VDA ISA 6.0.3 oder ISA2027: welche Katalogversion für Ihr Assessment gilt

Wer sein TISAX®-Assessment für Ende 2026 oder 2027 plant, trifft gerade eine Entscheidung, die drei Jahre nachwirkt: nach welcher Katalogversion geprüft wird. Der VDA ISA 6.0.3 ist noch gültig, ISA2027 ist schon veröffentlicht, und dazwischen liegt eine Übergangsregel mit Stichtag. Hier steht, welche Version für Ihr Assessment gilt, was sich ändert und was nicht.

Der VDA ISA (Information Security Assessment) ist der Kriterienkatalog des Verbands der Automobilindustrie. Gegen ihn bewerten Sie sich im Self-Assessment selbst, und gegen ihn prüft der Prüfdienstleister im TISAX®-Assessment. Er liegt als Excel-Datei vor und besteht aus drei Modulen: Informationssicherheit mit 46 Anforderungen, Prototypenschutz mit 22 und Datenschutz mit 12. In den ersten beiden Modulen wird jede Anforderung mit einem Reifegrad von 0 bis 5 bewertet, im Datenschutz mit Ja oder Nein.

Aktuell gilt die Version 6.0.3, veröffentlicht im April 2024 und Grundlage aller seit dem 1. April 2024 begonnenen Assessments. Eine Version 6.1 gibt es nicht; die ENX führt auf ihrer Downloadseite nur ISA 6.0.3, den Nachfolger ISA2027, die zugehörigen Redline-Fassungen und ein Archiv der Versionen vor Dezember 2018.

Am 1. Juli 2026 hat der VDA den Nachfolger veröffentlicht, und mit ihm ändert sich die Zählweise. Statt fortlaufender Versionsnummern trägt der Katalog künftig das Jahr, ab dem er für neu beauftragte TISAX®-Assessments gilt: ISA2027 gilt für Assessments, die ab dem 1. Januar 2027 beauftragt werden. ISA2028 soll im Sommer 2027 folgen, und weitere Versionen sollen demselben jährlichen Rhythmus folgen.

Wichtig für die Planung: Der jährliche Rhythmus erhöht die Prüffrequenz nicht. Bestehende Labels bleiben für ihre volle Laufzeit gültig, und auch künftige Labels gelten weiter bis zu drei Jahre. Sie werden also nicht jedes Jahr neu geprüft; Sie werden bei der nächsten Beauftragung nach dem dann aktuellen Katalog geprüft.

Entscheidend ist der Zeitpunkt der Beauftragung beim Prüfdienstleister, nicht der Zeitpunkt der Prüfung:

• Beauftragung bis zum 31. Dezember 2026: Sie können noch nach ISA 6 geprüft werden. Das Initial Assessment muss dann spätestens im März 2027 stattfinden.
• Beauftragung ab dem 1. Januar 2027: Grundlage ist ISA2027.
• Erneuerung: Labels gelten in der Regel drei Jahre. Für die Erneuerung durchlaufen Sie das Verfahren erneut, mit neuem Scope im ENX-Portal und neuem Assessment, und zwar nach dem Katalog, der zum Zeitpunkt dieser Beauftragung gilt. Wer 2027 oder später erneuert, plant mit der jeweiligen Jahresversion.

Wer Ende 2026 startet, hat damit eine echte Wahl: schnell nach ISA 6 mit dem vertrauten Katalog, solange die Frist für das Initial Assessment realistisch ist, oder direkt nach ISA2027, damit die Erneuerung später auf derselben Struktur aufbaut. Beides ist vertretbar; falsch ist nur, die Entscheidung dem Kalender zu überlassen.

Was sich ändert, dokumentiert der VDA in der Änderungshistorie des Katalogs, die ENX zusätzlich in einer Redline-Fassung vom August 2026. Die für Zulieferer wichtigsten Punkte:

• Das Modul Prototypenschutz ist vollständig neu geordnet. Die bisherigen Kapitel zu Transport und Handling, Erprobungsfahrzeugen sowie Veranstaltungen und Aufnahmen entfallen als eigene Kapitel; an ihre Stelle treten 13 organisatorische Anforderungen, darunter neu das Incident Management, und 7 Anforderungen an die physische Sicherheit.
• Die Bereitstellung der Sicherheitsrichtlinien für Mitarbeitende (Anforderung 1.1.1) wird von einer Soll- zu einer Muss-Anforderung.
• Die Verweise auf andere Standards werden aktualisiert: NIST CSF 2.0 kommt hinzu, die Zuordnung zu ISO 27001:2013 entfällt, ISO 27001:2022 bleibt.
• Einzelne Anforderungen wandern oder werden umformuliert, etwa die bisherige 1.2.4, die als 6.1.3 zu den Lieferantenbeziehungen zieht.

Was sich nicht ändert: Das Modul Datenschutz bleibt unverändert, gleiche zwölf Anforderungen, gleicher Wortlaut. Die Reifegradlogik bleibt, die Prüfziele und Assessment Level sind in den veröffentlichten Unterlagen unverändert. Offen ist, wie die ENX die Prüfziele Test Vehicles und Proto Events auf den neu geordneten Prototypenschutz abbildet; dazu machen wir keine Aussage, bevor die ENX sie macht.

Die Katalogversion ist für uns Teil des Scopings, nicht ein Detail, das der Prüfdienstleister später festlegt. Wir klären mit Ihnen, ob die Frist für ein Initial Assessment nach ISA 6 realistisch ist, was der Umbau des Prototypenschutzes für Ihre Prüfziele bedeutet und wie Ihre Erneuerung in drei Jahren aussieht. Das Self-Assessment führen wir dann gegen genau die Version, nach der Sie geprüft werden. Wie der Weg von dort zum Label aussieht, steht auf unserer Seite zur TISAX®-Beratung.