta relevante cuando un socio comercial exige esa acreditación de seguridad para colaborar. La página general de ISA de ENX menciona, además de fabricantes y proveedores, a prestadores de servicios, desarrolladores de software y socios de ingeniería. Son decisivas la información, las actividades y las sedes de la relación comercial. De ello no se deriva una obligación legal general de TISAX para todas las empresas.
El alcance de evaluación describe qué parte de la empresa se evalúa. Aclare con el cliente solicitante qué sociedades y sedes deben incluirse y qué objetivos de evaluación espera. La preparación también debe considerar los servicios de apoyo, para que la informática centralizada o una colaboración externa no queden fuera del análisis. Acuerde la delimitación concreta con el proveedor de evaluación.
Una empresa puede facilitar resultados y, al mismo tiempo, solicitar los de sus propios socios comerciales. Esto hace que el intercambio regulado sea útil para compras y la gestión de proveedores. Sin embargo, el mero registro de un participante todavía no dice nada sobre una evaluación superada o los objetivos cubiertos; esa información se desprende del resultado específico de la evaluación.
TISAX examina la organización y la seguridad practicada.
La preparación comprende trabajo de seguridad organizativo, técnico y específico de las sedes. Los temas siguientes describen ámbitos generales de trabajo y no reproducen el catálogo de requisitos ISA. Cuáles se examinan en una evaluación concreta y con qué profundidad depende de los objetivos acordados y de la versión ISA aplicable.
Responsabilidad y gestión de la seguridad.
La organización necesita responsabilidades y decisiones trazables para proteger su información. Una política describe la forma de trabajo prevista; la preparación adquiere solidez cuando los responsables también pueden explicar cómo se evalúan los riesgos, se gestionan las medidas y se tienen en cuenta los cambios.
Personas y colaboración.
El personal y los participantes externos deben conocer sus tareas al manejar información protegida. Por ello, la preparación conecta los procesos de personal, la confidencialidad, la formación y la coordinación entre áreas funcionales. La ejecución práctica sigue siendo responsabilidad de la organización, aunque se externalicen actividades concretas.
Información, accesos y operación informática.
Las medidas de protección deben cubrir el flujo real de información. Examine conjuntamente los permisos, los sistemas utilizados, el intercambio de datos, la recuperación y la gestión de incidentes de seguridad. El artículo existente sobre la preparación de la evaluación TISAX aborda los detalles de la preparación técnica y las evidencias adecuadas.
Sedes y entorno físico.
La seguridad de las sedes no puede deducirse únicamente de una regla informática central. Para el alcance acordado, también son relevantes los espacios, el acceso físico y la gestión real de visitantes u objetos que requieren protección. Los equipos competentes deben poder explicar sus procedimientos locales y localizar los registros correspondientes.
Proveedores y servicios externos.
Los servicios externos pueden influir en la seguridad de la propia prestación. Por ello, la preparación debe mostrar qué proveedores participan, qué información reciben y qué expectativas se han acordado. Suponer de forma general que todos los proveedores necesitan la misma etiqueta no sustituye el análisis de su función concreta.
Protección de prototipos y de datos según los objetivos.
La protección de prototipos y de datos se añade según los objetivos de evaluación seleccionados. La página general de TISAX de ENX menciona expresamente estos ámbitos junto a la seguridad de la información. Aclare pronto si, por ejemplo, los objetos en desarrollo, los ensayos o la información personal forman parte del requisito del cliente; un objetivo de seguridad de la información formulado de manera general todavía no resuelve esa cuestión.
La evaluación TISAX empieza con el requisito del cliente.
Aclarar los objetivos y el alcance.
Documente los objetivos de evaluación solicitados, las sedes y la fecha necesaria antes de planificar la preparación como un proyecto conjunto de las áreas funcionales y los responsables de seguridad.
Registrar al participante y el alcance.
Registre la empresa y el alcance de evaluación en el portal ENX; según la descripción del proceso de ENX, el registro es un requisito previo para las siguientes etapas del procedimiento.
Seleccionar al proveedor de evaluación.
Elija un proveedor del directorio oficial de ENX y acuerde el alcance, la versión del catálogo y las fechas de evaluación, en lugar de dar por válido cualquier encargo de auditoría.
Preparar la autoevaluación.
Describa el estado real de implantación y vincule la documentación disponible para que las afirmaciones puedan examinarse de forma trazable en la posterior evaluación externa.
Gestionar la evaluación y las correcciones.
Sométase a la evaluación acordada y gestione los hallazgos con los equipos responsables conforme al procedimiento de evaluación acordado.
Compartir el resultado de forma selectiva.
Autorice en el portal ENX el acceso al resultado disponible para los socios comerciales previstos y compruebe después si se aprecia claramente que cubre los objetivos y las sedes solicitados.
La etiqueta TISAX y el nivel de evaluación describen cosas distintas.
La evaluación TISAX produce un informe y un resultado para el alcance acordado. Las etiquetas resumen los objetivos de evaluación alcanzados; no constituyen un dictamen ilimitado sobre todas las actividades de un grupo empresarial. El directorio de ENX recoge los proveedores de evaluación autorizados. Al seleccionarlos, deben aclararse, por ejemplo, la cobertura geográfica y el alcance concreto del servicio, para que las ofertas se refieran a la misma necesidad de evaluación.
El nivel de evaluación describe el método de examen; el grado de madurez, el estado de implantación. Según el apartado 4.3.3.5 del manual del participante de TISAX, AL1 sirve para autoevaluaciones internas y no se utiliza en TISAX como resultado intercambiable. AL2 incluye una comprobación de plausibilidad; AL3, un examen más amplio que incluye actividades presenciales. Por tanto, un nivel más alto no es una nota de madurez elegida libremente.
Las etiquetas TISAX suelen tener una vigencia de tres años. El apartado 5.4.14.2 del manual del participante menciona los cambios de alcance como posible motivo de una vigencia menor. El resultado puede seguir compartiéndose de forma selectiva mediante el portal ENX y no es una clasificación pública de empresas. Defina internamente quién hace seguimiento de los cambios, las solicitudes de clientes y el siguiente ciclo de evaluación.
Los demás marcos mantienen su propia finalidad.
ISO 27001 describe requisitos de un sistema de gestión de seguridad de la información; TISAX utiliza un proceso propio de evaluación e intercambio para la cadena de suministro del automóvil. El trabajo de seguridad existente puede apoyar la preparación, pero no sustituye los objetivos de evaluación TISAX acordados ni el alcance. Por su parte, el RGPD regula el tratamiento de datos personales; una etiqueta TISAX no resuelve todas las cuestiones de protección de datos de un tratamiento.
En Secani.
Secani ofrece un catálogo editorial de evaluación TISAX sobre VDA ISA 6.0.3. El perfil de evaluación permite registrar el alcance y los datos de los objetivos elegidos. Debe distinguirse el catálogo del producto de la futura base de evaluación ISA2027.1; para la evaluación externa sigue siendo determinante la versión confirmada con el proveedor de evaluación.
Siguiente paso: determinar la acreditación necesaria.
Pida al socio comercial solicitante los objetivos de evaluación esperados y las sedes afectadas. Contraste esos datos con el alcance de sus propios servicios y aclare los límites pendientes antes del registro. Después podrá planificar la preparación de forma específica, sin recopilar primero documentación extensa para un alcance indeterminado.
Fuentes.
- ENX: TISAX y descripción del proceso
- ENX: función y finalidad del VDA ISA
- Manual del participante de TISAX 2.8: apartados 4.3.3.5, 5.4.13–5.4.14 y 6
- ENX: publicación de ISA2027, 1 de julio de 2026
- ENX: información transitoria de ISA2027, 7 de agosto de 2026
- ENX: ISA2027.1 en alemán e inglés, 1 de octubre de 2026
- ENX: centro de descargas con las versiones del catálogo
- ENX: directorio de proveedores de evaluación TISAX
Preguntas frecuentes.
TISAX es un procedimiento de evaluación e intercambio con un resultado de evaluación y etiquetas. Por ello, la expresión habitual de búsqueda «certificación TISAX» designa una forma de acreditación distinta de un certificado ISO 27001.
No. El nivel de evaluación describe la profundidad del examen; el grado de madurez describe el estado de implantación evaluado. Por ello, aclare los objetivos de evaluación solicitados en lugar de acordar únicamente un número de nivel.
No. AL1 sirve para fines internos; estos resultados no se comparten mediante TISAX ni dan lugar a etiquetas TISAX.
Por lo general, tres años. Las etiquetas temporales y los cambios sustanciales en el alcance de evaluación pueden implicar una vigencia menor; para el siguiente ciclo de evaluación debe repetirse el procedimiento.
Preparar TISAX con un alcance claro.
Conozca el catálogo TISAX y el perfil de evaluación en Secani.
Esta página presenta TISAX en términos generales. Son determinantes las publicaciones actuales de ENX, el VDA ISA y el encargo de evaluación acordado.