TISAX®-Beratung für Automotive-Zulieferer

Wir bereiten Automotive-Zulieferer auf das TISAX®-Assessment vor: vom Scoping über das Self-Assessment nach VDA ISA bis zur prüffähigen Nachweisführung. Wir kennen beide Seiten des Tisches. Wir haben mehrere Assessments auf AL 2 und AL 3 erfolgreich zum Label geführt und als Prüfer für den TÜV selbst TISAX®-Assessments durchgeführt. Deshalb priorisieren wir, was im Assessment wirklich zählt.

Viele Unternehmen suchen nach einer TISAX-Zertifizierung. Fachlich korrekt ist das nicht, und der Unterschied hat Folgen: Am Ende eines erfolgreichen Assessments steht kein Zertifikat, sondern ein TISAX®-Label. Es ist nur im ENX-Portal hinterlegt, Ihre Kunden sehen es erst, wenn Sie es dort für sie freigeben, und es gilt in der Regel drei Jahre.

Für die meisten Zulieferer ist das Label schlicht Marktzugang: OEMs verlangen es, bevor sie vertrauliche Daten, Prototypen oder Aufträge herausgeben. Welches Label Sie brauchen, gibt Ihr Kunde vor.

Wer „TISAX-Anforderungen“ oder den „TISAX-Fragenkatalog“ sucht, meint eigentlich den VDA ISA. Ein Bild hilft: TISAX® ist das Stadion, der VDA ISA das Regelwerk. Angemeldet wird bei TISAX®, geprüft wird gegen den VDA ISA.

TISAX® (Trusted Information Security Assessment Exchange)

Das Verfahren der ENX Association im Auftrag des VDA: Registrierung, Zulassung der Prüfdienstleister, Prüfziele, Labels und das Portal, über das Ergebnisse geteilt werden. TISAX® selbst enthält keine Sicherheitsanforderungen.

VDA ISA (Information Security Assessment)

Der Kriterienkatalog des Verbands der Automobilindustrie, als Excel-Datei mit drei Modulen: Informationssicherheit (46 Anforderungen), Prototypenschutz (22) und Datenschutz (12). Gegen ihn bewerten Sie sich selbst, gegen ihn prüft der Prüfdienstleister.

Prüfziel

Die Verbindung zwischen beiden: Es bestimmt, welche Module gelten und in welchem Assessment Level geprüft wird. Bestehen Sie, erhalten Sie das gleichnamige Label.

In den Modulen Informationssicherheit und Prototypenschutz wird jede Anforderung mit einem Reifegrad von 0 bis 5 bewertet; gefordert ist in der Regel Reifegrad 3, kumuliert über alle Anforderungen und mit begrenzten Abweichungen. Das Modul Datenschutz wird mit Ja oder Nein beantwortet. Aktuell gilt der VDA ISA 6.0.3; für ab 2027 beauftragte Assessments gilt ISA2027.

Das Assessment Level legt fest, wie tief der Prüfdienstleister prüft. Es gibt drei Stufen, aber nur zwei führen zu einem Label:

Welches Level Sie brauchen, wählen Sie nicht selbst. Ihr Kunde nennt Ihnen das geforderte Prüfziel, und daraus folgt das Level. Seit April 2024 gibt es zehn Prüfziele:

Der Weg zum Label folgt dem Ablauf, den das Participant Handbook der ENX vorgibt:

1. Scoping: Standorte, Prüfziel, Prüfumfang. Hier entscheiden sich Aufwand und Kosten.
2. Registrierung als Teilnehmer im ENX-Portal.
3. Prüfdienstleister früh anfragen; die ENX rät ausdrücklich dazu, weil sie Vorlaufzeiten haben.
4. Self-Assessment nach VDA ISA: ehrliche Reifegradbewertung mit Nachweisen.
5. Lücken schließen, priorisiert nach dem, was im Assessment zählt und was reale Angreifer zuerst ausnutzen würden.
6. Initial Assessment durch den Prüfdienstleister. Es findet immer statt.
7. Bei Abweichungen: Maßnahmenplan, Korrekturmaßnahmen, Follow-up-Assessment. Bei geringfügigen Abweichungen gibt es vorläufige Labels.
8. Label im ENX-Portal und Freigabe an Ihre Kunden.

Wie lange die Vorbereitung dauert, entscheidet der Reifegrad, den das ehrliche Self-Assessment zeigt. Nach dem Initial Assessment gibt die ENX feste Fristen vor: Korrekturmaßnahmen über drei Monate müssen Sie begründen, über sechs Monate zusätzlich belegen. Nach spätestens neun Monaten ab dem Abschlussgespräch müssen alle Lücken geschlossen sein, sonst beginnt das Verfahren mit einem neuen Initial Assessment.

Warum wir Ihnen keine Gap-Analyse verkaufen

Viele Beratungen beginnen mit einer Gap-Analyse oder einem Pre-Assessment. Wir nicht: Die ENX rät im Participant Handbook ausdrücklich davon ab und widmet der Begründung einen eigenen Anhang. Mit einem Pre-Assessment bezahlen Sie zwei vollständige Prüfungen; starten Sie direkt, zahlen Sie bei Befunden eine Prüfung und ein kurzes Follow-up. Endgültig durchfallen können Sie nicht, denn ein gescheiterter Versuch gilt als Vorab-Prüfung, und Sie entscheiden, was im Portal geteilt wird. Das vorgesehene Instrument der Standortbestimmung ist das Self-Assessment, und das erstellen wir gemeinsam mit Ihnen.

Statt einer vorgeschalteten Gap-Analyse arbeiten wir von Anfang an mit dem Maßstab, der im Assessment zählt. Sechs Bausteine, einzeln oder als Ganzes:

Scoping und Prüfziele

Standorte, Prozesse, Datenflüsse; passt das geforderte Prüfziel zu dem, was Sie tatsächlich tun? Gehören Datenschutz und Prototypenschutz in den Scope, und nach welcher Katalogversion beauftragen Sie?

Moderiertes Self-Assessment nach VDA ISA

Gemeinsam mit Ihren Verantwortlichen, mit ehrlicher Reifegradbewertung und Nachweisen je Anforderung.

Maßnahmen nach realen Bedrohungen priorisieren

Zuerst dort, wo das Assessment und reale Angreifer ansetzen würden. Das ist unser Ansatz Threat-Informed Defense.

Nachweise und Interviews vorbereiten

Aus eigener Prüfpraxis wissen wir, welche Evidenzen Prüfer sehen wollen und wie Interviews laufen.

Begleitung bis zum Label

Maßnahmenplan, Fristen der ENX, Korrekturmaßnahmen bis zum Follow-up.

Niveau halten bis zur Erneuerung

Damit die Erneuerung nach drei Jahren kein neues Großprojekt wird.

Das Assessment selbst führt ein von der ENX zugelassener Prüfdienstleister Ihrer Wahl durch. Diese Trennung ist gewollt: Nach den Regeln der ENX darf ein Prüfdienstleister nur Unternehmen prüfen, die er zuvor nicht beraten hat. Wir beraten also, wir prüfen nicht.

Wer nach den Kosten einer TISAX-Zertifizierung fragt, meint die Kosten bis zum TISAX®-Label. Vier Blöcke, nur der erste mit festem Preis:

• ENX-Teilnahmegebühr: 405 Euro je Standort und Scope, einmalig, zuzüglich Umsatzsteuer. Ab 5 Standorten in einem Scope 10 Prozent Rabatt je Standort, ab 10 Standorten 20 Prozent.
• Prüfdienstleister: individuelles Angebot, abhängig vom Assessment Level (AL 3 vor Ort ist aufwendiger), der Zahl der Standorte und den Prüfzielen. Ein Follow-up kostet deutlich weniger als das Initial Assessment.
• Interner Aufwand: Self-Assessment, Nachweise, Interviews, Umsetzung der Maßnahmen.
• Beratung: abhängig vom Ausgangsreifegrad und vom Umfang, den Sie selbst tragen wollen.

Pauschale Gesamtpreise nennen wir bewusst nicht. Seriös lässt sich der Aufwand erst nach dem Scoping beziffern, und das Scoping ist oft der größte Kostenhebel: Manchmal ist weniger Scope der ehrlichere und günstigere Weg. Nach drei Jahren durchlaufen Sie das Verfahren für die Erneuerung erneut.

Ein gelebtes ISMS nach ISO 27001 ist die beste Basis für TISAX®, aber kein Selbstläufer: Im Modul Informationssicherheit des VDA ISA 6 verweisen 42 von 46 Anforderungen auf die Norm, die Module Prototypenschutz und Datenschutz haben keinen Bezug zu ihr, und Reifegradbewertung, Verfahren und Label kommen dazu. Umgekehrt ersetzt das Label kein Zertifikat. Für NIS2 gilt: Die ENX sieht in einem TISAX-Label unter zwei Bedingungen den Nachweis für die Maßnahmen der Richtlinie; Registrierung, Meldepflichten und die Pflichten der Geschäftsleitung nach BSIG bleiben Ihre Aufgabe.

Die Verfügbarkeits-Prüfziele, seit ISA 6 eigenständig, zeigen aus unserer Sicht, worum es der Branche geht: um Lieferketten, die einen Ausfall nicht verkraften, und damit um Ransomware. Wir behandeln TISAX® deshalb nicht als Dokumentationsübung, sondern priorisieren die Maßnahmen entlang der Techniken realer Angreifer. Das ist Threat-Informed Defense. Das Ergebnis besteht das Assessment und den Angriff, und die Nachweise entstehen als Nebenprodukt wirksamer Sicherheit.