TISAX.
Le processus d’évaluation et d’échange de l’industrie automobile : clarifier les objectifs, faire évaluer le périmètre adapté et partager les résultats avec les partenaires commerciaux.
- ENX · VDA ISA · Manuel du participant TISAX
- Par Derya Altinay
- À jour au 22/10/2026
- Temps de lecture : 9 min
Réponse courte.
TISAX est le processus d’évaluation et d’échange pour la sécurité de l’information dans la chaîne d’approvisionnement automobile. Un prestataire agréé évalue un périmètre défini selon le VDA ISA. Les labels TISAX résument les objectifs atteints ; les résultats sont partagés sur le portail ENX avec des partenaires sélectionnés. Le manuel du participant TISAX d’ENX constitue la référence.
TISAX, ENX et VDA ISA remplissent des rôles différents.
TISAX signifie Trusted Information Security Assessment Exchange et associe des évaluations externes à un échange encadré des résultats. L’ENX Association pilote le processus. L’Information Security Assessment, ou ISA, est le catalogue d’évaluation ; le groupe de travail ISA d’ENX le développe et la fédération allemande de l’industrie automobile le publie sous le nom VDA ISA. ENX décrit ces rôles sur sa page d’information ISA.
Le VDA ISA crée une base commune pour gérer les informations nécessitant une protection. Constructeurs, équipementiers, prestataires de développement et éditeurs de logiciels peuvent collaborer à partir du même cadre d’évaluation. Selon la présentation ISA d’ENX, cela vise à réduire les contrôles de sécurité individuels de chaque donneur d’ordre. Les résultats acceptés par un client dépendent toutefois des objectifs convenus et du périmètre effectivement couvert.
ISA2027.1 est disponible en allemand et en anglais depuis le 1er octobre 2026 ; la version anglaise continue de faire foi pour les évaluations. ENX annonce ISA2027 comme base des évaluations commandées à compter du 1er janvier 2027. Selon l’information transitoire d’ENX du 7 août 2026, la date de commande compte, et non celle de l’enregistrement du périmètre. Les évaluations commandées auparavant peuvent encore utiliser ISA6 selon les règles transitoires.
La publication annuelle d’ISA n’implique pas une réévaluation annuelle. La publication d’ENX sur ISA2027 du 1er juillet 2026 distingue le nouveau rythme de publication de la durée de validité des labels existants. Pour une planification à cheval sur deux années, les entreprises doivent donc documenter explicitement la version du catalogue convenue et la commande d’évaluation, plutôt que de se fier au nom du dernier fichier téléchargé.
TISAX concerne la collaboration dans la chaîne d’approvisionnement.
TISAX devient pertinent lorsqu’un partenaire commercial exige une preuve de sécurité correspondante pour collaborer. La présentation ISA d’ENX cite, outre les constructeurs et équipementiers, les prestataires, développeurs de logiciels et partenaires d’ingénierie. Les informations, activités et sites de la relation commerciale sont déterminants. Il n’en découle aucune obligation légale générale TISAX pour toutes les entreprises.
Le périmètre d’évaluation décrit la partie de l’entreprise examinée. Clarifiez avec le client demandeur les sociétés et sites à inclure ainsi que les objectifs attendus. La préparation doit aussi tenir compte des services de soutien pour conserver une visibilité sur l’informatique centralisée ou les collaborations externes. Convenez de la délimitation précise avec le prestataire d’évaluation.
Une entreprise peut fournir des résultats et demander simultanément ceux de ses propres partenaires commerciaux. Cet échange encadré peut ainsi servir aux achats et au pilotage des fournisseurs. Le seul enregistrement d’un participant ne renseigne toutefois ni sur la réussite d’une évaluation ni sur les objectifs couverts ; ces informations découlent du résultat d’évaluation concerné.
TISAX examine l’organisation et la sécurité en pratique.
La préparation couvre la sécurité organisationnelle, technique et propre aux sites. Les thèmes suivants décrivent des domaines de travail généraux sans reproduire le catalogue d’exigences ISA. Leur examen et son degré d’approfondissement dépendent des objectifs convenus et de la version ISA applicable.
Responsabilités et management de la sécurité.
L’organisation doit pouvoir expliquer ses responsabilités et ses décisions en matière de protection de l’information. Une politique décrit les pratiques prévues ; la préparation devient solide lorsque les responsables peuvent aussi expliquer l’évaluation des risques, le pilotage des mesures et la prise en compte des changements.
Personnes et collaboration.
Les salariés et les intervenants externes doivent connaître leurs tâches dans le traitement des informations protégées. La préparation réunit donc processus RH, confidentialité, formations et coordination entre les métiers. L’exécution pratique reste à la charge de l’organisation, même lorsque certaines activités sont externalisées.
Informations, accès et exploitation informatique.
Les mesures de protection doivent couvrir les flux d’information réels. Examinez ensemble les habilitations, les systèmes utilisés, les échanges de données, la restauration et la gestion des incidents de sécurité. L’article existant sur la préparation de l’évaluation TISAX approfondit la préparation technique et les preuves adaptées.
Sites et environnement physique.
La sécurité des sites ne peut pas découler d’une seule règle informatique centrale. Pour le périmètre convenu, les locaux, les accès et la gestion effective des visiteurs ou des objets à protéger comptent également. Les équipes responsables doivent pouvoir expliquer leurs procédures locales et retrouver les enregistrements correspondants.
Fournisseurs et services externes.
Les services externes peuvent influencer la sécurité de la prestation de l’entreprise. La préparation doit donc montrer quels fournisseurs interviennent, quelles informations ils reçoivent et quelles attentes ont été convenues. Supposer systématiquement que chaque fournisseur a besoin du même label ne remplace pas l’examen de son rôle concret.
Protection des prototypes et des données selon les objectifs.
La protection des prototypes et des données s’ajoute en fonction des objectifs d’évaluation retenus. La présentation TISAX d’ENX cite explicitement ces domaines aux côtés de la sécurité de l’information. Clarifiez tôt si les exigences du client couvrent, par exemple, des objets en développement, des essais ou des données personnelles ; un objectif général de sécurité de l’information ne répond pas à cette question.
L’évaluation TISAX commence par l’exigence du client.
Clarifier les objectifs et le périmètre.
Consignez les objectifs d’évaluation demandés, les sites et la date nécessaire avant de planifier la préparation comme un projet commun aux métiers et aux responsables de la sécurité.
Enregistrer le participant et le périmètre.
Enregistrez l’entreprise et le périmètre d’évaluation sur le portail ENX ; selon la présentation du processus ENX, cet enregistrement est un préalable aux étapes suivantes.
Choisir le prestataire d’évaluation.
Choisissez un prestataire dans l’annuaire officiel ENX et convenez du périmètre, de la version du catalogue et des dates, sans considérer que n’importe quelle commande d’audit convient.
Préparer l’autoévaluation.
Décrivez l’état réel de mise en œuvre et associez les documents existants pour que les affirmations puissent être vérifiées de manière traçable lors de l’évaluation externe.
Traiter l’évaluation et les corrections.
Faites réaliser l’évaluation convenue et traitez les constats avec les équipes responsables conformément à la procédure d’évaluation convenue.
Partager le résultat de façon ciblée.
Autorisez l’accès au résultat disponible pour les partenaires commerciaux prévus sur le portail ENX, puis vérifiez que les objectifs et les sites demandés sont clairement couverts.
Le label TISAX et le niveau d’évaluation décrivent des aspects différents.
L’évaluation TISAX produit un rapport et un résultat pour le périmètre convenu. Les labels résument les objectifs atteints ; ils ne constituent pas un jugement sans réserve sur toutes les activités d’un groupe. L’annuaire ENX recense les prestataires agréés. Lors du choix, clarifiez notamment leur couverture géographique et l’étendue précise des prestations pour comparer des offres répondant au même besoin.
Le niveau d’évaluation décrit la méthode d’examen, tandis que le niveau de maturité décrit l’état de mise en œuvre. Selon la section 4.3.3.5 du manuel du participant TISAX, AL1 sert aux autoévaluations internes et n’est pas utilisé comme résultat échangeable dans TISAX. AL2 comporte une vérification de plausibilité ; AL3 un examen plus approfondi incluant des activités sur site. Un niveau supérieur n’est donc pas une note de maturité librement choisie.
Les labels TISAX sont généralement valables trois ans. La section 5.4.14.2 du manuel du participant cite les modifications du périmètre comme motif possible de réduction de validité. Le résultat peut être partagé de manière ciblée sur le portail ENX et ne constitue pas un classement public des entreprises. Définissez en interne qui suit les changements, les demandes clients et le prochain cycle d’évaluation.
Les autres référentiels conservent leur propre finalité.
ISO 27001 décrit les exigences d’un système de management de la sécurité de l’information ; TISAX utilise un processus d’évaluation et d’échange propre à la chaîne d’approvisionnement automobile. Les travaux de sécurité existants peuvent faciliter la préparation, mais ne remplacent ni les objectifs TISAX convenus ni le périmètre. Le RGPD régit par ailleurs le traitement des données personnelles ; un label TISAX ne répond pas à toutes les questions de protection des données d’un traitement.
Dans Secani.
Secani propose un catalogue éditorial d’évaluation TISAX pour VDA ISA 6.0.3. Le profil d’évaluation permet de consigner le périmètre et les informations relatives aux objectifs choisis. Le catalogue du produit doit être distingué d’ISA2027.1, future base d’évaluation ; la version confirmée avec le prestataire reste déterminante pour l’évaluation externe.
Prochaine étape : déterminer le justificatif nécessaire.
Demandez au partenaire commercial demandeur les objectifs d’évaluation attendus et les sites concernés. Comparez ces informations à votre propre périmètre de prestation et clarifiez les limites en suspens avant l’enregistrement. Vous pourrez ensuite planifier précisément la préparation, sans constituer d’abord une documentation volumineuse pour un périmètre indéfini.
Sources.
- ENX : TISAX et présentation du processus
- ENX : rôle et finalité du VDA ISA
- Manuel du participant TISAX 2.8 : sections 4.3.3.5, 5.4.13–5.4.14 et 6
- ENX : publication d’ISA2027, 1er juillet 2026
- ENX : information transitoire ISA2027, 7 août 2026
- ENX : ISA2027.1 en allemand et en anglais, 1er octobre 2026
- ENX : centre de téléchargement des versions du catalogue
- ENX : annuaire des prestataires d’évaluation TISAX
Questions fréquentes.
TISAX est un processus d’évaluation et d’échange produisant un résultat d’évaluation et des labels. L’expression courante « certification TISAX » désigne donc une forme de justificatif différente d’un certificat ISO 27001.
Non. Le niveau d’évaluation décrit la profondeur de l’examen ; le niveau de maturité décrit l’état de mise en œuvre évalué. Clarifiez donc les objectifs demandés plutôt que de convenir uniquement d’un chiffre de niveau.
Non. AL1 sert à des fins internes ; ces résultats ne sont pas partagés par TISAX et ne donnent pas lieu à des labels TISAX.
En règle générale, trois ans. Les labels temporaires et les changements importants du périmètre peuvent entraîner une durée plus courte ; le processus doit être recommencé pour le cycle d’évaluation suivant.
Préparer TISAX avec un périmètre clair.
Découvrez le catalogue TISAX et le profil d’évaluation dans Secani.
Cette page présente TISAX de manière générale. Les publications actuelles d’ENX, le VDA ISA et la commande d’évaluation convenue font foi.