TISAX.
Postupak provjere i razmjene rezultata u automobilskoj industriji: razjasnite ciljeve, provjerite odgovarajući opseg i podijelite rezultate s poslovnim partnerima.
- ENX · VDA ISA · Priručnik za sudionike TISAX-a
- Autor: Derya Altinay
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 7 min.
Kratak odgovor.
TISAX je postupak provjere i razmjene rezultata o informacijskoj sigurnosti u automobilskom lancu opskrbe. Poduzeća povjeravaju ovlaštenom pružatelju procjenu određenog opsega prema VDA ISA. Oznake TISAX sažimaju postignute ciljeve provjere; rezultati se na portalu ENX dijele s odabranim poslovnim partnerima. Osnova je ENX-ov priručnik za sudionike TISAX-a.
TISAX, ENX i VDA ISA imaju različite uloge.
TISAX znači Trusted Information Security Assessment Exchange i povezuje vanjske provjere s uređenom razmjenom rezultata. Udruga ENX upravlja postupkom. Information Security Assessment, odnosno ISA, katalog je procjene; razvija ga radna skupina ENX Working Group ISA, a njemačka udruga automobilske industrije objavljuje ga kao VDA ISA. ENX opisuje te uloge na informativnoj stranici ISA-e.
VDA ISA stvara zajedničku osnovu za postupanje s informacijama koje zahtijevaju zaštitu. Proizvođači, dobavljači, pružatelji razvojnih usluga i softverska poduzeća mogu surađivati na istoj osnovi procjene. Prema pregledu ENX ISA, time se želi smanjiti broj pojedinačnih sigurnosnih provjera svakog naručitelja. Koje rezultate klijent prihvaća ipak ovisi o dogovorenim ciljevima provjere i stvarno obuhvaćenom opsegu.
ISA2027.1 dostupan je od 1. listopada 2026. na njemačkom i engleskom; engleska verzija ostaje mjerodavna za procjene. ENX najavljuje ISA2027 kao osnovu za provjere naručene od 1. siječnja 2027. Prema ENX-ovoj prijelaznoj obavijesti od 7. kolovoza 2026. pritom je važan datum narudžbe, a ne datum registracije opsega. Ranije naručene provjere prema prijelaznim pravilima još mogu koristiti ISA6.
Godišnja izdanja ISA-e ne znače godišnju ponovnu provjeru. ENX-ova objava o ISA2027 od 1. srpnja 2026. odvaja novi ritam objavljivanja od valjanosti postojećih oznaka. Pri planiranju koje prelazi u novu godinu poduzeća zato trebaju izričito dokumentirati ugovorenu verziju kataloga i narudžbu provjere, umjesto da koriste samo naziv posljednje preuzete datoteke.
TISAX se odnosi na suradnju u lancu opskrbe.
TISAX postaje relevantan kada poslovni partner za suradnju zahtijeva odgovarajući dokaz sigurnosti. Pregled ENX ISA uz proizvođače i dobavljače navodi pružatelje usluga, razvojne programere i inženjerske partnere. Presudne su informacije, djelatnosti i lokacije poslovnog odnosa. Iz toga ne proizlazi opća zakonska obveza TISAX-a za svako poduzeće.
Opseg provjere opisuje koji se dio poduzeća procjenjuje. S klijentom koji traži provjeru razjasnite koja društva i lokacije treba uključiti i koji se ciljevi očekuju. Priprema treba uzeti u obzir i potporne usluge kako središnji IT ili vanjska suradnja ne bi ostali izvan razmatranja. Konkretne granice uskladite s pružateljem provjere.
Poduzeće može dostavljati rezultate i istodobno tražiti rezultate vlastitih poslovnih partnera. Uređena razmjena tako koristi nabavi i upravljanju dobavljačima. Sama registracija sudionika ipak ne govori ništa o uspješno završenoj procjeni ili obuhvaćenim ciljevima; te informacije proizlaze tek iz konkretnog rezultata provjere.
TISAX razmatra organizaciju i sigurnost u praksi.
Priprema obuhvaća organizacijski, tehnički i lokacijski sigurnosni rad. Sljedeće teme opisuju opća radna područja i ne predstavljaju reprodukciju kataloga zahtjeva ISA. Što će se i koliko duboko provjeravati u konkretnoj procjeni ovisi o dogovorenim ciljevima i važećoj verziji ISA-e.
Odgovornost i upravljanje sigurnošću.
Organizacija treba sljedive odgovornosti i odluke za zaštitu svojih informacija. Smjernica opisuje namjeravani način rada; priprema postaje pouzdana kada odgovorne osobe mogu objasniti i kako procjenjuju rizike, upravljaju mjerama i uzimaju u obzir promjene.
Ljudi i suradnja.
Zaposlenici i vanjski sudionici moraju poznavati svoje zadatke pri postupanju sa zaštićenim informacijama. Zato u pripremi treba povezati kadrovske procese, povjerljivost, osposobljavanje i usklađivanje odjela. Praktična provedba ostaje zadatak organizacije i kada se pojedine aktivnosti povjere vanjskim pružateljima.
Informacije, pristupi i rad IT-a.
Zaštitne mjere trebaju obuhvatiti stvarni tok informacija. Zajedno razmotrite ovlasti, korištene sustave, razmjenu podataka, obnovu i postupanje sa sigurnosnim incidentima. Pojedinosti tehničke pripreme i prikladne dokaze obrađuje postojeći blog o pripremi za procjenu TISAX.
Lokacije i fizičko okruženje.
Sigurnost pojedine lokacije ne može se izvesti samo iz središnjeg IT pravila. Za dogovoreni opseg relevantne su i prostorije, fizički pristup te stvarno postupanje s posjetiteljima ili predmetima koji zahtijevaju zaštitu. Nadležni timovi trebaju moći objasniti lokalne postupke i pronaći pripadajuće zapise.
Dobavljači i vanjske usluge.
Vanjske usluge mogu utjecati na sigurnost vlastite usluge. Zato priprema treba pokazati koji pružatelji sudjeluju, koje informacije primaju i koja su očekivanja dogovorena. Opća pretpostavka da svaki dobavljač treba istu oznaku ne zamjenjuje razmatranje njegove konkretne uloge.
Zaštita prototipova i podataka prema ciljevima.
Zaštita prototipova i osobnih podataka dodaje se prema odabranim ciljevima provjere. Pregled ENX TISAX izričito navodi ta područja uz informacijsku sigurnost. Rano razjasnite jesu li, primjerice, razvojni predmeti, ispitivanja ili osobni podaci dio klijentova zahtjeva; općenito formuliran cilj informacijske sigurnosti još ne odgovara na to pitanje.
Procjena TISAX počinje klijentovim zahtjevom.
Razjasnite ciljeve i opseg.
Zabilježite zatražene ciljeve provjere, lokacije i potreban datum prije nego što pripremu planirate kao zajednički projekt stručnih odjela i odgovornih osoba za sigurnost.
Registrirajte sudionika i opseg.
Registrirajte poduzeće i opseg procjene putem portala ENX; prema ENX-ovu pregledu procesa registracija je preduvjet za daljnje korake.
Odaberite pružatelja provjere.
Odaberite pružatelja iz službenog ENX-ova imenika i uskladite opseg, verziju kataloga i datume provjere, umjesto da polazite od bilo kakve narudžbe revizije.
Pripremite samoprocjenu.
Opišite stvarni stupanj provedbe i pridružite postojeću dokumentaciju kako bi se tvrdnje mogle sljedivo provjeriti u kasnijoj vanjskoj procjeni.
Obradite provjeru i ispravke.
Provedite dogovorenu procjenu i s odgovornim timovima obradite nalaze prema usuglašenom postupku provjere.
Ciljano podijelite rezultat.
Omogućite predviđenim poslovnim partnerima pristup dostupnom rezultatu na portalu ENX, a zatim provjerite jesu li zatraženi ciljevi i lokacije jasno obuhvaćeni.
Oznaka TISAX i razina procjene opisuju različite stvari.
Procjena TISAX daje izvješće i rezultat za dogovoreni opseg. Oznake sažimaju postignute ciljeve provjere; nisu neograničen sud o svim djelatnostima grupe poduzeća. ENX-ov imenik navodi ovlaštene pružatelje provjere. Pri odabiru treba, primjerice, razjasniti lokalnu pokrivenost i konkretan opseg usluga kako bi ponude obuhvaćale iste potrebe provjere.
Razina procjene opisuje metodu provjere, a stupanj zrelosti stanje provedbe. Prema odjeljku 4.3.3.5 priručnika za sudionike TISAX-a, AL1 služi internim samoprocjenama i u TISAX-u se ne koristi kao rezultat za razmjenu. AL2 uključuje provjeru vjerodostojnosti; AL3 opsežniju provjeru s aktivnostima na lokaciji. Viša razina zato nije proizvoljno odabrana ocjena zrelosti.
Oznake TISAX u pravilu vrijede tri godine. Odjeljak 5.4.14.2 priručnika za sudionike navodi promjene opsega kao mogući razlog kraće valjanosti. Rezultat se i dalje može ciljano dijeliti putem portala ENX i nije javna rang-lista poduzeća. Interno odredite tko prati promjene, klijentove zahtjeve i sljedeći ciklus provjere.
Drugi okviri zadržavaju vlastitu svrhu.
ISO 27001 opisuje zahtjeve za sustav upravljanja informacijskom sigurnošću; TISAX koristi zaseban postupak provjere i razmjene za automobilski lanac opskrbe. Postojeći sigurnosni rad može pomoći u pripremi, ali ne zamjenjuje dogovorene ciljeve i opseg TISAX-a. GDPR zasebno uređuje postupanje s osobnim podacima; oznaka TISAX ne odgovara na sva pitanja zaštite podataka neke obrade.
U Secaniju.
Secani pruža urednički katalog provjere TISAX-a za VDA ISA 6.0.3. U profilu procjene mogu se zabilježiti opseg i podaci o odabranim ciljevima. Katalog proizvoda razlikuje se od buduće osnove provjere ISA2027.1; za vanjsku procjenu i dalje je mjerodavna verzija potvrđena s pružateljem provjere.
Sljedeći korak: odredite potreban dokaz.
Zatražite od poslovnog partnera očekivane ciljeve provjere i obuhvaćene lokacije. Usporedite te podatke s vlastitim opsegom usluga i razjasnite otvorene granice prije registracije. Zatim možete ciljano planirati pripremu bez prethodnog prikupljanja opsežne dokumentacije za neodređen opseg.
Izvori.
- ENX: TISAX i pregled postupka
- ENX: uloga i svrha VDA ISA
- Priručnik za sudionike TISAX-a 2.8: odjeljci 4.3.3.5, 5.4.13–5.4.14 i 6
- ENX: objava ISA2027, 1. srpnja 2026.
- ENX: prijelazna obavijest za ISA2027, 7. kolovoza 2026.
- ENX: ISA2027.1 na njemačkom i engleskom, 1. listopada 2026.
- ENX: centar za preuzimanje s verzijama kataloga
- ENX: imenik pružatelja provjere TISAX
Česta pitanja.
TISAX je postupak provjere i razmjene s rezultatom procjene i oznakama. Čest izraz u pretragama „TISAX certifikacija” zato označava drukčiji oblik dokaza od certifikata ISO 27001.
Ne. Razina procjene opisuje dubinu provjere; stupanj zrelosti opisuje ocijenjeno stanje provedbe. Zato razjasnite zatražene ciljeve provjere, umjesto da dogovarate samo broj razine.
Ne. AL1 služi internim svrhama; ti se rezultati ne dijele putem TISAX-a i ne vode do oznaka TISAX.
U pravilu tri godine. Privremene oznake i bitne promjene opsega provjere mogu značiti kraće trajanje; za sljedeći ciklus provjere postupak treba ponoviti.
Pripremite TISAX s jasnim opsegom.
Upoznajte katalog TISAX-a i profil procjene u Secaniju.
Ova stranica općenito objašnjava TISAX. Mjerodavne su aktualne publikacije ENX-a, VDA ISA i dogovorena narudžba provjere.