¿Qué es el certificado?

TISAX (Trusted Information Security Assessment Exchange) es un mecanismo que permite el reconocimiento mutuo de las evaluaciones de seguridad de la información en el sector de la automoción. Se basa en el catálogo de preguntas VDA ISA. NO es un esquema de certificación: el resultado es una etiqueta TISAX, no un certificado, y la etiqueta se comparte a través del portal ENX. El objetivo es evitar que cada OEM audite al mismo proveedor por separado.

¿Quién lo necesita?

Proveedores que reciben prototipos, datos de diseño o datos personales de OEM
Empresas que prestan servicios de ingeniería y diseño de automóviles.
Organizaciones que fabrican piezas prototipo y realizan pruebas.
Proveedores de software y servicios de TI para automoción

¿Es obligatorio?

No obligatorio; efectivamente se requiere en los contratos OEM y Tier 1. El nivel de evaluación (AL 1, 2, 3) está determinado por las necesidades de protección de la información procesada: AL 2 es remoto/documental, mientras que AL 3 incluye una auditoría in situ y una revisión más profunda de la evidencia.

Alcance de la norma

VDA ISA — Seguridad de la información: política, organización, gestión de activos, control de acceso, criptografía, seguridad física, seguridad de operaciones, comunicaciones, relaciones con proveedores, gestión de incidentes, continuidad, cumplimiento.
VDA ISA — Protección de prototipos: seguridad física y ambiental, gestión de acceso, transporte y protección durante pruebas y eventos
VDA ISA — Protección de datos: requisitos adicionales para el procesamiento de datos personales (relacionados con la alineación del RGPD)
Calificación del nivel de madurez y cumplimiento del objetivo de madurez
Determinación del nivel de evaluación (AL 1/2/3)
Registro en el portal ENX, definiendo el alcance y compartiendo la etiqueta

Proceso de certificación

1Determinación del alcance y el programaSe determinan los sitios y procesos que se auditarán y la duración de la auditoría que requiere el esquema.
2PreevaluaciónOpcionalmente se lleva a cabo un análisis de deficiencias; Las lagunas se hacen visibles antes de la auditoría principal.
3Auditoría in situLa revisión de registros, la observación del sitio y las entrevistas a los trabajadores se llevan a cabo según la lista de verificación del plan.
4Reporte de los hallazgosLos resultados se informan según la clasificación del esquema. El resultado de estos sistemas es un informe de auditoría, no un certificado.
5Acción correctiva y seguimientoSe presenta un plan de acciones correctivas para los hallazgos; se cierra con una auditoría de seguimiento en el marco del plan.

Periodo de validez

El período de validez de los informes de auditoría lo establece el plan y suele oscilar entre uno y dos años. El informe se utiliza durante el período que acepta la marca compradora.

Documentos necesarios

Detalles de la organización y del sitio
Plantilla y patrón de turnos
Permisos y licencias legales
Políticas y procedimientos relevantes
Registros de nómina, tiempo y personal.

Coste de la certificación

No existe un precio de lista fijo; el coste se calcula según las siguientes variables y se proporciona por escrito en el presupuesto.

El número de sitios a auditar y la plantilla.
La duración de la auditoría que prescribe el plan.
Si se solicita una evaluación previa (análisis de deficiencias)
Si se requiere una auditoría de seguimiento

Acreditación

La mayoría de estos sistemas producen informes de auditoría, no documentos, y están sujetos al propio sistema de aprobación del propietario del sistema (por ejemplo, Sedex, amfori, RBA); La acreditación en el sentido clásico no se encuentra en todos los sistemas. La competencia del auditor y la validez del informe están determinadas por las normas del propietario del plan.

El alcance en el que se puede ofrecer este esquema varía según su producto y actividad; se confirma por escrito en la etapa de presupuesto.

Alcance y autorizaciones

Certificaciones relacionadas

Preguntas frecuentes

¿Puedo obtener un certificado TISAX?

No; TISAX no emite ningún certificado. La evaluación da como resultado una etiqueta TISAX, que se comparte a través del portal ENX con los socios comerciales que usted autorice. La frase "certificado TISAX" es común pero incorrecta.

Ya tengo un certificado ISO/IEC 27001. ¿Necesito TISAX?

Podrías. VDA ISA se superpone sustancialmente con ISO/IEC 27001, pero incluye módulos específicos de automoción, como protección de prototipos y utiliza puntuación de nivel de madurez. Un certificado ISO/IEC 27001 reduce la carga de preparación pero no sustituye a la etiqueta TISAX.

¿Cuántos años tiene validez la etiqueta?

Las etiquetas TISAX tienen una validez de tres años. Se requiere una reevaluación al final del período.

Evaluación de seguridad de la información en automoción (TISAX)