TISAX: Was Zulieferer der Automobilindustrie 2026 wirklich nachweisen müssen

TISAX steht für Trusted Information Security Assessment Exchange und wird vom VDA über die ENX Association seit 2017 betrieben. Wer als Zulieferer, Entwicklungsdienstleister oder Logistikpartner mit Daten der deutschen OEMs arbeitet, wird vertraglich zu einem TISAX-Label verpflichtet. Die aktuelle Version des Prüfkatalogs VDA ISA 6.0 datiert von 2023 und enthält 41 Anforderungen plus optionale Module.

Anders als ISO/IEC 27001 ist TISAX kein Managementsystem-Standard, sondern eine Assessment-Prozedur mit eindeutigen Prüfobjektscopes und Vertrauensstufen. Drei Assessment-Levels von AL 1 bis AL 3 definieren die Tiefe der Prüfung. Dieser Leitfaden erklärt Stufen, Prozess, Abgrenzung zu ISO 27001 und welche Vorlagen ein TISAX-Assessment audit-fest dokumentiert.

TISAX wurde von der deutschen Automobilindustrie geschaffen, um den Aufwand bilateraler Sicherheitsaudits zwischen OEMs und Zulieferern zu reduzieren. Statt jeden Lieferanten einzeln zu prüfen, vereinbarten BMW, VW, Daimler, Audi und Porsche eine gemeinsame Prüfprozedur auf Basis des VDA-ISA-Katalogs. Die ENX Association mit Sitz in Frankfurt betreibt die Austauschplattform.

Der VDA-ISA-Katalog ist inhaltlich an ISO/IEC 27001 angelehnt, aber mit branchenspezifischen Erweiterungen. Besonders relevant sind die Module für Prototypenschutz, Datenschutz und Anbindung an externe Dienstleister. Der Prototypenschutz ist eine TISAX-Eigenheit, die in ISO 27001 nicht vorkommt und für Entwicklungsdienstleister zentral ist.

Wer TISAX-pflichtig ist, ergibt sich aus dem Vertrag mit dem OEM oder Tier-1-Lieferanten. Typische Auslöser sind Zugriff auf CAD-Daten, Prototypenfahrzeuge, vertrauliche Stücklisten oder personenbezogene Daten von Kundinnen und Kunden. Ohne TISAX-Label kein Auftrag, das ist die kommerzielle Realität in der Branche.

Eine ISO/IEC 27001:2022-Zertifizierung deckt etwa 80 Prozent der VDA-ISA-Anforderungen ab. Sie ersetzt das TISAX-Label aber nicht, weil ENX einen eigenen Prüfweg vorgibt und die Module Prototypenschutz und Datenschutz separat bewertet werden. Wer beide Standards braucht, kann die Vorbereitung kombinieren.

CIVAC ist die Compliance-Plattform und Officer-as-a-Service für Mittelständler, die TISAX und ISO 27001 parallel oder nacheinander aufbauen. Der Informationssicherheitsbeauftragte übernimmt in beiden Standards die operative Steuerung, die Bestellurkunde ist identisch.

TISAX kennt drei Assessment-Levels, die Tiefe und Aufwand der Prüfung bestimmen. Welches Level erforderlich ist, gibt der OEM oder Tier-1-Kunde vertraglich vor. Eine Anhebung des Levels nachträglich erfordert ein neues Assessment, eine Absenkung ist nicht vorgesehen. Die Wahl des Levels ist damit eine Geschäftsentscheidung mit Folgewirkung.

AL 1 ist eine reine Selbstauskunft. Der Prüfobjektverantwortliche füllt den VDA-ISA-Fragebogen aus, der Auditor sichtet die Antworten ohne weitere Belege. AL 1 wird selten verlangt und gilt als niedrigste Vertrauensstufe. Für Standard-Zulieferer mit Zugriff auf nicht-vertrauliche Daten kann AL 1 ausreichen.

AL 2 ist die häufigste Stufe. Der Auditor sichtet eingereichte Nachweise, führt ein Plausibilitätsinterview per Videokonferenz und vergibt Reifegrade je Anforderung. Vor-Ort-Begehungen sind in AL 2 nicht verpflichtend, der Auditor kann sie aber bei begründetem Verdacht anfordern. Die Vorbereitungszeit liegt bei drei bis sechs Monaten.

AL 3 ist das höchste Level. Vor-Ort-Audit, Stichprobenprüfung, technische Tests und vertiefte Interviews sind verpflichtend. AL 3 wird für Prototypenschutz und sensitive Entwicklungsdaten vorgeschrieben. Die Vorbereitungszeit liegt bei sechs bis zwölf Monaten, der Aufwand übersteigt eine ISO-27001-Zertifizierung in der Vorbereitung.

Die Wahl des Levels betrifft direkt die Audit-Kosten. AL 1 kostet etwa 3.000 bis 5.000 Euro, AL 2 etwa 12.000 bis 25.000 Euro, AL 3 etwa 30.000 bis 60.000 Euro. Hinzu kommen interne Vorbereitungskosten, die das Mehrfache der Audit-Kosten erreichen können. CIVAC liefert für alle drei Levels Vorlagen, Reifegradbewertungen und Audit-Begleitung.

Der VDA-ISA-Katalog in Version 6.0 vom April 2023 enthält 41 Anforderungen im Hauptblock Informationssicherheit und zusätzliche Module für Prototypenschutz und Datenschutz. Jede Anforderung wird auf einer Skala von 0 bis 5 bewertet. Reifegrad 3 ist für die Label-Erteilung in AL 2 erforderlich, AL 3 verlangt teils Reifegrad 4.

Der Hauptblock gliedert sich in sieben Themen: Informationssicherheitspolitik und Organisation, Personalsicherheit, physische Sicherheit, Identitäts- und Zugriffsmanagement, IT-Sicherheit und kryptographische Verfahren, Lieferantenbeziehungen, Compliance. Die Themen entsprechen weitgehend Anhang A der ISO/IEC 27001, sind aber detaillierter formuliert.

Das Modul Prototypenschutz ist verpflichtend für Entwicklungsdienstleister und Logistiker mit Zugriff auf Vor-Serien-Fahrzeuge. Es definiert Anforderungen an Sichtschutz, Tarnung, abgesicherte Räume, Foto-Verbote, getrennte Werkstätten und Geheimhaltungspflichten. Diese Anforderungen kommen in ISO 27001 nicht vor und sind im Audit detailliert prüfbar.

Das Modul Datenschutz greift Art. 28 DSGVO auf und prüft die Auftragsverarbeitung. Wer als Auftragsverarbeiter für den OEM tätig ist, muss die Datenschutz-Anforderungen separat bestehen. Hier hilft ein bestelter externer Datenschutzbeauftragter, der die DSGVO-Konformität bestätigt und in Audits begleitet.

CIVAC stellt für jede der 41 Hauptanforderungen ein Vorlagenpaket bereit mit Beispielnachweis, Reifegrad-Begründung und Verweis auf interne Dokumente. Diese Vorlagen ersetzen Excel-basierte VDA-ISA-Selbstauskünfte und reduzieren die interne Vorbereitungszeit deutlich.

Der TISAX-Prozess beginnt mit der Registrierung auf der ENX-Plattform unter portal.enx.com. Dort wird das Unternehmen mit Geschäftsdaten erfasst, das Prüfobjekt definiert und der Assessment-Level festgelegt. Die Registrierungsgebühr liegt bei rund 580 Euro pro Geschäftsjahr und ist unabhängig von der Anzahl der Labels.

Im zweiten Schritt wird ein TISAX-Prüfdienstleister beauftragt. Es gibt rund 20 akkreditierte Auditoren, darunter TÜV-Gesellschaften, Dekra und spezialisierte Beratungshäuser. Die Auswahl erfolgt nach Verfügbarkeit, Branchenexpertise und Preis. Die Beauftragung des Auditors erfolgt direkt zwischen Zulieferer und Auditor, nicht über ENX.

Der dritte Schritt ist die Selbstauskunft im VDA-ISA-Katalog. Diese erfolgt in einer Excel-Tabelle, die ENX bereitstellt. Jede der 41 Anforderungen wird mit Reifegrad und Begründung versehen. Die Selbstauskunft ist Grundlage des Audits und sollte vorab durch einen internen oder externen Reviewer geprüft werden.

Im vierten Schritt erfolgt das Audit gemäß gewähltem Level. Der Auditor sichtet Dokumente, führt Interviews und vergibt finale Reifegrade. Bei Abweichungen erstellt der Auditor einen Maßnahmenplan mit Frist. Die Behebung erfolgt typischerweise innerhalb von 90 Tagen, danach gibt es ein Korrektur-Audit oder eine Bestätigung per Dokumentenprüfung.

Im fünften Schritt veröffentlicht der Auditor das Ergebnis auf der ENX-Plattform. Das Label wird mit Geltungsbereich, Level und Gültigkeitsdauer ausgewiesen. OEMs prüfen das Label per Direktzugriff auf ENX. Die Gültigkeitsdauer beträgt drei Jahre, Verlängerungen erfordern ein erneutes Assessment mit reduziertem Umfang.

Audit-fest, dokumentiert, VDA-fest sind nur Nachweise, die versioniert, datiert und mit klarer Verantwortlichkeit hinterlegt sind. Die Pflichtdokumente umfassen Informationssicherheitsleitlinie, Asset-Inventar, Risikobewertung, Zugriffspolitik, Schulungsnachweise, Lieferantenbewertungen, Vorfallmanagementprozess und Bestellurkunde des Informationssicherheitsbeauftragten. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Der häufigste Stolperstein ist eine zu unklare Scopedefinition. Das Prüfobjekt muss präzise abgrenzbar sein: welcher Standort, welche Prozesse, welche Daten. Eine zu enge Definition wirkt unglaubwürdig, eine zu weite explodiert in Audit-Aufwand. Der Auditor lehnt nicht-tragfähige Scopes vor Audit-Beginn ab.

Der zweitwichtigste Stolperstein ist das Modul Prototypenschutz. Hier werden physische Kontrollen geprüft: Türen, Schlösser, Kameras, Sichtschutz, Schlüsselverwaltung. Wer im Standardbüro Prototypen verarbeitet, fällt durch. Erforderlich sind separate Räume mit Zutrittskontrolle, dokumentierter Besucherregelung und Foto-Verbot.

Der dritte Stolperstein sind Lieferantenbewertungen. VDA ISA 6.0 verlangt, dass alle Unterauftragnehmer mit Zugriff auf TISAX-relevante Daten ihrerseits ein Label tragen oder vergleichbar geprüft sind. Eine reine Vertragsklausel reicht nicht. Erforderlich ist eine Liste mit Label-Nachweisen und Bewertungsverfahren.

Der vierte Stolperstein ist die Verbindung zur Geschäftsleitung. Der ISB muss eine dokumentierte Berichtslinie zur Leitung haben, in CIVAC-Mandaten über die Bestellurkunde geregelt. Eine Berichtslinie über den IT-Leiter oder den Qualitätsmanager genügt der VDA-ISA-Anforderung nicht und führt zu Abstufungen im Reifegrad.

Die Audit-Kosten variieren mit Level und Standortanzahl. AL 2 mit einem Standort liegt typischerweise bei 12.000 bis 18.000 Euro, AL 3 mit einem Standort bei 30.000 bis 45.000 Euro. Jeder zusätzliche Standort erhöht die Kosten um 30 bis 50 Prozent, je nach Komplexität. Die ENX-Gebühr von 580 Euro pro Jahr kommt hinzu.

Die internen Vorbereitungskosten sind höher als die reinen Audit-Kosten. Eine erstmalige TISAX-Vorbereitung bindet etwa 0,3 bis 0,6 Vollzeitäquivalente über sechs bis neun Monate. Hinzu kommen externe Beratungskosten, die klassisch bei 40.000 bis 80.000 Euro für AL 2 und 80.000 bis 150.000 Euro für AL 3 liegen.

CIVAC reduziert die Beratungskosten durch standardisierte Vorlagen und einen Workspace, in dem die VDA-ISA-Selbstauskunft direkt geführt wird. Die klassische Excel-Tabelle wird durch verlinkte Nachweise ersetzt, die Reifegradbewertung erfolgt mit Audit-Logik im Hintergrund. Der SLA für Nachweisaufbau liegt bei zwei Werktagen statt klassisch zwei bis sechs Wochen.

Die Gesamtdauer einer Erst-Vorbereitung liegt bei sechs bis neun Monaten für AL 2 und neun bis zwölf Monaten für AL 3. Wer parallel ISO/IEC 27001:2022 anstrebt, kann beide Vorbereitungen koppeln und spart etwa 30 Prozent Vorbereitungsaufwand gegenüber sequenzieller Bearbeitung. Die Audits selbst bleiben getrennt.

Die Re-Zertifizierung nach drei Jahren ist deutlich günstiger als die Erstzertifizierung. Bei stabilem Scope, gepflegten Nachweisen und konsistenten Reifegraden reduziert sich der Audit-Aufwand um etwa 30 Prozent. Wer das ISMS in drei Jahren gepflegt hat, kann die Re-Zertifizierung in drei Monaten vorbereiten.

Mit der NIS-2-Umsetzung durch das NIS2UmsuCG werden etwa 29.500 Unternehmen in Deutschland zu Cybersecurity-Maßnahmen verpflichtet. Automobilzulieferer fallen unter den Sektor verarbeitendes Gewerbe und sind ab bestimmter Größe direkt NIS-2-pflichtig. Wer bereits TISAX-zertifiziert ist, erfüllt etwa 70 Prozent der NIS-2-Anforderungen.

Die wesentlichen Überschneidungen liegen in den Bereichen Risikomanagement, Vorfallbehandlung, Geschäftskontinuität, Lieferantenmanagement und kryptographische Verfahren. Hier können Nachweise aus TISAX-Audits direkt für NIS-2-Konformitätsbelege verwendet werden, sofern die Versionen aktuell sind.

Die wesentlichen Unterschiede liegen in den NIS-2-Meldepflichten. NIS-2 verlangt eine 24-Stunden-Frühwarnung an die zuständige Behörde, eine 72-Stunden-Folgemeldung mit Erstbewertung und einen Abschlussbericht innerhalb eines Monats. Frist läuft ab Kenntnis. TISAX kennt keine vergleichbare Meldepflicht an Behörden.

Ein weiterer Unterschied ist die Geschäftsleitungshaftung in NIS-2. Geschäftsführerinnen und Geschäftsführer haften persönlich für die NIS-2-Konformität ihres Unternehmens. TISAX verlangt zwar Leitungsverantwortung, kennt aber keine vergleichbare Haftungsregel. Wer TISAX-zertifiziert ist und NIS-2 ignoriert, läuft in eine doppelte Lücke.

CIVAC führt Mandate für TISAX und NIS-2 in einer integrierten Berichtslinie. Der externe ISB kann beide Standards betreuen, die Bestellurkunde ist identisch und die Nachweise werden im selben Workspace abgelegt. Diese Konsolidierung reduziert die Aufwandsbindung gegenüber zwei separaten Mandaten erheblich.

TISAX ist verpflichtend, wenn der OEM oder Tier-1-Kunde es vertraglich verlangt. Die Verpflichtung steht meist in den Allgemeinen Einkaufsbedingungen oder einer Sonder-Sicherheitsanlage. Wer als Zulieferer ohne Vertragsverpflichtung freiwillig TISAX anstrebt, sollte den Aufwand kritisch prüfen. Ohne kommerziellen Treiber lohnt sich der Standard selten.

Für Zulieferer ohne Vertragsverpflichtung ist ISO/IEC 27001:2022 oft die bessere Wahl. Der Standard ist breiter anerkannt, gilt branchenübergreifend und reduziert den Audit-Aufwand bei späterer TISAX-Notwendigkeit erheblich. Wer ISO-zertifiziert ist, kann TISAX in etwa der halben Vorbereitungszeit erreichen.

Für Entwicklungsdienstleister mit Zugriff auf Prototypenfahrzeuge ist TISAX dagegen alternativlos. Der Prototypenschutz wird in ISO 27001 nicht abgebildet und ist für Auftraggeber das zentrale Prüfthema. AL 3 für Prototypenschutz ist in vielen OEM-Verträgen Mindestanforderung.

Für Logistik- und Transportdienstleister entscheidet die Art der transportierten Güter. Wer Vor-Serien-Fahrzeuge oder Prototypen transportiert, braucht TISAX mit Prototypenmodul. Wer reine Serienware transportiert, kommt mit ISO-Zertifizierung plus dokumentierten Sicherheitsmaßnahmen in der Regel aus.

Für Software-Anbieter und Cloud-Dienstleister gilt eine Sonderregel. Hier verlangen OEMs zunehmend TISAX mit dem Modul Datenanbindung, das speziell Cloud-Konfigurationen und Schnittstellen prüft. Eine reine ISO-Zertifizierung reicht hier oft nicht. Vor der Vertragsverhandlung sollte der TISAX-Status geklärt sein.

Eine TISAX-Vorbereitung ist planbar, wenn der Scope früh definiert wird, die VDA-ISA-Selbstauskunft mit Belegen verknüpft ist und die Berichtslinie des ISB klar steht. CIVAC stellt für jede der 41 Anforderungen Vorlagen, Reifegrad-Bewertungen und Audit-Checklisten bereit. Der Prüfer ruft an, der Nachweis liegt bereit, wenn die Dokumente im Workspace versioniert verlinkt sind.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im ersten Modell behalten Sie die operative Steuerung und nutzen die Plattform für VDA-ISA-Nachweise, Lieferantenmanagement und Audit-Vorbereitung. Im zweiten Modell übernimmt ein externer ISB Bestellung, Berichtslinie und Audit-Begleitung als Officer-as-a-Service.

Beide Modelle laufen auf EU-Datenresidenz, sind nach ISO/IEC 27001:2022 ISMS aufgesetzt und liefern parallel den NIS-2 24/72-Meldepfad. Wer TISAX, ISO 27001 und NIS-2 parallel braucht, betreibt eine gemeinsame Berichtslinie und reduziert den Aufwand gegenüber drei separaten Compliance-Strängen.

Die typische Erstvorbereitung dauert sechs bis neun Monate für AL 2 und neun bis zwölf Monate für AL 3. CIVAC begleitet bis zur Label-Erteilung auf der ENX-Plattform und übernimmt auf Wunsch die jährliche Pflege und Re-Zertifizierungsvorbereitung. Die Re-Zertifizierung nach drei Jahren ist in CIVAC-Mandaten Standardbestandteil.

Aus dem Lesen einen Auftrag machen: Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de/faq. Ein Erstgespräch klärt Scope, Level und Vertragslage mit dem OEM. Ein Mandatsstart in der Folgewoche ist möglich, wenn die Vertragspflicht aus dem OEM-Vertrag bekannt ist.