TISAX Audit Vorbereitung: Vom VDA ISA Fragenkatalog zum Label

Die Vorbereitung auf ein TISAX Audit beginnt mit einer Gap-Analyse anhand des VDA ISA Fragenkatalogs. Dabei bewerten Sie den Ist-Zustand Ihrer Informationssicherheit gegen die TISAX-Anforderungen, identifizieren Lücken und erstellen einen Maßnahmenplan. Anschließend implementieren Sie die erforderlichen Maßnahmen, erstellen die Dokumentation und führen ein internes Self-Assessment durch, bevor der akkreditierte Prüfdienstleister das offizielle Audit durchführt.

Bei Assessment Level 2 (AL2) erfolgt die Prüfung remote durch Dokumentenprüfung und Plausibilitätschecks per Telefon oder Video. Assessment Level 3 (AL3) erfordert ein vollständiges Vor-Ort-Audit durch den Prüfdienstleister, das in der Regel zwei bis drei Tage dauert. Welches Level benötigt wird, hängt vom Schutzbedarf der verarbeiteten Informationen ab, für Prototypenschutz oder streng vertrauliche Daten ist Level 3 vorgeschrieben.

In Stage 1 prüft der Auditor die Dokumentation Ihres Informationssicherheits-Managementsystems (ISMS), Richtlinien, Risikoanalysen und den Umsetzungsstand der VDA ISA Anforderungen. In Stage 2 verifiziert der Auditor die praktische Umsetzung vor Ort: Er prüft, ob dokumentierte Prozesse tatsächlich gelebt werden, führt Interviews mit Mitarbeitern und kontrolliert technische Maßnahmen wie Zugangskontrollen und Datenverschlüsselung.

Zu den häufigsten Mängeln (Major Findings) bei TISAX Audits gehören: unvollständige oder veraltete Risikoanalysen, fehlende Nachweise für Mitarbeiterschulungen zur Informationssicherheit, lückenhafte Zugangs- und Berechtigungskonzepte, mangelnde Dokumentation von Sicherheitsvorfällen und fehlende Notfallpläne. Auch die fehlende regelmäßige Überprüfung des ISMS und unzureichender Prototypenschutz werden häufig beanstandet.

Die reinen Prüfkosten durch den akkreditierten Prüfdienstleister liegen zwischen 3.000 und 15.000 Euro, abhängig vom Assessment Level und der Unternehmensgröße. Die Gesamtkosten inklusive Vorbereitung, ISMS-Aufbau und externer Beratung betragen für mittelständische Unternehmen typischerweise 15.000 bis 40.000 Euro. Die Vorbereitungszeit beträgt je nach Reifegrad drei bis zwölf Monate.

Ein TISAX Label ist drei Jahre gültig. Danach muss ein erneutes Assessment durch einen akkreditierten Prüfdienstleister erfolgen. Empfehlenswert ist, die Rezertifizierung sechs bis neun Monate vor Ablauf zu planen, um ausreichend Zeit für eventuelle Nachbesserungen zu haben. Zwischen den Audits sollte das ISMS durch interne Audits und kontinuierliche Verbesserung gepflegt werden.

Wenn Major Findings festgestellt werden, erhalten Sie einen Maßnahmenplan mit Fristen zur Behebung der Mängel. In der Regel haben Sie bis zu neun Monate Zeit für Nachbesserungen, bevor ein Nachaudit stattfindet. Bei Minor Findings können diese oft im Rahmen des regulären Verbesserungsprozesses behoben werden. Wichtig: Die ENX Association erlaubt maximal neun Monate zwischen Registrierung und erfolgreichem Abschluss des Assessments.