TISAX.
La procedura di verifica e scambio dell'industria automobilistica: chiarire gli obiettivi, far verificare il perimetro adatto e condividere i risultati con i partner commerciali.
- ENX · VDA ISA · Manuale del partecipante TISAX
- Di Derya Altinay
- Aggiornato al: 22/10/2026
- Tempo di lettura: 8 min.
Risposta breve.
TISAX è la procedura di verifica e scambio per la sicurezza delle informazioni nella filiera automobilistica. Un fornitore di verifica autorizzato valuta un perimetro definito secondo VDA ISA. Le label TISAX riassumono gli obiettivi raggiunti; i risultati vengono condivisi con partner commerciali selezionati nel portale ENX. La base è il manuale del partecipante TISAX di ENX.
TISAX, ENX e VDA ISA hanno ruoli diversi.
TISAX significa Trusted Information Security Assessment Exchange e collega verifiche esterne a uno scambio regolamentato dei risultati. La ENX Association governa la procedura. L'Information Security Assessment, in breve ISA, è il catalogo di valutazione; il gruppo di lavoro ISA di ENX lo sviluppa, mentre l'associazione tedesca dell'industria automobilistica lo pubblica come VDA ISA. ENX descrive questi ruoli nella pagina informativa ISA.
VDA ISA crea una base comune per gestire informazioni che richiedono protezione. Costruttori, fornitori, prestatori di servizi di sviluppo e imprese software possono collaborare sulla stessa base di valutazione. Secondo la panoramica ISA di ENX, ciò dovrebbe ridurre le verifiche di sicurezza individuali di ciascun committente. I risultati accettati dal cliente dipendono comunque dagli obiettivi concordati e dal perimetro effettivamente coperto.
ISA2027.1 è disponibile in tedesco e inglese dal 1° ottobre 2026; la versione inglese resta determinante per gli assessment. ENX annuncia ISA2027 come base per le verifiche commissionate dal 1° gennaio 2027. Secondo l'informazione transitoria ENX del 7 agosto 2026, conta la data dell'incarico, non quella della registrazione del perimetro. Le verifiche commissionate in precedenza possono ancora usare ISA6 secondo le regole transitorie.
Le edizioni annuali ISA non comportano verifiche di rinnovo annuali. La pubblicazione ENX su ISA2027 del 1° luglio 2026 distingue il nuovo ritmo di pubblicazione dalla durata delle label esistenti. Per pianificare attività a cavallo del nuovo anno, le imprese dovrebbero quindi documentare espressamente la versione del catalogo concordata e l'incarico di verifica, anziché usare solo il nome dell'ultimo file scaricato.
TISAX riguarda la collaborazione nella filiera.
TISAX diventa rilevante quando un partner commerciale richiede la relativa attestazione di sicurezza per collaborare. La panoramica ISA di ENX cita, oltre a costruttori e fornitori, anche prestatori di servizi, sviluppatori software e partner di ingegneria. Contano informazioni, attività e sedi della relazione commerciale. Non ne deriva un obbligo legale generale TISAX per ogni impresa.
Il perimetro di verifica descrive quale parte dell'impresa viene valutata. Chiarite con il cliente richiedente quali società e sedi includere e quali obiettivi di verifica sono attesi. La preparazione dovrebbe considerare anche i servizi di supporto, affinché l'IT centralizzata o una collaborazione esterna non restino fuori dall'analisi. Concordate la delimitazione concreta con il fornitore di verifica.
Un'impresa può mettere a disposizione risultati e contemporaneamente richiedere quelli dei propri partner commerciali. Lo scambio regolamentato è così utilizzabile per acquisti e gestione dei fornitori. La sola registrazione di un partecipante non dice però nulla sul superamento di un assessment o sugli obiettivi coperti; queste informazioni derivano solo dal rispettivo risultato di verifica.
TISAX considera organizzazione e sicurezza praticata.
La preparazione comprende il lavoro sulla sicurezza organizzativa, tecnica e delle sedi. I temi seguenti descrivono ambiti generali di lavoro e non riproducono il catalogo dei requisiti ISA. L'approfondimento con cui vengono verificati nel singolo assessment dipende dagli obiettivi concordati e dalla versione ISA applicabile.
Responsabilità e gestione della sicurezza.
L'organizzazione necessita di responsabilità e decisioni tracciabili per proteggere le proprie informazioni. Una politica descrive il modo di operare previsto; la preparazione diventa solida quando i responsabili sanno anche spiegare come valutano i rischi, governano le misure e tengono conto dei cambiamenti.
Persone e collaborazione.
Dipendenti e soggetti esterni coinvolti devono conoscere i propri compiti nel trattamento di informazioni protette. La preparazione unisce quindi processi del personale, riservatezza, formazione e coordinamento tra funzioni. L'esecuzione pratica resta compito dell'organizzazione anche se singole attività vengono esternalizzate.
Informazioni, accessi e gestione IT.
Le misure di protezione devono coprire il flusso effettivo delle informazioni. Considerate insieme autorizzazioni, sistemi utilizzati, scambio di dati, ripristino e gestione degli incidenti di sicurezza. L'articolo esistente sulla preparazione all'assessment TISAX tratta i dettagli della preparazione tecnica e le evidenze adatte.
Sedi e ambiente fisico.
La sicurezza delle sedi non può essere dedotta solo da una regola IT centrale. Per il perimetro concordato contano anche locali, accesso fisico e gestione effettiva di visitatori o oggetti da proteggere. I team competenti dovrebbero saper spiegare le procedure locali e reperire le relative registrazioni.
Fornitori e servizi esterni.
I servizi esterni possono influire sulla sicurezza delle proprie prestazioni. La preparazione dovrebbe quindi mostrare quali fornitori sono coinvolti, quali informazioni ricevono e quali aspettative sono state concordate. Presumere genericamente che ogni fornitore necessiti della stessa label non sostituisce l'esame del suo ruolo concreto.
Protezione dei prototipi e dei dati secondo gli obiettivi.
La protezione dei prototipi e dei dati si aggiunge in funzione degli obiettivi di verifica selezionati. La panoramica TISAX di ENX cita espressamente questi ambiti accanto alla sicurezza delle informazioni. Chiarite presto se, per esempio, oggetti di sviluppo, sperimentazione o informazioni personali fanno parte della richiesta del cliente; un obiettivo generico di sicurezza delle informazioni non risponde ancora a questa domanda.
L'assessment TISAX inizia dalla richiesta del cliente.
Chiarire obiettivi e perimetro.
Registrate gli obiettivi di verifica richiesti, le sedi e la data necessaria prima di pianificare la preparazione come progetto comune tra funzioni e responsabili della sicurezza.
Registrare partecipante e perimetro.
Registrate l'impresa e il perimetro dell'assessment nel portale ENX; secondo la panoramica del processo ENX, la registrazione è un prerequisito per le fasi successive.
Scegliere il fornitore di verifica.
Scegliete un fornitore dall'elenco ufficiale ENX e concordate ambito, versione del catalogo e date di verifica, senza presumere che basti un qualsiasi incarico di audit.
Preparare l'autovalutazione.
Descrivete il livello effettivo di attuazione e associate i documenti esistenti, affinché le dichiarazioni possano essere verificate in modo tracciabile nel successivo assessment esterno.
Gestire verifica e correzioni.
Fate eseguire l'assessment concordato e gestite i rilievi con i team responsabili secondo la procedura di verifica concordata.
Condividere il risultato in modo mirato.
Autorizzate nel portale ENX l'accesso al risultato disponibile per i partner commerciali previsti e verificate poi che obiettivi e sedi richiesti siano chiaramente coperti.
Label TISAX e livello di assessment descrivono aspetti diversi.
L'assessment TISAX produce una relazione e un risultato per il perimetro concordato. Le label riassumono gli obiettivi raggiunti; non sono un giudizio illimitato su tutte le attività di un gruppo aziendale. L'elenco ENX riporta i fornitori di verifica autorizzati. Nella scelta occorre chiarire, ad esempio, copertura geografica e prestazioni concrete, affinché i preventivi rispondano alle stesse esigenze di verifica.
Il livello di assessment descrive il metodo di verifica, il grado di maturità il livello di attuazione. Secondo la sezione 4.3.3.5 del manuale del partecipante TISAX, AL1 serve per autovalutazioni interne e non viene utilizzato in TISAX come risultato scambiabile. AL2 comprende una verifica di plausibilità; AL3 una verifica più approfondita, incluse attività in loco. Un livello superiore non è quindi un voto di maturità scelto liberamente.
Le label TISAX valgono generalmente tre anni. La sezione 5.4.14.2 del manuale del partecipante cita le modifiche al perimetro come possibile motivo di validità più breve. Il risultato resta condivisibile in modo mirato tramite il portale ENX e non è una classifica pubblica delle imprese. Stabilite internamente chi segue modifiche, richieste dei clienti e successivo ciclo di verifica.
Gli altri framework mantengono la propria finalità.
ISO 27001 descrive i requisiti di un sistema di gestione della sicurezza delle informazioni; TISAX utilizza un processo proprio di verifica e scambio per la filiera automobilistica. Il lavoro di sicurezza già esistente può sostenere la preparazione, ma non sostituisce gli obiettivi e il perimetro TISAX concordati. Il GDPR disciplina inoltre il trattamento dei dati personali; una label TISAX non risponde a tutte le questioni di protezione dei dati di un trattamento.
In Secani.
Secani offre un catalogo redazionale di verifica TISAX relativo a VDA ISA 6.0.3. Nel profilo di assessment è possibile registrare perimetro e informazioni sugli obiettivi scelti. Il catalogo del prodotto va distinto dalla futura base di verifica ISA2027.1; per l'assessment esterno resta determinante la versione confermata con il fornitore di verifica.
Prossimo passo: determinare l'attestazione necessaria.
Chiedete al partner commerciale richiedente gli obiettivi di verifica attesi e le sedi interessate. Confrontate queste informazioni con le vostre prestazioni e chiarite i confini aperti prima della registrazione. Potrete poi pianificare una preparazione mirata senza raccogliere prima documenti estesi per un perimetro indefinito.
Fonti.
- ENX: TISAX e panoramica del processo
- ENX: ruolo e finalità di VDA ISA
- Manuale del partecipante TISAX 2.8: sezioni 4.3.3.5, 5.4.13–5.4.14 e 6
- ENX: pubblicazione di ISA2027, 1° luglio 2026
- ENX: informazione transitoria ISA2027, 7 agosto 2026
- ENX: ISA2027.1 in tedesco e inglese, 1° ottobre 2026
- ENX: Download Center con le versioni del catalogo
- ENX: elenco dei fornitori di verifica TISAX
Domande frequenti.
TISAX è una procedura di verifica e scambio con un risultato di assessment e label. L'espressione di ricerca comune «certificazione TISAX» indica quindi una forma di attestazione diversa dal certificato ISO 27001.
No. Il livello di assessment descrive la profondità della verifica; il grado di maturità descrive lo stato di attuazione valutato. Chiarite quindi gli obiettivi di verifica richiesti anziché concordare soltanto un numero di livello.
No. AL1 serve a fini interni; questi risultati non vengono condivisi tramite TISAX e non conducono a label TISAX.
Generalmente tre anni. Label temporanee e modifiche sostanziali al perimetro di verifica possono comportare una durata più breve; per il ciclo successivo occorre ripetere la procedura.
Preparare TISAX con un perimetro chiaro.
Scoprite il catalogo TISAX e il profilo di assessment in Secani.
Questa pagina inquadra TISAX in termini generali. Fanno fede le pubblicazioni attuali di ENX, VDA ISA e l'incarico di verifica concordato.