Für viele Unternehmen in der Automobilbranche reicht es längst nicht mehr aus, Informationssicherheit nur intern zu organisieren – sie müssen sie gegenüber Auftraggebern nachweisen können. Genau hier kommt TISAX ins Spiel. Das Prüf- und Austauschverfahren hat sich in der Automotive-Lieferkette als wichtiger Standard etabliert und betrifft längst nicht nur große Zulieferer, sondern auch kleinere Dienstleister, Agenturen und IT-Partner.
Doch was genau steckt hinter TISAX, wie läuft ein Assessment ab und worin unterscheidet sich das Verfahren von einer ISO-27001-Zertifizierung? Dieser Ratgeber erklärt die wichtigsten Grundlagen verständlich und praxisnah.
Was ist TISAX?
TISAX ist ein Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie. Am Ende steht kein Zertifikat, sondern ein TISAX-Label, das über die ENX-Plattform mit Partnern geteilt wird. Grundlage ist der VDA-ISA-Katalog, der sich an ISO 27001 anlehnt. Wer für Hersteller oder Zulieferer arbeitet, bekommt ein TISAX-Assessment meist vertraglich vorausgesetzt.
Die Abkürzung steht für „Trusted Information Security Assessment Exchange“. Betrieben wird das Verfahren von der ENX Association im Auftrag des Verbandes der Automobilindustrie (VDA). Die Idee dahinter: Statt jedem Kunden einzeln Sicherheitsnachweise vorzulegen, durchläuft dein Unternehmen ein standardisiertes Assessment und gibt das Ergebnis anschließend gezielt für ausgewählte Geschäftspartner frei. Das Label signalisiert, dass Informationssicherheit nach einem brancheneinheitlichen Maßstab geprüft wurde – ohne dass jeder Auftraggeber ein eigenes Audit durchführen muss. Anders als eine klassische Urkunde ist das Label nicht öffentlich einsehbar; der Austausch läuft kontrolliert über die Plattform.
Umgangssprachlich ist häufig von einer „TISAX-Zertifizierung“ die Rede. Formal ist das nicht korrekt: TISAX ist kein Zertifikat, sondern ein Prüfverfahren, das mit einem Label abschließt. Ein kompakter Ratgeber, der das TISAX-Label verständlich erklärt, erleichtert dir die ersten Schritte vor dem eigentlichen Assessment.
Warum verlangen Auftraggeber TISAX?
Die Automobilindustrie arbeitet mit tief verzweigten Lieferketten. Hersteller geben sensible Informationen an Zulieferer, Engineering-Dienstleister oder Agenturen weiter – etwa Konstruktionsdaten, Fahrzeugpläne oder Kundeninformationen. Jede Schwachstelle bei einem einzelnen Partner kann dabei die gesamte Kette gefährden. Deshalb reichen die Hersteller die Anforderung an ihre direkten Zulieferer weiter – bis hin zu kleinen und mittleren Betrieben in Österreich.
Mit TISAX stellen Auftraggeber sicher, dass einheitliche Sicherheitsstandards eingehalten werden. Das betrifft nicht nur klassische Zulieferer: Auch Dienstleister, die vertrauliche Daten verarbeiten – von der Agentur mit Fotos unveröffentlichter Modelle bis zum Softwarepartner –, werden in die Pflicht genommen. Ein besonderer Grund ist der Prototypenschutz: Getarnte Testfahrzeuge und neue Bauteile dürfen nicht vorzeitig an die Öffentlichkeit gelangen. Erbringst du den Nachweis nicht, riskierst du, Aufträge gar nicht erst zu bekommen.
Wie hängt TISAX mit ISO 27001 zusammen?
Der VDA-ISA-Katalog nutzt die Norm ISO/IEC 27001:2022 als fachliche Basis und erweitert sie um automobilspezifische Anforderungen, etwa zum Prototypenschutz. Wenn du bereits ein Informationssicherheits-Managementsystem nach ISO 27001 betreibst, erfüllst du damit einen großen Teil der inhaltlichen Anforderungen. Der entscheidende Unterschied liegt im Charakter des Nachweises: ISO 27001 ist eine echte, international anerkannte Zertifizierung durch akkreditierte Stellen, TISAX dagegen ein branchenspezifisches Label der Automobilindustrie ohne Zertifikatscharakter. Beide Systeme ergänzen sich gut, sie sind aber nicht austauschbar.
Die wichtigsten Unterschiede im Überblick:
| Merkmal | TISAX | ISO 27001 |
|---|---|---|
| Charakter | Label (kein Zertifikat) | International anerkannte Zertifizierung |
| Grundlage | VDA-ISA-Katalog | ISO/IEC-27001-Norm |
| Geltungsbereich | Automobilindustrie | Branchenübergreifend |
| Nachweisweg | Austausch über die ENX-Plattform mit freigegebenen Partnern | Urkunde einer akkreditierten Zertifizierungsstelle, öffentlich vorzeigbar |
| Gültigkeit | Üblicherweise mehrjährig, häufig rund drei Jahre, danach Re-Assessment | Mehrjährig, mit regelmäßigen Überwachungsaudits |
Geteilt wird das TISAX-Ergebnis ausschließlich über das TISAX-Portal der ENX Association – und nur mit Partnern, die du als geprüftes Unternehmen ausdrücklich freigibst. Kurz gesagt: ISO 27001 ist wertvolle Vorarbeit, ersetzt aber kein TISAX-Assessment, wenn dein Auftraggeber das Label verlangt.
Welche Assessment-Level und Module gibt es?
Wie tief die Prüfung geht, bestimmt das Assessment-Level. Drei Stufen sind definiert:
- AL1: weitgehend internes Self-Assessment. Der Prüfer kontrolliert lediglich, ob eine ausgefüllte Selbsteinschätzung vorliegt, bewertet deren Inhalt aber nicht. Ergebnisse auf AL1 werden innerhalb von TISAX nicht als Assessment-Ergebnis verwendet.
- AL2: Selbstauskunft plus Plausibilitätsprüfung durch einen akkreditierten Prüfdienstleister, häufig remote. Dieses Level gilt in der Praxis oft als Marktstandard.
- AL3: vertieftes Audit vor Ort – gedacht für besonders schützenswerte Informationen und Prototypen.
Welche Anforderungen zusätzlich geprüft werden, richtet sich nach den sogenannten Assessment Objectives. Sie bestimmen, welches Assessment-Level gilt und welche Bereiche des VDA-ISA-Katalogs für die Prüfung relevant sind. Neben der Informationssicherheit können dabei insbesondere Anforderungen aus folgenden Bereichen hinzukommen:
- Datenschutz: relevant, wenn personenbezogene Daten im Auftrag verarbeitet werden; die Anforderungen orientieren sich an der DSGVO.
- Prototypenschutz: physische und organisatorische Maßnahmen wie Zutrittskontrollen, Tarnvorgaben oder abgeschirmte Bereiche.
Welche Assessment Objectives und damit welche Anforderungen nötig sind, gibt in der Praxis meist der Auftraggeber vor.
Wie läuft ein TISAX-Assessment ab?
Der Weg zum Label folgt einem festen Ablauf, der für alle Teilnehmer gleich ist:
Die Ablauf-Schritte im Überblick
- Registrierung: Du meldest dein Unternehmen als TISAX-Teilnehmer im ENX-Portal an und definierst den Prüfumfang – also Standorte, Module und Assessment-Level.
- Self-Assessment: Du füllst den VDA-ISA-Fragebogen aus und bewertest den aktuellen Status deiner Informationssicherheit.
- Prüfung: Ein akkreditierter Prüfdienstleister prüft deine Angaben – je nach Level remote als Plausibilitätscheck oder als Audit vor Ort.
- Label und Austausch: Nach erfolgreicher Prüfung wird das TISAX-Label vergeben; du gibst es über das ENX-Portal gezielt für deine Geschäftspartner frei.
Wie lange der Prozess dauert, hängt vom Ausgangszustand und vom gewählten Umfang ab. Das Label ist üblicherweise mehrjährig gültig; danach steht ein neues Assessment an. Für deine Planung gilt: Je früher du mit der Vorbereitung startest, desto reibungsloser läuft die Prüfung.
Wie bereitest du dich vor?
Die wichtigste Vorbereitung ist eine ehrliche Ist-Analyse: Du spiegelst deine bestehende Informationssicherheit an den Anforderungen des VDA-ISA-Katalogs und deckst so Lücken auf. Typische Baustellen sind Zugriffsrechte, Passwort-Richtlinien, Mitarbeiterschulungen oder die physische Sicherheit von Räumen.
Anschließend setzt du die fehlenden technischen und organisatorischen Maßnahmen um und dokumentierst sie sauber. Wichtig zu wissen: Bewertet wird je Anforderung nach einem Reifegradmodell – es zählt also nicht nur, ob eine Maßnahme existiert, sondern wie etabliert sie im Alltag ist. Viele Unternehmen unterschätzen dabei den Dokumentationsaufwand, erfahrungsgemäß die größte Zeitfalle vor dem ersten Assessment. Legst du Richtlinien und Nachweise schon vor dem Self-Assessment ordentlich ab, sparst du in der Prüfung Zeit und vermeidest Nachbesserungen.
FAQ
Was ist TISAX einfach erklärt?
TISAX ist ein Prüf- und Austauschverfahren der Automobilindustrie für Informationssicherheit. Unternehmen durchlaufen ein standardisiertes Assessment und erhalten am Ende ein Label, das sie über die ENX-Plattform mit Geschäftspartnern teilen.
Ist TISAX ein Zertifikat?
Nein. TISAX endet mit einem Label, das über die ENX-Plattform geteilt wird – nicht mit einer öffentlich vorzeigbaren Urkunde. Der umgangssprachliche Begriff „TISAX-Zertifizierung“ ist daher formal nicht korrekt.
Was ist der Unterschied zwischen TISAX und ISO 27001?
TISAX ist ein branchenspezifisches Label der Automobilindustrie auf Basis des VDA-ISA-Katalogs, das nur mit freigegebenen Partnern geteilt wird. ISO 27001 ist eine international anerkannte Zertifizierung durch akkreditierte Stellen, die branchenübergreifend gilt und öffentlich nachgewiesen werden kann.
Welche Assessment-Level gibt es?
Es gibt drei Stufen: AL1 als reine Selbstauskunft, AL2 als Selbstauskunft mit Plausibilitätsprüfung durch einen akkreditierten Dienstleister und AL3 als vertieftes Audit vor Ort. Welches Level gefordert ist, hängt vom Schutzbedarf der verarbeiteten Informationen ab.
Wer braucht TISAX?
Vor allem Zulieferer, Engineering-Dienstleister und Agenturen, die für Automobilhersteller oder deren direkte Zulieferer arbeiten und dabei vertrauliche Informationen verarbeiten. In der Regel wird das Assessment vertraglich vorausgesetzt.
Wie bereitest du dich auf ein TISAX-Assessment vor?
Mit einer Ist-Analyse entlang des VDA-ISA-Katalogs, der Umsetzung fehlender Maßnahmen und einer sauberen Dokumentation. Erst wenn deine Richtlinien und Nachweise stehen, lohnt sich das formale Self-Assessment.
Fazit
Für österreichische Zulieferer und Dienstleister mit Automotive-Bezug ist TISAX längst kein Sonderfall mehr, sondern häufig die Eintrittskarte für neue Aufträge. Wenn du die Anforderungen des VDA-ISA-Katalogs früh ernst nimmst und deine Informationssicherheit sauber dokumentierst, gehst du entspannter ins Assessment – und positionierst dich als verlässlicher Partner in der Lieferkette.
