TISAX.

TISAX står för Trusted Information Security Assessment Exchange och förenar externa granskningar med ett reglerat resultatutbyte. ENX Association styr förfarandet. Information Security Assessment, ISA, är bedömningskatalogen. ENX Working Group ISA utvecklar den och Verband der Automobilindustrie publicerar den som VDA ISA. ENX beskriver dessa roller på informationssidan om ISA.

VDA ISA skapar en gemensam grund för hantering av skyddsvärd information. Tillverkare, underleverantörer, utvecklingstjänsteföretag och programvaruföretag kan samarbeta utifrån samma bedömningsgrund. Enligt ENX:s ISA-översikt ska detta minska behovet av individuella säkerhetsgranskningar från varje uppdragsgivare. Vilka resultat en kund accepterar beror ändå på de överenskomna granskningsmålen och den faktiska omfattningen.

ISA2027.1 finns på tyska och engelska sedan den 1 oktober 2026. Den engelska versionen är fortsatt styrande för bedömningar. ENX anger ISA2027 som grund för granskningar som beställs från den 1 januari 2027. Enligt ENX:s övergångsinformation den 7 augusti 2026 är beställningsdatumet avgörande, inte datumet för registrering av omfattningen. Tidigare beställda granskningar kan enligt övergångsreglerna fortfarande använda ISA6.

Årliga ISA-utgåvor innebär ingen årlig omgranskning. ENX:s publikation om ISA2027 den 1 juli 2026 skiljer den nya publiceringsrytmen från giltighetstiden för befintliga labels. Vid planering över årsskiftet bör företag därför uttryckligen dokumentera överenskommen katalogversion och granskningsuppdrag, i stället för att bara använda namnet på den senast nedladdade filen.

TISAX blir relevant när en affärspartner kräver motsvarande säkerhetsunderlag för samarbetet. ENX:s ISA-översikt nämner utöver tillverkare och underleverantörer även tjänsteleverantörer, programvaruutvecklare och ingenjörspartner. Avgörande är affärsrelationens information, verksamheter och anläggningar. Därav följer ingen allmän lagstadgad TISAX-skyldighet för alla företag.

Granskningens omfattning beskriver vilken del av företaget som bedöms. Klargör med den efterfrågande kunden vilka bolag och anläggningar som ska ingå och vilka granskningsmål som förväntas. Förberedelserna bör även beakta stödjande tjänster så att centralt driven IT eller externt samarbete inte förbises. Den konkreta avgränsningen stäms av med granskningsleverantören.

Ett företag kan tillhandahålla resultat och samtidigt begära resultat från sina egna affärspartner. Därmed kan det reglerade utbytet användas för inköp och leverantörsstyrning. En deltagares registrering säger dock i sig inget om en godkänd bedömning eller vilka granskningsmål som täcks. Detta framgår först av respektive granskningsresultat.

TISAX-bedömningen ger en rapport och ett resultat för överenskommen omfattning. Labels sammanfattar uppnådda granskningsmål. De är inget obegränsat omdöme om alla verksamheter i en företagsgrupp. ENX:s förteckning anger godkända granskningsleverantörer. Vid valet behöver exempelvis geografisk täckning och konkret tjänsteomfattning klargöras, så att offerter avser samma granskningsbehov.

Bedömningsnivån beskriver granskningsmetoden och mognadsgraden genomförandestatusen. Enligt avsnitt 4.3.3.5 i TISAX-deltagarhandboken används AL1 för interna självbedömningar och inte som utbytbart resultat i TISAX. AL2 omfattar en rimlighetskontroll och AL3 en mer omfattande granskning med aktiviteter på plats. En högre nivå är därför inget fritt valt mognadsbetyg.

TISAX-labels gäller normalt i tre år. Avsnitt 5.4.14.2 i deltagarhandboken anger förändringar av omfattningen som möjlig orsak till kortare giltighet. Resultatet kan delas med utvalda parter via ENX-portalen och är ingen offentlig företagsrankning. Fastställ internt vem som följer förändringar, kundförfrågningar och nästa granskningscykel.

ISO 27001 beskriver krav på ett ledningssystem för informationssäkerhet. TISAX använder en egen gransknings- och utbytesprocess för fordonsindustrins leveranskedja. Befintligt säkerhetsarbete kan stödja förberedelserna men ersätter inte överenskomna TISAX-granskningsmål och omfattning. GDPR reglerar dessutom hanteringen av personuppgifter. En TISAX-label besvarar inte alla dataskyddsfrågor för en behandling.

Secani erbjuder en egen redaktionell TISAX-granskningskatalog för VDA ISA 6.0.3. I bedömningsprofilen kan omfattning och uppgifter om valda mål dokumenteras. Produktkatalogen ska skiljas från det kommande granskningsunderlaget ISA2027.1. För den externa bedömningen är fortsatt den version som bekräftats med granskningsleverantören avgörande.

Be den efterfrågande affärspartnern ange förväntade granskningsmål och berörda anläggningar. Stäm av uppgifterna mot er egen tjänsteomfattning och klargör öppna avgränsningar före registreringen. Därefter kan förberedelserna planeras målinriktat utan att först samla omfattande handlingar för en obestämd omfattning.