In der Automobilbranche haben technische Daten, Konstruktionsunterlagen und Informationen über Prototypen einen Wert, der dem des Produkts selbst vergleichbar ist. Fahrzeughersteller erwarten daher von ihren Lieferanten ein dokumentiertes Niveau des Informationsschutzes. Der Standard, der diese erwartete Vertraulichkeit ordnet und über die gesamte Lieferkette hinweg vergleichbar macht, ist TISAX. Nachfolgend erläutern wir aus praktischer Sicht, was dieses Zertifikat ist, welche Anforderungen es an Partner stellt und warum der Zugang zum Kreis der Automobilzulieferer ohne es immer schwieriger wird.

TISAX-Zertifikat – was ist das? Die wichtigsten Informationen

Das TISAX®-Zertifikat (Trusted Information Security Assessment Exchange) ist ein Mechanismus zur Bewertung und zum gegenseitigen Austausch von Ergebnissen von Informationssicherheits-Audits in der Automobilbranche. Der Standard wurde vom Verband der Automobilindustrie VDA entwickelt, das System wird von der ENX Association verwaltet – einer unabhängigen Organisation, die die Qualität der Bewertungen überwacht.

Bevor es TISAX gab, überprüfte jeder Automobilkonzern seine Lieferanten anhand eigener Fragebögen und Verfahren. Das bedeutete, dass ein Unternehmen, das mit mehreren Abnehmern zusammenarbeitete, mehrere getrennte, sich überschneidende Audits durchlaufen musste. Der VDA (Verband der Automobilindustrie) schuf Ordnung in diesem Durcheinander und entwickelte einen einheitlichen Anforderungskatalog VDA-ISA – eine gemeinsame Sprache, in der die gesamte Branche die Informationssicherheit in der Automobilindustrie beschreibt und bewertet. Auf dieser Grundlage wurden zwei sich ergänzende Ebenen des Standards aufgebaut.

➤ Wir empfehlen auch den Artikel: Galvanisierung in der Automobilindustrie: 5 beeindruckende Anwendungen

VDA-ISA-Katalog – das Fundament der Sicherheitsanforderungen

Das VDA Information Security Assessment (ISA) ist ein Katalog von Informationssicherheitsanforderungen auf Basis der anerkannten Norm ISO/IEC 27001, der vom Arbeitskreis Informationssicherheit des VDA erstellt und laufend aktualisiert wird. Er legt fest, welche Fragen das auditierte Unternehmen beantworten muss. Seit dem 1. April 2024 gilt die vom VDA veröffentlichte ISA-Version 6.0 – sie hat die Bewertung neben dem bisherigen Bereich der Datenvertraulichkeit um den neuen Bereich der „Verfügbarkeit“ (Availability) erweitert. Der Katalog dient zudem als Bezugspunkt für die Konformität mit der EU-Richtlinie NIS 2.

ENX Association – wie funktioniert der Austausch der TISAX-Ergebnisse?

Während der VDA für den Inhalt der Anforderungen verantwortlich ist, fungiert die ENX Association als Betreiberin des gesamten Systems: Sie akkreditiert Audit-Dienstleister, überwacht deren Qualität und verwaltet die Plattform für den Austausch der Ergebnisse zwischen den Teilnehmern. Der größte Vorteil dieses Modells ist ganz praktischer Natur – das Ergebnis eines einzelnen TISAX-Audits ist 3 Jahre gültig und wird von allen Teilnehmern des Systems anerkannt. Dadurch genügt ein Audit für mehrere Kunden gleichzeitig, ohne dass dieselbe Bewertung auf Wunsch weiterer Geschäftspartner mehrfach wiederholt werden muss.

TISAX-Anforderungen – was umfasst das Audit?

Die Anforderungen sind keine einheitliche Liste. Das TISAX-Audit gliedert sich in Prüfstufen (Assessment Levels), die nach der Sensibilität der verarbeiteten Daten gewählt werden, sowie in thematische Bereiche, die im Unternehmen geprüft werden. Genau diese Aufteilung entscheidet darüber, wie tief die Prüfung geht und wie streng die Anforderungen des OEM (Originalausrüsters) an den Lieferanten durchgesetzt werden.

TISAX-Prüfstufen: AL1, AL2 und AL3

Das System sieht drei Prüfstufen vor, die sich in Form der Überprüfung und Verwendungszweck unterscheiden:

Stufe	Form der Bewertung	Typische Anwendung
AL1	Selbstbewertung (Self-Assessment)	Daten mit niedriger Sensibilität, interne Überprüfung
AL2	Audit aus der Ferne / vor Ort durch einen unabhängigen, zugelassenen Auditor	Standard, den die meisten OEMs verlangen
AL3	Vertieftes Audit vor Ort, erweiterte Prüfung der Nachweise	Besonders sensible Daten (Verteidigungsgeheimnisse, Verschlusssachen)

In der Praxis von Automotive-Projekten ist AL2 die Standardschwelle – sie gibt dem Abnehmer eine unabhängige Bestätigung und nicht nur eine Erklärung des Lieferanten.

Bewertungsbereiche – was prüft der Auditor in der Praxis?

Der ISA-Katalog umfasst mehrere thematische Blöcke. Während des Audits werden unter anderem überprüft:

• Sicherheit der IT-Systeme und Netzwerke (Zugriffskontrolle, Schutz vor Schadsoftware),
• physische Sicherheit der Gebäude und Produktionsbereiche,
• Schutz personenbezogener Daten gemäß den geltenden Vorschriften,
• Sicherheitsmanagement bei den eigenen Lieferanten und Unterauftragnehmern,
• Betriebskontinuität (Business Continuity) und Reaktion auf Vorfälle,
• Schutz von Prototypen sowie vom Kunden anvertrauten Konstruktionsdaten.

Dieser letzte Punkt ist aus Sicht der Durchsetzung der OEM-Anforderungen gegenüber dem Lieferanten entscheidend – gerade um den Schutz von Prototypen und Konstruktionsunterlagen drehen sich die meisten Erwartungen der Hersteller.

TISAX in der Automotive-Lieferkette – OEM, Tier 1 und Tier 2

TISAX wirkt nicht im luftleeren Raum – seine Stärke beruht auf der konsequenten Anwendung in der gesamten Lieferkette. Fahrzeughersteller wie die BMW Group, Mercedes-Benz, die Volkswagen Group oder Stellantis verlangen eine Zertifizierung von ihren direkten Lieferanten, also der Ebene Tier 1. Diese geben die Verpflichtung vertraglich an ihre Unterlieferanten auf der Ebene Tier 2 weiter und sorgen so für einen einheitlichen Informationsschutz in jedem Glied. Auf diese Weise bildet die Zertifizierung von Tier 1 und Tier 2 eine geschlossene Vertrauenskette.

Die Folgen eines fehlenden gültigen Zertifikats sind gravierend und geschäftlich messbar. Ein Unternehmen ohne gültiges TISAX-Ergebnis wird mitunter bereits in der Qualifizierungsphase von Ausschreibungen ausgeschlossen und verliert in Extremfällen eine laufende Zusammenarbeit. Für Unternehmen, die industrielle Zusammenarbeit für die Automobilbranche anbieten, ist das Zertifikat kein Unterscheidungsmerkmal mehr, sondern eine Eintrittsvoraussetzung für die Ausschreibung.

Wie sieht der Weg zur TISAX-Zertifizierung Schritt für Schritt aus?

Der Weg zum Ergebnis eines TISAX-Audits verläuft nach einer festgelegten Abfolge:

1. Registrierung des Unternehmens im ENX-Portal und Erhalt einer eindeutigen Participant-ID zur Identifizierung des Teilnehmers.
2. Beauftragung der Bewertung bei einem der zugelassenen Audit-Dienstleister – die aktuelle Liste ist im ENX-Portal verfügbar.
3. Durchführung des Audits nach dem ISA-Katalog; für die Stufe AL2 ist eine Überprüfung unter Beteiligung eines Auditors obligatorisch, die eine Bewertung vor Ort umfasst.
4. Veröffentlichung der Ergebnisse im TISAX-Exchange-Portal – wichtig dabei: Die Ergebnisse sind nicht öffentlich, der Zugriff ist ausschließlich benannten Partnern vorbehalten.
5. Freigabe der Scope-ID oder Assessment-ID für ausgewählte Geschäftspartner, die dadurch den Status des Lieferanten überprüfen können.

Es lohnt sich, den Zeitplan realistisch zu planen – von der Vorbereitung der Organisation bis zum Abschluss der Bewertung kann der gesamte Zyklus in größeren Betrieben mehrere Monate dauern, insbesondere wenn das Audit mehrere Standorte und Prozesse umfasst.

Strumet mit TISAX-Zertifikat – was bedeutet das für Ihr Projekt?

Für Ingenieure oder Einkaufsleiter bedeutet ein gültiges TISAX-Zertifikat des Lieferanten konkrete, messbare Erleichterungen. Die Zusammenarbeit mit einem Partner, der das Audit bestanden hat, macht eine eigene, kostspielige Überprüfung der Informationssicherheit bei diesem Lieferanten überflüssig. Sie bestätigt außerdem, dass er die von den OEMs gestellten Informationsanforderungen erfüllt, und verkürzt den Qualifizierungsprozess spürbar in Projekten, in denen TISAX zwingende Voraussetzung ist.

Strumet verfügt über ein TISAX-Zertifikat. Das ist überall dort von Bedeutung, wo uns Projektunterlagen oder sensible Daten anvertraut werden – zum Beispiel bei der Herstellung zertifizierter Airbag-Behälter oder spezieller Paletten für Autoteile, bei denen Form und Spezifikation der Verpackung unmittelbar aus den Konstruktionsdaten des Kunden hervorgehen.

Wenn Sie ein Projekt planen, das einen TISAX-konformen Lieferanten erfordert, prüfen Sie den Umfang unserer industriellen Zusammenarbeit für die Automobilindustrie und kontaktieren Sie unser Team – wir helfen Ihnen, die Lösung an die Anforderungen Ihres OEM anzupassen.

FAQ – die häufigsten Fragen zum TISAX®-Zertifikat

Ist das TISAX-Zertifikat für alle Automobilzulieferer verpflichtend?

Formal handelt es sich nicht um eine gesetzliche, sondern um eine vertragliche Anforderung. In der Praxis machen jedoch die meisten OEMs und Tier-1-Lieferanten die Zusammenarbeit vom Besitz eines gültigen Zertifikats abhängig, sodass es für Unternehmen, die branchenspezifische Daten verarbeiten, zur faktischen Eintrittsvoraussetzung wird.

Muss auch ein Tier-2-Lieferant ein TISAX-Zertifikat besitzen?

Sehr häufig ja. Tier-1-Lieferanten geben die Zertifizierungspflicht in der Regel vertraglich an ihre Unterlieferanten weiter, um in der gesamten Lieferkette ein einheitliches Niveau des Informationsschutzes zu wahren.

Wie lange ist ein TISAX-Zertifikat gültig und wann muss es erneuert werden?

Das TISAX-Bewertungsergebnis ist 3 Jahre gültig. Um den Status bei den Geschäftspartnern lückenlos zu erhalten, sollte das erneute Audit rechtzeitig vor Ablauf dieser Frist begonnen werden.

Wie lange dauert ein TISAX-Audit und wie läuft es ab?

Das Audit selbst dauert in der Regel einen bis mehrere Tage, je nach Umfang und Anzahl der Standorte. Der gesamte Prozess – von der Vorbereitung der Organisation über die Bewertung bis zur Veröffentlichung der Ergebnisse – kann sich in größeren Unternehmen über mehrere Monate hinziehen.

Wie unterscheidet sich TISAX von ISO 27001?

Der ISA-Anforderungskatalog basiert auf der Norm ISO/IEC 27001, erweitert sie jedoch um spezifische Erwartungen der Automobilbranche, unter anderem den Schutz von Prototypen. Der entscheidende Unterschied ist der Mechanismus der gegenseitigen Anerkennung der Ergebnisse zwischen den Teilnehmern, den die ISO-Norm selbst nicht bietet.