Was ist das Zertifikat?

TISAX (Trusted Information Security Assessment Exchange) ist ein Mechanismus, der die gegenseitige Anerkennung von Informationssicherheitsbewertungen im Automobilsektor ermöglicht. Es basiert auf dem VDA ISA-Fragenkatalog. Es handelt sich NICHT um ein Zertifizierungssystem: Das Ergebnis ist ein TISAX-Label, kein Zertifikat, und das Label wird über das ENX-Portal geteilt. Ziel ist es, zu verhindern, dass jeder OEM denselben Lieferanten separat auditiert.

Für wen ist es erforderlich?

Lieferanten, die Prototypen, Designdaten oder personenbezogene Daten von OEMs erhalten
Unternehmen, die Automobiltechnik- und Designdienstleistungen anbieten
Organisationen, die Prototypenteile herstellen und Tests durchführen
Automotive-Software- und IT-Dienstleister

Ist es verpflichtend?

Nicht erforderlich; Dies ist in OEM- und Tier-1-Verträgen effektiv erforderlich. Die Bewertungsstufe (AL 1, 2, 3) richtet sich nach dem Schutzbedarf der verarbeiteten Informationen: AL 2 ist remote/dokumentenbasiert, während AL 3 ein Vor-Ort-Audit und eine tiefergehende Beweisprüfung umfasst.

Geltungsbereich der Norm

VDA ISA — Informationssicherheit: Richtlinien, Organisation, Asset Management, Zugangskontrolle, Kryptographie, physische Sicherheit, Betriebssicherheit, Kommunikation, Lieferantenbeziehungen, Vorfallmanagement, Kontinuität, Compliance
VDA ISA — Prototypenschutz: physische und Umgebungssicherheit, Zugangsmanagement, Transport und Schutz bei Tests und Veranstaltungen
VDA ISA — Datenschutz: Zusätzliche Anforderungen an die Verarbeitung personenbezogener Daten (im Zusammenhang mit der DSGVO-Anpassung)
Bewertung des Reifegrads und Erreichen des Zielreifegrades
Ermittlung der Beurteilungsstufe (AL 1/2/3)
Registrierung im ENX-Portal, Festlegung des Geltungsbereichs und Weitergabe des Labels

Zertifizierungsablauf

1Festlegung von Umfang und ProgrammEs werden die zu prüfenden Standorte und Prozesse sowie die für das System erforderliche Prüfdauer festgelegt.
2VorabbewertungOptional wird eine Gap-Analyse durchgeführt; Lücken werden bereits vor der Hauptprüfung sichtbar.
3Audit vor OrtDie Überprüfung der Aufzeichnungen, die Standortbeobachtung und die Befragung der Arbeitnehmer werden anhand der Checkliste des Systems durchgeführt.
4Berichterstattung über die FeststellungenBefunde werden gemäß der Klassifizierung des Systems gemeldet. Das Ergebnis dieser Systeme ist ein Prüfbericht, kein Zertifikat.
5Korrekturmaßnahmen und NachverfolgungFür die Feststellungen wird ein Korrekturmaßnahmenplan vorgelegt; Es wird mit einem Folgeaudit im Rahmen des Programms abgeschlossen.

Gültigkeitsdauer

Die Gültigkeitsdauer von Prüfberichten wird durch das System festgelegt und liegt meist zwischen einem und zwei Jahren. Der Bericht wird für den Zeitraum verwendet, den die kaufende Marke akzeptiert.

Erforderliche Unterlagen

Organisations- und Standortdetails
Personalbestand und Schichtmuster
Gesetzliche Genehmigungen und Lizenzen
Relevante Richtlinien und Verfahren
Lohn-, Zeit- und Personalunterlagen

Zertifizierungskosten

Es gibt keinen festen Listenpreis; die Kosten werden anhand der folgenden Variablen berechnet und im Angebot schriftlich mitgeteilt.

Die Anzahl der zu prüfenden Standorte und die Mitarbeiterzahl
Die Auditdauer, die das System vorschreibt
Ob eine Vorabbewertung (Lückenanalyse) erforderlich ist
Ob ein Folgeaudit erforderlich ist

Akkreditierung

Die meisten dieser Systeme erstellen Prüfberichte und keine Dokumente und unterliegen dem eigenen Genehmigungssystem des Systeminhabers (z. B. Sedex, Amfori, RBA). Eine Akkreditierung im klassischen Sinne findet sich nicht in jedem System. Die Kompetenz des Prüfers und die Gültigkeit des Berichts werden durch die Regeln des Systeminhabers bestimmt.

In welchem Geltungsbereich dieses Schema angeboten werden kann, hängt von Ihrem Produkt und Ihrer Tätigkeit ab; dies wird in der Angebotsphase schriftlich bestätigt.

Geltungsbereich und Berechtigungen

Häufige Fragen

Kann ich ein TISAX-Zertifikat erhalten?

NEIN; TISAX stellt kein Zertifikat aus. Das Ergebnis der Bewertung ist ein TISAX-Label, das über das ENX-Portal mit den von Ihnen autorisierten Geschäftspartnern geteilt wird. Der Ausdruck „TISAX-Zertifikat“ ist gebräuchlich, aber falsch.

Ich habe bereits ein ISO/IEC 27001-Zertifikat – brauche ich TISAX?

Vielleicht. VDA ISA weist erhebliche Überschneidungen mit ISO/IEC 27001 auf, umfasst jedoch automobilspezifische Module wie den Prototypenschutz und nutzt die Bewertung des Reifegrads. Ein ISO/IEC 27001-Zertifikat reduziert den Vorbereitungsaufwand, ersetzt jedoch nicht das TISAX-Label.

Wie viele Jahre ist das Label gültig?

TISAX-Labels sind drei Jahre gültig. Am Ende des Zeitraums ist eine Neubewertung erforderlich.

Automobil-Informationssicherheitsbewertung (TISAX)