TISAX® – Informationssicherheit in der Automobilindustrie nachweisen
TISAX steht für Trusted Information Security Assessment Exchange. Es ist der in der Automobilindustrie etablierte Mechanismus, mit dem Unternehmen den Stand ihrer Informationssicherheit prüfen lassen und das Ergebnis mit ihren Geschäftspartnern teilen – ohne dass jeder Kunde ein eigenes Audit durchführen muss.
TISAX wird von der ENX Association im Auftrag des Verbands der Automobilindustrie (VDA) verwaltet. Grundlage der Prüfung ist der Fragenkatalog VDA ISA (Information Security Assessment).
Kein Zertifikat, sondern ein Label – der Unterschied ist wichtig
TISAX ist keine Zertifizierung. Das Ergebnis eines erfolgreichen Assessments ist ein TISAX-Label, das über die ENX-Plattform gezielt für einzelne Partner freigegeben wird. Mit einem TISAX-Label darf nicht öffentlich geworben werden – anders als etwa mit einem Zertifikat nach ISO/IEC 27001.
Wer diesen Unterschied kennt, vermeidet zwei typische Fehler: die falsche Darstellung nach außen und die Annahme, ein bestehendes ISO-27001-Zertifikat genüge bereits für die Anforderungen der Kunden.
Prüfziele und Assessment-Level
Was geprüft wird, legt nicht das Unternehmen fest, sondern der Kunde, der den Nachweis verlangt. Er benennt das Prüfziel, zum Beispiel den Umgang mit Informationen mit hohem oder sehr hohem Schutzbedarf, den Prototypenschutz oder den Datenschutz nach den Anforderungen der DSGVO.
Aus dem Prüfziel ergibt sich das Assessment-Level und damit die Prüftiefe – von der reinen Selbstauskunft mit Plausibilitätsprüfung bis zur Prüfung vor Ort mit Interviews und Begehung. Prüfziele, Level und Gültigkeitsdauer richten sich nach den jeweils aktuellen Teilnahmebedingungen der ENX Association. Klären Sie deshalb zuerst mit Ihrem Kunden, welches Prüfziel gefordert ist – davon hängt der gesamte Aufwand ab.
Prüfkatalog VDA ISA – welche Fassung gilt wann?
Grundlage jedes Assessments ist der Fragenkatalog VDA ISA. Maßgeblich ist dabei nicht der Prüftermin, sondern der Zeitpunkt der Beauftragung:
- Beauftragung bis 31.12.2026: Es gilt der Katalog VDA ISA 6.0.3, verbindlich für Assessments seit dem 01.04.2024.
- Beauftragung ab 01.01.2027: Es gilt der neue Katalog VDA ISA2027, den der VDA im Sommer 2026 veröffentlicht hat.
Mit ISA2027 wechselt die Benennung von Versionsnummern auf Jahreszahlen. Künftig ist ein jährlicher Rhythmus vorgesehen: Veröffentlichung zur Jahresmitte, verbindlich jeweils ab dem 1. Januar des Folgejahres. Bestehende Labels bleiben bis zu ihrem Ablauf gültig; der neue Katalog greift beim nächsten Assessment.
Die wichtigsten Änderungen mit ISA2027:
- Der Prototypenschutz wird neu geordnet und auf zwei Label vereinfacht: Basic auf Assessment-Level 2 und Facilities auf Assessment-Level 3, wobei Facilities die Anforderungen von Basic einschließt.
- Zahlreiche Anforderungen der Informationssicherheit wurden überarbeitet, vor allem zugunsten einer einheitlichen Auslegung zwischen Unternehmen und Prüfdienstleister.
- Einzelne bisherige Soll-Anforderungen werden zu Muss-Anforderungen.
- Bei den Normverweisen kommt NIST CSF hinzu; der Bezug auf die zurückgezogene ISO/IEC 27001 in der Fassung von 2013 entfällt.
Quelle: ENX Association, Meldung vom 01.07.2026 zur Veröffentlichung von VDA ISA2027 (enx.com).
Was das für Sie bedeutet: Steht Ihre Erst- oder Folgeprüfung an, entscheidet der Beauftragungszeitpunkt über den Aufwand. Wer noch 2026 beauftragt, prüft nach dem bekannten Katalog. Wer ohnehin erst 2027 an der Reihe ist, sollte die Lücken gegen ISA2027 frühzeitig erheben – insbesondere dort, wo aus Soll ein Muss geworden ist.
TISAX und ISO/IEC 27001 – wie beides zusammenpasst
Der VDA-ISA-Katalog orientiert sich an den Maßnahmen der ISO/IEC 27001. Ein eingeführtes Informationssicherheits-Managementsystem ist deshalb eine erhebliche Vorarbeit – aber kein Ersatz. TISAX verlangt zusätzlich branchenspezifische Anforderungen, insbesondere zum Prototypenschutz und zum Datenschutz.
In der Praxis hat sich bewährt, beides gemeinsam zu planen: ein Managementsystem, zwei Nachweise. Das vermeidet Doppelarbeit bei Dokumentation, Schulung und internen Audits.
TISAX-Vorbereitung mit der PeRoBa® Unternehmensberatung GmbH
Wir begleiten Sie von der Standortbestimmung bis zum Assessment: GAP-Analyse gegen den VDA-ISA-Katalog, Aufbau oder Anpassung des Managementsystems, Schulung der Beteiligten und Vorbereitung auf die Prüfung durch den Prüfdienstleister. Dabei gilt unser Grundsatz der Hilfe zur Selbsthilfe: Sie sollen den Nachweis anschließend eigenständig aufrechterhalten können.
Ein Projekt aus unserer Praxis – ISO/IEC 27001 und TISAX parallel eingeführt, beides erfolgreich abgeschlossen – finden Sie unter Referenzen.
Häufige Fragen zum Thema TISAX
Ist TISAX eine Zertifizierung?
Nein. TISAX ist ein Prüf- und Austauschmechanismus der ENX Association. Das Ergebnis ist ein TISAX-Label, das gezielt für einzelne Geschäftspartner freigegeben wird. Mit einem TISAX-Label darf nicht öffentlich geworben werden.
Was wird bei einem TISAX-Assessment geprüft?
Geprüft wird gegen den Fragenkatalog VDA ISA. Welche Teile davon gelten, ergibt sich aus dem Prüfziel, das Ihr Kunde benennt – etwa Informationen mit hohem oder sehr hohem Schutzbedarf, Prototypenschutz oder Datenschutz nach DSGVO.
Reicht ein ISO-27001-Zertifikat für TISAX aus?
Nein, aber es ist eine erhebliche Vorarbeit. Der VDA-ISA-Katalog orientiert sich an den Maßnahmen der ISO/IEC 27001, verlangt jedoch zusätzliche branchenspezifische Anforderungen, insbesondere zum Prototypenschutz und zum Datenschutz.
Wie bereiten wir uns auf TISAX vor?
Mit einer GAP-Analyse gegen den VDA-ISA-Katalog, der Anpassung des Managementsystems, der Schulung der Beteiligten und einer strukturierten Vorbereitung auf die Prüfung. Je früher das geforderte Prüfziel feststeht, desto genauer lässt sich der Aufwand planen.
Welcher Prüfkatalog gilt für unser Assessment?
Entscheidend ist der Zeitpunkt der Beauftragung. Bis zum 31.12.2026 beauftragte Assessments werden nach VDA ISA 6.0.3 geprüft, ab dem 01.01.2027 beauftragte nach dem neuen Katalog VDA ISA2027. Bestehende Labels bleiben bis zu ihrem Ablauf gültig.
Über PeRoBa®:
Die PeRoBa® Unternehmensberatung GmbH ist seit 1991 auf Managementsysteme spezialisiert. Der Firmensitz befindet sich seit 2011 in Baldham; zudem besteht eine Repräsentanz in der Prinzregentenstraße in München. PeRoBa® berät, prüft und bewertet, um Kunden bei der Einführung und Umsetzung ihrer Managementsysteme zu unterstützen, und bietet darüber hinaus Audits, QM-Trainings, Seminare und Workshops an. Seit Januar 2016 ist die hauseigene, patentierte Software iVision® – Smart Remote Audit Solution am Markt.
Dr. Roland Scherb ist Gründer und Geschäftsführer der nach DIN EN ISO 9001, ISO 14001 und ISO 27001 zertifizierten PeRoBa® Unternehmensberatung GmbH mit Sitz in Baldham. Er ist Präsident des Bundesverbands der Auditoren e. V., Leiter des Kompetenzforums ISO-Zertifizierungen im BVMW e. V. und Mitglied im DIN-Arbeitsausschuss NQSZ NA 147-00-07 GA zur Revision der DIN EN ISO 19011. Zudem ist er Fachbuchautor sowie Trainer und Dozent bei renommierten Bildungsträgern zu Managementsystemen und den zugehörigen Core-Methoden.
Eine Beratung gewünscht?
Wir helfen Ihnen weiter!
Vereinbaren Sie ein kostenfreies und unverbindliches Erstgespräch via Online-Termin,
oder schreiben Sie uns eine Nachricht über das Kontaktformular.
Gerne können Sie uns auch telefonisch erreichen.
Im kostenfreien Erstgespräch klären wir zuerst Ihren Bedarf.