TISAX.
Procedura oceny i wymiany wyników w branży motoryzacyjnej: ustalenie celów, zbadanie odpowiedniego zakresu i udostępnienie wyników partnerom biznesowym.
- ENX · VDA ISA · Podręcznik uczestnika TISAX
- Autor: Derya Altinay
- Stan na: 22.10.2026
- Czas czytania: 7 min
Krótka odpowiedź.
TISAX to procedura oceny i wymiany wyników dotyczących bezpieczeństwa informacji w łańcuchu dostaw branży motoryzacyjnej. Przedsiębiorstwa zlecają zatwierdzonemu dostawcy ocenę ustalonego zakresu na podstawie VDA ISA. Etykiety TISAX podsumowują osiągnięte cele oceny; wyniki udostępnia się wybranym partnerom biznesowym w portalu ENX. Podstawę stanowi podręcznik uczestnika TISAX wydany przez ENX.
TISAX, ENX i VDA ISA pełnią różne role.
TISAX oznacza Trusted Information Security Assessment Exchange i łączy zewnętrzne oceny z uregulowaną wymianą wyników. Procedurą zarządza ENX Association. Information Security Assessment, w skrócie ISA, jest katalogiem oceny; rozwija go ENX Working Group ISA, a niemieckie stowarzyszenie przemysłu motoryzacyjnego publikuje go jako VDA ISA. ENX opisuje te role na stronie informacyjnej ISA.
VDA ISA tworzy wspólną podstawę postępowania z informacjami wymagającymi ochrony. Producenci, dostawcy, firmy rozwojowe i programistyczne mogą współpracować w oparciu o tę samą podstawę oceny. Według przeglądu ENX ISA ma to ograniczyć osobne kontrole bezpieczeństwa prowadzone przez każdego zleceniodawcę. To, jakie wyniki akceptuje klient, nadal zależy jednak od uzgodnionych celów oceny i rzeczywiście objętego zakresu.
ISA2027.1 jest dostępny po niemiecku i angielsku od 1 października 2026 r.; podstawą ocen pozostaje wersja angielska. ENX zapowiada ISA2027 jako podstawę ocen zlecanych od 1 stycznia 2027 r. Zgodnie z informacją przejściową ENX z 7 sierpnia 2026 r. decyduje data zlecenia, a nie rejestracji zakresu. Wcześniej zlecone oceny mogą nadal korzystać z ISA6 na zasadach przejściowych.
Coroczne wydania ISA nie oznaczają corocznego ponownego badania. Publikacja ENX o ISA2027 z 1 lipca 2026 r. oddziela nowy rytm publikacji od ważności istniejących etykiet. Planując prace na przełomie roku, przedsiębiorstwa powinny zatem wyraźnie udokumentować uzgodnioną wersję katalogu i zlecenie oceny, zamiast posługiwać się jedynie nazwą ostatnio pobranego pliku.
TISAX dotyczy współpracy w łańcuchu dostaw.
TISAX staje się istotny, gdy partner biznesowy wymaga takiego potwierdzenia bezpieczeństwa w ramach współpracy. Przegląd ENX ISA wymienia obok producentów i dostawców także usługodawców, twórców oprogramowania i partnerów inżynieryjnych. Decydujące są informacje, działania i lokalizacje objęte relacją biznesową. Nie wynika z tego ogólny ustawowy obowiązek TISAX dla każdego przedsiębiorstwa.
Zakres oceny opisuje badaną część przedsiębiorstwa. Należy uzgodnić z klientem, które spółki i lokalizacje mają zostać objęte i jakich celów oceny oczekuje. Przygotowanie powinno uwzględniać także usługi wspierające, aby centralne IT lub współpraca zewnętrzna nie pozostały poza analizą. Konkretne granice uzgadnia się z dostawcą oceny.
Przedsiębiorstwo może udostępniać wyniki i jednocześnie żądać wyników własnych partnerów biznesowych. Uregulowana wymiana może więc służyć zakupom i zarządzaniu dostawcami. Sama rejestracja uczestnika nie świadczy jednak o pozytywnej ocenie ani objętych celach; te informacje wynikają dopiero z konkretnego wyniku oceny.
TISAX uwzględnia organizację i bezpieczeństwo w praktyce.
Przygotowanie obejmuje prace nad bezpieczeństwem organizacyjnym, technicznym i lokalnym. Poniższe tematy opisują ogólne obszary pracy i nie odtwarzają katalogu wymagań ISA. Zakres i szczegółowość ich badania w konkretnej ocenie zależą od uzgodnionych celów i obowiązującej wersji ISA.
Odpowiedzialność i zarządzanie bezpieczeństwem.
Organizacja potrzebuje przejrzystej odpowiedzialności i decyzji dotyczących ochrony informacji. Polityka opisuje zamierzony sposób działania; przygotowanie staje się wiarygodne, gdy osoby odpowiedzialne potrafią również wyjaśnić, jak oceniają ryzyka, zarządzają środkami i uwzględniają zmiany.
Ludzie i współpraca.
Pracownicy i uczestnicy zewnętrzni muszą znać swoje zadania dotyczące chronionych informacji. Dlatego przygotowanie łączy procesy kadrowe, poufność, szkolenia i uzgodnienia między jednostkami. Praktyczna realizacja pozostaje zadaniem organizacji także wtedy, gdy pojedyncze działania są zlecane na zewnątrz.
Informacje, dostępy i eksploatacja IT.
Środki ochrony powinny obejmować rzeczywisty przepływ informacji. Należy łącznie rozpatrywać uprawnienia, używane systemy, wymianę danych, odtwarzanie i obsługę incydentów bezpieczeństwa. Szczegóły przygotowania technicznego i odpowiednie dowody omawia istniejący artykuł na blogu o przygotowaniu do oceny TISAX.
Lokalizacje i otoczenie fizyczne.
Bezpieczeństwa lokalizacji nie można wywieść wyłącznie z centralnej zasady IT. Dla uzgodnionego zakresu znaczenie mają także pomieszczenia, dostęp fizyczny i rzeczywiste postępowanie z gośćmi lub przedmiotami wymagającymi ochrony. Właściwe zespoły powinny umieć wyjaśnić lokalne procedury i odnaleźć powiązane zapisy.
Dostawcy i usługi zewnętrzne.
Usługi zewnętrzne mogą wpływać na bezpieczeństwo własnych świadczeń. Przygotowanie powinno więc pokazywać, którzy dostawcy uczestniczą, jakie informacje otrzymują i jakie oczekiwania uzgodniono. Ogólne założenie, że każdy dostawca potrzebuje tej samej etykiety, nie zastępuje analizy jego konkretnej roli.
Ochrona prototypów i danych zależnie od celu.
Ochrona prototypów i danych dochodzą odpowiednio do wybranych celów oceny. Przegląd ENX TISAX wyraźnie wymienia te obszary obok bezpieczeństwa informacji. Należy wcześnie ustalić, czy wymagania klienta obejmują na przykład obiekty rozwojowe, testy lub dane osobowe; ogólnie sformułowany cel bezpieczeństwa informacji tego nie rozstrzyga.
Ocena TISAX zaczyna się od wymagań klienta.
Ustalenie celów i zakresu.
Należy zapisać oczekiwane cele oceny, lokalizacje i wymagany termin, a następnie zaplanować przygotowanie jako wspólne przedsięwzięcie jednostek merytorycznych i osób odpowiedzialnych za bezpieczeństwo.
Rejestracja uczestnika i zakresu.
Należy zarejestrować przedsiębiorstwo i zakres oceny w portalu ENX; według przeglądu procesu ENX rejestracja jest warunkiem kolejnych etapów.
Wybór dostawcy oceny.
Należy wybrać dostawcę z oficjalnego wykazu ENX i uzgodnić zakres, wersję katalogu i terminy, zamiast zakładać, że wystarczy dowolne zlecenie audytu.
Przygotowanie samooceny.
Należy opisać rzeczywisty stan wdrożenia i przyporządkować istniejące dokumenty, tak aby deklaracje można było przejrzyście zweryfikować podczas późniejszej oceny zewnętrznej.
Realizacja oceny i działań korygujących.
Należy przeprowadzić uzgodnioną ocenę i opracować ustalenia z odpowiedzialnymi zespołami zgodnie z ustaloną procedurą badania.
Celowe udostępnienie wyniku.
Należy udostępnić dostępny wynik oceny wskazanym partnerom biznesowym w portalu ENX, a następnie sprawdzić, czy wyraźnie obejmuje oczekiwane cele i lokalizacje.
Etykieta TISAX i poziom oceny opisują różne rzeczy.
Ocena TISAX daje raport i wynik dla uzgodnionego zakresu. Etykiety podsumowują osiągnięte cele; nie są nieograniczoną oceną wszystkich działań grupy przedsiębiorstw. Wykaz ENX zawiera zatwierdzonych dostawców oceny. Przy wyborze należy ustalić między innymi obsługiwane lokalizacje i konkretny zakres świadczeń, aby oferty dotyczyły tej samej potrzeby badania.
Poziom oceny określa metodę badania, a poziom dojrzałości stan wdrożenia. Zgodnie z sekcją 4.3.3.5 podręcznika uczestnika TISAX AL1 służy wewnętrznej samoocenie i nie jest wykorzystywany w TISAX jako wynik do wymiany. AL2 obejmuje weryfikację wiarygodności; AL3 bardziej kompleksowe badanie, w tym działania na miejscu. Wyższy poziom nie jest więc dowolnie wybraną oceną dojrzałości.
Etykiety TISAX są z reguły ważne przez trzy lata. Sekcja 5.4.14.2 podręcznika uczestnika wskazuje zmiany zakresu jako możliwy powód krótszej ważności. Wynik można selektywnie udostępniać w portalu ENX; nie jest to publiczny ranking przedsiębiorstw. Należy wewnętrznie ustalić, kto monitoruje zmiany, zapytania klientów i kolejny cykl oceny.
Inne ramy i standardy zachowują własny cel.
ISO 27001 opisuje wymagania systemu zarządzania bezpieczeństwem informacji; TISAX stosuje własny proces oceny i wymiany wyników w motoryzacyjnym łańcuchu dostaw. Istniejące prace nad bezpieczeństwem mogą wspierać przygotowanie, ale nie zastępują uzgodnionych celów i zakresu TISAX. RODO reguluje ponadto postępowanie z danymi osobowymi; etykieta TISAX nie rozstrzyga wszystkich kwestii ochrony danych w danym przetwarzaniu.
W Secani.
Secani udostępnia autorski katalog kontrolny TISAX dotyczący VDA ISA 6.0.3. W profilu oceny można zapisać zakres i informacje o wybranych celach. Katalog produktu należy odróżnić od przyszłej podstawy oceny ISA2027.1; rozstrzygająca dla oceny zewnętrznej pozostaje wersja potwierdzona z dostawcą oceny.
Następny krok: określenie potrzebnego potwierdzenia.
Należy poprosić zainteresowanego partnera biznesowego o wskazanie oczekiwanych celów oceny i objętych lokalizacji. Następnie porównać te dane z zakresem własnych usług i wyjaśnić otwarte granice przed rejestracją. Pozwala to zaplanować przygotowanie bez wcześniejszego gromadzenia rozbudowanych dokumentów dla nieokreślonego zakresu.
Źródła.
- ENX: TISAX i przegląd procesu
- ENX: rola i cel VDA ISA
- Podręcznik uczestnika TISAX 2.8: sekcje 4.3.3.5, 5.4.13–5.4.14 i 6
- ENX: publikacja ISA2027, 1 lipca 2026 r.
- ENX: informacja przejściowa dotycząca ISA2027, 7 sierpnia 2026 r.
- ENX: ISA2027.1 po niemiecku i angielsku, 1 października 2026 r.
- ENX: centrum pobierania z wersjami katalogu
- ENX: wykaz dostawców ocen TISAX
Najczęstsze pytania.
TISAX jest procedurą oceny i wymiany wyników, której rezultatem są wynik oceny i etykiety. Często wyszukiwane określenie „certyfikacja TISAX” dotyczy więc innej formy potwierdzenia niż certyfikat ISO 27001.
Nie. Poziom oceny opisuje szczegółowość badania; poziom dojrzałości opisuje oceniony stan wdrożenia. Dlatego należy ustalić oczekiwane cele oceny, zamiast uzgadniać wyłącznie numer poziomu.
Nie. AL1 służy celom wewnętrznym; wyniki te nie są udostępniane przez TISAX i nie prowadzą do uzyskania etykiet TISAX.
Z reguły trzy lata. Etykiety tymczasowe i istotne zmiany zakresu oceny mogą oznaczać krótszą ważność; w kolejnym cyklu należy ponownie przejść procedurę.
Przygotowanie TISAX z jasnym zakresem.
Poznaj katalog TISAX i profil oceny w Secani.
Strona ogólnie objaśnia TISAX. Rozstrzygające są aktualne publikacje ENX, VDA ISA i uzgodnione zlecenie oceny.