V automobilovém průmyslu mají technické údaje, projekty a informace o prototypech hodnotu srovnatelnou se samotným výrobkem. Výrobci automobilů proto od svých dodavatelů očekávají doložitelnou úroveň ochrany informací. Standardem, který tuto očekávanou důvěrnost systematizuje a činí ji srovnatelnou v celém dodavatelském řetězci, je TISAX. Níže z praktického hlediska vysvětlujeme, co tento certifikát je, jaké požadavky klade na partnery a proč je bez něj stále obtížnější vstoupit do okruhu dodavatelů pro automotive.
Certifikát TISAX – co to je? Nejdůležitější informace
Certifikát TISAX® (Trusted Information Security Assessment Exchange) je mechanismus hodnocení a vzájemné výměny výsledků auditů bezpečnosti informací v automobilovém průmyslu. Standard vypracovalo německé sdružení automobilového průmyslu VDA a systém spravuje ENX Association – nezávislá organizace dohlížející na kvalitu hodnocení.
Než vznikl TISAX, každý automobilový koncern ověřoval dodavatele podle vlastních dotazníků a postupů. To znamenalo, že firma spolupracující s několika odběrateli procházela několika samostatnými, opakujícími se audity. Sdružení VDA (Verband der Automobilindustrie) tento chaos uspořádalo vytvořením jednotného katalogu požadavků VDA-ISA – společného jazyka, v němž celý obor popisuje a hodnotí bezpečnost informací v automotive. Na tomto základě byly vytvořeny dvě vzájemně se doplňující vrstvy standardu.
➤ Doporučujeme také článek: Galvanizace v automobilovém průmyslu: 5 úžasných způsobů využití
Katalog VDA-ISA – základ požadavků na bezpečnost
VDA Information Security Assessment (ISA) je katalog požadavků na bezpečnost informací vycházející z uznávané normy ISO/IEC 27001, který vytváří a systematicky aktualizuje Výbor VDA pro bezpečnost informací. Právě on definuje otázky, na které auditovaná firma odpovídá. Od 1. dubna 2024 platí verze ISA 6.0, o níž informuje VDA – rozšířila hodnocení o novou oblast „dostupnosti“ (availability) vedle dosavadní oblasti důvěrnosti dat. Katalog je zároveň vodítkem pro soulad se směrnicí EU NIS 2.
ENX Association – jak funguje výměna výsledků TISAX?
Zatímco VDA odpovídá za obsah požadavků, ENX Association plní roli provozovatele celého systému: schvaluje poskytovatele auditů, sleduje jejich kvalitu a spravuje platformu pro výměnu výsledků mezi účastníky. Největší přínos tohoto modelu je čistě praktický – výsledek jednoho auditu TISAX je platný 3 roky a uznávaný všemi účastníky systému. V důsledku toho stačí jeden audit pro více zákazníků současně, bez nutnosti opakovat totéž hodnocení na žádost dalších obchodních partnerů.
Požadavky TISAX – co audit zahrnuje?
Požadavky netvoří jednotný seznam. Audit TISAX se dělí na úrovně hodnocení (Assessment Levels), volené podle citlivosti zpracovávaných dat, a na tematické oblasti kontrolované ve firmě. Právě toto členění určuje, jak hluboko ověřování zachází a jak přísně jsou vůči dodavateli vymáhány požadavky OEM (výrobce originálního vybavení).
Úrovně hodnocení TISAX: AL1, AL2 a AL3
Systém předpokládá tři úrovně hodnocení, které se liší formou ověření a určením:
| Úroveň | Forma hodnocení | Typické použití |
| AL1 | Samohodnocení (self-assessment) | Data s nízkou citlivostí, interní ověření |
| AL2 | Audit na dálku / na místě prováděný nezávislým, schváleným auditorem | Standard vyžadovaný většinou OEM |
| AL3 | Prohloubený audit na místě, rozšířené ověřování důkazů | Zvlášť citlivá data (obranná tajemství, utajované informace) |
V praxi automobilových projektů je výchozím prahem AL2 – právě ten dává odběrateli nezávislé potvrzení, a nikoli pouhé prohlášení dodavatele.
Oblasti hodnocení – co auditor v praxi kontroluje?
Katalog ISA zahrnuje několik tematických bloků. Při auditu se ověřuje mimo jiné:
- bezpečnost IT systémů a sítí (řízení přístupu, ochrana před škodlivým softwarem),
- fyzická bezpečnost objektů a výrobních zón,
- ochrana osobních údajů v souladu s platnými předpisy,
- řízení bezpečnosti u vlastních dodavatelů a subdodavatelů,
- kontinuita provozu (business continuity) a reakce na incidenty,
- ochrana prototypů a projektových dat svěřených zákazníkem.
Tento poslední bod je klíčový z hlediska vymáhání požadavků OEM vůči dodavateli – právě kolem ochrany prototypů a konstrukční dokumentace se soustřeďuje většina očekávání výrobců.
TISAX v dodavatelském řetězci automotive – OEM, Tier 1 a Tier 2
TISAX nepůsobí ve vzduchoprázdnu – jeho síla vyplývá z důsledného uplatňování v celém dodavatelském řetězci. Výrobci vozidel, jako jsou BMW Group, Mercedes-Benz, Volkswagen Group nebo Stellantis, vyžadují certifikaci od svých přímých dodavatelů, tedy na úrovni Tier 1. Ti tuto povinnost smluvně přenášejí na své subdodavatele na úrovni Tier 2, aby zajistili jednotnou ochranu informací v každém článku. Tímto způsobem certifikace Tier 1 a Tier 2 vytváří uzavřený řetězec důvěry.
Následky chybějícího platného certifikátu jsou citelné a měřitelné z hlediska podnikání. Firma bez platného výsledku TISAX bývá vyloučena z poptávkových řízení již ve fázi kvalifikace a v krajních případech přichází o probíhající spolupráci. Pro subjekty poskytující průmyslovou kooperaci pro automobilový průmysl přestal být certifikát odlišujícím prvkem a stal se podmínkou účasti ve výběrovém řízení.
Jak vypadá cesta k certifikaci TISAX krok za krokem?
Cesta k získání výsledku auditu TISAX probíhá podle stanoveného sledu kroků:
- Registrace firmy na portálu ENX a získání jedinečného Participant-ID identifikujícího účastníka.
- Zadání hodnocení jednomu ze schválených poskytovatelů auditu – jejich aktuální seznam je dostupný na portálu ENX.
- Provedení auditu podle katalogu ISA; pro úroveň AL2 je povinné ověření za účasti auditora, zahrnující hodnocení na místě.
- Zveřejnění výsledků na portálu TISAX Exchange – důležité je, že výsledky nejsou veřejné a přístup k nim mají pouze určení partneři.
- Zpřístupnění Scope-ID nebo Assessment-ID vybraným obchodním partnerům, kteří tak mohou ověřit status dodavatele.
Je vhodné realisticky naplánovat harmonogram – od přípravy organizace po uzavření hodnocení může celý cyklus ve větších závodech trvat několik měsíců, zejména pokud audit zahrnuje více lokalit a procesů.
Strumet s certifikátem TISAX – co to znamená pro váš projekt?
Pro inženýra nebo vedoucího nákupu znamená platný certifikát TISAX u dodavatele konkrétní, měřitelná usnadnění. Spolupráce s partnerem, který audit absolvoval, odstraňuje nutnost provádět vlastní nákladné ověřování bezpečnosti informací u tohoto dodavatele. Zároveň potvrzuje, že splňuje informační požadavky OEM, a reálně zkracuje proces kvalifikace v projektech, kde je TISAX nezbytnou podmínkou.
Strumet disponuje certifikátem TISAX. To má význam všude tam, kde nám je svěřena projektová dokumentace nebo citlivá data – například při výrobě certifikovaných kontejnerů na airbagy nebo specializovaných palet na automobilové díly, kde tvar a specifikace obalu vycházejí přímo z konstrukčních dat zákazníka.
Pokud plánujete projekt vyžadující dodavatele v souladu s TISAX, seznamte se s rozsahem průmyslové kooperace pro automotive a kontaktujte náš tým – pomůžeme přizpůsobit řešení požadavkům vašeho OEM.
FAQ – nejčastější otázky k certifikátu TISAX®
Je certifikát TISAX povinný pro všechny dodavatele v automotive?
Formálně nejde o právní požadavek, ale o požadavek smluvní. V praxi však většina OEM a dodavatelů Tier 1 podmiňuje spolupráci platným certifikátem, takže se pro firmy zpracovávající data z oboru stává faktickou podmínkou vstupu.
Musí certifikát TISAX mít i dodavatel Tier 2?
Velmi často ano. Dodavatelé Tier 1 obvykle smluvně přenášejí požadavek na certifikaci na své subdodavatele, aby zachovali jednotnou úroveň ochrany informací v celém dodavatelském řetězci.
Jak dlouho je certifikát TISAX platný a kdy je třeba ho obnovit?
Výsledek hodnocení TISAX je platný 3 roky. Aby se zachovala kontinuita statusu u obchodních partnerů, je vhodné proces opakovaného auditu zahájit s dostatečným předstihem před uplynutím této lhůty.
Jak dlouho trvá audit TISAX a jak probíhá?
Samotný audit trvá obvykle jeden až několik dní, v závislosti na rozsahu a počtu lokalit. Celý proces – od přípravy organizace přes hodnocení až po zveřejnění výsledků – se může ve větších firmách protáhnout na několik měsíců.
Čím se liší TISAX od ISO 27001?
Katalog požadavků ISA vychází z normy ISO/IEC 27001, ale rozšiřuje ji o specifická očekávání automobilového průmyslu, mimo jiné o ochranu prototypů. Klíčovým rozdílem je mechanismus vzájemného uznávání výsledků mezi účastníky, který samotná norma ISO neposkytuje.
