Eine Norm, ein Branchenmechanismus
ISO 27001 ist eine internationale Norm: Sie beschreibt, wie ein Informationssicherheits-Managementsystem aufgebaut sein muss, und das Ergebnis ist ein Zertifikat, das eine unabhängige, akkreditierte Zertifizierungsstelle ausstellt. TISAX ist kein Standard im eigentlichen Sinn, sondern ein Prüf- und Austauschmechanismus: Er wurde von der ENX Association entwickelt, um Informationssicherheit in der Automobilindustrie standardisiert und wiederverwendbar prüfbar zu machen, veröffentlicht anhand des VDA-ISA-Kriterienkatalogs des Verbands der Automobilindustrie. Geprüft wird nicht nach ISO 27001 direkt, sondern nach dem VDA-ISA-Katalog, der selbst auf ISO/IEC 27001 und ISO/IEC 27002 aufbaut und für die Anforderungen der Automobilbranche angepasst ist. Für ein Unternehmen ausserhalb der Automobilbranche spielt TISAX in aller Regel keine Rolle, selbst wenn es hochsensible Daten verarbeitet, weil der Mechanismus vertraglich an die Lieferketten der Automobilhersteller gebunden ist.
Zertifikat oder Label: der praktische Unterschied
ISO 27001 endet in einem Zertifikat, das einzeln gegenüber Kunden oder Behörden vorgelegt wird. TISAX endet in einem Label, das über die ENX-Plattform mit Geschäftspartnern geteilt wird: Ein Zulieferer lässt sich einmal prüfen und kann das Ergebnis dann mehreren OEMs und Tier-1-Kunden zugänglich machen, ohne für jeden einzeln ein neues Audit zu durchlaufen. Das war der ursprüngliche Zweck von TISAX: wiederholte Einzelaudits durch die Automobilhersteller zu vermeiden, die vor Einführung des Mechanismus jeder für sich eigene Sicherheitsprüfungen bei denselben Zulieferern durchführten. Für den Zulieferer bedeutet das weniger Auditlast insgesamt, aber auch, dass das Ergebnis für mehrere Kunden gleichzeitig sichtbar wird.
Drei Assessment Levels, drei Prüftiefen
Die ENX Association unterscheidet drei Assessment Levels, die sich in Umfang und Methodik der Prüfung deutlich unterscheiden und die ein Kunde je nach Schutzbedarf der geteilten Informationen vertraglich vorgeben kann.
- Assessment Level 1: Der Prüfer bestätigt nur, dass eine Selbstbewertung ausgefüllt vorliegt, ohne deren Inhalt zu bewerten. Ergebnisse mit geringem Vertrauensniveau, nicht für den TISAX-Austausch verwendet
- Assessment Level 2: Plausibilitätsprüfung der Selbstbewertung, meist per Videokonferenz mit Nachweisprüfung und Interviews
- Assessment Level 3: Umfassende Verifikation durch Vor-Ort-Inspektion, geplante und ungeplante Interviews sowie Beobachtung der tatsächlichen Arbeitsbedingungen
Warum ISO 27001 die TISAX-Prüfung erleichtert, sie aber nicht ersetzt
Weil der VDA-ISA-Katalog auf ISO/IEC 27001 und 27002 aufbaut, deckt ein bestehendes ISMS inhaltlich einen grossen Teil der TISAX-Anforderungen ab: Risikomanagement, Richtlinien, Zugriffskontrollen und Vorfallmanagement sind in beiden Systemen ähnlich verlangt. TISAX prüft aber zusätzlich automobilspezifische Themen wie den Schutz von Prototypen oder besonders schützenswerten Daten von Kunden, die eine allgemeine ISO-27001-Zertifizierung nicht abdeckt. Ein Zulieferer mit ISO-27001-Zertifikat startet die TISAX-Prüfung deshalb von einer deutlich besseren Ausgangslage, muss aber trotzdem ein eigenes TISAX-Label über die ENX-Plattform erwerben. Der Zeitgewinn zeigt sich vor allem in der Selbstbewertung, die sich weitgehend aus vorhandenen ISMS-Dokumenten ableiten lässt, statt bei null anzufangen.
Wie IT am Main unterstützt
ITM baut ISMS nach ISO 27001 und bereitet Automobilzulieferer auf dieser Basis gezielt auf die TISAX-Anforderungen vor, inklusive der Frage, welches Assessment Level vertraglich tatsächlich verlangt wird. Wir prüfen dabei zuerst, welche Lücken zwischen dem bestehenden ISMS und dem VDA-ISA-Katalog konkret bestehen, statt pauschal ein neues Sicherheitsprogramm aufzusetzen. So vermeiden Sie doppelte Dokumentation zwischen Ihrem ISMS und Ihrer TISAX-Selbstbewertung und behalten den Überblick über beide Nachweise an einer Stelle. Details zum Fundament finden Sie unter ISO 27001.
Quellen
- TISAX, ENX Association, 2026
- TISAX Participant Handbook, ENX Association, 2026