TISAX-Label in Monaten, nicht Jahren

TISAX steht für Trusted Information Security Assessment Exchange und ist ein Prüf- und Austauschmechanismus für Informationssicherheit in der Automobilindustrie. Es wird von der ENX Association im Auftrag des VDA betrieben und basiert auf dem VDA ISA Fragenkatalog. Unternehmen erhalten nach erfolgreichem Assessment ein Label, das auf dem ENX-Portal für teilnehmende OEMs sichtbar ist.

Jedes Unternehmen, das vertrauliche Informationen eines Automobilherstellers oder Tier-1-Zulieferers verarbeitet, speichert oder darauf zugreift, benötigt in der Regel ein TISAX-Label. Das betrifft Zulieferer, Entwicklungspartner, IT-Dienstleister, SaaS-Anbieter und Cloud-Provider, die in der Automotive-Lieferkette tätig sind.

Assessment Level 2 (AL2) erfordert ein Remote-Audit durch einen akkreditierten Prüfdienstleister und reicht für Informationen mit hohem Schutzbedarf. Assessment Level 3 (AL3) verlangt ein Vor-Ort-Audit und ist Pflicht bei sehr hohem Schutzbedarf sowie bei Prototypenschutz. Die Wahl hängt von den Schutzbedarfsanforderungen des OEM ab.

Die Vorbereitungszeit liegt typischerweise bei 3 bis 12 Monaten, abhängig vom Reifegrad der bestehenden Informationssicherheit. Unternehmen mit einer ISO-27001-Zertifizierung schaffen es oft in 3 bis 4 Monaten, während Organisationen ohne bestehende Strukturen 9 bis 12 Monate einplanen sollten. Das Assessment selbst dauert je nach Scope wenige Tage.

Die externen Audit-Kosten liegen bei 1.200 bis 1.500 EUR pro Audittag, wobei der Umfang vom Scope und Assessment Level abhängt. Hinzu kommen interne Kosten für Personalaufwand, Tooling und gegebenenfalls externe Beratung. Für KMU mit einem Standort bewegen sich die Gesamtkosten typischerweise zwischen 15.000 und 40.000 EUR.

Bei Abweichungen unterscheidet der Auditor zwischen Major und Minor Findings. Minor-Abweichungen können innerhalb einer Nachbesserungsfrist behoben werden, ohne dass ein erneutes Audit notwendig ist. Bei Major-Abweichungen muss der betroffene Bereich erneut geprüft werden, was zusätzliche Kosten und Zeitverzug bedeutet.

TISAX basiert auf dem VDA ISA Fragenkatalog, der etwa 60 bis 70 Prozent Überschneidung mit ISO 27001 Annex A aufweist. Eine bestehende ISO-27001-Zertifizierung deckt einen Großteil der TISAX-Anforderungen ab, erfordert aber zusätzlich automobilspezifische Maßnahmen wie Prototypenschutz. Beide Standards lassen sich durch ein Dual-Certification-Vorgehen effizient parallel umsetzen.

Ja, wenn du IT-Dienstleistungen, SaaS-Lösungen oder Cloud-Infrastruktur für Unternehmen in der Automotive-Lieferkette bereitstellst und dabei auf schützenswerte OEM-Daten zugreifst. Das TISAX-Label ist zunehmend eine Voraussetzung, um Aufträge in der Automobilindustrie zu erhalten, und bietet einen klaren Wettbewerbsvorteil.

Das TISAX-Label ist 3 Jahre gültig. Vor Ablauf muss ein Re-Assessment beim gleichen oder einem anderen akkreditierten Prüfdienstleister durchgeführt werden. Der Scope kann sich durch neue VDA-ISA-Versionen oder veränderte Geschäftsanforderungen erweitern. Unternehmen, die ihr ISMS kontinuierlich pflegen, reduzieren den Aufwand bei der Rezertifizierung erheblich.

TISAX umfasst 10 Labels in den Bereichen Informationssicherheit, Prototypenschutz, Datenschutz und Verfügbarkeit — jeweils mit Abstufungen für hohen und sehr hohen Schutzbedarf. Welches Label du benötigst, bestimmt der OEM anhand seiner Schutzbedarfsanalyse. Die häufigsten Labels sind 'Info hoch' (AL2) und 'Info sehr hoch' (AL3).