Security & Compliance

TISAX (Trusted Information Security Assessment Exchange)

Overview

TISAX (Trusted Information Security Assessment Exchange) ist das Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie. Hersteller verlangen von Zulieferern, Entwicklungsdienstleistern und Logistikern ein TISAX-Label, bevor sie vertrauliche Daten wie Konstruktionsdaten oder Prototypen herausgeben. Grundlage ist der Fragenkatalog VDA ISA (Information Security Assessment), den die ENX Association pflegt und der Verband der Automobilindustrie (VDA) veröffentlicht. Die ENX steuert das Verfahren, die Prüfungen führen zugelassene Prüfdienstleister durch. Laut ENX sind inzwischen mehr als 20.000 Standorte bewertet (Februar 2026).

Abgrenzung: ISO 27001 zertifiziert ein ganzes ISMS, TISAX bewertet die Umsetzung des ISA-Katalogs und liefert ein Label statt eines Zertifikats. Der Katalog ist auf ISO/IEC 27001:2022 und NIST CSF 2.0 abgebildet, ein bestehendes ISMS lässt sich also weiterverwenden. NIS2 ist dagegen eine gesetzliche Pflicht. Nach Einschätzung der ENX deckt ein TISAX-Assessment die relevanten Anforderungen der NIS-2-Richtlinie ab, Registrierung und Meldepflichten beim BSI bleiben davon aber unberührt.

Aktuelle Änderungen: Seit 1. April 2024 heißen die Ziele für Informationsschutz „Confidential“ und „Strictly confidential“, die früheren Ziele „Info high“ und „Info very high“ waren nur bis 31. März 2024 wählbar, bestehende Labels gelten bis zum Ablauf weiter. Am 1. Juli 2026 hat der VDA den Katalog ISA2027 veröffentlicht, die deutsche Fassung gibt es seit 1. Oktober 2026. Die Versionierung ist jetzt jahresbasiert: Der Katalog wird jeweils im Juli aktualisiert und gilt ab dem folgenden Januar. ISA2027 ist Standard für Assessments, die ab 1. Januar 2027 beauftragt werden. ISA 6 bleibt für früher beauftragte Assessments oder ein Erstassessment (Stage 2) vor dem 1. April 2027 nutzbar.

How it works

TISAX läuft in drei Schritten ab, die Labels gelten drei Jahre:

  1. Registrierung: Das Unternehmen registriert sich bei der ENX mit Firmen- und Kontaktdaten sowie mindestens einem Assessment-Scope (Standorte und Ziele) und zahlt die Registrierungsgebühr.
  2. Assessment: Das Unternehmen füllt den ISA-Katalog als Selbstauskunft aus, wählt einen Prüfdienstleister und durchläuft das Assessment. Je nach Ziel ist Assessment Level 2 (Prüfung der Selbstauskunft anhand von Dokumenten und Interviews, meist per Video) oder Assessment Level 3 (umfassende Prüfung vor Ort) nötig. Assessment Level 1 ist eine reine Selbstauskunft und führt zu keinem Label.
  3. Korrektur: Abweichungen werden in einem Maßnahmenplan erfasst und in einem Folge-Assessment abgeschlossen.
  4. Austausch: Das Ergebnis wird über das ENX-Portal mit ausgewählten Partnern geteilt oder für die TISAX-Community veröffentlicht. Freigabestufen legen fest, wie tief ein Partner in das Ergebnis sehen darf. Eine Freigabe lässt sich nicht zurücknehmen, öffentlich ist das Ergebnis nicht.

Wichtige Ziele und ihr Level laut ENX-Teilnehmerhandbuch: Confidential (AL 2), Strictly confidential (AL 3), High availability (AL 2), Very high availability (AL 3), Proto parts und Proto vehicles (AL 3), Test vehicles und Proto events (AL 2), Data (AL 2) und Special data (AL 3) für den Datenschutz.

Benefits

  • Ein Assessment wird von vielen Herstellern anerkannt, das ersetzt einzelne Lieferantenaudits je Kunde
  • Der ISA-Katalog gibt konkret vor, was geprüft wird, dadurch ist der Aufwand planbar
  • Die Abbildung auf ISO/IEC 27001:2022 erlaubt, ein vorhandenes ISMS und seine Nachweise weiterzunutzen
  • Das Unternehmen behält die Kontrolle, welcher Partner welche Ergebnisse sieht
  • Ein gültiges Label ist bei vielen Herstellern Voraussetzung für Aufträge mit vertraulichen Daten

Practical example

Ein Kunststoffspritzgießer aus Baden-Württemberg mit 180 Beschäftigten soll für ein neues Projekt CAD-Daten eines Herstellers erhalten, der dafür ein Label „Confidential“ verlangt. Die IT registriert den Hauptstandort als Scope, beantwortet den ISA-Katalog und schließt Lücken bei Datenklassifizierung, MFA für Fernzugriffe und Lieferantenverträgen. Das Assessment auf Level 2 läuft per Video mit Dokumentenprüfung, zwei Abweichungen landen im Maßnahmenplan. Nach dem Folge-Assessment erscheint das Label im ENX-Portal, der Spritzgießer gibt es für den Hersteller frei und erhält die Daten.

Things to keep in mind

  • Das benötigte Ziel vorab mit dem Kunden klären, denn Prototypenschutz verlangt Level 3 mit Prüfung vor Ort
  • Den Scope so wählen, dass er alle Standorte und Systeme umfasst, in denen Kundendaten verarbeitet werden
  • Bei Beauftragung ab 1. Januar 2027 mit dem ISA2027-Katalog planen und die Redline-Dokumente der ENX für den Abgleich nutzen
  • Freigaben im ENX-Portal bewusst setzen, weil sie sich nicht zurücknehmen lassen
  • Das ISMS über die drei Jahre Laufzeit weiterbetreiben, damit das Re-Assessment keine Neuaufnahme wird

Licensing & availability

TISAX ist kein Softwareprodukt, sondern ein Prüfverfahren. Kosten entstehen für die Registrierung bei der ENX Association und für den gewählten Prüfdienstleister. Sie hängen von Assessment Level, gewählten Zielen und Anzahl der Standorte ab. Den ISA-Katalog stellt die ENX zum Download bereit, ein Label gilt drei Jahre. Stand: Oktober 2026.

Conclusion

TISAX ist für Automobilzulieferer faktisch Pflicht, sobald vertrauliche Herstellerdaten im Spiel sind. Wer bereits ein ISMS nach ISO 27001 betreibt, kommt mit überschaubarem Zusatzaufwand zum Label.

Further reading

Related articles