TISAX Automotive: Informationssicherheit für die Automobillieferkette

TISAX (Trusted Information Security Assessment Exchange) ist der branchenspezifische Standard für Informationssicherheit in der Automobilindustrie. Jeder Zulieferer, Entwicklungspartner oder Dienstleister, der mit OEMs wie BMW, Mercedes-Benz, Volkswagen oder Audi zusammenarbeitet, benötigt ein TISAX-Label. Die Prüfung erfolgt auf Basis des VDA ISA-Fragenkatalogs durch ENX-akkreditierte Auditoren. Ohne gültiges TISAX-Label ist eine Zusammenarbeit mit den meisten Automobilherstellern nicht möglich.

ISO 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS) und bildet die Grundlage von TISAX. TISAX erweitert ISO 27001 jedoch um branchenspezifische Anforderungen der Automobilindustrie: Prototypenschutz, Anbindung Dritter und besondere Anforderungen an den Umgang mit vertraulichen Fahrzeugdaten. Ein bestehendes ISO 27001 ISMS erleichtert die TISAX-Zertifizierung erheblich, ersetzt sie aber nicht.

TISAX unterscheidet drei Assessment Levels: Level 1 ist ein reines Self-Assessment ohne TISAX-Label. Level 2 umfasst eine Plausibilitätsprüfung des Self-Assessments durch einen ENX-akkreditierten Prüfdienstleister, inklusive Remote-Interview. Level 3 ist die umfassendste Prüfung mit einer vollständigen Vor-Ort-Inspektion aller Standorte. OEMs fordern in der Regel Level 2 oder Level 3, die Wahl hängt vom Schutzbedarf der verarbeiteten Informationen ab.

Die Dauer hängt vom Reifegrad Ihrer bestehenden Informationssicherheit ab. Bei einem vorhandenen ISMS nach ISO 27001 sind 3 bis 6 Monate realistisch. Ohne bestehendes ISMS sollten Sie mit 6 bis 12 Monaten rechnen, inklusive Gap-Analyse, ISMS-Aufbau, Maßnahmenumsetzung und Assessment-Vorbereitung. Das TISAX-Label ist nach erfolgreicher Prüfung drei Jahre gültig, danach ist eine Rezertifizierung erforderlich.

Der VDA ISA-Katalog (Information Security Assessment) ist das zentrale Prüfinstrument für TISAX-Assessments. Er enthält Anforderungen in den Bereichen Informationssicherheitsmanagement, Zugriffssteuerung, Kryptographie, physische Sicherheit, Betriebssicherheit, Kommunikationssicherheit und Lieferantenmanagement. Zusätzlich gibt es spezifische Module für Prototypenschutz und Datenschutz. Der Katalog wird regelmäßig von der ENX Association aktualisiert.

TISAX fordert von Unternehmen in der Automobillieferkette den Nachweis angemessener Informationssicherheit. Dies betrifft Tier-1- und Tier-2-Zulieferer, Entwicklungsdienstleister und IT-Dienstleister gleichermaßen. Konkret müssen Sie ein ISMS betreiben, Risiken systematisch bewerten, Zugriffskontrollen implementieren und Ihre eigenen Unterauftragnehmer ebenfalls auf Informationssicherheit verpflichten. OEMs prüfen zunehmend die gesamte Lieferkette und nicht nur direkte Lieferanten.

ADVISORI begleitet Automobilzulieferer durch den gesamten TISAX-Prozess: Wir starten mit einer Gap-Analyse Ihrer bestehenden Sicherheitsmaßnahmen gegen den VDA ISA-Katalog, entwickeln einen priorisierten Maßnahmenplan, unterstützen bei der ISMS-Implementierung und bereiten Sie gezielt auf das Assessment vor. Unsere Berater kennen die spezifischen Anforderungen der Automobilindustrie, einschließlich Prototypenschutz und Lieferkettensicherheit, und haben nachweislich Zulieferer erfolgreich zum TISAX-Label geführt.