TISAX & ISO 27001 · EVERGREEN
“Der OEM verlangt TISAX – aber wir haben nicht mal einen
IT-Verantwortlichen.” Dieser Satz fällt öfter, als man denkt:
Konstruktionsbüros, kleine Fertiger, Engineering-Dienstleister mit 15
bis 80 Mitarbeitenden stehen vor derselben Anforderung wie Konzerne, nur
ohne deren Apparat. Die gute Nachricht: TISAX ist auch ohne eigene
IT-Abteilung erreichbar – mit dem richtigen Zuschnitt.
Kurzantwort
Kleine Unternehmen ohne IT-Abteilung erreichen TISAX über drei Hebel:
einen eng geschnittenen Geltungsbereich (nur die Standorte und Prozesse,
die der Kunde wirklich fordert), konsequent ausgelagerte
Betriebsaufgaben an einen Managed-Service-Provider (Patchen, Backup,
Monitoring, M365-Betrieb) und eine extern besetzte ISB-Rolle für
Steuerung und Nachweise. Der Aufwand verlagert sich damit vom Aufbauen
eigener Strukturen zum Steuern von Dienstleistern – genau das prüft
TISAX dann auch: nicht ob Sie alles selbst tun, sondern ob es
verlässlich getan und gesteuert wird.
Warum
Auslagern hier kein Trick ist, sondern der Weg
TISAX verlangt funktionierende Prozesse – nicht eigene Server-Räume.
Ob Patches, Backups und Monitoring von eigenen Admins oder einem
Dienstleister kommen, ist dem Katalog egal; verlangt werden
Verlässlichkeit, Nachweise und Steuerung. Für kleine Häuser ist der
Managed-Betrieb sogar der leichtere Nachweisweg: Ein professioneller
Provider liefert Reports, Ticket-Historie und dokumentierte Prozesse
frei Haus – genau das Material, das Assessoren sehen wollen. Wichtig
bleibt Ihre Rolle: Lieferantensteuerung mit Vertrag, Ansprechpartnern
und regelmäßigem Blick auf die Berichte gehört zu den geprüften
Anforderungen.
Der realistische Fahrplan
für Kleine
- Kundenanforderung klären: Welches Prüfziel, welches
Level, welche Standorte? Nicht mehr einkaufen als gefordert. - Scope minimal schneiden: Ein Standort, die
relevanten Prozesse – jeder vermeidbare Quadratmeter spart Wochen. - Betrieb auslagern oder ordnen: Endpoint-Schutz,
Patch-Management, Backup mit Wiederherstellungstests, M365-Härtung – als
Paket beim MSP statt als Bastellösung. - ISB extern besetzen: Die Rolle braucht Normwissen
und Unabhängigkeit; als externes Mandat kostet sie einen Bruchteil einer
Stelle und bringt Audit-Erfahrung mit. - Nachweise von Tag eins sammeln: Schulungen,
Besucherregelung, Berechtigungen – kleine Organisationen haben kurze
Wege; das ist im Audit ein echter Vorteil.
Was es realistisch kostet
Die ehrliche Botschaft: TISAX ist auch klein kein Nebenbei-Projekt.
Aber die Kombination aus schlankem Scope, Managed-Betrieb und externem
ISB ist für 20–80 Mitarbeitende fast immer deutlich günstiger als der
Versuch, eigene Strukturen aufzubauen – und schneller: Monate statt
Jahre. Die Prüfkosten selbst richten sich nach Level und Scope; die
Gesamtdauer haben wir im Beitrag Wie lange dauert
TISAX? aufgeschlüsselt.
Häufige Fragen (FAQ)
Akzeptiert der Assessor ausgelagerte IT? Ja –
geprüft wird die Steuerung: Verträge, Verantwortlichkeiten, Berichte,
Reaktion auf Abweichungen. “Macht unser Dienstleister” ist eine gültige
Antwort, wenn der Nachweis der Steuerung folgt.
Brauchen wir trotzdem interne Zuständige? Eine
interne Ankerperson ja – für Entscheidungen, Zutritt, Personalprozesse.
Die Fach- und Dokumentationsarbeit kann extern liegen.
Geht das auch mit unserem bisherigen “IT-Betreuer auf
Zuruf”? Selten – Zuruf-Modelle scheitern an Nachweisen und
Reaktionszeiten. TISAX ist oft der Anlass, vom Bastelmodus auf einen
echten Managed-Vertrag zu wechseln.
Fazit
Keine IT-Abteilung zu haben ist kein TISAX-Hindernis – keine
gesteuerten Prozesse zu haben schon. Kleine Zulieferer fahren am besten
mit minimalem Scope, professionellem Managed-Betrieb und extern
besetzter ISB-Rolle: Das Label wird erreichbar, und die IT ist danach
besser aufgestellt als je zuvor. Genau dieses Kombipaket – Managed IT, externer ISB und TISAX-Begleitung aus einer Hand –
ist unser Kerngeschäft.
Ihr OEM fordert TISAX und Sie wissen nicht, wo anfangen? Kostenloses Erstgespräch –
wir sortieren das gemeinsam.