TISAX® AL2 & AL3 – von der Kundenanforderung bis zum Label.

TISAX® wird vor allem von Unternehmen benötigt, die schützenswerte Informationen für OEMs, Tier-1-Zulieferer oder andere Teilnehmer der Automobilindustrie verarbeiten. Maßgeblich ist die konkrete Kunden-, Vertrags- oder Vergabeanforderung – nicht allein die Branche.

Ja. Wir übersetzen sie zunächst in Assessment-Ziele, Assessment-Level, Schutzbedarf, Scope und Terminrahmen. Unklare Punkte stimmen Sie danach mit dem fordernden Kunden ab, bevor Zeit und Budget auf falschen Annahmen geplant werden.

Nein. Umgangssprachlich wird häufig von einer Zertifizierung oder einem Zertifikat gesprochen. Formal geht es um ein Assessment und den Austausch von Assessment-Ergebnissen beziehungsweise TISAX®-Labels über ENX. UBESAFE bereitet vor; das Ergebnis vergibt ausschließlich ein ENX-zugelassener Prüfdienstleister.

Bei AL2 erfolgt eine Plausibilitätsprüfung von Selbsteinschätzung, Nachweisen und Interviews, typischerweise remote. AL3 verlangt eine deutlich tiefere Verifikation und umfasst Vor-Ort-Prüfungen sowie technische und organisatorische Stichproben.

Nur wenn der fordernde Kunde keine eindeutige Vorgabe gemacht hat. In der Praxis leiten sich Level und Assessment-Ziele aus Schutzbedarf, Informationsart und Kundenanforderung ab. Eine niedrigere Einstufung kann wertlos sein, wenn der Kunde AL3 erwartet.

Typisch sind Informationssicherheit bei hohem oder sehr hohem Schutzbedarf, Prototypenschutz, Datenschutz sowie hohe oder sehr hohe Verfügbarkeit. Die Kombination bestimmt zusätzlich betrachtete Prozesse, Bereiche, technische Maßnahmen und Nachweise.

Prototypenschutz erweitert die Prüfung unter anderem um Zonen, Zutritt, Besucher, Transporte, Foto- und Geheimhaltungsregeln. Hohe Verfügbarkeit lenkt den Blick stärker auf Abhängigkeiten, Notfallvorsorge, Wiederanlauf, Tests sowie RTO- und RPO-Aussagen.

In den Scope gehören alle relevanten Orte, Dienste und Verantwortlichkeiten, an denen erfasste Informationen verarbeitet oder geschützt werden. Dazu können Niederlassungen, zentrale IT, Homeoffice, Rechenzentren, Cloud-Plattformen und externe Administratoren gehören.

Ja, sofern sie den Scope beeinflussen. Bei Homeoffice zählen Regeln, Endgeräte, Identitäten und Datentransfer. Bei Dienstleistern werden Auswahl, Verträge, Sicherheitsanforderungen, Nachweise, Überwachung und Exit-Strategie betrachtet.

Für eine belastbare organisatorische und technische Umsetzung sind meist sechs bis zehn Monate realistisch. Der Zeitraum hängt von Scope, Reifegrad, Standorten, technischer Lücke, Kundenzuarbeit, Entscheidungswegen und Prüfdienstleister-Verfügbarkeit ab.

Nach einer Machbarkeitsprüfung kann ein Projekt stark verdichtet werden. Dafür braucht es sofort verfügbare Fachbereiche, kurze Freigabewege, priorisierte Umsetzung und reservierte Kapazitäten. Der Zusatzaufwand erhöht die Kosten; das Ergebnis des Assessments kann niemand garantieren.

Die Registrierung sollte geplant werden, sobald Scope und Assessment-Ziele belastbar sind. Wenn der Kundentermin Spielraum lässt, empfehlen wir vor der verbindlichen Assessment-Beauftragung ein internes Audit und eine Readiness-Entscheidung. Bei knappen Fristen können Registrierung und Kapazitätsabfrage parallel laufen.

Nein. Nach dem ENX Participant Handbook beginnt die maximale Korrektur- und Follow-up-Phase mit dem Closing Meeting des Initial Assessments. Kunden oder Prüfdienstleister können jedoch eigene frühere Liefer- und Terminfristen setzen.

Sobald Ziele, Scope, Sprache, Standorte und ein realistisches Terminfenster feststehen, sollten Verfügbarkeit und Konditionen ENX-zugelassener Prüfdienstleister geprüft werden. Beratung und unabhängiges Assessment bleiben getrennt.

Für einen kleinen Standort mit rund zehn Mitarbeitenden und klarem Scope kalkulieren wir AL2 ab 12.000 Euro und AL3 ab 18.000 Euro netto – internes Audit, Richtlinien und Nachweisführung sind darin enthalten. Für ein Unternehmen mit rund 50 Mitarbeitenden an einem Standort liegt der UBESAFE-Anteil bei AL2 bei etwa 18.000 Euro netto. Mehr Standorte, größerer Scope oder zusätzliche Assessment-Ziele erhöhen den Aufwand.

Zusätzlich fallen die ENX-Registrierung mit 405 Euro je Standort und das offizielle Assessment durch den Prüfdienstleister an – für AL2 üblicherweise rund 3.500 Euro, für AL3 eher 6.000 bis 7.000 Euro. Je nach Projekt kommen Reisen, Lizenzen, Hardware, bauliche Maßnahmen, Penetrationstests oder Managed Services hinzu. Diese Positionen weisen wir getrennt aus.

Mehrere Standorte bedeuten zentrale und lokale Interviews, unterschiedliche technische Realitäten, mehr Evidenz sowie Reise-, Sprach- und Abstimmungsaufwand. Pro Standort entsteht ein eigener Dokumentensatz – der Umfang wächst nicht linear, aber er wächst. Gruppen- und Konzernprojekte bekommen deshalb erst nach einem strukturierten Scoping einen Korridor.

Die Einstiegspreise gehen bereits von geringer eigener Zuarbeit aus – wir übernehmen also den Großteil. Nötig sind eine entscheidungsfähige Projektleitung, erreichbare Fachbereiche, Zugang zu vorhandenen Richtlinien und Systeminformationen sowie zeitnahe Freigaben. Je mehr Sie selbst beisteuern, desto niedriger fällt der Aufwand aus.

Das Risikoregister begründet, welche Maßnahmen priorisiert, reduziert, übertragen oder befristet akzeptiert werden. Der ausgefüllte ISA-Katalog beschreibt je Control die Umsetzung und verlinkt Richtlinien, Verantwortliche, technische Maßnahmen und Nachweise.

Eine Akzeptanz kann begründet und formal freigegeben werden, sollte bei hohen Risiken aber nicht unbegrenzt gelten. UBESAFE dokumentiert Verantwortlichen, Behandlung, Restrisiko, Freigabe, Prüfdatum und Wiedervorlage.

Eine Richtlinie ist nur die Vorgabe. Der Prozess muss definiert, verantwortlich, regelmäßig durchgeführt, nachvollziehbar belegt und auf Wirksamkeit geprüft sein. Deshalb verbinden wir Control, Ablauf, Technik und aktuellen Nachweis.

Ein Tool kann Struktur, Fristen und Verlinkungen unterstützen. Es ersetzt aber weder Risikoentscheidungen noch Prozessverständnis. Im Assessment werden Verantwortliche gefragt, nicht das Tool.

Ja. Abhängig von Lücke und Risiko übernimmt UBESAFE unter anderem M365-Härtung, MFA, Berechtigungsreviews, Firewall und Segmentierung, Endpoint-Security, SIEM/MDR, Restore-Tests, Schwachstellenmanagement, Penetrationstests und technische Nachweisführung.

Wir prüfen Richtlinien und Control-Beschreibungen, befragen Geschäftsführung, IT und Fachbereiche, bewerten Nachweise und führen technische sowie organisatorische Stichproben durch. Ergebnis ist ein priorisierter Bericht mit Konformitätsbewertung und Maßnahmenplan. In den AL2- und AL3-Paketen ist das Audit enthalten; einzeln beauftragt liegt es bei 3.500 bis 6.500 Euro netto, bei paralleler Beauftragung einer weiteren Leistung bei 3.500 Euro.

Möglich sind Anmeldungen mit Admin- oder Benutzerkonten, Passwort- und MFA-Konfiguration, Berechtigungen, Patchstände, Firewall-Regeln, Protokollierung, Restore-Nachweise, Zutritt, Besuchermanagement, Clean Desk und die Erreichbarkeit einer Notfallkette.

Mitarbeitende kennen ihre Rolle, antworten nur zu ihrem Bereich, raten nicht, holen bei Unsicherheit den Prozesseigner hinzu und zeigen ausschließlich den passenden Nachweis. Empfang, Besucherregeln, Zonen, Bildschirm-Sperre, Clean Desk und Meldewege werden realistisch geprüft – ohne Inszenierung.

Ja. Bei vereinbarten Terminen unterstützt UBESAFE bei Nachweisnavigation, technischer Einordnung, Control-Zuordnung und Dokumentation von Rückfragen. Die verantwortlichen Mitarbeitenden beantworten ihre fachlichen Fragen weiterhin selbst.

Bei einer geringfügigen Nichtkonformität kann ein akzeptierter Korrekturmaßnahmenplan temporäre Labels ermöglichen. Bei einer wesentlichen Nichtkonformität sind zunächst wirksame Korrekturen erforderlich. UBESAFE strukturiert Ursache, Maßnahme, Verantwortlichen, Frist und Nachweis.

Nein. Temporäre Labels setzen eine passende Gesamtbewertung und einen akzeptierten Korrekturmaßnahmenplan voraus. Sie sind kein Ersatz für Vorbereitung und bei wesentlichen Nichtkonformitäten nicht verfügbar.

TISAX®-Labels sind grundsätzlich drei Jahre gültig. Während dieser Zeit müssen Risiken, Reviews, Schulungen, technische Kontrollen, Lieferanten, Notfalltests und Nachweise weitergeführt werden. Das Reassessment sollte frühzeitig beginnen.

Auf Wunsch übernimmt UBESAFE den laufenden ISMS-Betrieb als externer ISB oder CISO sowie Managed IT und Managed Security – inklusive Risiko- und Maßnahmenreviews, Nachweisplanung, Awareness, SIEM/MDR, Restore-Tests, internen Audits und Reassessment-Vorbereitung.