TISAX.
Postup overovania a výmeny výsledkov v automobilovom priemysle: vyjasnite ciele, nechajte overiť vhodný rozsah a zdieľajte výsledky s obchodnými partnermi.
- ENX · VDA ISA · Príručka pre účastníkov TISAX
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Čas čítania: 7 min.
Stručná odpoveď.
TISAX je postup overovania a výmeny výsledkov informačnej bezpečnosti v automobilovom dodávateľskom reťazci. Podniky si nechávajú vymedzený rozsah posúdiť schváleným poskytovateľom overovania podľa VDA ISA. Označenia TISAX sumarizujú dosiahnuté ciele overovania; výsledky sa zdieľajú s vybranými obchodnými partnermi v portáli ENX. Základom je príručka ENX pre účastníkov TISAX.
TISAX, ENX a VDA ISA majú rôzne úlohy.
TISAX znamená Trusted Information Security Assessment Exchange a spája externé overovanie s riadenou výmenou výsledkov. Postup riadi ENX Association. Information Security Assessment, skrátene ISA, je hodnotiaci katalóg; vyvíja ho ENX Working Group ISA a nemecké združenie automobilového priemyslu ho vydáva ako VDA ISA. Tieto úlohy ENX opisuje na informačnej stránke ISA.
VDA ISA vytvára spoločný základ pre zaobchádzanie s informáciami vyžadujúcimi ochranu. Výrobcovia, dodávatelia, poskytovatelia vývojových služieb a softvérové spoločnosti môžu spolupracovať na rovnakom hodnotiacom základe. Podľa prehľadu ENX o ISA to má obmedziť samostatné bezpečnostné kontroly každého jednotlivého zákazníka. Ktoré výsledky zákazník akceptuje, však naďalej závisí od dohodnutých cieľov overovania a skutočne zahrnutého rozsahu.
ISA2027.1 je od 1. októbra 2026 dostupná v nemčine a angličtine; pre posudzovania zostáva rozhodujúce anglické znenie. ENX oznamuje ISA2027 ako základ pre overovania objednané od 1. januára 2027. Podľa prechodných informácií ENX zo 7. augusta 2026 je pritom rozhodujúci dátum objednávky, nie dátum registrácie rozsahu. Skôr objednané overovania môžu podľa prechodných pravidiel ešte používať ISA6.
Každoročné vydania ISA neznamenajú každoročné opakované overovanie. Publikácia ENX o ISA2027 z 1. júla 2026 oddeľuje nový publikačný cyklus od platnosti existujúcich označení. Pri plánovaní cez prelom rokov by preto podniky mali výslovne dokumentovať dohodnutú verziu katalógu a objednávku overovania namiesto používania samotného názvu naposledy stiahnutého súboru.
TISAX sa týka spolupráce v dodávateľskom reťazci.
TISAX sa stáva relevantným, keď obchodný partner vyžaduje príslušný bezpečnostný doklad pre spoluprácu. Prehľad ENX o ISA uvádza popri výrobcoch a dodávateľoch aj poskytovateľov služieb, vývojárov softvéru a inžinierskych partnerov. Rozhodujúce sú informácie, činnosti a lokality obchodného vzťahu. Všeobecná zákonná povinnosť TISAX pre každý podnik z toho nevyplýva.
Rozsah overovania opisuje, ktorá časť podniku sa posudzuje. Vyjasnite so žiadajúcim zákazníkom, ktoré spoločnosti a lokality treba zahrnúť a aké ciele overovania očakáva. Príprava by mala zohľadniť aj podporné služby, aby centrálne prevádzkované IT alebo externá spolupráca nezostali mimo pozornosti. Konkrétne vymedzenie zosúlaďte s poskytovateľom overovania.
Podnik môže poskytovať výsledky a zároveň vyžadovať výsledky vlastných obchodných partnerov. Riadenú výmenu tak možno využiť pri nákupe a riadení dodávateľov. Samotná registrácia účastníka však ešte nevypovedá o úspešnom posúdení ani o pokrytých cieľoch overovania; tieto informácie vyplývajú až z konkrétneho výsledku overovania.
TISAX posudzuje organizáciu a bezpečnosť v praxi.
Príprava zahŕňa organizačnú, technickú a miestnu bezpečnostnú prácu. Nasledujúce témy opisujú všeobecné pracovné oblasti a nereprodukujú katalóg požiadaviek ISA. Ktoré z nich a do akej hĺbky sa pri konkrétnom posudzovaní overujú, závisí od dohodnutých cieľov a platnej verzie ISA.
Zodpovednosť a riadenie bezpečnosti.
Organizácia potrebuje zrozumiteľné zodpovednosti a rozhodnutia na ochranu svojich informácií. Smernica opisuje zamýšľaný spôsob práce; príprava je presvedčivá, keď zodpovedné osoby dokážu vysvetliť aj to, ako hodnotia riziká, riadia opatrenia a zohľadňujú zmeny.
Ľudia a spolupráca.
Zamestnanci aj externí účastníci musia poznať svoje úlohy pri zaobchádzaní s chránenými informáciami. Pri príprave preto patria personálne procesy, dôvernosť, školenia a koordinácia odborných útvarov k sebe. Praktické vykonávanie zostáva úlohou organizácie, aj keď sú jednotlivé činnosti zabezpečované externe.
Informácie, prístupy a prevádzka IT.
Ochranné opatrenia majú pokrývať skutočný tok informácií. Posudzujte spoločne oprávnenia, používané systémy, výmenu údajov, obnovu a riešenie bezpečnostných incidentov. Podrobnosti technickej prípravy a vhodné dôkazy rozoberá existujúci blogový článok o príprave na posudzovanie TISAX.
Lokality a fyzické prostredie.
Bezpečnosť lokalít nemožno odvodiť iba z centrálneho pravidla IT. Pre dohodnutý rozsah sú relevantné aj priestory, fyzický prístup a skutočné zaobchádzanie s návštevníkmi alebo predmetmi vyžadujúcimi ochranu. Príslušné tímy by mali vedieť vysvetliť miestne postupy a nájsť súvisiace záznamy.
Dodávatelia a externé služby.
Externé služby môžu ovplyvniť bezpečnosť vlastnej služby. Príprava by preto mala ukázať, ktorí poskytovatelia sú zapojení, aké informácie dostávajú a aké očakávania boli dohodnuté. Všeobecný predpoklad, že každý dodávateľ potrebuje rovnaké označenie, nenahrádza posúdenie jeho konkrétnej úlohy.
Ochrana prototypov a osobných údajov podľa cieľov.
Ochrana prototypov a osobných údajov sa pridávajú podľa vybraných cieľov overovania. Prehľad ENX o TISAX výslovne uvádza tieto oblasti popri informačnej bezpečnosti. Včas si vyjasnite, či sú súčasťou zákazníckej požiadavky napríklad vyvíjané predmety, skúšanie alebo osobné údaje; všeobecne formulovaný cieľ informačnej bezpečnosti túto otázku ešte nezodpovedá.
Posudzovanie TISAX sa začína požiadavkou zákazníka.
Vyjasniť ciele a rozsah.
Zaznamenajte požadované ciele overovania, lokality a potrebný termín skôr, než naplánujete prípravu ako spoločný projekt odborných útvarov a osôb zodpovedných za bezpečnosť.
Zaregistrovať účastníka a rozsah.
Zaregistrujte podnik a rozsah posudzovania v portáli ENX; podľa prehľadu procesu ENX je registrácia podmienkou ďalších krokov postupu.
Vybrať poskytovateľa overovania.
Vyberte poskytovateľa z oficiálneho zoznamu ENX a dohodnite rozsah, verziu katalógu a termíny overovania namiesto predpokladu, že stačí ľubovoľná objednávka auditu.
Pripraviť sebahodnotenie.
Opíšte skutočný stav zavedenia a priraďte existujúce podklady, aby bolo možné tvrdenia pri následnom externom posudzovaní zrozumiteľne overiť.
Spracovať overovanie a nápravy.
Nechajte vykonať dohodnuté posudzovanie a riešte zistenia so zodpovednými tímami podľa dohodnutého postupu overovania.
Cielene zdieľať výsledok.
Sprístupnite dostupný výsledok overovania v portáli ENX určeným obchodným partnerom a následne skontrolujte, či sú požadované ciele a lokality viditeľne pokryté.
Označenie TISAX a úroveň posudzovania opisujú rôzne veci.
Posudzovanie TISAX poskytuje správu a výsledok pre dohodnutý rozsah. Označenia sumarizujú dosiahnuté ciele overovania; nejde o neobmedzený úsudok o všetkých činnostiach podnikovej skupiny. Zoznam ENX uvádza schválených poskytovateľov overovania. Pri ich výbere treba vyjasniť napríklad geografické pokrytie a konkrétny rozsah služby, aby ponuky zodpovedali rovnakým potrebám overovania.
Úroveň posudzovania opisuje metódu overovania, úroveň zrelosti stav zavedenia. Podľa oddielu 4.3.3.5 príručky pre účastníkov TISAX slúži AL1 interným sebahodnoteniam a v TISAX sa nepoužíva ako výsledok určený na výmenu. AL2 zahŕňa kontrolu vierohodnosti; AL3 komplexnejšie overovanie vrátane činností na mieste. Vyššia úroveň preto nie je ľubovoľne zvolenou známkou zrelosti.
Označenia TISAX spravidla platia tri roky. Oddiel 5.4.14.2 príručky pre účastníkov uvádza zmeny rozsahu ako možný dôvod kratšej platnosti. Výsledok možno cielene zdieľať cez portál ENX a nejde o verejný rebríček podnikov. Interne určte, kto sleduje zmeny, otázky zákazníkov a ďalší cyklus overovania.
Ďalšie rámce si zachovávajú vlastný účel.
ISO 27001 opisuje požiadavky na systém manažérstva informačnej bezpečnosti; TISAX používa vlastný postup overovania a výmeny výsledkov pre automobilový dodávateľský reťazec. Existujúca bezpečnostná práca môže podporiť prípravu, nenahrádza však dohodnuté ciele overovania TISAX ani rozsah. GDPR popritom upravuje zaobchádzanie s osobnými údajmi; označenie TISAX nezodpovedá všetky otázky ochrany osobných údajov pri spracúvaní.
V Secani.
Secani poskytuje redakčne vytvorený kontrolný katalóg TISAX k VDA ISA 6.0.3. V profile posudzovania možno zaznamenať rozsah a údaje o vybraných cieľoch. Produktový katalóg treba odlišovať od budúceho platného základu overovania ISA2027.1; pre externé posudzovanie zostáva rozhodujúca verzia potvrdená s poskytovateľom overovania.
Ďalší krok: určiť potrebný doklad.
Požiadajte žiadajúceho obchodného partnera o očakávané ciele overovania a dotknuté lokality. Porovnajte tieto údaje s vlastným rozsahom služieb a pred registráciou vyjasnite otvorené hranice. Prípravu potom možno cielene plánovať bez predchádzajúceho zostavovania rozsiahlych podkladov pre neurčitý rozsah.
Zdroje.
- ENX: TISAX a prehľad procesu
- ENX: úloha a účel VDA ISA
- Príručka pre účastníkov TISAX 2.8: oddiely 4.3.3.5, 5.4.13–5.4.14 a 6
- ENX: zverejnenie ISA2027, 1. júla 2026
- ENX: prechodné informácie k ISA2027, 7. augusta 2026
- ENX: ISA2027.1 v nemčine a angličtine, 1. októbra 2026
- ENX: centrum sťahovania s verziami katalógu
- ENX: zoznam poskytovateľov overovania TISAX
Časté otázky.
TISAX je postup overovania a výmeny výsledkov s výsledkom posudzovania a označeniami. Často vyhľadávaný výraz „certifikácia TISAX“ preto označuje inú formu dokladu než certifikát ISO 27001.
Nie. Úroveň posudzovania opisuje hĺbku overovania; úroveň zrelosti opisuje hodnotený stav zavedenia. Preto vyjasnite požadované ciele overovania namiesto dohody iba o číselnej úrovni.
Nie. AL1 slúži interným účelom; tieto výsledky sa cez TISAX nezdieľajú a nevedú k označeniam TISAX.
Spravidla tri roky. Dočasné označenia a významné zmeny rozsahu overovania môžu znamenať kratšiu platnosť; pre ďalší cyklus overovania treba postup absolvovať znova.
Pripravte TISAX s jasným rozsahom.
Spoznajte katalóg TISAX a profil posudzovania v Secani.
Táto stránka všeobecne vysvetľuje TISAX. Rozhodujúce sú aktuálne publikácie ENX, VDA ISA a dohodnutá objednávka overovania.