TISAX.
Procedura de evaluare și schimb de rezultate din industria auto: clarificați obiectivele, evaluați domeniul potrivit și partajați rezultatele cu partenerii de afaceri.
- ENX · VDA ISA · manualul participantului TISAX
- De Derya Altinay
- Actualizat la: 22.10.2026
- Timp de lectură: 8 min.
Răspuns pe scurt.
TISAX este procedura de evaluare și schimb de rezultate pentru securitatea informației în lanțul de aprovizionare auto. Întreprinderile supun un domeniu delimitat evaluării pe baza VDA ISA de către un furnizor autorizat. Etichetele TISAX sintetizează obiectivele de evaluare atinse; rezultatele sunt partajate cu parteneri selectați în portalul ENX. Baza este manualul participantului TISAX al ENX.
TISAX, ENX și VDA ISA au roluri diferite.
TISAX înseamnă Trusted Information Security Assessment Exchange și combină evaluări externe cu un schimb reglementat de rezultate. ENX Association coordonează procedura. Information Security Assessment, pe scurt ISA, este catalogul de evaluare; ENX Working Group ISA îl dezvoltă, iar asociația germană a industriei auto îl publică sub denumirea VDA ISA. ENX descrie aceste roluri pe pagina de informații ISA.
VDA ISA creează o bază comună pentru gestionarea informațiilor care necesită protecție. Producătorii, furnizorii de componente, prestatorii de servicii de dezvoltare și companiile software pot colabora pe aceeași bază de evaluare. Conform prezentării ENX ISA, aceasta urmărește să reducă verificările individuale de securitate realizate de fiecare client. Ce rezultate acceptă un client depinde totuși de obiectivele de evaluare convenite și de domeniul efectiv acoperit.
ISA2027.1 este disponibil în germană și engleză de la 1 octombrie 2026; versiunea engleză rămâne cea de referință pentru evaluări. ENX anunță ISA2027 drept bază pentru evaluările contractate începând cu 1 ianuarie 2027. Conform informațiilor tranzitorii ENX din 7 august 2026, contează data comenzii, nu data înregistrării domeniului de evaluare. Evaluările contractate anterior pot utiliza încă ISA6 în condițiile regulilor tranzitorii.
Edițiile anuale ISA nu înseamnă o reevaluare anuală. Publicația ENX despre ISA2027 din 1 iulie 2026 distinge noul ritm de publicare de valabilitatea etichetelor existente. Pentru planificarea care traversează sfârșitul anului, întreprinderile ar trebui, așadar, să documenteze explicit versiunea catalogului convenită și comanda de evaluare, în loc să folosească doar numele ultimului fișier descărcat.
TISAX privește colaborarea în lanțul de aprovizionare.
TISAX devine relevant atunci când un partener de afaceri cere o dovadă corespunzătoare de securitate pentru colaborare. Prezentarea ENX ISA menționează, pe lângă producători și furnizori de componente, prestatori de servicii, dezvoltatori software și parteneri de inginerie. Decisive sunt informațiile, activitățile și locațiile relației de afaceri. De aici nu rezultă o obligație legală generală TISAX pentru fiecare întreprindere.
Domeniul de evaluare descrie ce parte a întreprinderii este evaluată. Clarificați cu clientul solicitant ce societăți și locații trebuie incluse și ce obiective de evaluare sunt așteptate. Pregătirea ar trebui să țină cont și de serviciile de sprijin, astfel încât infrastructura IT operată central sau colaborarea externă să rămână în analiză. Delimitarea concretă se stabilește cu furnizorul de evaluare.
O întreprindere poate furniza rezultate și, în același timp, poate solicita rezultatele propriilor parteneri de afaceri. Astfel, schimbul reglementat poate fi utilizat pentru achiziții și gestionarea furnizorilor. Simpla înregistrare a unui participant nu spune însă nimic despre trecerea unei evaluări sau despre obiectivele acoperite; aceste informații rezultă doar din rezultatul evaluării respective.
TISAX examinează organizarea și securitatea practicată.
Pregătirea cuprinde activități de securitate organizatorice, tehnice și specifice locațiilor. Temele următoare descriu domenii generale de lucru și nu reproduc catalogul de cerințe ISA. Care dintre acestea sunt verificate într-o evaluare concretă și la ce nivel de detaliu depinde de obiectivele convenite și de versiunea ISA aplicabilă.
Responsabilitate și managementul securității.
Organizația are nevoie de responsabilități și decizii trasabile pentru protejarea informațiilor sale. O politică descrie modul de lucru propus; pregătirea devine solidă atunci când responsabilii pot explica și cum sunt evaluate riscurile, coordonate măsurile și luate în considerare schimbările.
Oameni și colaborare.
Angajații și participanții externi trebuie să își cunoască sarcinile în gestionarea informațiilor protejate. Pregătirea reunește, așadar, procesele de personal, confidențialitatea, formările și coordonarea dintre departamente. Realizarea practică rămâne o sarcină a organizației, chiar dacă unele activități sunt externalizate.
Informații, acces și operare IT.
Măsurile de protecție trebuie să acopere fluxul real de informații. Analizați împreună drepturile de acces, sistemele utilizate, schimbul de date, restabilirea și gestionarea incidentelor de securitate. Articolul existent de pe blog despre pregătirea evaluării TISAX tratează detaliile pregătirii tehnice și dovezile potrivite.
Locații și mediul fizic.
Securitatea specifică locației nu poate fi dedusă doar dintr-o regulă IT centrală. Pentru domeniul convenit sunt relevante și spațiile, accesul fizic și gestionarea efectivă a vizitatorilor sau a obiectelor care necesită protecție. Echipele responsabile ar trebui să poată explica procedurile locale și să găsească înregistrările aferente.
Furnizori și servicii externe.
Serviciile externe pot influența securitatea propriului serviciu. De aceea, pregătirea ar trebui să arate ce furnizori sunt implicați, ce informații primesc și ce așteptări au fost convenite. Presupunerea generală că fiecare furnizor are nevoie de aceeași etichetă nu înlocuiește analiza rolului său concret.
Protecția prototipurilor și a datelor în funcție de obiectiv.
Protecția prototipurilor și protecția datelor se adaugă în funcție de obiectivele de evaluare selectate. Prezentarea ENX TISAX menționează explicit aceste domenii alături de securitatea informației. Clarificați din timp dacă, de exemplu, obiectele aflate în dezvoltare, testarea sau informațiile cu caracter personal fac parte din cerința clientului; un obiectiv de securitate a informației formulat în termeni generali nu răspunde încă la această întrebare.
Evaluarea TISAX începe cu cerința clientului.
Clarificați obiectivele și domeniul.
Consemnați obiectivele de evaluare solicitate, locațiile și termenul necesar înainte de a planifica pregătirea ca proiect comun al departamentelor și al responsabililor de securitate.
Înregistrați participantul și domeniul.
Înregistrați întreprinderea și domeniul evaluării prin portalul ENX; conform prezentării procesului ENX, înregistrarea este o condiție pentru etapele ulterioare ale procedurii.
Selectați furnizorul de evaluare.
Alegeți un furnizor din registrul oficial ENX și conveniți domeniul, versiunea catalogului și datele evaluării, fără a presupune că orice comandă de audit este adecvată.
Pregătiți autoevaluarea.
Descrieți stadiul real al implementării și asociați documentele existente, astfel încât afirmațiile să poată fi verificate în mod trasabil în evaluarea externă ulterioară.
Gestionați evaluarea și corecțiile.
Efectuați evaluarea convenită și tratați constatările împreună cu echipele responsabile, conform procedurii de evaluare agreate.
Partajați rezultatul în mod țintit.
Puneți rezultatul disponibil la dispoziția partenerilor de afaceri desemnați în portalul ENX și verificați apoi dacă obiectivele și locațiile solicitate sunt clar acoperite.
Eticheta TISAX și nivelul de evaluare descriu lucruri diferite.
Evaluarea TISAX produce un raport și un rezultat pentru domeniul convenit. Etichetele sintetizează obiectivele de evaluare atinse; ele nu reprezintă un verdict fără limite asupra tuturor activităților unui grup de întreprinderi. Registrul ENX enumeră furnizorii de evaluare autorizați. La selectarea lor, trebuie clarificate, de exemplu, acoperirea geografică și serviciile concrete, astfel încât ofertele să privească aceeași nevoie de evaluare.
Nivelul de evaluare descrie metoda de verificare, iar nivelul de maturitate descrie stadiul implementării. Conform secțiunii 4.3.3.5 din manualul participantului TISAX, AL1 servește autoevaluărilor interne și nu este utilizat în TISAX ca rezultat care poate fi partajat. AL2 cuprinde o verificare a plauzibilității; AL3 include o verificare mai amplă, cu activități la fața locului. Prin urmare, un nivel mai ridicat nu este o notă de maturitate aleasă liber.
Etichetele TISAX sunt valabile, de regulă, trei ani. Secțiunea 5.4.14.2 din manualul participantului menționează schimbările domeniului ca posibil motiv pentru o valabilitate mai scurtă. Rezultatul poate fi partajat în mod țintit prin portalul ENX și nu constituie un clasament public al întreprinderilor. Stabiliți intern cine urmărește schimbările, solicitările clienților și următorul ciclu de evaluare.
Celelalte cadre de referință își păstrează scopul propriu.
ISO 27001 descrie cerințele unui sistem de management al securității informației; TISAX utilizează un proces propriu de evaluare și schimb de rezultate pentru lanțul de aprovizionare auto. Activitatea de securitate deja existentă poate sprijini pregătirea, dar nu înlocuiește obiectivele de evaluare TISAX și domeniul convenite. În paralel, RGPD reglementează gestionarea datelor cu caracter personal; o etichetă TISAX nu răspunde tuturor întrebărilor de protecție a datelor privind o prelucrare.
În Secani.
Secani oferă un catalog propriu de verificare TISAX pentru VDA ISA 6.0.3. Profilul de evaluare permite consemnarea domeniului și a informațiilor despre obiectivele selectate. Catalogul produsului trebuie deosebit de viitoarea bază de evaluare ISA2027.1; pentru evaluarea externă, versiunea confirmată cu furnizorul de evaluare rămâne decisivă.
Pasul următor: stabiliți dovada necesară.
Solicitați partenerului de afaceri obiectivele de evaluare așteptate și locațiile vizate. Comparați aceste informații cu domeniul propriilor servicii și clarificați limitele deschise înainte de înregistrare. Apoi puteți planifica pregătirea în mod țintit, fără a alcătui mai întâi documentație amplă pentru un domeniu nedeterminat.
Surse.
- ENX: TISAX și prezentarea procesului
- ENX: rolul și scopul VDA ISA
- Manualul participantului TISAX 2.8: secțiunile 4.3.3.5, 5.4.13–5.4.14 și 6
- ENX: publicarea ISA2027, 1 iulie 2026
- ENX: informații tranzitorii ISA2027, 7 august 2026
- ENX: ISA2027.1 în germană și engleză, 1 octombrie 2026
- ENX: centrul de descărcare cu versiunile catalogului
- ENX: registrul furnizorilor de evaluare TISAX
Întrebări frecvente.
TISAX este o procedură de evaluare și schimb de rezultate, cu un rezultat al evaluării și etichete. Expresia frecventă în căutări „certificare TISAX” desemnează, așadar, o formă de dovadă diferită de certificatul ISO 27001.
Nu. Nivelul de evaluare descrie profunzimea verificării; nivelul de maturitate descrie stadiul implementării evaluat. Clarificați, așadar, obiectivele de evaluare solicitate, în loc să conveniți doar un număr de nivel.
Nu. AL1 servește scopurilor interne; aceste rezultate nu sunt partajate prin TISAX și nu duc la etichete TISAX.
De regulă, trei ani. Etichetele temporare și schimbările semnificative ale domeniului de evaluare pot duce la o durată mai scurtă; pentru următorul ciclu de evaluare, procedura trebuie reluată.
Pregătiți TISAX cu un domeniu clar.
Descoperiți catalogul TISAX și profilul de evaluare din Secani.
Această pagină oferă o prezentare generală a TISAX. Publicațiile actuale ale ENX, VDA ISA și comanda de evaluare convenită sunt decisive.