TISAX-voorbereiding voor toeleveranciers in de automotive

Een klant in de automotive vraagt om een TISAX-resultaat. Stel vast welke assessmentdoelstellingen en locaties de klant verwacht te zien voordat u taken toewijst. Dat verzoek bepaalt het assurancewerk dat u moet organiseren: systemen, fysieke omgevingen, verantwoordelijke teams en bewijs.

TISAX is een assessment- en uitwisselingsmechanisme dat wordt beheerd door ENX en dat gebruikmaakt van het VDA Information Security Assessment (ISA). Het levert assessmentresultaten en labels op volgens de eigen regels, geen certificaat in ISO-stijl. Voor een CTO betekent voorbereiding dat klantverwachtingen worden verbonden met geïmplementeerde beheersmaatregelen, niet simpelweg dat een vragenlijst wordt ingevuld.

Vertaal het klantverzoek naar een assessmentscope

Verzoeken kunnen komen van een OEM of van een andere toeleverancier. Vraag naar de exacte doelstellingen, de verwachte labels, de vereiste timing en de locaties die moeten worden gedekt. Bevestig welke juridische entiteiten deelnemen en of engineeringkantoren, productielocaties, thuiswerkregelingen en ondersteunende diensten de grens beïnvloeden.

Assessmentdoelstellingen bepalen de relevante eisen en de diepgang van de assurance. Informatiebeveiliging, bescherming van prototypes en gegevensbescherming zijn belangrijke dimensies, maar ze zijn geen vervanging voor het selecteren van de specifieke doelstellingen uit de actuele richtlijnen van ENX.

Assessmentniveaus beschrijven de diepgang van het onderzoek:

• AL1: zelfbeoordeling voor interne doeleinden; resultaten worden niet via TISAX gedeeld en krijgen geen TISAX-labels.
• AL2: een plausibiliteitsbeoordeling van de zelfbeoordeling en het ondersteunende bewijs.
• AL3: een uitgebreide beoordeling, inclusief onderzoek op locatie.

Gebruik de TISAX-informatie en deelnemersrichtlijnen van ENX om de toepasselijke doelstellingen, de assessmentregelingen en de ISA-versie te bevestigen. Registreer de scope en kies via het daarvoor bestemde proces een geautoriseerde assessmentaanbieder. Bespreek voorwaarden en beschikbaarheid vroegtijdig; een deadline van de klant is geen gegarandeerde assessmentdatum.

Het resultaat is een scoperegistratie met de acceptatiecriteria van de klant, locaties, doelstellingen, afhankelijkheden, eigenaren en de afgesproken assessmentaanpak. Vermijd zowel onnodige uitbreiding van de scope als uitsluitingen die diensten weglaten die beschermde informatie ondersteunen.

Zet de ISA-zelfbeoordeling om in implementatiewerk

Vul de toepasselijke zelfbeoordeling in op basis van de werkelijke werkwijze. Waar een eis een doelvolwassenheid heeft, leg dan uit hoe uw implementatie het antwoord ondersteunt in plaats van een score toe te kennen omdat er een beleid bestaat.

Gebruik een werkregister met eis, beschrijving van de implementatie, eigenaar, locatie, bewijsverwijzing, hiaat en corrigerende maatregel. Wijs naast de verantwoordelijkheid voor de uitvoering ook de verantwoordelijkheid voor de review toe: iemand moet kritisch nagaan of het bewijs de bewering aantoont.

Beveilig engineeringinformatie en ondersteunende IT

Volg vertrouwelijke tekeningen, broncode, specificaties en klantgegevens vanaf ontvangst via samenwerking, opslag en levering tot en met verwijdering. Controleer classificatie, rechten, extern delen, geprivilegieerde toegang, endpointbeveiliging, logging, herstel van back-ups en incidentafhandeling.

Een goedgekeurd proces voor het uitwisselen van tekeningen moet bijvoorbeeld het toegestane kanaal, de geautoriseerde ontvangers, het verlopen van toegang en de verantwoordelijkheid voor het verwijderen van verouderde toegang benoemen. Een beleid dat openbare links verbiedt, is zwak bewijs als projectteams ze nog steeds gebruiken.

Beoordeel ook externe leveranciers. Leg vast welke diensten de scope ondersteunen, wie ze beheert, welke contractuele beveiligingsverwachtingen gelden en welk bewijs u kunt verkrijgen. Het uitbesteden van een dienst neemt niet weg dat u de beheersmaatregelen ervan moet begrijpen.

Richt lokale fysieke maatregelen en prototypemaatregelen in

Centraal beleid kan meerdere locaties ondersteunen, maar elke locatie heeft bewijs van implementatie nodig. Verbind toegangsregels met pasrechten, bezoekersregistraties, begeleidingsafspraken en het intrekken van toegang wanneer medewerkers vertrekken.

Waar bescherming van prototypes van toepassing is, onderzoekt u de omgeving waarin ermee wordt gewerkt: beperkte zones, zichtbaarheid van buitenaf, fotografiebeperkingen, transport, tijdelijke opslag en goedgekeurde vernietiging. Benoem verantwoordelijke medewerkers en documenteer overdrachten waar passend. Digitale toegangslogs alleen tonen geen beheersing aan van een fysiek component.

Pak mensen en gegevensbescherming aan

HR moet onboarding, geheimhoudingsverplichtingen, rolspecifieke training en de coördinatie rond vertrekkende medewerkers ondersteunen. Inkoop, facilitair en engineering hebben expliciete taken nodig in plaats van een algemene opdracht om ‘IT te ondersteunen’.

Waar doelstellingen voor gegevensbescherming van toepassing zijn, beoordeelt u de relevante verwerking en de contractuele verantwoordelijkheden. Een TISAX-resultaat toont geen naleving van de AVG aan; wettelijke verplichtingen blijven afhangen van uw rol en uw verwerkingsactiviteiten.

Verzamel bewijs dat de werking aantoont

Bewijs moet vastleggen wat er is gebeurd, waar, wanneer en onder wiens verantwoordelijkheid. Gebruik als praktische aanbeveling de volgende onderscheidingen bij het beoordelen van de gereedheid:

Leg de data van het bewijs, de bronsystemen, de locaties en de beoordelaars vast. Bewaar historische registraties waar nodig om de werking en wijzigingen te verklaren. Een oude screenshot is niet automatisch nutteloos, maar kan zonder ondersteunende context de configuratie van vandaag niet aantonen.

Houd vertrouwelijk assessmentbewijs onder toegangsbeheer. Verzamel geen onnodige klantontwerpen of persoonsgegevens wanneer een geredigeerde registratie de maatregel kan aantonen.

Automatiseer herhaalbare verzameling, niet de verantwoordelijkheid

Begin met terugkerende taken die duidelijke input en output hebben: exports van rechten, updates van de assetinventaris, trainingsregistraties, reviewherinneringen en controles op de actualiteit van bewijs. Documenteer eerst het handmatige proces, zodat automatisering niet simpelweg een onduidelijke workflow sneller herhaalt.

Leg voor elke geautomatiseerde verzameling de bron, de scope, de frequentie, de foutafhandeling en de eigenaar van de review vast. Test of exports elke relevante locatie en elk relevant accounttype omvatten. Een geslaagde verzameltaak kan nog steeds identiteiten van externe krachten of een apart beheerd fabrieksnetwerk missen.

Test bij het beoordelen van tooling de herleidbaarheid van bewijs, het eigenaarschap per locatie, het versiebeheer, reviewbesluiten en de bruikbaarheid van exports. Vraag apart hoe bewijs voor prototypes wordt weergegeven; een mapping voor informatiebeveiliging toont geen fysieke bescherming van prototypes aan. Ga er niet van uit dat het uitvoerformaat van een tool wordt geaccepteerd zonder de verwachtingen over bewijs met de assessor te bespreken.

Uitgewerkt voorbeeld: twee locaties, één engineeringproces

Stel, ter illustratie, dat een toeleverancier een engineeringkantoor en een prototypewerkplaats heeft. De klant vraagt om doelstellingen die vertrouwelijke ontwikkelinformatie en bescherming van prototypes op beide locaties dekken.

Het engineeringteam benoemt de ontwerprepository en de uitwisselingsdienst. Facilitair brengt de toegang tot de werkplaats en de omgang met bezoekers in kaart. Een review stelt vast dat de rechten op de repository centraal worden beoordeeld, maar dat de toegang tot de werkplaats nog twee overgeplaatste medewerkers omvat.

De corrigerende maatregel trekt die rechten in, wijst een lokale beoordelaar aan en legt de volgende reviewdatum vast. Het bewijs omvat toegangsregistraties van vóór en na, het goedkeuringsbesluit en de bijgewerkte procedure van de werkplaats. Het antwoord in de zelfbeoordeling verwijst naar deze registraties en benoemt de betreffende locatie. Zo worden de bevinding, het herstel en de implementatie herleidbaar, zonder het centrale beleid als bewijs voor beide locaties te behandelen.

Houd de assessmentcyclus werkbaar

Oefen vóór het assessment het ophalen van bewijs met de eigenaren van maatregelen en spreek af wie bevindingen afhandelt. Volg corrigerende maatregelen tot en met implementatie en herbeoordeling, zoals het proces van de aanbieder vereist. Bevestig hoe resultaten binnen de regels van ENX met de aanvragende klant worden gedeeld. TISAX-labels zijn doorgaans drie jaar geldig; onderhoud de maatregelen en houd tussen assessments rekening met wijzigingen in de scope.

Secani biedt een verbonden werkruimte voor eisen, eigenaren, taken en bewijs. Teams kunnen locatiespecifieke registraties aan maatregelen koppelen, hiaten volgen en menselijke reviewbesluiten bewaren. Gestructureerde auditvoorbereiding helpt gemeenschappelijk werk te hergebruiken zonder de lokale context te verliezen.

Begin met de doelstellingen die de klant vraagt, kies vervolgens één kritieke informatiestroom en volg de registraties die de bescherming ervan op elke opgenomen locatie aantonen.