TISAX (Trusted Information Security Assessment Exchange) ist ein von der Automobilindustrie entwickelter Prüf- und Austauschmechanismus zur Bewertung der Informationssicherheit von Unternehmen entlang der Lieferkette.
TISAX ermöglicht eine standardisierte Sicherheitsbewertung, die branchenweit anerkannt ist. Das reduziert Prüfaufwände, spart Kosten und ersetzt vielfach individuelle Sicherheitsfragebögen bei Ausschreibungen oder Onboardings.
Die aktuelle Version 6.0 des VDA ISA-Katalogs erweitert die Anforderungen insbesondere um den Bereich Operational Technology (OT) und strukturiert die Labels stärker entlang der zentralen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit (CIA).
Das Teilnehmerhandbuch enthält alle wichtigen Informationen zur Durchführung und zum Ablauf eines TISAX-Assessments – von der Registrierung bis zum Teilen der Ergebnisse über das ENX-Portal.
Ein Managed Service Provider (MSP) kann Unternehmen im TISAX-Prozess unterstützen, etwa bei der Organisation, Verwaltung und Kommunikation von Bewertungsergebnissen – entweder transparent oder als Intermediär.
Das Assessment erfolgt in mehreren Schritten: Registrierung im ENX-Portal, Auswahl eines akkreditierten Prüfdienstleisters, Durchführung der Prüfung und Ergebnisfreigabe für Geschäftspartner.
Der Scope ergibt sich aus Standorten, relevanten Schutzzielen (z. B. confidential, strictly confidential, high availability), dem Assessment Level (AL2 oder AL3) und dem Informationsfluss innerhalb der Lieferkette.
In der Regel hat ein abgeschlossenes TISAX-Assessment eine Gültigkeit von drei Jahren.
TISAX ist insbesondere für Unternehmen relevant, die als Zulieferer in der Automobilindustrie tätig sind und sensible Informationen verarbeiten oder weitergeben – eine Verpflichtung ergibt sich meist aus Kundenanforderungen.
Ja, über das ENX-Portal können geprüfte Unternehmen ihre Ergebnisse gezielt mit Partnern teilen – das spart Doppelprüfungen und schafft Transparenz.
Der VDA ISA-Katalog dient als zentrale Grundlage. Er enthält Kontrollziele, Anforderungen und Querverweise zu Standards wie ISO/IEC 27001 oder dem BSI-Grundschutz. Zu einigen Kontrollen sind auch Umsetzungshinweise verfügbar.