„Wir brauchen bis Quartalsende die TISAX-Zertifizierung“ – diesen Satz hören wir in fast jedem Erstgespräch mit Zulieferern. Er ist verständlich, denn so steht es oft in der Mail des Einkaufs. Er ist aber fachlich falsch, und das hat praktische Folgen: Wer TISAX® wie eine ISO-Zertifizierung plant, plant an der falschen Stelle. Dieser Beitrag klärt, was TISAX® wirklich ist, wer prüft, was Sie am Ende bekommen – und wie Sie den Weg dorthin planen.
Warum TISAX® keine Zertifizierung ist
TISAX® steht für Trusted Information Security Assessment Exchange. Das Wort, auf das es ankommt, ist Assessment: eine Bewertung Ihres Informationssicherheits-Managements gegen den Fragenkatalog VDA ISA, durchgeführt von einem Prüfdienstleister, den die ENX Association zugelassen hat. Am Ende steht kein Zertifikat, das Sie an die Wand hängen, sondern ein Label – ein Prüfergebnis, das Sie über die ENX-Plattform gezielt mit Ihren Kunden teilen.
Der Unterschied ist mehr als Wortklauberei. Eine ISO-27001-Zertifizierung stellt eine akkreditierte Zertifizierungsstelle öffentlich aus. Ein TISAX®-Ergebnis dagegen gehört Ihnen, und Sie entscheiden, welcher OEM oder Auftraggeber es sehen darf. Deshalb fragen Einkäufer auch nicht nach einem Zertifikat, sondern nach Ihrer Assessment-ID und den freigegebenen Labels.
Was Sie am Ende tatsächlich bekommen: Labels
Welche Labels Sie brauchen, gibt Ihr Auftraggeber vor – meist im Vertrag oder im Lieferantenportal. Die Labels bündeln drei Themen:
- Informationssicherheit – bei hohem oder sehr hohem Schutzbedarf, etwa für Entwicklungsdaten
- Prototypenschutz – für Prototypteile, Prototypfahrzeuge, Erprobungsfahrzeuge sowie Events und Shootings
- Datenschutz – wenn Sie personenbezogene Daten im Auftrag verarbeiten
Das Ergebnis gilt drei Jahre. Danach steht eine erneute Bewertung an – und in der Zwischenzeit muss das ISMS leben, sonst beginnt die Vorbereitung beim nächsten Mal von vorn.
Wer prüft – und wie tief: die Assessment-Level
Wie gründlich geprüft wird, hängt am Assessment-Level. Bei AL2 prüft der Prüfdienstleister Ihre Selbsteinschätzung anhand von Nachweisen und Interviews, in der Regel remote. Bei AL3 kommt er an den Standort, schaut in Bereiche, Systeme und Abläufe und nimmt Stichproben. AL3 ist Pflicht bei sehr hohem Schutzbedarf und bei Prototypenschutz. Die Details stehen im Beitrag TISAX® Assessment-Level AL1, AL2, AL3.
Wichtig für die Planung: Den Prüfdienstleister wählen Sie selbst aus der Liste der ENX-zugelassenen Anbieter. Ein Berater, der Sie vorbereitet, darf Sie nicht gleichzeitig prüfen. Wer Ihnen „die Zertifizierung“ aus einer Hand verspricht, verwechselt entweder die Begriffe oder die Rollen.
Der Weg zum Label in fünf Schritten
- Registrierung im ENX-Portal: Unternehmen, Standorte und Scope festlegen
- Gap-Analyse gegen VDA ISA: Welche Prüfziele sind offen, welche Nachweise fehlen?
- Umsetzung: ISMS, Richtlinien, technische Maßnahmen, Schulungen – der eigentliche Aufwand
- Assessment durch den Prüfdienstleister, bei AL3 vor Ort
- Abschluss: Abweichungen beheben, Labels erhalten, mit Kunden teilen
Der größte Block ist fast immer Schritt drei – und er scheitert selten an der Technik, sondern an fehlenden Nachweisen. Eine Vorprüfung vor dem eigentlichen Assessment deckt genau das auf; bei uns ist das das interne Audit.
Was das kostet
Die Kosten setzen sich aus Assessment, Vorbereitung, Begleitung und laufendem Betrieb zusammen – und hängen vor allem an Assessment-Level, Zahl der Standorte und Reifegrad Ihres ISMS. Eine ehrliche Aufstellung mit Spannen finden Sie im Beitrag Was kostet TISAX® wirklich?.
Und warum das Wort trotzdem überall steht
„TISAX-Zertifizierung“ hat sich im Sprachgebrauch festgesetzt – in Ausschreibungen, Lieferantenanfragen und Suchmaschinen. Das ist kein Problem, solange alle Beteiligten wissen, was gemeint ist: ein Assessment mit Labels, durchgeführt von einem zugelassenen Prüfdienstleister, vorbereitet von Ihnen und Ihrem Berater. Wer das im ersten Gespräch mit dem Einkauf klarstellt, spart später Missverständnisse über Fristen und Zuständigkeiten.
Wie wir Sie begleiten
UBESAFE bereitet Zulieferer und Engineering-Dienstleister auf das Assessment vor – von der Gap-Analyse bis zum Label, mit einem externen Informationssicherheitsbeauftragten für die Zeit danach. Beraten wird überwiegend remote aus Wolfsburg, beim AL3-Assessment sind wir vor Ort, auch an Auslandsstandorten. Und weil wir Firewall, Clients und Microsoft 365 auf Wunsch selbst betreiben, entstehen die Nachweise im Alltag statt in den Wochen vor der Prüfung.
Sie planen TISAX®? Erstgespräch buchen – 30 Minuten, direkt mit dem Fachteam und Alexander Brütsch oder Stefan Wagner.
Passende Leistung: TISAX® – Assessment-Begleitung bis zum Label