TISAX.

TISAX staat voor Trusted Information Security Assessment Exchange en verbindt externe beoordelingen met een geregelde uitwisseling van resultaten. De ENX Association beheert de procedure. De Information Security Assessment, kortweg ISA, is de beoordelingscatalogus; de ENX Working Group ISA ontwikkelt deze en het Verband der Automobilindustrie publiceert deze als VDA ISA. ENX beschrijft deze rollen op de ISA-informatiepagina.

VDA ISA biedt een gemeenschappelijke basis voor de omgang met informatie die bescherming nodig heeft. Fabrikanten, toeleveranciers, ontwikkelingsdienstverleners en softwareondernemingen kunnen op dezelfde beoordelingsbasis samenwerken. Volgens het ENX-ISA-overzicht moet dit individuele beveiligingsonderzoeken door elke afzonderlijke opdrachtgever verminderen. Welke resultaten een klant accepteert, hangt echter nog steeds af van de afgesproken beoordelingsdoelen en de daadwerkelijk gedekte scope.

ISA2027.1 is sinds 1 oktober 2026 beschikbaar in het Duits en Engels; de Engelse versie blijft leidend voor assessments. ENX kondigt ISA2027 aan als basis voor onderzoeken waartoe vanaf 1 januari 2027 opdracht wordt gegeven. Volgens de ENX-overgangsinformatie van 7 augustus 2026 is daarbij de opdrachtdatum bepalend, niet de datum van scoperegistratie. Voor eerder opgedragen onderzoeken kan volgens de overgangsregels nog ISA6 worden gebruikt.

Jaarlijkse ISA-uitgaven betekenen geen jaarlijkse herbeoordeling. De ENX-publicatie over ISA2027 van 1 juli 2026 maakt onderscheid tussen het nieuwe publicatieritme en de geldigheidsduur van bestaande labels. Bij een planning rond de jaarwisseling moeten ondernemingen daarom de afgesproken catalogusversie en onderzoeksopdracht expliciet documenteren, in plaats van alleen de naam van het laatst gedownloade bestand te gebruiken.

TISAX wordt relevant wanneer een zakenpartner een bijbehorend beveiligingsbewijs voor de samenwerking verlangt. Het ENX-ISA-overzicht noemt naast fabrikanten en toeleveranciers ook dienstverleners, softwareontwikkelaars en engineeringpartners. De informatie, activiteiten en locaties van de zakelijke relatie zijn bepalend. Daaruit volgt geen algemene wettelijke TISAX-plicht voor elke onderneming.

De beoordelingsscope beschrijft welk deel van de onderneming wordt beoordeeld. Stem met de verzoekende klant af welke vennootschappen en locaties moeten worden meegenomen en welke beoordelingsdoelen worden verwacht. De voorbereiding moet ook ondersteunende diensten meenemen, zodat centraal beheerde IT of externe samenwerking in beeld blijft. De concrete afbakening stemt u af met de auditprovider.

Een onderneming kan resultaten beschikbaar stellen en tegelijkertijd resultaten van haar eigen zakenpartners opvragen. Dat maakt de geregelde uitwisseling bruikbaar voor inkoop en leveranciersmanagement. Alleen de registratie van een deelnemer zegt echter nog niets over een geslaagd assessment of de gedekte beoordelingsdoelen; die informatie volgt pas uit het betreffende beoordelingsresultaat.

Het TISAX-assessment levert een rapport en een resultaat voor de afgesproken scope op. Labels vatten behaalde beoordelingsdoelen samen; zij vormen geen onbeperkt oordeel over alle activiteiten van een ondernemingsgroep. Het ENX-register vermeldt de erkende auditproviders. Bij de selectie moeten bijvoorbeeld geografische dekking en de concrete dienstverlening worden bepaald, zodat offertes betrekking hebben op dezelfde onderzoeksbehoefte.

Het assessmentniveau beschrijft de onderzoeksmethode, het volwassenheidsniveau de implementatiestatus. Volgens paragraaf 4.3.3.5 van het TISAX-deelnemershandboek dient AL1 voor interne zelfbeoordelingen en wordt dit binnen TISAX niet als uitwisselbaar resultaat gebruikt. AL2 omvat een plausibiliteitstoets; AL3 een uitgebreider onderzoek inclusief activiteiten op locatie. Een hoger niveau is dus geen vrij gekozen volwassenheidscijfer.

TISAX-labels gelden doorgaans drie jaar. Paragraaf 5.4.14.2 van het deelnemershandboek noemt wijzigingen in de scope als mogelijke reden voor een kortere geldigheid. Het resultaat blijft via het ENX-portaal gericht deelbaar en vormt geen openbare ranglijst van ondernemingen. Leg intern vast wie wijzigingen, klantvragen en de volgende beoordelingscyclus volgt.

ISO 27001 beschrijft eisen aan een managementsysteem voor informatiebeveiliging; TISAX gebruikt een eigen toetsings- en uitwisselingsproces voor de toeleveringsketen van de auto-industrie. Bestaande beveiligingswerkzaamheden kunnen de voorbereiding ondersteunen, maar vervangen de afgesproken TISAX-beoordelingsdoelen en scope niet. De AVG regelt daarnaast de omgang met persoonsgegevens; een TISAX-label beantwoordt niet alle privacyvragen rond een verwerking.

Secani biedt een redactionele TISAX-toetscatalogus voor VDA ISA 6.0.3. In het assessmentprofiel kunnen de scope en gegevens over de gekozen doelen worden vastgelegd. De productcatalogus moet worden onderscheiden van de toekomstige ISA2027.1-toetsingsgrondslag; voor het externe assessment blijft de met de auditprovider bevestigde versie leidend.

Vraag de verzoekende zakenpartner om de verwachte beoordelingsdoelen en betrokken locaties. Vergelijk deze gegevens met uw eigen dienstverlening en verduidelijk openstaande grenzen vóór registratie. Daarna kan de voorbereiding gericht worden gepland, zonder eerst uitgebreide documentatie voor een onbepaalde scope samen te stellen.