TISAX-KOSTEN
„Was kostet TISAX?“ ist meist die erste Frage, sobald ein OEM das Label verlangt – und die am schwersten pauschal zu beantwortende. Der Grund: TISAX-Kosten verteilen sich auf drei unabhängige Blöcke, die häufig miteinander verwechselt werden. Dieser Überblick trennt sie auseinander.
Block 1: Die ENX-Registrierung
Der kleinste und am einfachsten zu kalkulierende Posten. Die Registrierung bei der ENX Association kostet 405 Euro einmalig pro Standort, gültig für drei Jahre. Hier wird der Scope festgelegt: welche Standorte, welche Module (Informationssicherheit, Datenschutz, Prototypenschutz), welches Assessment Level.
Block 2: Das offizielle Assessment durch den Prüfdienstleister
Das eigentliche TISAX-Assessment wird von einem ENX-zugelassenen Prüfdienstleister durchgeführt – nicht von einer Beratung, sondern von einer unabhängigen Prüfstelle. Die Kosten hängen vom Assessment Level und der Unternehmensgröße ab:
- AL2 (Remote-Prüfung mit Dokumentenprüfung und Interviews): für KMU üblicherweise im Bereich von rund 3.500 Euro
- AL3 (Vor-Ort-Audit mit Begehung): üblicherweise deutlich höher, oft im Bereich von 6.000 bis 7.000 Euro
- Zusätzliche Module wie Prototypenschutz kommen mit einem Aufschlag hinzu
Dieser Block lässt sich kaum verhandeln – die Prüfdienstleister kalkulieren nach festen Tagessätzen und Aufwandsschätzungen.
Block 3: Die Vorbereitung – der eigentliche Kostentreiber
Der mit Abstand größte und am stärksten schwankende Kostenblock ist die Vorbereitung: Gap-Analyse, ISMS-Aufbau, Dokumentation, Schließen identifizierter Lücken. Hier entscheidet sich, ob ein Assessment in 6 Monaten oder in 18 Monaten gelingt – und ob die Kosten überschaubar bleiben oder aus dem Ruder laufen.
Drei Wege sind in der Praxis üblich:
Eigenregie. Kein direkter externer Kostenblock, dafür erheblicher interner Personalaufwand über mehrere Monate – oft unterschätzt, weil die Zeit von Mitarbeitenden selten als „echte“ Kosten wahrgenommen wird.
Klassisches Beratungsprojekt. Zeitintensiv, oft nach Stundensatz abgerechnet, mit dem Risiko wachsender Kosten bei Verzögerungen oder Nachforderungen.
Strukturiertes internes Audit zum Festpreis. Der planbarste Weg: eine Gap-Analyse gegen den VDA ISA Katalog, verbunden mit einem konkreten, priorisierten Maßnahmenplan. UBESAFE bietet dieses interne Audit als Festpreis-Paket zwischen 3.500 € und 6.500 € netto an, abhängig von Unternehmensgröße, Standorten und technischem Scope. Für ein Unternehmen mit rund 50 Mitarbeitenden an einem Standort liegt der Durchschnittspreis bei etwa 4.500 € netto – inklusive zweitägigem organisatorischem Audit, eintägiger technischer Prüfung (u. a. Microsoft 365, Infrastruktur, Identitäten) und fertigem Maßnahmenplan.
Der Vorteil eines Festpreis-Audits gegenüber einem offenen Beratungsprojekt: Die Kosten stehen von Anfang an fest, unabhängig davon, wie viele Lücken sich im Detail zeigen.
Was danach an Umsetzungskosten dazukommt
Ein Auditbericht zeigt Lücken – geschlossen werden sie im laufenden Betrieb. Für technische Lücken (Zugriffskontrollen, Endpoint- und Netzwerksicherheit, Awareness der Belegschaft) lohnt sich der Blick auf feste Managed Services ab 350 Euro pro Monat, statt jede Maßnahme einzeln zu beschaffen. Details dazu unter Firewall & Netzwerk und Security Awareness.
Rechenbeispiel für ein KMU (ca. 50 Mitarbeitende, 1 Standort, AL2)
| Kostenblock | Betrag (netto) |
|---|---|
| ENX-Registrierung | 405 € |
| Internes Audit + Assessment-Begleitung (UBESAFE-Anteil, Richtlinien, Nachweise) | ca. 18.000 € bei kleinem AL2-Scope, sonst nach Aufwand |
| Offizielles Assessment (AL2, Prüfdienstleister) | ca. 3.500 € |
| Managed Services (laufend, optional) | ab 350 €/Monat |
Wichtig dabei: Das interne Audit ist bei kleinem AL2-Scope kein separater Posten neben der Begleitung, sondern Teil des Festpreis-Pakets von ca. 18.000 Euro. Die einzeln genannten 3.500 bis 6.500 Euro für ein internes Audit gelten für Fälle, in denen ausschließlich die Bestandsaufnahme benötigt wird – ohne anschließende Begleitung bei Richtlinien und Nachweisen.
Für das Beispiel-KMU mit ca. 50 Mitarbeitenden liegt der UBESAFE-Anteil damit bei rund 18.000 Euro netto. Die Gesamtkosten bis zum Assessment-Tag liegen etwas darüber, da ENX-Registrierung und das offizielle Assessment durch den externen Prüfdienstleister zusätzlich hinzukommen (405 € + ca. 3.500 €) – zuzüglich laufender Managed-Service-Kosten, sofern der technische Betrieb nicht bereits intern abgedeckt ist.
Die Begleitung bis zum Assessment: variabel statt pauschal
Anders als ein einzelnes internes Audit lässt sich die vollständige Begleitung bis zum eigentlichen Assessment nicht in jedem Fall zu einem einzigen Festpreis anbieten – der Aufwand hängt davon ab, wie viel Zuarbeit der Kunde selbst leisten möchte und kann. Zwei Aufgabenblöcke bestimmen hier den Umfang:
- Richtlinien schreiben. Die geforderten Dokumente (Sicherheitsrichtlinien, Prozessbeschreibungen, Rollenkonzepte) müssen entweder komplett neu erstellt oder aus vorhandenen Ansätzen weiterentwickelt werden.
- Nachweise erbringen. Für jedes Control muss belegt werden, dass eine Anforderung nicht nur beschrieben, sondern tatsächlich umgesetzt ist – organisatorisch wie technisch.
Wie viel davon UBESAFE übernimmt und wie viel der Kunde selbst beisteuert, ist bewusst flexibel, weil sich Unternehmen hier stark unterscheiden: Manche haben bereits gute interne Dokumentation und brauchen vor allem die technische Prüfung, andere starten komplett bei null.
Für kleinere AL2-Fälle mit überschaubarem Scope haben wir dafür einen Festpreis von ca. 18.000 Euro entwickelt, der das interne Audit und die anschließende Begleitung – Richtlinien, Nachweise – in einem Paket abdeckt, bei geringer eigener Zusteuerung durch den Kunden. Der Rahmen ist hier klein genug, um seriös zu pauschalisieren.
Sobald zusätzliche Unbekannte hinzukommen – etwa wenn erst im Projektverlauf klar wird, was der Kunde selbst liefert und was UBESAFE übernimmt, oder wenn mehrere Standorte oder größere Scopes ins Spiel kommen – wird ein Festpreis unehrlich, weil er entweder zu knapp kalkuliert oder mit unnötigem Puffer versehen werden müsste. In diesen Fällen rechnen wir ehrlich nach tatsächlichem Aufwand ab, zu unteren bis mittleren Stundensätzen.
Ein weiterer Faktor ist die Anzahl der zu prüfenden Standorte. In der Praxis wird das Unternehmen meist zentral betrachtet: Ein globaler Standard bildet die gemeinsame Basis, zusätzliche Standorte werden einzeln mit ihren jeweiligen Abweichungen davon dokumentiert. Dadurch entsteht pro Standort ein eigener Dokumentensatz – der Umfang wächst also nicht linear mit jedem weiteren Standort, sondern im Kern nur um die dortigen Besonderheiten gegenüber dem zentralen Standard. Trotzdem erhöht jeder zusätzliche Standort den Abstimmungs- und Nachweisaufwand spürbar, was sich entsprechend im Begleitungsaufwand niederschlägt.
Der teure Irrtum vieler Alleingänge
Ein wiederkehrendes Muster bei Unternehmen, die die Vorbereitung ganz ohne externe Begleitung versuchen: Der Scope wird unbewusst zu weit ausgelegt. Richtlinien werden so formuliert, dass sie in der Praxis mehr Nachweispflichten erzeugen, als für das jeweilige Control eigentlich nötig wären – mit der Folge, dass am Ende deutlich mehr geprüft und belegt werden muss, als der tatsächliche Scope verlangt hätte. Das kostet Zeit, die zum Assessment-Termin hin regelmäßig knapp wird.
Hinzu kommt häufig der Griff zu spezialisierten ISMS- oder GRC-Tools: Auf den ersten Blick wirken sie attraktiv, weil sie Struktur versprechen. Ohne Erfahrung, wie diese Tools für den konkreten VDA-ISA-Scope sauber befüllt werden, entsteht daraus in der Praxis oft ein zusätzlicher, kostenintensiver Umweg – die Lizenzkosten laufen, ohne dass die Inhalte am Ende schneller oder besser fertig werden.
Der Vorteil unserer Begleitung liegt genau hier: Wir kennen den tatsächlich notwendigen Scope aus der praktischen Erfahrung mit VDA-ISA-Assessments und formulieren Richtlinien von Anfang an so, dass sie die Nachweispflicht nicht unnötig ausweiten.
Begleitung während des eigentlichen Assessments
Optional begleiten wir auch das offizielle Assessment selbst – ob AL2 (Remote-Prüfung) oder AL3 (Vor-Ort-Audit) – als Ansprechpartner während der Interviews und der Dokumentenprüfung durch den Prüfdienstleister. Auch diese Begleitung wird nicht pauschal berechnet: Der Aufwand unterscheidet sich je nach Assessment Level und Umfang spürbar, sodass sich die Kosten dafür erst nach Abstimmung des konkreten Scopes seriös beziffern lassen.
Häufige Fragen (FAQ)
Ist das interne Audit Pflicht für TISAX? Nein, formal verlangt TISAX kein separates internes Audit vor dem offiziellen Assessment. In der Praxis erhöht es aber die Erfolgschancen erheblich, weil Lücken vorab sichtbar werden statt erst beim kostenpflichtigen offiziellen Assessment.
Warum unterscheiden sich die Assessmentkosten so stark zwischen AL2 und AL3? AL3 verlangt ein Vor-Ort-Audit mit Begehung, das entsprechend mehr Zeit und Reiseaufwand des Prüfdienstleisters bedeutet als eine reine Remote-Prüfung bei AL2.
Lohnt sich ein Festpreis-Audit auch für kleinere Unternehmen? Gerade für kleinere Unternehmen mit begrenzten internen Ressourcen ist die Planbarkeit eines Festpreises oft der entscheidende Vorteil gegenüber einem offenen Beratungshonorar, dessen Endsumme erst am Ende des Projekts feststeht.
Was passiert, wenn beim offiziellen Assessment Abweichungen festgestellt werden? Der Prüfdienstleister räumt in der Regel eine Nachbesserungsfrist ein. Je gründlicher die vorherige Gap-Analyse war, desto unwahrscheinlicher sind größere Abweichungen an dieser Stelle.
Warum kostet ein technisch fundiertes Audit nicht mehr als eine rein organisatorische Prüfung? Weil UBESAFE beides mit demselben Team abdeckt. Unsere Techniker sind selbst tief in Netzwerk, Microsoft 365 und Virtualisierung – dadurch lässt sich die technische Prüfung (z. B. Zugriffskonzepte, Konfiguration) direkt im selben Auftrag mit erledigen, statt zusätzlich einen separaten IT-Dienstleister zu beauftragen.
Warum gibt es für die Assessment-Begleitung keinen Festpreis wie beim internen Audit? Für kleinere AL2-Fälle mit überschaubarem Scope gibt es einen: ca. 18.000 Euro als UBESAFE-Anteil, der das interne Audit und die anschließende Begleitung (Richtlinien, Nachweise) bereits einschließt, bei geringer eigener Zusteuerung des Kunden. Die Gesamtkosten liegen mit ENX-Registrierung und dem offiziellen Assessment durch den externen Prüfdienstleister etwas darüber. Sobald der Scope wächst oder erst im Projektverlauf klar wird, was Kunde und UBESAFE jeweils liefern, ist ein Festpreis nicht mehr seriös kalkulierbar – dann rechnen wir ehrlich nach Aufwand zu unteren bis mittleren Stundensätzen ab.
Lässt sich die Beratung fördern? In vielen Fällen ja. Da es sich um eine Beratungsdienstleistung handelt, kommt beispielsweise die BAFA-Förderung „Unternehmensberatung für KMU“ in Betracht: Ein Teil der Beratungskosten – aktuell bis zu 3.500 Euro förderfähige Kosten – wird mit 50 Prozent bezuschusst, in strukturschwachen Regionen mit bis zu 80 Prozent. Das reduziert nicht das gesamte Projektvolumen, senkt aber den Eigenanteil am beratungsintensiven Teil spürbar. Ob und in welcher Höhe eine Förderung im Einzelfall möglich ist, hängt von der KMU-Einstufung und dem Unternehmensstandort ab und sollte vor Beratungsbeginn mit der zuständigen Regionalstelle abgeklärt werden.
Lohnt sich der Kauf eines ISMS- oder GRC-Tools zur Eigenvorbereitung? Nur bedingt. Solche Tools wirken auf den ersten Blick attraktiv, verlangen aber Erfahrung, um sie für den konkreten VDA-ISA-Scope sauber und ohne unnötigen Mehraufwand zu befüllen. Ohne diese Erfahrung wird aus der vermeintlichen Abkürzung häufig ein zusätzlicher, kostenintensiver Umweg.
Begleitet UBESAFE auch das offizielle Assessment selbst? Ja, optional. Ob AL2 oder AL3 – wir können als Ansprechpartner während der Interviews und der Dokumentenprüfung durch den Prüfdienstleister zur Verfügung stehen. Die Kosten dafür sind je nach Assessment Level und Umfang unterschiedlich und werden individuell abgestimmt, nicht pauschal berechnet.
Wie wirken sich mehrere Standorte auf die Kosten aus? Meist wird ein globaler Standard als zentrale Basis definiert, zusätzliche Standorte werden nur mit ihren Abweichungen davon dokumentiert – pro Standort entsteht so ein eigener, aber überschaubarer Dokumentensatz. Die Kosten steigen mit jedem weiteren Standort, aber nicht proportional zum Aufwand eines vollständig neuen Standorts.
Fazit
TISAX-Kosten lassen sich nicht mit einer einzigen Zahl beantworten, aber mit drei klar trennbaren Blöcken: Registrierung, offizielles Assessment und Vorbereitung. Der letzte Block entscheidet über die Gesamtsumme – und ist zugleich der einzige, der sich durch die eigene Herangehensweise aktiv steuern lässt.
UBESAFE kalkuliert die Vorbereitung auf TISAX bewusst zum Festpreis, damit die Kosten von Anfang an feststehen. Vereinbaren Sie ein kostenloses Erstgespräch, um Ihren individuellen Aufwand einzuordnen.