TISAX für Automobilzulieferer

Warum OEMs TISAX verlangen

Ein Kunde möchte vertrauliche Zeichnungen, Entwicklungsdaten oder Prototypen mit dir teilen. Bevor der Auftrag startet, verlangt er einen belastbaren Nachweis zur Informationssicherheit. TISAX kann dafür eine vertragliche Voraussetzung sein. Ob ein Label benötigt wird, welche Assessment-Ziele gelten und bis wann es vorliegen muss, klärst du anhand der konkreten Kundenanforderung.

TISAX (Trusted Information Security Assessment Exchange) ist der von ENX betriebene Prüf- und Austauschmechanismus. Grundlage ist der ISA-Katalog, häufig als VDA ISA bezeichnet. Im Alltag wird oft von „TISAX-Zertifizierung“ gesprochen; das Verfahren führt zu Assessment-Ergebnissen und entsprechenden Labels. Wie TISAX mit Automotive Compliance, ISO 26262 und ISO/SAE 21434 zusammenhängt erklärt der Branchenleitfaden.

AL1, AL2 oder AL3: Welches Assessment-Level brauchst du?

Das Assessment-Level beschreibt die Prüftiefe. Es folgt aus den benötigten Assessment-Zielen; deine Position als Tier-1-, Tier-2- oder Tier-3-Zulieferer legt es nicht pauschal fest.

• AL1: Selbsteinschätzung ohne Prüfung durch einen TISAX-Prüfdienstleister. Sie dient der eigenen Orientierung und führt nicht zu einem im TISAX-Verfahren geteilten Assessment-Ergebnis.
• AL2: Plausibilitätsprüfung der Selbsteinschätzung durch einen zugelassenen Prüfdienstleister, mit geeigneten Nachweisen und Interviews.
• AL3: Umfassendere Prüfung einschließlich der Bewertung der Umsetzung vor Ort.

Stimme Assessment-Ziele, erforderliches Level und gewünschte Ergebnisfreigabe mit dem anfragenden Kunden ab. Die jeweils gültigen Regeln und ISA-Fassungen findest du im ENX-Teilnehmerhandbuch.

Scoping für Tier-1 vs. Tier-2 vs. Tier-3

Grenze ab, welche Standorte, Prozesse, Informationen und unterstützenden Systeme zum Assessment gehören. Ein kleiner Softwarezulieferer kann besonders sensible Daten verarbeiten; ein größerer Komponentenfertiger kann einen anders abgegrenzten Auftrag haben. Leistung und Schutzbedarf zählen, nicht allein die Tier-Stufe.

• Informationssicherheit: Welche vertraulichen Informationen werden verarbeitet, und wie wichtig sind Verfügbarkeit und Schutz vor unbefugtem Zugriff?
• Prototypenschutz: Werden Prototypen oder schutzbedürftige Entwicklungsinformationen im relevanten Umfang bearbeitet?
• Datenschutz: Welche personenbezogenen Daten und Auftragsverarbeitungen fallen in den Scope?

Ordne Verantwortliche, Assets und Dienstleister dem abgegrenzten Bereich zu. Ein gepflegtes IT-Asset-Management macht Abhängigkeiten und Schutzmaßnahmen nachvollziehbar.

Typische Stolpersteine bei der Erstprüfung

• Unklares Scoping: Standorte, Leistungen oder wichtige unterstützende Systeme fehlen in der Abgrenzung. Kläre den Umfang vor der Detailarbeit.
• Lückenhafte ISMS-Dokumentation: Eine Richtlinie ist vorhanden, aber Freigabe, zuständige Person oder nächste Prüfung sind unklar. Halte diese Angaben gemeinsam mit dem Dokument nach.
• Fehlende Asset-Inventarisierung: Cloud-Dienste, Wartungszugänge oder Prüfstände werden übersehen. Prüfe die tatsächlichen Arbeitsabläufe mit den Fachbereichen.
• Mangelnde Mitarbeitersensibilisierung: Regeln sind abgelegt, aber den betroffenen Teams nicht vermittelt. Verbinde Schulungen und Bestätigungen mit konkreten Rollen.
• Unterschätzte physische Sicherheit: Schutzbereiche und Zugangsregeln müssen im Alltag funktionieren; ein beschriebenes Verfahren allein zeigt die Umsetzung noch nicht.

Welche TISAX Software erleichtert Dokumentation gegenüber OEMs?

Du brauchst eine Antwort auf drei Fragen: Welche Vorgabe gilt, welche Maßnahme setzt sie um und wo liegt der aktuelle Nachweis? Kopexa trennt Controls beziehungsweise Vorgaben von Maßnahmen und verbindet sie mit Zuständigkeiten und Belegen.

Eine Zugriffsüberprüfung kann zu passenden Anforderungen aus TISAX, ISO 27001 und einem Kundenframework gehören. Dein Team schließt die gemeinsame Maßnahme einmal ab; Kopexa berücksichtigt den Umsetzungsstand automatisch bei den verknüpften Vorgaben. Eigene Frameworks und Normen kannst du erstellen oder hochladen. Zusätzliche Anforderungen werden gezielt ergänzt, statt die gesamte Arbeit zu kopieren.

So bleibt deine Dokumentation für Kundenfragen und den Prüfdienstleister nachvollziehbar. Ein bestehendes ISMS ist der Ausgangspunkt. Wie Kopexa Automotive-Zulieferer im Tagesgeschäft unterstützt zeigt die Branchenseite.

Kosten und Zeitrahmen

Trenne für deine Planung vier Aufwandsblöcke:

• ENX-Registrierung: Prüfe die aktuell geltenden Entgelte und den vorgesehenen Assessment-Scope direkt bei ENX.
• Prüfdienstleister: Hole ein Angebot für Assessment-Ziele, Level und Standorte ein. Zusätzliche Prüfungen oder Nachbesserungen können weiteren Aufwand auslösen.
• Interner Aufwand: Plane Verantwortliche für ISMS, IT, Fachbereiche und Nachweise ein. Ein vorhandenes Managementsystem verändert den Aufwand erheblich.
• Software und Beratung: Kopexa beginnt bei 249 EUR pro Monat. Software unterstützt Steuerung und Nachweisführung; Beratung kann bei fachlicher Auslegung und Umsetzung ergänzen.

Kopexa berichtet aus Kundenprojekten von rund 60 % weniger manuellem Verwaltungsaufwand gegenüber verteilten Excel-, SharePoint- und E-Mail-Abläufen. Das betrifft etwa Mehrfachpflege und Nachweissuche; die Dauer bis zum TISAX-Label hängt zusätzlich von Ausgangslage und Prüfung ab. Der TISAX Kosten- und Ablauf-Guide vertieft die Budgetplanung.

Kein Label = kein OEM-Vertrag?

Wenn ein Kunde das passende TISAX-Ergebnis ausdrücklich zur Voraussetzung macht, kann ein fehlender oder nicht ausreichender Nachweis den Auftrag verhindern. Das ist eine konkrete Vertrags- und Beschaffungsfrage, keine pauschale gesetzliche TISAX-Pflicht für jedes Unternehmen der Automobilindustrie.

Kläre frühzeitig, welches Ergebnis bis wann erwartet wird und wer es erhalten soll. Halte offene Maßnahmen und Fristen nach. So wird die Assessment-Vorbereitung Teil der Kundenprojektplanung statt einer Überraschung kurz vor der Freigabe.

Nächste Schritte

• TISAX Content Hub für Details zu Assessment Levels, VDA ISA und Checklisten.
• Supplier-Compliance in der Lieferkette für den Blick auf Dienstleister und Unterlieferanten.
• TISAX-Software im Vergleich für die Softwareauswahl.
• Automotive Compliance verstehen für das Zusammenspiel von Informationssicherheit, Fahrzeugstandards und ESG.