INFORMATIONSSICHERHEIT IN DER AUTOMOBILINDUSTRIE
TISAX ist der Prüfstandard, mit dem die Automobilindustrie die Informationssicherheit ihrer Zulieferer und Dienstleister bewertet. Wer für einen OEM wie Volkswagen, BMW oder Mercedes arbeitet, kommt an TISAX praktisch nicht vorbei. Dieser Guide gibt einen vollständigen Überblick – und geht auf einen Punkt ein, der aktuell für Verwirrung sorgt: den Wechsel des Prüfkatalogs, der ab 2027 greift.
Was TISAX ist und woher es kommt
TISAX steht für Trusted Information Security Assessment Exchange. Entwickelt wurde der Standard vom Verband der Automobilindustrie (VDA), betrieben wird er seit 2016 von der ENX Association. Formal ist TISAX kein Zertifikat, sondern ein Assessment-Ergebnis: Unternehmen durchlaufen eine Prüfung und erhalten ein Label, das über die ENX-Plattform mit Geschäftspartnern geteilt werden kann – ohne dass jeder OEM einen eigenen Fragebogen verschickt.
Grundlage jeder Prüfung ist der VDA ISA Katalog (Information Security Assessment), der sich eng an ISO 27001 orientiert, aber auf die Besonderheiten der Automobilbranche zugeschnitten ist.
Wer TISAX braucht
Rechtlich ist TISAX keine Pflicht, faktisch aber eine Marktvoraussetzung. Betroffen sind in der Regel:
- Tier-1- und Tier-2-Zulieferer von Bauteilen und Systemen
- IT-Dienstleister, die Software für OEMs entwickeln oder betreiben
- Engineering-Dienstleister mit Zugriff auf Konstruktions- oder Fahrzeugdaten
- Logistikpartner mit Zugang zu Prototypen oder vertraulichen Transportdaten
- Agenturen, die vor Markteinführung mit Fahrzeugbildern oder Kampagnenmaterial arbeiten
Faustregel: Enthält der Vertrag mit einem OEM eine Geheimhaltungsvereinbarung und verarbeiten Sie dessen Informationen, wird TISAX früher oder später zur Voraussetzung für die Zusammenarbeit.
Der aktuelle Prüfkatalog: VDA ISA 6
Der derzeit gültige Katalog, VDA ISA 6, umfasst 80 Prüfkriterien (Controls) in drei Modulen:
Modul 1 – Informationssicherheit (Pflicht für alle Teilnehmer): Sicherheitsrichtlinien, Risikomanagement, Zugriffskontrollen, IT-Sicherheit, Personalthemen, physische Sicherheit, Lieferantenmanagement.
Modul 2 – Datenschutz (bei Verarbeitung personenbezogener Daten im OEM-Auftrag): angelehnt an die DSGVO, unter anderem Verarbeitungsverzeichnisse und Datentransfers.
Modul 3 – Prototypenschutz (bei Zugriff auf Fahrzeugprototypen oder streng vertrauliche Entwicklungsdaten): physische und organisatorische Schutzmaßnahmen für Testfahrzeuge und Veranstaltungen.
Geprüft wird auf einem von drei Assessment Levels: AL1 (Selbsteinschätzung ohne Label), AL2 (Remote-Prüfung mit Dokumentenprüfung und Interviews) oder AL3 (Vor-Ort-Audit mit Begehung). Die meisten OEMs verlangen AL2 oder AL3.
Von der ENX-Registrierung bis zur Label-Vergabe vergehen üblicherweise 6 bis 18 Monate, wobei die Vorbereitung – Gap-Analyse und Aufbau eines Informationssicherheits-Managementsystems (ISMS) – den größten Zeitblock einnimmt. Das Label ist danach drei Jahre gültig.
Der eigentliche Punkt: Der Katalog wechselt 2027 – und heißt nicht „7.0“
Hier lohnt sich Genauigkeit, weil an dieser Stelle viel Verwirrung entsteht: Der Nachfolger von VDA ISA 6 trägt keine Versionsnummer 7, sondern heißt VDA ISA 2027. Der VDA und ENX haben die Namenskonvention bewusst umgestellt – von Punkt-Versionen (5.1, 6.0) auf Jahreszahlen. Ab sofort soll jährlich eine neue Katalogversion erscheinen; die nächste, ISA 2028, ist bereits für Sommer 2027 angekündigt.
Inhaltlich bringt der VDA ISA 2027 unter anderem:
- Eine Anpassung an ISO/IEC 27001:2022
- Eine neue Zuordnung zum NIST Cybersecurity Framework 2.0
- Sprachlich präzisierte Controls mit weniger Interpretationsspielraum
- Einen stärkeren Fokus auf Cybersecurity und Lieferkettensicherheit über die klassische IT-Abteilung hinaus
- Die konsequente Umbenennung von „Zertifizierung“ zu „Label“ – TISAX vergibt formal ohnehin kein Zertifikat
Der neue Katalog wird für Assessments verbindlich, die ab dem 1. Januar 2027 beauftragt werden. Bereits erteilte TISAX-Labels verlieren dadurch nicht automatisch ihre Gültigkeit – ein Assessment, das 2026 nach VDA ISA 6 begonnen oder abgeschlossen wird, bleibt regulär gültig.
Was das für Ihre Planung 2026 konkret bedeutet
Wer sein Assessment noch in diesem Jahr (2026) anmeldet, arbeitet regulär noch mit dem VDA ISA 6 Katalog. Das ist zunächst unkritisch. Trotzdem lohnt es sich, die Anforderungen des VDA ISA 2027 bereits jetzt mitzudenken, aus einem einfachen Grund: Das TISAX-Label gilt drei Jahre. Ein Assessment, das 2026 nach ISA 6 abgeschlossen wird, läuft in die Zeit hinein, in der der neue Katalog längst Standard ist – spätestens beim Re-Assessment in drei Jahren wird gegen die dann aktuelle Version geprüft.
Wer die absehbaren Schwerpunkte des VDA ISA 2027 – insbesondere die Anpassung an ISO 27001:2022 und den erweiterten Cybersecurity-Fokus – bereits in die laufende ISMS-Dokumentation einfließen lässt, vermeidet zwei typische Probleme:
- Kurzfristigen Nacharbeitsdruck unmittelbar vor dem nächsten Re-Assessment, wenn Lücken erst spät auffallen.
- Doppelarbeit, weil Dokumentation und Prozesse zweimal in kurzer Folge überarbeitet werden müssen – einmal für ISA 6, kurz danach erneut für ISA 2027.
In der Praxis heißt das: Bei der Gap-Analyse gegen VDA ISA 6 lohnt sich ein zusätzlicher Blick darauf, welche der absehbaren Anforderungen aus ISA 2027 – etwa im Bereich Risikomanagement, Lieferantensteuerung oder technischer Cybersecurity-Nachweise – ohne großen Mehraufwand direkt mit abgedeckt werden können. So bleibt das aufgebaute ISMS über den Katalogwechsel hinweg tragfähig, statt bei jedem Versionswechsel neu aufgesetzt zu werden.
Kosten im Überblick
- ENX-Registrierung: 405 Euro einmalig pro Standort (drei Jahre gültig)
- Assessmentkosten: ca. 3.500 Euro (AL2) bis 6.000–7.000 Euro (AL3) für KMU, zzgl. 1.000–2.000 Euro je zusätzlichem Modul
- Größter Kostenblock: die Vorbereitung – ISMS-Aufbau, Gap-Analyse, Dokumentation – abhängig vom bestehenden Reifegrad und davon, ob intern, mit externer Unterstützung oder softwaregestützt gearbeitet wird
Häufige Fragen (FAQ)
Muss ich mein laufendes TISAX-Label wegen VDA ISA 2027 vorzeitig erneuern? Nein. Bereits erteilte Labels bleiben bis zum Ablauf ihrer regulären drei Jahre gültig. Der neue Katalog betrifft ausschließlich Assessments, die ab dem 1. Januar 2027 neu beauftragt werden.
Wird ISA 2027 komplizierter als ISA 6? Der VDA selbst beschreibt den Schritt als Weiterentwicklung, nicht als Neuausrichtung. Wer sein ISMS aktiv pflegt statt es nach dem ersten Assessment abzulegen, kann die Anpassung im laufenden Betrieb bewältigen. Kritisch wird es vor allem für Unternehmen, die ihr ISMS als einmaliges Projekt statt als fortlaufenden Prozess behandelt haben.
Sollte ich mein Assessment noch 2026 oder erst 2027 anmelden? Das hängt vom eigenen Zeitplan und den OEM-Vorgaben ab. Ein Assessment 2026 nach ISA 6 ist regulär gültig und keine schlechtere Wahl. Wichtig ist, unabhängig vom Anmeldezeitpunkt die absehbaren ISA-2027-Schwerpunkte bereits in die ISMS-Dokumentation einzubeziehen, damit das nächste Re-Assessment ohne größere Nacharbeit gelingt.
Wo finde ich den offiziellen VDA ISA 2027 Katalog? Der Katalog wird über die ENX Association veröffentlicht und steht dort zum Download bereit, sobald die finale Version freigegeben ist.
Was ein internes Audit gegen VDA ISA kostet
Bevor der eigentliche Katalogwechsel zum Problem wird, lohnt sich ein Blick auf den aktuellen Stand des eigenen ISMS – am planbarsten über ein internes Audit. Das ist bewusst kein offenes Beratungsprojekt, sondern ein Festpreis-Paket zwischen 3.500 € und 6.500 € netto, je nach Unternehmensgröße, Standorten und technischem Scope. Für ein typisches Unternehmen mit rund 50 Mitarbeitenden an einem Standort liegt der Durchschnittspreis bei etwa 4.500 € netto.
Enthalten sind unter anderem:
- 2 Tage organisatorisches Audit (Prozesse, Interviews mit Management und Fachbereichen)
- 1 Tag technisches Audit (u. a. Microsoft 365, Infrastruktur, Identitäten)
- Auditbericht mit Konformitätsbewertung
- Priorisierter Maßnahmenplan mit Verantwortlichkeiten
Von Kick-off bis fertigem Bericht sind in der Regel 1 bis 2 Wochen realistisch. Für den VDA-ISA-Kontext bedeutet das konkret: Im selben Zug, in dem der Status gegen den aktuellen ISA-6-Katalog geprüft wird, lässt sich gezielt mitbewerten, welche der absehbaren ISA-2027-Schwerpunkte bereits abgedeckt sind – ohne separaten zweiten Auftrag.
Technische Lücken nicht nur dokumentieren, sondern schließen
Ein Auditbericht zeigt Lücken auf – geschlossen werden müssen sie im laufenden Betrieb. Gerade bei den cybersecurity-relevanten Anforderungen des VDA ISA (Zugriffskontrollen, Endpoint- und Netzwerksicherheit, Sensibilisierung der Belegschaft) lohnt sich der Blick auf feste Managed Services ab 350 € pro Monat: UTM-Firewall, Endpoint-Schutz und Security-Awareness-Trainings lassen sich als planbare, monatliche Bausteine hinzubuchen, statt jede Maßnahme einzeln zu beschaffen und zu betreuen. Details dazu finden Sie unter Firewall & Netzwerk und Security Awareness.
So bleibt der Aufwand nach dem Audit derselbe wie davor: planbar, zum Festpreis beziehungsweise zur festen Monatsrate – statt eines offenen Projekts mit unklarem Enddatum.
Fazit
TISAX bleibt für Unternehmen in der Automobil-Lieferkette eine Geschäftsvoraussetzung, keine Kür. Der Wechsel von Versionsnummern zu Jahreszahlen ist mehr als eine kosmetische Änderung – er bedeutet einen jährlichen Aktualisierungsrhythmus, auf den ein gepflegtes ISMS deutlich entspannter reagiert als eine einmal erstellte und dann abgelegte Dokumentation. Wer 2026 ins Assessment geht, sollte den Blick auf 2027 nicht erst beim Re-Assessment richten, sondern jetzt.
UBESAFE begleitet Unternehmen durch die TISAX-Vorbereitung – von der Gap-Analyse gegen den aktuellen Katalog bis zur strukturierten Berücksichtigung kommender Anforderungen, damit aus dem Katalogwechsel 2027 keine Überraschung wird. Im Rahmen eines internen Audits zum Festpreis lässt sich der aktuelle Stand Ihres ISMS gegen VDA ISA 6 und die absehbaren Schwerpunkte von ISA 2027 gemeinsam einordnen. Vereinbaren Sie dazu ein kostenloses Erstgespräch.