TISAX einfach erklärt

TISAX steht für Trusted Information Security Assessment Exchange. Es handelt sich um ein Prüf- und Austauschverfahren für Informationssicherheit, das vor allem in der Automobilindustrie und ihrer Lieferkette eingesetzt wird.

Unternehmen können damit nachweisen, dass sie definierte Anforderungen an den Schutz vertraulicher Informationen, personenbezogener Daten oder von Prototypen erfüllen. Die Ergebnisse lassen sich anschließend über eine zentrale Plattform mit Geschäftspartnern teilen.

Ist TISAX eine Zertifizierung?

TISAX wird häufig als Zertifizierung bezeichnet. Fachlich handelt es sich jedoch um einen Prüf- und Austauschmechanismus.

Nach einer erfolgreichen Prüfung erhält das Unternehmen kein allgemein öffentliches Zertifikat, sondern bestimmte TISAX-Labels. Diese fassen das erreichte Prüfergebnis zusammen und werden im ENX-Portal verwaltet.

Das Unternehmen entscheidet, mit welchen registrierten TISAX-Teilnehmern es seine Ergebnisse und in welcher Detailtiefe es diese teilt.

Wer organisiert TISAX?

Der Verband der Automobilindustrie, kurz VDA, entwickelt den zugrunde liegenden Anforderungskatalog VDA ISA.

Die ENX Association betreibt das TISAX-Verfahren, registriert Teilnehmer und Prüfdienstleister und stellt die Plattform für den Austausch der Ergebnisse bereit.

Die eigentliche Prüfung wird durch einen zugelassenen TISAX-Prüfdienstleister durchgeführt. Unternehmen können diesen innerhalb des zugelassenen Anbieterkreises selbst auswählen.

Welche Anforderungen prüft TISAX?

Grundlage der Prüfung ist der VDA-ISA-Katalog. Er orientiert sich unter anderem an den Grundsätzen eines Informationssicherheitsmanagementsystems.

Typische Themen sind:

• Organisation der Informationssicherheit
• Risikomanagement
• Zugriffs- und Berechtigungsmanagement
• Personal- und Schulungsmaßnahmen
• physische Sicherheit
• sicherer IT-Betrieb
• Kommunikation und Datenaustausch
• Lieferantenmanagement
• Behandlung von Sicherheitsvorfällen
• Notfallvorsorge und Wiederherstellung
• Schutz von Prototypen
• Datenschutz

Welche Anforderungen konkret geprüft werden, hängt vom vereinbarten Prüfziel und vom Schutzbedarf der verarbeiteten Informationen ab.

Welche TISAX-Prüfziele gibt es?

Geschäftspartner legen häufig fest, welche TISAX-Labels sie von einem Lieferanten oder Dienstleister erwarten.

Mögliche Prüfziele betreffen beispielsweise:

• Informationen mit hohem Schutzbedarf
• Informationen mit sehr hohem Schutzbedarf
• vertrauliche Informationen
• streng vertrauliche Informationen
• hohe oder sehr hohe Verfügbarkeit
• Schutz von Prototypen und Testfahrzeugen
• Verarbeitung personenbezogener Daten
• Verarbeitung besonders schützenswerter Daten

Ein Unternehmen sollte die Prüfziele nicht pauschal auswählen. Entscheidend sind die Anforderungen seiner Kunden, die eigenen Geschäftsprozesse und die tatsächlich verarbeiteten Informationen.

Was bedeuten die Assessment-Level?

TISAX unterscheidet verschiedene Assessment-Level, die die Tiefe und Methode der Prüfung bestimmen.

Assessment-Level 1

AL 1 basiert im Wesentlichen auf einer Selbsteinschätzung. Die Inhalte werden nicht umfassend durch einen unabhängigen Prüfer verifiziert. Ergebnisse dieses Levels werden daher nicht als reguläres TISAX-Prüfergebnis verwendet.

Assessment-Level 2

Bei AL 2 prüft der Prüfdienstleister die Plausibilität der Selbsteinschätzung. Dazu werden Nachweise kontrolliert und Interviews durchgeführt. Die Prüfung kann weitgehend remote erfolgen.

Assessment-Level 3

Bei AL 3 werden die Anforderungen ausführlich überprüft. Dazu gehören eine intensive Nachweisprüfung, persönliche Interviews und Aktivitäten vor Ort.

Das benötigte Level ergibt sich aus dem jeweiligen Prüfziel und Schutzbedarf. Ein höheres Assessment-Level bedeutet nicht automatisch, dass das Unternehmen insgesamt „besser“ abgesichert ist. Es beschreibt vor allem die Tiefe der unabhängigen Prüfung.

Wie läuft ein TISAX-Assessment ab?

Ein typischer Ablauf besteht aus folgenden Schritten:

1. Das Unternehmen registriert sich als TISAX-Teilnehmer.
2. Standorte, Prüf-Scope und Prüfziele werden festgelegt.
3. Eine Selbsteinschätzung anhand des VDA ISA wird durchgeführt.
4. Festgestellte Lücken werden bewertet und behoben.
5. Ein zugelassener Prüfdienstleister wird ausgewählt.
6. Der Prüfdienstleister führt das Assessment durch.
7. Abweichungen werden dokumentiert und korrigiert.
8. Nach erfolgreichem Abschluss werden die TISAX-Labels bereitgestellt.
9. Das Unternehmen teilt die Ergebnisse mit ausgewählten Geschäftspartnern.

Die Vorbereitung kann je nach Ausgangslage mehrere Monate dauern. Besonders wichtig sind dokumentierte Prozesse und der Nachweis, dass die Sicherheitsmaßnahmen im Alltag tatsächlich angewendet werden.

Wie lange ist ein TISAX-Label gültig?

TISAX-Labels sind normalerweise drei Jahre gültig. Anschließend muss das Unternehmen den Prüfprozess erneut durchlaufen, wenn es die Labels weiter nutzen möchte.

Wesentliche Änderungen an Standorten, Unternehmensstrukturen oder dem geprüften Scope können auch schon vorher Auswirkungen auf die Gültigkeit haben.

TISAX ist deshalb keine einmalige Aufgabe. Die Sicherheitsmaßnahmen müssen dauerhaft betrieben, überprüft und weiterentwickelt werden.

TISAX und ISO 27001 im Vergleich

TISAX und ISO 27001 beschäftigen sich beide mit Informationssicherheit, sind jedoch nicht identisch.

ISO 27001 ist eine international anerkannte Norm für Informationssicherheitsmanagementsysteme. Unternehmen können sich auf Grundlage dieser Norm zertifizieren lassen.

TISAX ist ein branchenspezifisches Prüf- und Austauschverfahren. Es berücksichtigt besondere Anforderungen der Automobilindustrie, beispielsweise beim Schutz von Prototypen.

Eine bestehende ISO-27001-Zertifizierung kann die TISAX-Vorbereitung erleichtern. Sie ersetzt das TISAX-Assessment jedoch nicht automatisch.

Für welche Unternehmen ist TISAX relevant?

TISAX ist insbesondere relevant für:

• Automobilzulieferer
• IT- und Cloud-Dienstleister
• Entwicklungs- und Ingenieurbüros
• Softwareunternehmen
• Beratungsunternehmen
• Logistik- und Produktionsdienstleister
• Marketing- und Veranstaltungsagenturen
• Unternehmen mit Zugriff auf Prototypen oder Fahrzeugdaten

TISAX ist nicht allgemein gesetzlich vorgeschrieben. In vielen Geschäftsbeziehungen wird ein passendes TISAX-Label jedoch vertraglich oder im Rahmen der Lieferantenfreigabe verlangt.

Fazit

TISAX ist ein standardisiertes Verfahren zur Prüfung und zum Austausch von Informationssicherheitsergebnissen in der Automobilindustrie.

Unternehmen lassen ihre Sicherheitsmaßnahmen auf Grundlage des VDA ISA durch einen zugelassenen Prüfdienstleister bewerten. Nach erfolgreichem Abschluss erhalten sie TISAX-Labels, die sie gezielt mit Geschäftspartnern teilen können.

Eine erfolgreiche Prüfung setzt nicht nur technische Schutzmaßnahmen voraus. Ebenso wichtig sind dokumentierte Prozesse, klare Verantwortlichkeiten, Risikomanagement und die kontinuierliche Weiterentwicklung der Informationssicherheit.