TISAX VDA Self-Assessment Gap Analyse

Bei einer TISAX Gap-Analyse werden alle Kontrollziele des VDA ISA Fragenkatalogs systematisch gegen Ihren Ist-Zustand bewertet. Das umfasst sechs Hauptbereiche: Informationssicherheitsmanagement, Personalsicherheit, physische Sicherheit, Identitäts- und Zugriffsmanagement, IT-Sicherheit und Lieferantenmanagement. Für jedes Kontrollziel wird der aktuelle Reifegrad ermittelt und mit dem geforderten Mindestreifegrad verglichen. ADVISORI dokumentiert dabei sowohl bestehende Stärken als auch konkrete Lücken mit priorisierten Handlungsempfehlungen.

Die Dauer einer TISAX Gap-Analyse hängt von Unternehmensgröße und Standortanzahl ab. Für kleine Unternehmen mit einem Standort sind ein bis zwei Wochen realistisch, bei mittleren Unternehmen mit mehreren Standorten zwei bis drei Wochen. Die Kosten liegen typischerweise zwischen 5.000 und 15.000 Euro für kleine Unternehmen und 15.000 bis 40.000 Euro für mittlere Organisationen. Diese Investition amortisiert sich schnell, da sie teure Nachbesserungen nach einem gescheiterten Assessment verhindert und die Implementierungszeit um bis zu

40 Prozent verkürzt.

Für eine erfolgreiche TISAX-Zertifizierung ist mindestens Reifegrad

3 (Definiert) pro Kontrollziel erforderlich. Das bedeutet, dass Prozesse dokumentiert, standardisiert und nachweislich umgesetzt sein müssen. Für sicherheitskritische Kontrollziele, etwa im Bereich Prototypenschutz oder bei Assessment Level AL3, können Reifegrad

4 (Gesteuert) oder sogar Reifegrad

5 (Optimiert) gefordert sein. Die Gap-Analyse zeigt Ihnen für jedes Kontrollziel den aktuellen und den geforderten Reifegrad.

Die häufigsten Lücken bei TISAX-Selbstbewertungen betreffen sechs Kernbereiche: unvollständiges Asset-Management, veraltete oder fehlende Sicherheitsrichtlinien, mangelnde Nachweise für Security-Awareness-Schulungen, unzureichende Lieferantensicherheit, fehlende oder nicht getestete Incident-Response-Prozesse und lückenhafte Zugangssteuerung. Besonders oft unterschätzt werden die Dokumentationsanforderungen: Der VDA ISA verlangt nicht nur, dass Maßnahmen umgesetzt sind, sondern dass ihre Wirksamkeit regelmäßig überprüft und nachgewiesen wird.

Nach der Gap-Analyse folgt die gezielte Umsetzung der identifizierten Maßnahmen gemäß dem priorisierten Plan. Der typische Ablauf: Zunächst werden Quick Wins umgesetzt, also Lücken, die mit geringem Aufwand geschlossen werden können. Parallel werden komplexere Maßnahmen wie neue Richtlinien, Prozessänderungen und technische Implementierungen angegangen. Anschließend führt ADVISORI ein internes Pre-Assessment durch, das die Audit-Situation simuliert. Erst wenn alle Kontrollziele den geforderten Reifegrad erreichen, wird das offizielle ENX-Assessment bei einem akkreditierten Prüfdienstleister gebucht.