TISAX.
Autotööstuse hindamis- ja teabevahetusmenetlus: selgitage eesmärgid, laske sobivat ulatust hinnata ning jagage tulemusi äripartneritega.
- ENX · VDA ISA · TISAXi osaleja käsiraamat
- Autor: Derya Altinay
- Seisuga: 22.10.2026
- Lugemisaeg: 6 min
Lühivastus.
TISAX on infoturbe hindamise ja tulemuste vahetamise menetlus autotööstuse tarneahelas. Ettevõtted lasevad määratletud ulatust VDA ISA alusel hinnata tunnustatud hindamisteenuse osutajal. TISAXi märgised võtavad kokku saavutatud hindamiseesmärgid; tulemusi jagatakse ENXi portaalis valitud äripartneritega. Aluseks on ENXi TISAXi osaleja käsiraamat.
TISAXil, ENXil ja VDA ISA-l on eri rollid.
TISAX tähendab Trusted Information Security Assessment Exchange ning ühendab välised hindamised reguleeritud tulemuste vahetamisega. Menetlust juhib ENX Association. Information Security Assessment ehk ISA on hindamiskataloog; seda arendab ENX Working Group ISA ning Saksamaa Autotööstuse Liit avaldab selle VDA ISA nime all. ENX kirjeldab neid rolle ISA teabelehel.
VDA ISA loob ühtse aluse kaitset vajava teabe käsitlemiseks. Tootjad, tarnijad, arendusteenuste osutajad ja tarkvaraettevõtted saavad teha koostööd samal hindamisalusel. ENXi ISA ülevaate järgi peaks see vähendama iga tellija eraldi turvakontrolle. Kliendi aktsepteeritavad tulemused sõltuvad siiski kokkulepitud hindamiseesmärkidest ja tegelikult hõlmatud ulatusest.
ISA2027.1 on alates 1. oktoobrist 2026 saadaval saksa ja inglise keeles; hindamiste jaoks jääb määravaks ingliskeelne versioon. ENX on teatanud, et ISA2027 on aluseks alates 1. jaanuarist 2027 tellitud hindamistele. ENXi 7. augusti 2026 üleminekuteabe järgi loeb tellimuse kuupäev, mitte käsitlusala registreerimise kuupäev. Varem tellitud hindamistes võib üleminekureeglite järgi veel kasutada ISA6.
Iga-aastased ISA väljaanded ei tähenda iga-aastast kordushindamist. ENXi 1. juuli 2026 väljaanne ISA2027 kohta eristab uut avaldamisrütmi olemasolevate märgiste kehtivusajast. Seetõttu peaksid ettevõtted aastavahetust ületavate kavade puhul dokumenteerima sõnaselgelt kokkulepitud kataloogiversiooni ja hindamistellimuse, mitte kasutama üksnes viimati allalaaditud faili nime.
TISAX puudutab koostööd tarneahelas.
TISAX muutub asjakohaseks, kui äripartner nõuab koostööks vastavat turbetõendit. ENXi ISA ülevaade nimetab tootjate ja tarnijate kõrval ka teenuseosutajaid, tarkvaraarendajaid ning insenertehnilisi partnereid. Määravad on ärisuhtega seotud teave, tegevused ja asukohad. Sellest ei tulene kõigile ettevõtetele üldist seadusjärgset TISAXi kohustust.
Hindamise käsitlusala kirjeldab, millist ettevõtte osa hinnatakse. Selgitage taotleva kliendiga, millised äriühingud ja asukohad tuleb kaasata ning milliseid hindamiseesmärke oodatakse. Ettevalmistus peaks arvestama ka toetavaid teenuseid, et keskselt käitatav IT või väline koostöö ei jääks vaateväljast välja. Konkreetne piiritlus kooskõlastatakse hindamisteenuse osutajaga.
Ettevõte saab tulemusi jagada ja samal ajal küsida enda äripartnerite tulemusi. Nii on reguleeritud teabevahetus kasulik hangetele ning tarnijate juhtimisele. Üksnes osaleja registreerimine ei ütle siiski veel midagi edukalt läbitud hindamise või hõlmatud hindamiseesmärkide kohta; need andmed tulenevad alles vastavast hindamistulemusest.
TISAX vaatleb korraldust ja tegelikku turvalisust.
Ettevalmistus hõlmab korralduslikku, tehnilist ja asukohapõhist turbetööd. Järgmised teemad kirjeldavad üldisi töövaldkondi ega esita ISA nõuete kataloogi. Milliseid neist konkreetses hindamises kui põhjalikult kontrollitakse, sõltub kokkulepitud eesmärkidest ja kehtivast ISA versioonist.
Vastutus ja turbejuhtimine.
Organisatsioon vajab oma teabe kaitsmiseks jälgitavaid vastutusalasid ja otsuseid. Poliitika kirjeldab kavandatud tööviisi; ettevalmistus muutub usaldusväärseks, kui vastutajad suudavad selgitada ka seda, kuidas riske hinnatakse, meetmeid juhitakse ja muudatusi arvestatakse.
Inimesed ja koostöö.
Töötajad ja välised osalised peavad teadma oma ülesandeid kaitstud teabe käsitlemisel. Seetõttu moodustavad personaliprotsessid, konfidentsiaalsus, koolitused ning valdkondadevaheline kooskõlastamine ettevalmistuses terviku. Praktiline elluviimine jääb organisatsiooni ülesandeks ka siis, kui osa tegevusi antakse allhankesse.
Teave, juurdepääsud ja IT-käitlus.
Kaitsemeetmed peaksid hõlmama tegelikku teabevoogu. Vaadelge koos õigusi, kasutatavaid süsteeme, andmevahetust, taastamist ja turvaintsidentide käsitlemist. Tehnilise ettevalmistuse üksikasju ja sobivaid tõendeid käsitleb olemasolev TISAXi hindamise ettevalmistamise blogiartikkel.
Asukohad ja füüsiline keskkond.
Asukohapõhist turvalisust ei saa järeldada üksnes kesksest IT-reeglist. Kokkulepitud ulatuses on asjakohased ka ruumid, sissepääs ning külastajate või kaitset vajavate esemete tegelik käsitlemine. Vastutavad meeskonnad peaksid suutma selgitada oma kohalikke protseduure ja leida seotud kirjeid.
Tarnijad ja välised teenused.
Välised teenused võivad mõjutada enda teenuse turvalisust. Seetõttu peaks ettevalmistus näitama, millised teenuseosutajad on kaasatud, millist teavet nad saavad ja millised ootused on kokku lepitud. Üldine eeldus, et iga tarnija vajab sama märgist, ei asenda tema konkreetse rolli käsitlemist.
Eesmärgist sõltuv prototüübikaitse ja andmekaitse.
Prototüübikaitse ja andmekaitse lisanduvad vastavalt valitud hindamiseesmärkidele. ENXi TISAXi ülevaade nimetab neid valdkondi sõnaselgelt infoturbe kõrval. Selgitage varakult, kas näiteks arendusobjektid, katsetamine või isikuandmed on osa kliendinõudest; üldiselt sõnastatud infoturbe eesmärk sellele veel ei vasta.
TISAXi hindamine algab kliendinõudest.
Selgitage eesmärgid ja ulatus.
Talletage nõutud hindamiseesmärgid, asukohad ja vajalik aeg, enne kui kavandate ettevalmistuse valdkondade ning turbevastutajate ühise projektina.
Registreerige osaleja ja käsitlusala.
Registreerige ettevõte ja hindamise käsitlusala ENXi portaalis; ENXi protsessiülevaate järgi on registreerimine edasiste menetlusetappide eeldus.
Valige hindamisteenuse osutaja.
Valige teenuseosutaja ametlikust ENXi registrist ning leppige kokku ulatus, kataloogiversioon ja hindamisajad, lähtumata suvalisest audititellimusest.
Valmistage ette enesehindamine.
Kirjeldage tegelikku rakendamise seisu ja seostage olemasolevad dokumendid, et väiteid saaks järgnevas välishindamises jälgitavalt kontrollida.
Käsitlege hindamist ja parandusi.
Laske kokkulepitud hindamine läbi viia ning käsitlege leide vastutavate meeskondadega kooskõlastatud hindamiskorra järgi.
Jagage tulemust sihipäraselt.
Andke kavandatud äripartneritele ENXi portaalis juurdepääs olemasolevale hindamistulemusele ning kontrollige seejärel, kas nõutud eesmärgid ja asukohad on nähtavalt hõlmatud.
TISAXi märgis ja hindamistase kirjeldavad eri asju.
TISAXi hindamine annab aruande ja tulemuse kokkulepitud käsitlusala kohta. Märgised võtavad kokku saavutatud hindamiseesmärgid; need ei ole piiranguteta hinnang ettevõtete kontserni kõigi tegevuste kohta. ENXi register loetleb tunnustatud hindamisteenuse osutajad. Nende valimisel tuleb selgitada näiteks piirkondlik katvus ja konkreetne teenuseulatus, et pakkumised puudutaksid sama hindamisvajadust.
Hindamistase kirjeldab hindamismeetodit, küpsustase aga rakendamise seisu. TISAXi osaleja käsiraamatu jaotise 4.3.3.5 järgi on AL1 mõeldud sisemiseks enesehindamiseks ning seda ei kasutata TISAXis vahetatava tulemusena. AL2 hõlmab usutavuse kontrolli; AL3 põhjalikumat hindamist koos kohapealsete tegevustega. Kõrgem tase ei ole seetõttu vabalt valitud küpsushinne.
TISAXi märgised kehtivad tavaliselt kolm aastat. Osaleja käsiraamatu jaotis 5.4.14.2 nimetab käsitlusala muudatusi lühema kehtivusaja võimaliku põhjusena. Tulemust saab ENXi portaali kaudu sihipäraselt jagada ning see ei ole avalik ettevõtete edetabel. Määrake organisatsioonis, kes jälgib muudatusi, kliendipäringuid ja järgmist hindamistsüklit.
Teised raamistikud säilitavad oma eesmärgi.
ISO 27001 kirjeldab infoturbe juhtimissüsteemi nõudeid; TISAX kasutab autotööstuse tarneahela jaoks oma hindamis- ja teabevahetusprotsessi. Olemasolev turbetöö võib ettevalmistust toetada, kuid ei asenda kokkulepitud TISAXi hindamiseesmärke ega käsitlusala. IKÜM reguleerib lisaks isikuandmete käsitlemist; TISAXi märgis ei vasta kõigile töötlemistoimingu andmekaitseküsimustele.
Secanis.
Secani pakub enda koostatud TISAXi hindamiskataloogi VDA ISA 6.0.3 jaoks. Hindamisprofiilis saab talletada ulatuse ja valitud eesmärkide andmed. Tootekataloogi tuleb eristada tulevikus kehtivast ISA2027.1 hindamisalusest; välishindamise jaoks jääb määravaks hindamisteenuse osutajaga kinnitatud versioon.
Järgmine samm: määrake vajalik tõend.
Paluge taotleval äripartneril nimetada oodatud hindamiseesmärgid ja asjaomased asukohad. Võrrelge neid andmeid enda teenuseulatusega ning selgitage lahtised piirid enne registreerimist. Seejärel saab ettevalmistust sihipäraselt kavandada, kogumata esmalt määratlemata käsitlusala jaoks mahukat dokumentatsiooni.
Allikad.
- ENX: TISAX ja protsessiülevaade
- ENX: VDA ISA roll ja eesmärk
- TISAXi osaleja käsiraamat 2.8: jaotised 4.3.3.5, 5.4.13–5.4.14 ja 6
- ENX: ISA2027 avaldatud, 1. juuli 2026
- ENX: ISA2027 üleminekuteave, 7. august 2026
- ENX: ISA2027.1 saksa ja inglise keeles, 1. oktoober 2026
- ENX: kataloogiversioonidega allalaadimiskeskus
- ENX: TISAXi hindamisteenuse osutajate register
Korduma kippuvad küsimused.
TISAX on hindamis- ja teabevahetusmenetlus koos hindamistulemuse ning märgistega. Seetõttu tähistab levinud otsingufraas „TISAXi sertifitseerimine“ ISO 27001 sertifikaadist erinevat tõendamisvormi.
Ei. Hindamistase kirjeldab kontrolli põhjalikkust; küpsustase kirjeldab hinnatud rakendamise seisu. Seetõttu selgitage nõutud hindamiseesmärgid, mitte ärge leppige kokku üksnes taseme numbrit.
Ei. AL1 on mõeldud sisemiseks kasutuseks; neid tulemusi TISAXi kaudu ei jagata ja need ei anna TISAXi märgiseid.
Tavaliselt kolm aastat. Ajutised märgised ja hindamise käsitlusala olulised muudatused võivad tähendada lühemat kehtivusaega; järgmiseks hindamistsükliks tuleb menetlus uuesti läbida.
Valmistage TISAX ette selge ulatusega.
Tutvuge Secani TISAXi kataloogi ja hindamisprofiiliga.
See leht selgitab TISAXi üldiselt. Määravad on ENXi ajakohased väljaanded, VDA ISA ning kokkulepitud hindamistellimus.