Was TISAX ist — und was nicht
TISAX (Trusted Information Security Assessment Exchange) ist ein von der ENX Association betriebener Mechanismus, mit dem Ergebnisse von Informationssicherheits-Assessments in der Automobilindustrie standardisiert ausgetauscht werden. Grundlage der Prüfung ist der VDA-ISA-Fragenkatalog (Information Security Assessment).
Wichtig zur Einordnung: TISAX-Labels werden ausschließlich von akkreditierten Audit-Anbietern vergeben und über die ENX-Plattform geteilt. Eine Beratung kann auf die Readiness vorbereiten, aber weder das Assessment durchführen noch ein Label ausstellen. Diese Trennung ist bewusst und sollte in jeder seriösen Kommunikation klar sein.
Assessment-Level und Prüftiefe
Der VDA ISA unterscheidet Prüfziele (z. B. Information mit hohem oder sehr hohem Schutzbedarf, Prototypenschutz, Datenschutz). Daraus ergibt sich die Prüftiefe — von der Selbstauskunft über Plausibilitätsprüfung bis zum Vor-Ort-Assessment mit Nachweisprüfung und Interviews.
Für Zulieferer heißt das: Zuerst muss der korrekte Scope und das geforderte Prüfziel mit dem Kunden geklärt sein. Ein Assessment für den falschen Schutzbedarf hilft niemandem und verursacht Doppelaufwand.
Worauf es in der Vorbereitung ankommt
Der VDA ISA ist maßnahmenorientiert: Zu jedem Control gehören Reifegrade und der Nachweis, dass Maßnahmen nicht nur definiert, sondern umgesetzt und wirksam sind. Typische Lücken liegen bei Zugriffskonzepten, Lieferantensteuerung, physischer Sicherheit und dem Umgang mit mobilen bzw. Remote-Arbeitsplätzen.
Eine strukturierte Vorbereitung mappt den Ist-Zustand gegen den VDA ISA, priorisiert die Lücken nach Risiko und schafft belastbare Nachweise — so, dass der Assessor sie ohne Suchen findet.
- TISAX-Labels vergeben ausschließlich akkreditierte Anbieter über ENX — Beratung bereitet vor, zertifiziert nicht.
- Erst Scope und Prüfziel mit dem Kunden klären, dann den VDA ISA als Maßstab nehmen.
- Nachweise müssen Wirksamkeit zeigen, nicht nur Existenz von Richtlinien.
Über den Autor
Rainer Hampicke
Rainer Hampicke ist Gründer von Hampa Core Quality. Er bringt über 25 Jahre Erfahrung in der Automobilindustrie mit — frühere berufliche Stationen u. a. bei ZF, Johnson Controls und Kautex Textron. Heute begleitet er Zulieferer und Deep-Tech-Unternehmen persönlich als strategischer Berater zur Audit-Readiness.