TISAX.
Autoteollisuuden tarkastus- ja tiedonvaihtomenettely: selvittäkää tavoitteet, arvioituttakaa sopiva soveltamisala ja jakakaa tulokset liikekumppaneille.
- ENX · VDA ISA · TISAX-osallistujan käsikirja
- Kirjoittaja: Derya Altinay
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
TISAX on autoteollisuuden toimitusketjun tietoturvan tarkastus- ja tiedonvaihtomenettely. Yritykset arvioituttavat määritellyn soveltamisalan hyväksytyllä tarkastuspalveluntarjoajalla VDA ISA:n perusteella. TISAX-labelit kokoavat saavutetut arviointitavoitteet, ja tulokset jaetaan ENX-portaalissa valituille liikekumppaneille. Menettelyn perustana on ENX:n TISAX-osallistujan käsikirja.
TISAXilla, ENX:llä ja VDA ISA:lla on eri tehtävät.
TISAX tarkoittaa Trusted Information Security Assessment Exchangea ja yhdistää ulkoiset tarkastukset säänneltyyn tulosten vaihtoon. ENX Association ohjaa menettelyä. Information Security Assessment eli ISA on arviointiluettelo, jota kehittää ENX Working Group ISA ja jonka Saksan autoteollisuusliitto julkaisee nimellä VDA ISA. ENX kuvaa nämä roolit ISA-tietosivullaan.
VDA ISA luo yhteisen perustan suojattavien tietojen käsittelylle. Valmistajat, alihankkijat, kehityspalvelujen tarjoajat ja ohjelmistoyritykset voivat käyttää yhteistyössään samaa arviointiperustaa. ENX:n ISA-yleiskatsauksen mukaan tämän on tarkoitus vähentää kunkin tilaajan erillisiä turvallisuustarkastuksia. Asiakkaan hyväksymät tulokset riippuvat silti sovituista arviointitavoitteista ja tosiasiallisesta soveltamisalasta.
ISA2027.1 on ollut saatavana saksaksi ja englanniksi 1.10.2026 lähtien. Englanninkielinen versio on edelleen arviointien ratkaiseva versio. ENX ilmoittaa ISA2027:n perustaksi 1.1.2027 alkaen tilattaville tarkastuksille. ENX:n 7.8.2026 siirtymätiedotteen mukaan ratkaiseva on tilauspäivä, ei soveltamisalan rekisteröintipäivä. Aiemmin tilatuissa tarkastuksissa voidaan siirtymäsääntöjen mukaisesti käyttää vielä ISA6:ta.
Vuosittaiset ISA-julkaisut eivät tarkoita vuosittaisia uusinta-arviointeja. ENX:n 1.7.2026 julkaisu ISA2027:stä erottaa uuden julkaisurytmin olemassa olevien labelien voimassaoloajasta. Vuodenvaihteen yli suunnittelevien yritysten kannattaa siksi dokumentoida sovittu luetteloversio ja tarkastustoimeksianto nimenomaisesti sen sijaan, että ne käyttäisivät vain viimeksi ladatun tiedoston nimeä.
TISAX koskee toimitusketjun yhteistyötä.
TISAX on merkityksellinen, kun liikekumppani vaatii yhteistyötä varten vastaavaa turvallisuusnäyttöä. ENX:n ISA-yleiskatsaus mainitsee valmistajien ja alihankkijoiden lisäksi palveluntarjoajat, ohjelmistokehittäjät ja suunnittelukumppanit. Ratkaisevia ovat liikesuhteen tiedot, toiminnot ja toimipaikat. Tästä ei seuraa yleistä lakisääteistä TISAX-velvollisuutta kaikille yrityksille.
Arvioinnin soveltamisala kuvaa arvioitavan yrityksen osan. Selvittäkää pyytävän asiakkaan kanssa, mitkä yhtiöt ja toimipaikat sisällytetään ja mitä arviointitavoitteita odotetaan. Valmistelun on hyvä huomioida myös tukipalvelut, jotta keskitetty tietohallinto tai ulkopuolinen yhteistyö pysyy tarkastelussa mukana. Sopikaa tarkka rajaus tarkastuspalveluntarjoajan kanssa.
Yritys voi sekä antaa omia tuloksiaan että pyytää liikekumppaniensa tuloksia. Näin säänneltyä tiedonvaihtoa voidaan hyödyntää hankinnassa ja toimittajaohjauksessa. Pelkkä osallistujan rekisteröinti ei kuitenkaan osoita hyväksytysti läpäistyä arviointia tai katettuja tavoitteita. Nämä tiedot ilmenevät vasta arvioinnin tuloksesta.
TISAX tarkastelee organisaatiota ja käytännön turvallisuutta.
Valmistelu kattaa organisatorisen, teknisen ja toimipaikkakohtaisen turvallisuustyön. Seuraavat aiheet kuvaavat yleisiä työalueita eivätkä toista ISA-vaatimusluetteloa. Niiden tarkastelun laajuus ja perusteellisuus konkreettisessa arvioinnissa riippuvat sovituista tavoitteista ja sovellettavasta ISA-versiosta.
Vastuut ja turvallisuuden hallinta.
Organisaatio tarvitsee jäljitettävät vastuut ja päätökset tietojensa suojaamiseen. Ohje kuvaa aiottua toimintatapaa. Valmistelu on luotettavaa, kun vastuuhenkilöt osaavat myös selittää, miten riskejä arvioidaan, toimenpiteitä ohjataan ja muutoksia huomioidaan.
Ihmiset ja yhteistyö.
Työntekijöiden ja ulkoisten osallistujien on tunnettava tehtävänsä suojattavien tietojen käsittelyssä. Valmistelu yhdistää siksi henkilöstöprosessit, salassapidon, koulutukset ja toimintayksiköiden välisen koordinoinnin. Käytännön toteutus säilyy organisaation tehtävänä, vaikka yksittäisiä toimintoja ulkoistettaisiin.
Tiedot, käyttöoikeudet ja IT-toiminta.
Suojatoimien tulee kattaa todellinen tiedonkulku. Tarkastelkaa yhdessä käyttöoikeuksia, käytettyjä järjestelmiä, tiedonvaihtoa, palauttamista ja poikkeamien käsittelyä. Olemassa oleva TISAX-arvioinnin valmistelua käsittelevä blogiartikkeli kuvaa teknisen valmistelun yksityiskohtia ja sopivia todisteita.
Toimipaikat ja fyysinen ympäristö.
Toimipaikan turvallisuutta ei voida johtaa pelkästä keskitetystä IT-ohjeesta. Sovitun soveltamisalan kannalta merkityksellisiä ovat myös tilat, kulunvalvonta ja vierailijoiden tai suojattavien esineiden käytännön käsittely. Vastuutiimien on hyvä osata selittää paikalliset menettelynsä ja löytää niihin liittyvät tallenteet.
Toimittajat ja ulkoiset palvelut.
Ulkoiset palvelut voivat vaikuttaa oman palvelun turvallisuuteen. Valmistelun on siksi hyvä osoittaa, mitkä tarjoajat osallistuvat, mitä tietoja ne saavat ja millaisista odotuksista on sovittu. Yleinen oletus siitä, että jokainen toimittaja tarvitsee saman labelin, ei korvaa sen konkreettisen roolin arviointia.
Tavoitteista riippuva prototyyppien suojaus ja tietosuoja.
Prototyyppien suojaus ja tietosuoja tulevat mukaan valittujen arviointitavoitteiden perusteella. ENX:n TISAX-yleiskatsaus mainitsee nämä alueet nimenomaisesti tietoturvan rinnalla. Selvittäkää ajoissa, kuuluvatko esimerkiksi kehityskohteet, testaus tai henkilötiedot asiakkaan vaatimukseen. Yleisesti muotoiltu tietoturvatavoite ei vielä vastaa tähän kysymykseen.
TISAX-arviointi alkaa asiakasvaatimuksesta.
Selvittäkää tavoitteet ja soveltamisala.
Kirjatkaa pyydetyt arviointitavoitteet, toimipaikat ja tarvittava ajankohta ennen valmistelun suunnittelua toimintayksiköiden ja turvallisuusvastaavien yhteiseksi hankkeeksi.
Rekisteröikää osallistuja ja soveltamisala.
Rekisteröikää yritys ja arvioinnin soveltamisala ENX-portaalissa. ENX:n prosessikuvauksen mukaan rekisteröinti on menettelyn seuraavien vaiheiden edellytys.
Valitkaa tarkastuspalveluntarjoaja.
Valitkaa tarjoaja ENX:n virallisesta hakemistosta ja sopikaa soveltamisalasta, luetteloversiosta ja tarkastusajankohdista. Menettely edellyttää tätä, eikä mikä tahansa auditointitilaus riitä.
Valmistelkaa itsearviointi.
Kuvatkaa toteutuksen todellinen tila ja yhdistäkää siihen olemassa olevat asiakirjat, jotta väitteet voidaan tarkastaa jäljitettävästi seuraavassa ulkoisessa arvioinnissa.
Hoitakaa arviointi ja korjaukset.
Teettäkää sovittu arviointi ja käsitelkää havainnot vastuutiimien kanssa sovitun tarkastusmenettelyn mukaisesti.
Jakakaa tulos kohdennetusti.
Antakaa ENX-portaalissa tarkoitetuille liikekumppaneille pääsy saatavilla olevaan arviointitulokseen ja tarkistakaa sen jälkeen, että pyydetyt tavoitteet ja toimipaikat on selvästi katettu.
TISAX-label ja arviointitaso kuvaavat eri asioita.
TISAX-arviointi tuottaa raportin ja tuloksen sovitulle soveltamisalalle. Labelit kokoavat saavutetut arviointitavoitteet. Ne eivät ole rajoittamaton arvio konsernin kaikesta toiminnasta. ENX:n hakemisto luettelee hyväksytyt tarkastuspalveluntarjoajat. Valinnassa on selvitettävä esimerkiksi alueellinen kattavuus ja tarkka palvelusisältö, jotta tarjoukset koskevat samaa tarkastustarvetta.
Arviointitaso kuvaa tarkastusmenetelmää, kypsyystaso toteutuksen tilaa. TISAX-osallistujan käsikirjan kohdan 4.3.3.5 mukaan AL1 on tarkoitettu sisäiseen itsearviointiin eikä sen tulosta käytetä TISAXissa jaettavana tuloksena. AL2 sisältää uskottavuuden tarkastelun, AL3 laajemman tarkastuksen ja käyntejä paikan päällä. Korkeampi arviointitaso ei siis ole vapaasti valittu kypsyysarvosana.
TISAX-labelit ovat yleensä voimassa kolme vuotta. Osallistujan käsikirjan kohta 5.4.14.2 mainitsee soveltamisalan muutokset mahdollisena syynä lyhyempään voimassaoloon. Tulos on kohdennetusti jaettavissa ENX-portaalissa eikä muodosta julkista yritysrankingia. Määrittäkää sisäisesti, kuka seuraa muutoksia, asiakaspyyntöjä ja seuraavaa arviointikierrosta.
Muilla viitekehyksillä on omat tarkoituksensa.
ISO 27001 kuvaa tietoturvan hallintajärjestelmän vaatimukset. TISAX käyttää autoteollisuuden toimitusketjussa omaa tarkastus- ja tiedonvaihtomenettelyään. Olemassa oleva turvallisuustyö voi tukea valmistelua, mutta ei korvaa sovittuja TISAX-arviointitavoitteita ja soveltamisalaa. GDPR sääntelee puolestaan henkilötietojen käsittelyä. TISAX-label ei vastaa kaikkiin käsittelyn tietosuojakysymyksiin.
Secanissa.
Secani tarjoaa toimituksellisen TISAX-tarkastusluettelon VDA ISA 6.0.3:lle. Arviointiprofiiliin voidaan kirjata soveltamisala ja valittujen tavoitteiden tiedot. Tuotteen luettelo on erotettava tulevasta ISA2027.1-arviointiperustasta. Ulkoisessa arvioinnissa ratkaiseva on tarkastuspalveluntarjoajan kanssa vahvistettu versio.
Seuraava vaihe: määrittäkää tarvittava näyttö.
Pyytäkää vaatimuksen esittävältä liikekumppanilta odotetut arviointitavoitteet ja asianomaiset toimipaikat. Verratkaa tietoja omaan palvelulaajuuteenne ja selvittäkää avoimet rajaukset ennen rekisteröintiä. Näin valmistelu voidaan suunnitella kohdennetusti ilman, että ensin kerätään laajoja asiakirjakokonaisuuksia määrittelemättömään soveltamisalaan.
Lähteet.
- ENX: TISAX ja prosessikuvaus
- ENX: VDA ISA:n rooli ja tarkoitus
- TISAX-osallistujan käsikirja 2.8: kohdat 4.3.3.5, 5.4.13–5.4.14 ja 6
- ENX: ISA2027 julkaistu, 1.7.2026
- ENX: ISA2027-siirtymätiedote, 7.8.2026
- ENX: ISA2027.1 saksaksi ja englanniksi, 1.10.2026
- ENX: Download Center ja luetteloversiot
- ENX: TISAX-tarkastuspalveluntarjoajien hakemisto
Usein kysytyt kysymykset.
TISAX on tarkastus- ja tiedonvaihtomenettely, jonka tuloksena ovat arviointitulos ja labelit. Yleinen hakuilmaus ”TISAX-sertifiointi” tarkoittaa siksi erilaista todentamismuotoa kuin ISO 27001 -sertifikaatti.
Ei. Arviointitaso kuvaa tarkastuksen perusteellisuutta, kypsyystaso arvioitua toteutuksen tilaa. Selvittäkää siksi pyydetyt arviointitavoitteet pelkän tasonumerosta sopimisen sijaan.
Ei. AL1 palvelee sisäisiä tarkoituksia. Näitä tuloksia ei jaeta TISAXin kautta eivätkä ne johda TISAX-labeleihin.
Yleensä kolme vuotta. Väliaikaiset labelit ja arvioinnin soveltamisalan olennaiset muutokset voivat lyhentää aikaa. Seuraavalla arviointikierroksella menettely on käytävä uudelleen läpi.
Valmistelkaa TISAX selkeästi rajatulla soveltamisalalla.
Tutustukaa Secanin TISAX-luetteloon ja arviointiprofiiliin.
Tämä sivu antaa yleiskuvan TISAXista. Ratkaisevia ovat ENX:n ajantasaiset julkaisut, VDA ISA ja sovittu tarkastustoimeksianto.