TISAX ASSESSMENT LEVELS
Eine der ersten praktischen Fragen bei der TISAX-Vorbereitung lautet
nicht “Was müssen wir dokumentieren?”, sondern “Welches Prüfniveau wird
von uns überhaupt verlangt?”. Diese Frage entscheidet über Aufwand,
Kosten und Zeitplan erheblich – und wird in der Praxis erstaunlich oft
falsch angenommen statt beim OEM konkret abgefragt.
Die drei Assessment
Levels im Überblick
AL1 – Selbsteinschätzung. Das Unternehmen bewertet
sich selbst anhand des VDA-ISA-Katalogs, ohne externe Prüfung. Es
entsteht kein TISAX-Label, das über die ENX-Plattform mit
Geschäftspartnern geteilt werden kann. AL1 wird in der Praxis kaum von
OEMs verlangt und eignet sich vor allem als interner Reifegrad-Check vor
einem höheren Level.
AL2 – Remote-Prüfung. Ein ENX-zugelassener
Prüfdienstleister bewertet das Unternehmen anhand eingereichter
Dokumente und strukturierter Interviews, ohne Vor-Ort-Termin. Das ist
das mit Abstand häufigste geforderte Level für Zulieferer ohne Zugriff
auf besonders kritische Informationen wie Fahrzeugprototypen.
AL3 – Vor-Ort-Audit. Zusätzlich zur Dokumenten- und
Interviewprüfung findet eine physische Begehung durch den
Prüfdienstleister statt. AL3 wird typischerweise verlangt, wenn ein
Unternehmen Zugriff auf besonders schützenswerte Informationen hat –
etwa im Rahmen des Prototypenschutz-Moduls.
Warum
die Annahme “wir brauchen sicher AL3” oft falsch ist
In der Praxis überschätzen viele Unternehmen das von ihnen benötigte
Level – aus Vorsicht oder weil ein Wettbewerber angeblich AL3 hat. Das
führt zu unnötig hohem Aufwand: AL3 bedeutet einen deutlich größeren
Zeit- und Kostenblock als AL2, allein durch die Vor-Ort-Begehung des
Prüfdienstleisters.
Das tatsächlich benötigte Level richtet sich nicht nach der eigenen
Einschätzung, sondern nach der konkreten Anforderung des jeweiligen OEMs
oder Hauptkunden – meist festgelegt im Rahmen der Geschäftsbeziehung
oder eines Sicherheitsfragebogens. Die erste sinnvolle Handlung ist
daher nicht die Vorbereitung selbst, sondern die klare Abfrage beim
Auftraggeber: Welches Level wird für welches Modul konkret verlangt?
Wie sich das
Level auf Aufwand und Kosten auswirkt
Der Unterschied zwischen AL2 und AL3 ist kein kleiner
Formalitätsunterschied:
- Zeitaufwand des Prüfdienstleisters: AL3 erfordert
Reise- und Begehungszeit vor Ort, AL2 nicht. - Vorbereitungstiefe: Bei AL3 müssen auch physische
Schutzmaßnahmen (Zugangskontrollen, Videoüberwachung,
Besucherregelungen) nachweisbar sein, nicht nur Dokumente und
IT-Konfiguration. - Kosten: AL3-Assessments liegen für KMU
üblicherweise deutlich über den Kosten eines AL2-Assessments – Details
dazu im Kostenüberblick zu
TISAX.
Praktisches Vorgehen
zur Level-Bestimmung
- Klären Sie mit dem auftraggebenden OEM oder Hauptkunden schriftlich,
welches Assessment Level für welches Modul (Informationssicherheit,
Datenschutz, Prototypenschutz) konkret verlangt wird. - Prüfen Sie, ob unterschiedliche Kunden unterschiedliche Level
fordern – in diesem Fall zählt das jeweils höchste geforderte Level für
den entsprechenden Scope. - Vermeiden Sie, sich präventiv für ein höheres Level als nötig zu
entscheiden, nur um “auf der sicheren Seite” zu sein.
Häufige Fragen (FAQ)
Reicht ein AL2-Label, wenn ein Kunde AL3 verlangt?
Nein. Das Label muss dem tatsächlich geforderten Level entsprechen. Ein
niedrigeres Level als gefordert wird vom Kunden in der Regel nicht
akzeptiert.
Kann man später von AL2 auf AL3 upgraden? Ja, das
ist ein gängiger Weg, wenn sich die Anforderungen ändern – etwa weil ein
neuer Kunde mit Prototypenzugriff hinzukommt. Ein bestehendes
AL2-Assessment bildet dabei eine gute Grundlage, ersetzt aber nicht die
zusätzlichen AL3-spezifischen Nachweise.
Muss für jedes Modul dasselbe Level gelten? Nein. Es
ist möglich, dass etwa das Modul Informationssicherheit auf AL2 geprüft
wird, während für Prototypenschutz AL3 verlangt wird, wenn tatsächlich
Prototypenzugriff besteht.
Wie stellt UBESAFE sicher, dass wir nicht unnötig hoch
ansetzen? Im Rahmen eines internen Audits klären wir
zunächst den tatsächlich benötigten Scope und das Level, bevor
Vorbereitungsaufwand investiert wird – Techniker mit Erfahrung in
Netzwerk, Microsoft 365 und Virtualisierung bewerten dabei auch, welche
technischen Nachweise für das jeweilige Level realistisch zu erbringen
sind.
Fazit
Das richtige Assessment Level zu bestimmen ist der erste und oft
unterschätzte Schritt der TISAX-Vorbereitung. Wer hier zu großzügig
plant, investiert unnötig Zeit und Geld in ein höheres Level als
gefordert – wer zu knapp plant, riskiert ein Assessment, das nicht zum
Anforderungsprofil des Kunden passt.
UBESAFE klärt die passende Assessment-Level-Einstufung im Rahmen
der TISAX-Vorbereitung mit. Vereinbaren Sie ein kostenloses Erstgespräch, um
Ihren konkreten Fall einzuordnen.