TISAX.
Automobilių pramonės vertinimo ir keitimosi rezultatais procedūra: nustatykite tikslus, įvertinkite tinkamą taikymo sritį ir dalykitės rezultatais su verslo partneriais.
- ENX · VDA ISA · TISAX dalyvio vadovas
- Autorius: Derya Altinay
- Aktualu: 2026-10-22
- Skaitymo trukmė: 7 min.
Trumpas atsakymas.
TISAX yra informacijos saugumo vertinimo ir keitimosi rezultatais procedūra automobilių pramonės tiekimo grandinėje. Įmonės paveda patvirtintam vertinimo paslaugų teikėjui įvertinti apibrėžtą taikymo sritį pagal VDA ISA. TISAX žymos apibendrina pasiektus vertinimo tikslus; rezultatais ENX portale dalijamasi su pasirinktais verslo partneriais. Pagrindas yra ENX TISAX dalyvio vadovas.
TISAX, ENX ir VDA ISA atlieka skirtingus vaidmenis.
TISAX reiškia Trusted Information Security Assessment Exchange ir susieja išorinį vertinimą su reglamentuotu keitimusi rezultatais. Procedūrą valdo ENX Association. Information Security Assessment, trumpai ISA, yra vertinimo katalogas; jį rengia ENX Working Group ISA, o Vokietijos automobilių pramonės asociacija skelbia kaip VDA ISA. Šie vaidmenys aprašyti ENX informaciniame ISA puslapyje.
VDA ISA suteikia bendrą apsaugotinos informacijos tvarkymo pagrindą. Gamintojai, tiekėjai, kūrimo paslaugų teikėjai ir programinės įrangos įmonės gali bendradarbiauti remdamiesi tuo pačiu vertinimo pagrindu. Pagal ENX ISA apžvalgą taip siekiama sumažinti kiekvieno atskiro užsakovo atliekamų individualių saugumo vertinimų skaičių. Vis dėlto tai, kokius rezultatus priima klientas, priklauso nuo sutartų vertinimo tikslų ir tikrosios aprėpties.
ISA2027.1 nuo 2026 m. spalio 1 d. prieinamas vokiečių ir anglų kalbomis; vertinimams lemiama lieka angliška versija. ENX paskelbė, kad ISA2027 bus vertinimų, užsakytų nuo 2027 m. sausio 1 d., pagrindas. Pagal 2026 m. rugpjūčio 7 d. ENX pereinamojo laikotarpio informaciją svarbi užsakymo, o ne taikymo srities registracijos data. Anksčiau užsakytiems vertinimams pagal pereinamojo laikotarpio taisykles dar gali būti naudojamas ISA6.
Kasmetiniai ISA leidimai nereiškia kasmetinio pakartotinio vertinimo. 2026 m. liepos 1 d. ENX publikacijoje apie ISA2027 naujas skelbimo periodiškumas atskiriamas nuo esamų žymų galiojimo trukmės. Todėl planuojant metų sandūroje įmonės turėtų aiškiai dokumentuoti sutartą katalogo versiją ir vertinimo užsakymą, o ne remtis vien paskutinio atsisiųsto failo pavadinimu.
TISAX susijęs su bendradarbiavimu tiekimo grandinėje.
TISAX tampa aktualus, kai verslo partneris bendradarbiavimui reikalauja atitinkamo saugumo įrodymo. ENX ISA apžvalgoje, be gamintojų ir tiekėjų, minimi paslaugų teikėjai, programinės įrangos kūrėjai ir inžinerijos partneriai. Lemiamą reikšmę turi verslo santykio informacija, veiklos ir vietos. Iš to nekyla bendra teisinė TISAX pareiga kiekvienai įmonei.
Vertinimo taikymo sritis aprašo, kuri įmonės dalis vertinama. Su prašančiu klientu išsiaiškinkite, kurias bendroves ir veiklos vietas įtraukti ir kokių vertinimo tikslų tikimasi. Rengiantis reikia atsižvelgti ir į pagalbines paslaugas, kad centralizuota IT ar išorinis bendradarbiavimas neliktų už akiračio. Konkrečias ribas suderinkite su vertinimo paslaugų teikėju.
Įmonė gali teikti rezultatus ir kartu prašyti savo verslo partnerių rezultatų. Taip reglamentuotas keitimasis tampa naudingas pirkimams ir tiekėjų valdymui. Vis dėlto vien dalyvio registracija dar nieko nepasako apie sėkmingai atliktą vertinimą ar apimtus tikslus; ši informacija paaiškėja tik iš konkretaus vertinimo rezultato.
TISAX nagrinėja organizaciją ir kasdienį saugumą.
Pasirengimas apima organizacinį, techninį ir su veiklos vietomis susijusį saugumo darbą. Toliau pateiktos temos aprašo bendras darbo sritis, o ne atkartoja ISA reikalavimų katalogą. Kiek išsamiai jos tikrinamos konkrečiame vertinime, priklauso nuo sutartų tikslų ir galiojančios ISA versijos.
Atsakomybė ir saugumo valdymas.
Organizacijai reikia atsekamų atsakomybių ir sprendimų dėl informacijos apsaugos. Politika aprašo numatytą veikimo būdą; pasirengimas tampa patikimas, kai atsakingi asmenys taip pat gali paaiškinti, kaip vertinama rizika, valdomos priemonės ir atsižvelgiama į pokyčius.
Žmonės ir bendradarbiavimas.
Darbuotojai ir išoriniai dalyviai turi žinoti savo užduotis tvarkydami saugomą informaciją. Todėl rengiantis reikia kartu vertinti personalo procesus, konfidencialumą, mokymus ir veiklos padalinių koordinavimą. Praktinis vykdymas lieka organizacijos užduotimi net kai atskira veikla perduodama išorei.
Informacija, prieigos ir IT veikimas.
Apsaugos priemonės turi apimti tikruosius informacijos srautus. Kartu nagrinėkite teises, naudojamas sistemas, duomenų mainus, atkūrimą ir saugumo incidentų valdymą. Techninio pasirengimo detalės ir tinkami įrodymai aptariami esamame tinklaraščio straipsnyje apie pasirengimą TISAX vertinimui.
Veiklos vietos ir fizinė aplinka.
Su vieta susijusio saugumo negalima nustatyti vien iš centrinės IT taisyklės. Sutartoje taikymo srityje svarbios ir patalpos, fizinė prieiga bei tikrasis lankytojų ar saugotinų objektų tvarkymas. Atsakingos komandos turėtų gebėti paaiškinti vietinius procesus ir rasti atitinkamus įrašus.
Tiekėjai ir išorinės paslaugos.
Išorinės paslaugos gali turėti įtakos jūsų paslaugos saugumui. Todėl pasirengimas turėtų parodyti, kokie teikėjai dalyvauja, kokią informaciją gauna ir kokie lūkesčiai sutarti. Bendra prielaida, kad kiekvienam tiekėjui reikia tos pačios žymos, nepakeičia jo konkretaus vaidmens vertinimo.
Nuo tikslų priklausanti prototipų ir duomenų apsauga.
Prototipų ir duomenų apsauga papildomai įtraukiama pagal pasirinktus vertinimo tikslus. ENX TISAX apžvalgoje šios sritys aiškiai įvardijamos šalia informacijos saugumo. Iš anksto išsiaiškinkite, ar, pavyzdžiui, kuriami objektai, bandymai ar asmens duomenys yra kliento reikalavimo dalis; bendras informacijos saugumo tikslas į šį klausimą dar neatsako.
TISAX vertinimas prasideda nuo kliento reikalavimo.
Išsiaiškinkite tikslus ir aprėptį.
Užfiksuokite prašomus vertinimo tikslus, veiklos vietas ir reikalingą datą prieš planuodami pasirengimą kaip bendrą veiklos padalinių ir saugumo atsakingųjų projektą.
Užregistruokite dalyvį ir taikymo sritį.
Užregistruokite įmonę ir vertinimo taikymo sritį ENX portale; pagal ENX proceso apžvalgą registracija yra būtina tolesnių procedūros etapų sąlyga.
Pasirinkite vertinimo paslaugų teikėją.
Pasirinkite teikėją iš oficialaus ENX sąrašo ir suderinkite aprėptį, katalogo versiją bei vertinimo datas, užuot užsakę bet kokį auditą.
Parenkite savęs vertinimą.
Aprašykite tikrąją įgyvendinimo būklę ir priskirkite turimus dokumentus, kad teiginius būtų galima atsekamai patikrinti per tolesnį išorinį vertinimą.
Atlikite vertinimą ir korekcijas.
Atlikite sutartą vertinimą ir kartu su atsakingomis komandomis pagal suderintą procedūrą pašalinkite nustatytus trūkumus.
Tikslingai pasidalykite rezultatu.
ENX portale suteikite numatytiems verslo partneriams prieigą prie turimo vertinimo rezultato ir tada patikrinkite, ar aiškiai apimti prašyti tikslai bei vietos.
TISAX žyma ir vertinimo lygis aprašo skirtingus dalykus.
TISAX vertinimas pateikia sutartos taikymo srities ataskaitą ir rezultatą. Žymos apibendrina pasiektus vertinimo tikslus; jos nėra neribotas sprendimas apie visą įmonių grupės veiklą. ENX sąraše pateikti patvirtinti vertinimo paslaugų teikėjai. Juos renkantis reikia išsiaiškinti, pavyzdžiui, geografinę aprėptį ir konkretų paslaugų mastą, kad pasiūlymai būtų susiję su tuo pačiu vertinimo poreikiu.
Vertinimo lygis aprašo tikrinimo metodą, o brandos lygis – įgyvendinimo būklę. Pagal TISAX dalyvio vadovo 4.3.3.5 skirsnį AL1 skirtas vidiniam savęs vertinimui ir TISAX nenaudojamas kaip rezultatas, kuriuo galima keistis. AL2 apima pagrįstumo patikrą; AL3 – išsamesnį vertinimą, įskaitant veiksmus vietoje. Todėl aukštesnis lygis nėra laisvai pasirenkamas brandos įvertis.
TISAX žymos paprastai galioja trejus metus. Dalyvio vadovo 5.4.14.2 skirsnyje taikymo srities pakeitimai nurodomi kaip galima trumpesnio galiojimo priežastis. Rezultatu galima tikslingai dalytis ENX portale; tai nėra viešas įmonių reitingas. Viduje nustatykite, kas stebi pokyčius, klientų užklausas ir kitą vertinimo ciklą.
Kitos sistemos išlaiko savo paskirtį.
ISO 27001 aprašo informacijos saugumo vadybos sistemos reikalavimus; TISAX naudoja savo vertinimo ir keitimosi rezultatais procesą automobilių pramonės tiekimo grandinei. Turimas saugumo darbas gali padėti pasirengti, tačiau nepakeičia sutartų TISAX tikslų ir taikymo srities. BDAR atskirai reguliuoja asmens duomenų tvarkymą; TISAX žyma neatsako į visus konkretaus duomenų tvarkymo apsaugos klausimus.
„Secani“ sistemoje.
„Secani“ pateikia redakcinį TISAX vertinimo katalogą pagal VDA ISA 6.0.3. Vertinimo profilyje galima užfiksuoti aprėptį ir informaciją apie pasirinktus tikslus. Produkto katalogą reikia atskirti nuo ateityje taikomo ISA2027.1 vertinimo pagrindo; išoriniam vertinimui lemiama lieka su vertinimo paslaugų teikėju patvirtinta versija.
Kitas žingsnis: nustatykite reikalingą įrodymą.
Paprašykite besikreipiančio verslo partnerio nurodyti laukiamus vertinimo tikslus ir atitinkamas veiklos vietas. Palyginkite šią informaciją su savo paslaugų aprėptimi ir prieš registruodamiesi išsiaiškinkite neaiškias ribas. Tada galėsite tikslingai planuoti pasirengimą, iš pradžių nekaupdami daug dokumentų neapibrėžtai taikymo sričiai.
Šaltiniai.
- ENX: TISAX ir proceso apžvalga
- ENX: VDA ISA vaidmuo ir paskirtis
- TISAX dalyvio vadovas 2.8: 4.3.3.5, 5.4.13–5.4.14 ir 6 skirsniai
- ENX: paskelbtas ISA2027, 2026 m. liepos 1 d.
- ENX: ISA2027 pereinamojo laikotarpio informacija, 2026 m. rugpjūčio 7 d.
- ENX: ISA2027.1 vokiečių ir anglų kalbomis, 2026 m. spalio 1 d.
- ENX: atsisiuntimų centras su katalogų versijomis
- ENX: TISAX vertinimo paslaugų teikėjų sąrašas
Dažniausi klausimai.
TISAX yra vertinimo ir keitimosi rezultatais procedūra, suteikianti vertinimo rezultatą ir žymas. Todėl dažnas paieškos terminas „TISAX sertifikavimas“ reiškia kitokią įrodymo formą nei ISO 27001 sertifikatas.
Ne. Vertinimo lygis aprašo tikrinimo išsamumą, o brandos lygis – įvertintą įgyvendinimo būklę. Todėl išsiaiškinkite prašomus vertinimo tikslus, užuot sutarę vien lygio skaičių.
Ne. AL1 skirtas vidiniams tikslams; šiais rezultatais per TISAX nesidalijama ir jie nesuteikia TISAX žymų.
Paprastai trejus metus. Laikinos žymos ir reikšmingi vertinimo taikymo srities pakeitimai gali reikšti trumpesnį galiojimą; kitam vertinimo ciklui procedūrą reikia atlikti iš naujo.
Pasirenkite TISAX su aiškia aprėptimi.
Susipažinkite su TISAX katalogu ir vertinimo profiliu „Secani“ sistemoje.
Šiame puslapyje TISAX paaiškinamas bendrai. Lemiamą reikšmę turi aktualios ENX publikacijos, VDA ISA ir sutartas vertinimo užsakymas.