Definition
Branchenspezifisches Informationssicherheitszertifizierungsprogramm der Automobilindustrie, entwickelt vom VDA auf Basis von ISO/IEC 27001 und 27002. Lieferanten müssen je nach Schutzbedarf bestimmte Assessment-Stufen (AL 1–3) nachweisen. Austausch von Assessment-Ergebnissen erfolgt über eine zentrale Plattform zur Reduktion von Kundenaudits.
In der Praxis
TISAX beginnt in der Praxis mit der Schutzbedarfsfrage: Welche Informationen werden ausgetauscht — normale Geschäftsdaten, vertrauliche Entwicklungsunterlagen oder personenbezogene Daten aus Fahrzeugtests? Davon hängt die Assessment-Stufe ab, die der OEM verlangt, und damit die Prüftiefe: von der Selbstbewertung bis zur Vor-Ort-Prüfung durch einen akkreditierten Dienstleister. Wer bereits ein ISMS nach ISO/IEC 27001 betreibt, hat den größten Teil der Anforderungen abgedeckt — der TISAX-Katalog baut darauf auf und ergänzt Module wie Prototypenschutz oder Datenschutz. Der typische Stolperstein ist der Geltungsbereich: Standorte und Prozesse müssen sauber abgegrenzt sein, sonst verzögert sich das Assessment. Das Label gilt drei Jahre und wird über die zentrale Plattform mit den Kunden geteilt — wiederholte Kundenaudits entfallen dadurch weitgehend.
Verwandte Begriffe
Häufige Fragen zu TISAX
Was bedeuten die TISAX-Assessment-Level AL 1 bis AL 3?
AL 1 ist eine reine Selbstbewertung ohne externe Prüfung und wird von OEMs kaum akzeptiert. AL 2 umfasst eine Plausibilitätsprüfung der Selbstbewertung, typischerweise remote, für Informationen mit normalem Schutzbedarf. AL 3 ist die umfassende Vor-Ort-Prüfung für hohen Schutzbedarf — etwa bei Prototypen, Entwicklungsdaten oder personenbezogenen Daten.
Was ist der Unterschied zwischen TISAX und ISO 27001?
ISO 27001 ist eine internationale Norm mit Zertifikat durch eine Zertifizierungsstelle; TISAX ist ein branchenspezifisches Prüfverfahren des VDA auf Basis der ISO 27001 mit eigenem Katalog, eigenen Modulen und einer zentralen Austauschplattform. TISAX ersetzt das ISO-Zertifikat nicht automatisch — umgekehrt deckt ein ISMS aber den größten Teil der TISAX-Anforderungen ab. Viele Unternehmen führen beides parallel.
Wie lange ist ein TISAX-Label gültig?
Drei Jahre. In dieser Zeit kann der Prüfdienstleister Stichproben oder Anlass-Audits durchführen; danach ist eine erneute Prüfung erforderlich. Das Ergebnis wird über die TISAX-Plattform für registrierte Teilnehmer freigegeben — Kunden sehen das Label, nicht die Detailergebnisse.