TISAX.
A gépjárműipar vizsgálati és információcsere-eljárása: tisztázza a célokat, vizsgáltassa meg a megfelelő területet, és ossza meg az eredményeket üzleti partnereivel.
- ENX · VDA ISA · TISAX résztvevői kézikönyv
- Szerző: Derya Altinay
- Állapot: 2026. 10. 22.
- Olvasási idő: 8 perc
Rövid válasz.
A TISAX a gépjárműipari ellátási lánc információbiztonsági vizsgálati és információcsere-eljárása. A vállalatok egy meghatározott területet értékeltetnek a VDA ISA alapján, engedélyezett vizsgáló szolgáltatóval. A TISAX-címkék összefoglalják az elért vizsgálati célokat; az eredményeket az ENX-portálon osztják meg kiválasztott üzleti partnerekkel. Az alapot az ENX TISAX résztvevői kézikönyve adja.
A TISAX, az ENX és a VDA ISA különböző szerepet tölt be.
A TISAX a Trusted Information Security Assessment Exchange rövidítése, és külső vizsgálatokat kapcsol össze szabályozott eredménycserével. Az eljárást az ENX Association irányítja. Az Information Security Assessment, röviden ISA, az értékelési katalógus; ezt az ENX Working Group ISA fejleszti, a Verband der Automobilindustrie pedig VDA ISA néven teszi közzé. Ezeket a szerepeket az ENX az ISA tájékoztató oldalán írja le.
A VDA ISA közös alapot teremt a védelmet igénylő információk kezeléséhez. A gyártók, beszállítók, fejlesztési szolgáltatók és szoftvervállalatok ugyanazon értékelési alapon működhetnek együtt. Az ENX ISA-áttekintése szerint ez csökkentheti az egyes megrendelők által külön-külön végzett biztonsági vizsgálatok számát. Az azonban, hogy egy ügyfél mely eredményeket fogadja el, továbbra is az egyeztetett vizsgálati céloktól és a ténylegesen lefedett területtől függ.
Az ISA2027.1 2026. október 1-je óta érhető el német és angol nyelven; az értékeléseknél továbbra is az angol változat az irányadó. Az ENX bejelentése szerint a 2027. január 1-jétől megrendelt vizsgálatok alapja az ISA2027 lesz. Az ENX 2026. augusztus 7-i átmeneti tájékoztatója szerint a megrendelés dátuma számít, nem az alkalmazási terület regisztrációjának időpontja. A korábban megrendelt vizsgálatok az átmeneti szabályok szerint még használhatják az ISA6-ot.
Az évenkénti ISA-kiadások nem jelentenek évenkénti ismételt vizsgálatot. Az ENX ISA2027-ről szóló 2026. július 1-jei kiadványa külön kezeli az új kiadási ütemet és a meglévő címkék érvényességét. Az évváltáson átnyúló tervezésnél ezért a vállalatoknak kifejezetten dokumentálniuk kell a megállapodás szerinti katalógusverziót és a vizsgálati megbízást, ahelyett hogy csupán az utoljára letöltött fájl nevéből indulnának ki.
A TISAX az ellátási lánc együttműködésére vonatkozik.
A TISAX akkor válik relevánssá, ha egy üzleti partner megfelelő biztonsági igazolást kér az együttműködéshez. Az ENX ISA-áttekintése a gyártók és beszállítók mellett szolgáltatókat, szoftverfejlesztőket és mérnöki partnereket is említ. Az üzleti kapcsolat információi, tevékenységei és telephelyei a döntők. Ebből nem következik minden vállalatra általános jogszabályi TISAX-kötelezettség.
A vizsgálati terület azt írja le, a vállalat mely részét értékelik. Tisztázza a megkereső ügyféllel, mely társaságokat és telephelyeket kell bevonni, és milyen vizsgálati célokat várnak el. A felkészülésnek a támogató szolgáltatásokat is figyelembe kell vennie, hogy a központilag üzemeltetett informatika vagy egy külső együttműködés ne maradjon látókörön kívül. A konkrét lehatárolást a vizsgáló szolgáltatóval egyeztesse.
Egy vállalat eredményeket bocsáthat rendelkezésre, és egyidejűleg saját üzleti partnereinek eredményeit is bekérheti. Ez a szabályozott információcserét a beszerzés és a beszállítók irányítása számára is hasznossá teszi. Egy résztvevő regisztrációja önmagában még semmit sem mond a sikeres értékelésről vagy a lefedett vizsgálati célokról; ezek az információk csak az adott vizsgálati eredményből derülnek ki.
A TISAX a szervezetet és a tényleges biztonsági működést vizsgálja.
A felkészülés szervezeti, technikai és telephelyi biztonsági munkát foglal magában. Az alábbi témák általános munkaterületeket írnak le, nem az ISA követelménykatalógusát adják vissza. Hogy egy konkrét értékelés melyiket milyen mélységben vizsgálja, az egyeztetett céloktól és az érvényes ISA-változattól függ.
Felelősség és biztonságirányítás.
A szervezetnek követhető felelősségi körökre és döntésekre van szüksége információi védelméhez. A szabályzat a tervezett munkamódot írja le; a felkészülés akkor válik megalapozottá, ha a felelősök azt is el tudják magyarázni, hogyan értékelik a kockázatokat, irányítják az intézkedéseket és veszik figyelembe a változásokat.
Emberek és együttműködés.
A munkavállalóknak és a külső közreműködőknek ismerniük kell a védett információk kezelésével kapcsolatos feladataikat. A felkészülésben ezért a személyügyi folyamatok, a titoktartás, a képzések és a szakterületek közötti egyeztetés összetartoznak. A gyakorlati végrehajtás akkor is a szervezet feladata marad, ha egyes tevékenységeket kiszerveznek.
Információk, hozzáférések és informatikai üzemeltetés.
A védelmi intézkedéseknek a tényleges információáramlást kell lefedniük. Együttesen vizsgálja a jogosultságokat, a használt rendszereket, az adatcserét, a helyreállítást és a biztonsági incidensek kezelését. A technikai felkészülés részleteit és a megfelelő bizonyítékokat a TISAX-értékelésre való felkészülésről szóló meglévő blogbejegyzés tárgyalja.
Telephelyek és fizikai környezet.
A telephelyi biztonság nem vezethető le pusztán egy központi informatikai szabályból. A megállapodás szerinti területen a helyiségek, a belépés, valamint a látogatók és a védendő tárgyak tényleges kezelése is releváns. Az illetékes csapatoknak el kell tudniuk magyarázni helyi folyamataikat, és meg kell tudniuk találni a hozzájuk tartozó feljegyzéseket.
Beszállítók és külső szolgáltatások.
A külső szolgáltatások befolyásolhatják a saját szolgáltatás biztonságát. A felkészülésnek ezért meg kell mutatnia, mely szolgáltatók vesznek részt, milyen információkat kapnak, és milyen elvárásokban állapodtak meg. Az az általános feltételezés, hogy minden beszállítónak ugyanaz a címke kell, nem helyettesíti a konkrét szerepének vizsgálatát.
Célfüggő prototípusvédelem és adatvédelem.
A prototípusvédelem és az adatvédelem a kiválasztott vizsgálati céloknak megfelelően kapcsolódik be. Az ENX TISAX-áttekintése az információbiztonság mellett kifejezetten megnevezi ezeket a területeket. Tisztázza korán, hogy például fejlesztési tárgyak, tesztelés vagy személyes információk részei-e az ügyfélkövetelménynek; egy általánosan megfogalmazott információbiztonsági cél erre még nem ad választ.
A TISAX-értékelés az ügyfélkövetelménnyel kezdődik.
A célok és a terjedelem tisztázása.
Rögzítse a kért vizsgálati célokat, telephelyeket és a szükséges időpontot, mielőtt a felkészülést a szakterületek és a biztonsági felelősök közös projektjeként megtervezi.
A résztvevő és az alkalmazási terület regisztrálása.
Regisztrálja a vállalatot és az értékelés alkalmazási területét az ENX-portálon; az ENX folyamatáttekintése szerint a regisztráció a további eljárási lépések előfeltétele.
A vizsgáló szolgáltató kiválasztása.
Válasszon szolgáltatót a hivatalos ENX-jegyzékből, és egyeztessen a terjedelemről, a katalógusverzióról és a vizsgálati időpontokról, ahelyett hogy tetszőleges auditmegbízásból indulna ki.
Az önértékelés előkészítése.
Írja le a megvalósítás tényleges állapotát, és rendelje hozzá a meglévő iratokat, hogy az állításokat a későbbi külső értékelésben követhetően ellenőrizhessék.
A vizsgálat és a helyesbítések feldolgozása.
Végeztesse el a megállapodás szerinti értékelést, és a felelős csapatokkal dolgozza fel a megállapításokat az egyeztetett vizsgálati eljárás szerint.
Az eredmény célzott megosztása.
Tegye hozzáférhetővé az elkészült vizsgálati eredményt az ENX-portálon a kijelölt üzleti partnereknek, majd ellenőrizze, hogy a kért célok és telephelyek lefedettsége egyértelműen látható-e.
A TISAX-címke és az értékelési szint különböző dolgokat ír le.
A TISAX-értékelés jelentést és eredményt ad a megállapodás szerinti területre. A címkék az elért vizsgálati célokat foglalják össze; nem jelentenek korlátlan értékítéletet egy vállalatcsoport összes tevékenységéről. Az ENX-jegyzék tartalmazza az engedélyezett vizsgáló szolgáltatókat. Kiválasztásukkor például a földrajzi lefedettséget és a konkrét szolgáltatási terjedelmet kell tisztázni, hogy az ajánlatok ugyanarra a vizsgálati igényre vonatkozzanak.
Az értékelési szint a vizsgálati módszert, az érettségi szint a megvalósítás állapotát írja le. A TISAX résztvevői kézikönyv 4.3.3.5. szakasza szerint az AL1 belső önértékelésre szolgál, és a TISAX-ban nem használják megosztható eredményként. Az AL2 plauzibilitási ellenőrzést, az AL3 átfogóbb, helyszíni tevékenységeket is tartalmazó vizsgálatot jelent. A magasabb szint ezért nem szabadon választott érettségi osztályzat.
A TISAX-címkék általában három évig érvényesek. A résztvevői kézikönyv 5.4.14.2. szakasza az alkalmazási terület változását a rövidebb érvényesség lehetséges okaként nevezi meg. Az eredmény célzottan megosztható marad az ENX-portálon, és nem nyilvános vállalati rangsor. Határozza meg szervezeten belül, ki követi a változásokat, ügyfélkéréseket és a következő vizsgálati ciklust.
Más keretrendszerek megőrzik saját céljukat.
Az ISO 27001 az információbiztonság-irányítási rendszer követelményeit írja le; a TISAX saját vizsgálati és információcsere-folyamatot alkalmaz a gépjárműipari ellátási láncban. A már meglévő biztonsági munka támogathatja a felkészülést, de nem helyettesíti az egyeztetett TISAX-vizsgálati célokat és területet. A GDPR emellett a személyes adatok kezelését szabályozza; egy TISAX-címke nem válaszolja meg egy adatkezelés összes adatvédelmi kérdését.
A Secaniban.
A Secani saját szerkesztésű TISAX-vizsgálati katalógust biztosít a VDA ISA 6.0.3-hoz. Az értékelési profilban rögzíthető a terjedelem és a választott célok adatai. A termékkatalógust meg kell különböztetni a jövőben érvényes ISA2027.1 vizsgálati alaptól; a külső értékeléshez továbbra is a vizsgáló szolgáltatóval megerősített változat az irányadó.
Következő lépés: a szükséges igazolás meghatározása.
Kérje el a megkereső üzleti partnertől az elvárt vizsgálati célokat és az érintett telephelyeket. Vesse össze ezeket a saját szolgáltatási terjedelmével, és regisztráció előtt tisztázza a nyitott határokat. Ezután célzottan megtervezhető a felkészülés anélkül, hogy előbb terjedelmes iratanyagot gyűjtene egy meghatározatlan alkalmazási területhez.
Források.
- ENX: TISAX és folyamatáttekintés
- ENX: a VDA ISA szerepe és célja
- TISAX résztvevői kézikönyv 2.8: 4.3.3.5., 5.4.13–5.4.14. és 6. szakasz
- ENX: az ISA2027 közzététele, 2026. július 1.
- ENX: ISA2027 átmeneti tájékoztatás, 2026. augusztus 7.
- ENX: ISA2027.1 németül és angolul, 2026. október 1.
- ENX: letöltési központ a katalógusváltozatokkal
- ENX: a TISAX-vizsgáló szolgáltatók jegyzéke
Gyakori kérdések.
A TISAX vizsgálati és információcsere-eljárás értékelési eredménnyel és címkékkel. A gyakran keresett „TISAX-tanúsítás” kifejezés ezért az ISO 27001 tanúsítványtól eltérő igazolási formát jelöl.
Nem. Az értékelési szint a vizsgálat mélységét, az érettségi szint az értékelt megvalósítási állapotot írja le. Ezért a kért vizsgálati célokat tisztázza, ne csupán egy szintszámban állapodjon meg.
Nem. Az AL1 belső célokat szolgál; ezek az eredmények nem oszthatók meg a TISAX-on keresztül, és nem vezetnek TISAX-címkéhez.
Általában három évig. Az ideiglenes címkék és a vizsgálati terület lényeges változásai rövidebb időtartamot jelenthetnek; a következő vizsgálati ciklushoz újra végig kell járni az eljárást.
Készüljön a TISAX-ra egyértelmű terjedelemmel.
Ismerje meg a TISAX-katalógust és az értékelési profilt a Secaniban.
Ez az oldal általánosságban mutatja be a TISAX-ot. Az ENX és a VDA ISA aktuális kiadványai, valamint a megállapodás szerinti vizsgálati megbízás az irányadók.