TISAX.
O procedimento de avaliação e partilha da indústria automóvel: esclareça os objetivos, faça avaliar o âmbito adequado e partilhe os resultados com os parceiros comerciais.
- ENX · VDA ISA · Manual do participante TISAX
- Por Derya Altinay
- Atualizado em: 22/10/2026
- Tempo de leitura: 9 min.
Resposta breve.
O TISAX é o procedimento de avaliação e partilha da segurança da informação na cadeia de fornecimento automóvel. As empresas submetem um âmbito definido à avaliação de um prestador autorizado, com base no VDA ISA. Os rótulos TISAX resumem os objetivos alcançados; os resultados são partilhados no portal ENX com parceiros selecionados. A base é o manual do participante TISAX da ENX.
TISAX, ENX e VDA ISA têm papéis distintos.
TISAX significa Trusted Information Security Assessment Exchange e combina avaliações externas com uma partilha regulamentada de resultados. A ENX Association gere o procedimento. O Information Security Assessment, ou ISA, é o catálogo de avaliação; o grupo de trabalho ISA da ENX desenvolve-o e a associação alemã da indústria automóvel publica-o como VDA ISA. A ENX descreve estes papéis na página informativa do ISA.
O VDA ISA cria uma base comum para o tratamento de informação que necessita de proteção. Fabricantes, fornecedores, prestadores de serviços de desenvolvimento e empresas de software podem colaborar com a mesma base de avaliação. Segundo a síntese ISA da ENX, pretende-se reduzir as avaliações de segurança individuais efetuadas por cada cliente. Contudo, os resultados aceites por um cliente dependem dos objetivos de avaliação acordados e do âmbito efetivamente abrangido.
O ISA2027.1 está disponível em alemão e inglês desde 1 de outubro de 2026; a versão inglesa continua a prevalecer para as avaliações. A ENX anuncia o ISA2027 como base para avaliações contratadas a partir de 1 de janeiro de 2027. Segundo a informação de transição da ENX de 7 de agosto de 2026, conta a data da contratação e não a data de registo do âmbito. As avaliações contratadas anteriormente podem ainda utilizar o ISA6 segundo as regras transitórias.
As edições anuais do ISA não implicam uma reavaliação anual. A publicação da ENX sobre o ISA2027 de 1 de julho de 2026 distingue a nova periodicidade de publicação da validade dos rótulos existentes. Assim, ao planear atividades que atravessem a mudança de ano, as empresas devem documentar expressamente a versão do catálogo acordada e o contrato de avaliação, em vez de utilizarem apenas o nome do último ficheiro descarregado.
O TISAX diz respeito à colaboração na cadeia de fornecimento.
O TISAX torna-se relevante quando um parceiro comercial exige uma demonstração de segurança correspondente para a colaboração. A síntese ISA da ENX menciona, além de fabricantes e fornecedores, prestadores de serviços, programadores de software e parceiros de engenharia. São determinantes a informação, as atividades e os estabelecimentos da relação comercial. Daqui não resulta uma obrigação legal geral de TISAX para todas as empresas.
O âmbito da avaliação descreve a parte da empresa que será avaliada. Esclareça com o cliente requerente quais as sociedades e os estabelecimentos a incluir e os objetivos de avaliação esperados. A preparação deve também considerar os serviços de apoio, para que a informática centralizada ou a colaboração externa não fiquem fora da análise. A delimitação concreta é acordada com o prestador da avaliação.
Uma empresa pode disponibilizar resultados e, simultaneamente, solicitar os resultados dos seus próprios parceiros comerciais. Isto torna a partilha regulamentada útil para as compras e a gestão de fornecedores. Contudo, o simples registo de um participante não diz nada sobre a aprovação numa avaliação ou os objetivos abrangidos; estas informações só resultam do respetivo resultado da avaliação.
O TISAX considera a organização e a segurança na prática.
A preparação inclui trabalho de segurança organizativa, técnica e específico de cada estabelecimento. Os temas seguintes descrevem áreas gerais de trabalho e não reproduzem o catálogo de requisitos ISA. Os objetivos acordados e a versão ISA aplicável determinam quais são examinados na avaliação concreta e com que profundidade.
Responsabilidade e gestão da segurança.
A organização precisa de responsabilidades e decisões rastreáveis para proteger a sua informação. Uma política descreve a forma de trabalhar pretendida; a preparação torna-se sólida quando os responsáveis também conseguem explicar como avaliam riscos, gerem medidas e consideram alterações.
Pessoas e colaboração.
Os trabalhadores e os intervenientes externos devem conhecer as suas tarefas no tratamento de informação protegida. Por isso, a preparação relaciona os processos de recursos humanos, a confidencialidade, a formação e a coordenação entre áreas funcionais. A execução prática continua a ser uma tarefa da organização, mesmo quando determinadas atividades são subcontratadas.
Informação, acessos e operação informática.
As medidas de proteção devem abranger o fluxo real de informação. Considere em conjunto as permissões, os sistemas utilizados, a troca de dados, a recuperação e a gestão de incidentes de segurança. O artigo existente sobre a preparação da avaliação TISAX trata os detalhes da preparação técnica e as evidências adequadas.
Estabelecimentos e ambiente físico.
A segurança de cada estabelecimento não pode ser deduzida apenas de uma regra informática central. Para o âmbito acordado, são também relevantes os espaços físicos, o acesso e a forma real de lidar com visitantes ou objetos que necessitam de proteção. As equipas responsáveis devem conseguir explicar os seus processos locais e encontrar os registos associados.
Fornecedores e serviços externos.
Os serviços externos podem influenciar a segurança dos próprios serviços. Por isso, a preparação deve mostrar que prestadores estão envolvidos, que informação recebem e que expectativas foram acordadas. Presumir de forma geral que todos os fornecedores precisam do mesmo rótulo não substitui a análise do seu papel concreto.
Proteção de protótipos e de dados em função dos objetivos.
A proteção de protótipos e de dados é acrescentada de acordo com os objetivos de avaliação selecionados. A síntese TISAX da ENX menciona expressamente estas áreas, além da segurança da informação. Esclareça desde cedo se, por exemplo, os objetos em desenvolvimento, os ensaios ou a informação pessoal fazem parte do requisito do cliente; um objetivo de segurança da informação formulado genericamente ainda não responde a esta questão.
A avaliação TISAX começa pelo requisito do cliente.
Esclarecer os objetivos e o âmbito.
Registe os objetivos de avaliação solicitados, os estabelecimentos e a data necessária antes de planear a preparação como um projeto conjunto das áreas funcionais e dos responsáveis pela segurança.
Registar o participante e o âmbito.
Registe a empresa e o âmbito da avaliação no portal ENX; segundo a síntese do processo da ENX, o registo é uma condição prévia para as fases seguintes do procedimento.
Selecionar o prestador da avaliação.
Escolha um prestador do diretório oficial da ENX e acorde o âmbito, a versão do catálogo e as datas de avaliação, em vez de partir de uma contratação de auditoria genérica.
Preparar a autoavaliação.
Descreva o estado real da implementação e associe os documentos existentes, para que as afirmações possam ser verificadas de forma rastreável na avaliação externa seguinte.
Tratar a avaliação e as correções.
Faça realizar a avaliação acordada e trate as constatações com as equipas responsáveis segundo o procedimento de avaliação definido.
Partilhar o resultado de forma direcionada.
Disponibilize o resultado da avaliação no portal ENX aos parceiros comerciais previstos e verifique depois se os objetivos e estabelecimentos solicitados estão claramente abrangidos.
O rótulo TISAX e o nível de avaliação descrevem aspetos diferentes.
A avaliação TISAX produz um relatório e um resultado para o âmbito acordado. Os rótulos resumem os objetivos de avaliação alcançados; não são um parecer irrestrito sobre todas as atividades de um grupo empresarial. O diretório ENX apresenta os prestadores de avaliação autorizados. Na sua seleção, deve esclarecer, por exemplo, a cobertura geográfica e os serviços concretos, para que as propostas respondam à mesma necessidade de avaliação.
O nível de avaliação descreve o método de avaliação; o grau de maturidade descreve o estado de implementação. Segundo a secção 4.3.3.5 do manual do participante TISAX, o AL1 destina-se a autoavaliações internas e não é utilizado no TISAX como resultado partilhável. O AL2 inclui uma verificação de plausibilidade; o AL3 inclui uma avaliação mais abrangente, com atividades no local. Um nível superior não é, por isso, uma classificação de maturidade escolhida livremente.
Os rótulos TISAX são geralmente válidos por três anos. A secção 5.4.14.2 do manual do participante indica alterações ao âmbito como uma possível razão para uma validade inferior. O resultado continua a poder ser partilhado de forma direcionada no portal ENX e não é uma classificação pública de empresas. Defina internamente quem acompanha as alterações, os pedidos de clientes e o próximo ciclo de avaliação.
Os outros referenciais mantêm a sua própria finalidade.
A ISO 27001 descreve os requisitos de um sistema de gestão da segurança da informação; o TISAX utiliza um processo próprio de avaliação e partilha para a cadeia de fornecimento automóvel. O trabalho de segurança já existente pode apoiar a preparação, mas não substitui os objetivos de avaliação TISAX nem o âmbito acordados. Paralelamente, o RGPD regula o tratamento de dados pessoais; um rótulo TISAX não responde a todas as questões de proteção de dados de um tratamento.
No Secani.
O Secani disponibiliza um catálogo editorial de avaliação TISAX relativo ao VDA ISA 6.0.3. O perfil de avaliação permite registar o âmbito e os dados sobre os objetivos escolhidos. O catálogo do produto deve distinguir-se da futura base de avaliação ISA2027.1; para a avaliação externa, continua a prevalecer a versão confirmada com o prestador da avaliação.
Próximo passo: determinar a demonstração necessária.
Peça ao parceiro comercial requerente os objetivos de avaliação esperados e os estabelecimentos abrangidos. Compare estes dados com os seus serviços e esclareça as delimitações em aberto antes do registo. Depois, poderá planear a preparação de forma direcionada, sem começar por reunir documentação extensa para um âmbito indefinido.
Fontes.
- ENX: TISAX e síntese do processo
- ENX: papel e finalidade do VDA ISA
- Manual do participante TISAX 2.8: secções 4.3.3.5, 5.4.13–5.4.14 e 6
- ENX: publicação do ISA2027, 1 de julho de 2026
- ENX: informação de transição ISA2027, 7 de agosto de 2026
- ENX: ISA2027.1 em alemão e inglês, 1 de outubro de 2026
- ENX: centro de transferências com versões do catálogo
- ENX: diretório dos prestadores de avaliação TISAX
Perguntas frequentes.
O TISAX é um procedimento de avaliação e partilha com um resultado de avaliação e rótulos. Por isso, a expressão de pesquisa frequente «certificação TISAX» designa uma forma de demonstração diferente de um certificado ISO 27001.
Não. O nível de avaliação descreve a profundidade da avaliação; o grau de maturidade descreve o estado de implementação avaliado. Por isso, esclareça os objetivos de avaliação solicitados em vez de acordar apenas um número de nível.
Não. O AL1 destina-se a fins internos; esses resultados não são partilhados através do TISAX e não conduzem a rótulos TISAX.
Geralmente, três anos. Os rótulos temporários e as alterações substanciais ao âmbito da avaliação podem implicar uma validade inferior; no próximo ciclo, é necessário repetir o procedimento.
Prepare o TISAX com um âmbito claro.
Conheça o catálogo TISAX e o perfil de avaliação no Secani.
Esta página enquadra o TISAX em termos gerais. Prevalecem as publicações atuais da ENX, o VDA ISA e o contrato de avaliação acordado.