TISAX-Zertifizierung für Automotive-Zulieferer: Pflichten, Stufen, Vorbereitung

TISAX (Trusted Information Security Assessment Exchange) ist seit 2017 der verbindliche Prüfstandard für Informationssicherheit in der Automobilzulieferkette und basiert seit 2024 auf dem VDA ISA Katalog 6.0. Wer als Zulieferer Entwicklungsdaten, Prototypen oder personenbezogene Daten der OEMs verarbeitet, kommt ohne gültiges TISAX-Label nicht in die Vergabe. Die Listung erfolgt über die ENX Association und ist drei Jahre gültig.

Dieser Beitrag zeigt, welche Assessment-Level (AL 1, AL 2, AL 3) für welche Schutzbedarfe gefordert werden, wie das VDA-ISA-6-Kontrollkatalog mit ISO/IEC 27001:2022 zusammenspielt und welche operativen Schritte ein Zulieferer in den 90 Tagen vor dem Audit absolvieren muss. Sie erfahren, wie CIVAC als Compliance-Plattform und Officer-as-a-Service die Vorbereitung verkürzt und Nachweise audit-fest hinterlegt.

TISAX wurde 2017 vom Verband der Automobilindustrie (VDA) und der ENX Association eingeführt und löst die zuvor bilateralen Lieferanten-Audits ab. Der Standard basiert auf dem VDA Information Security Assessment, das aktuell in Version 6.0 (Veröffentlichung 2024) gilt und sich eng an ISO/IEC 27001:2022 anlehnt.

Die Prüfung erfolgt durch akkreditierte Audit-Provider wie DQS, TÜV Süd oder Bureau Veritas. Ergebnisse werden auf der ENX-Plattform mit definierten Labels (zum Beispiel "Info hoch", "Prototypen", "Datenschutz") veröffentlicht, sodass jeder OEM den Status seiner Lieferanten einsehen kann.

Adressiert werden alle Unternehmen entlang der automobilen Wertschöpfungskette: Tier-1-Lieferanten, Tier-2-Komponentenhersteller, Engineering-Dienstleister, Logistiker, IT-Provider und Tooling-Spezialisten. Auch reine Software- und Telematik-Anbieter sind heute betroffen.

Der Geltungsbereich (Scope) wird je Standort und je Datenkategorie festgelegt. Ein Zulieferer mit Werk in Stuttgart und Entwicklungszentrum in Sindelfingen benötigt in der Regel zwei separate Assessments. Eine pauschale Konzernzertifizierung gibt es nicht.

Wer den Workspace von CIVAC nutzt, hinterlegt Scope-Definition, Standortliste und Datenkategorien strukturiert. Der Informationssicherheitsbeauftragte steuert den Prozess von der Scoping-Sitzung bis zum Audit-Termin.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Der VDA ISA Katalog 6.0 enthält 41 Informationssicherheits-Anforderungen, gegliedert in sieben Kapitel: Informationssicherheits-Policies, Organisation, Personalsicherheit, physische Sicherheit, Identitäts- und Zugriffsmanagement, IT-Sicherheit sowie Lieferanten- und Anbieterbeziehungen.

Optional kommen zwei Zusatzmodule hinzu: Prototypenschutz (Kapitel 8, 22 Anforderungen) und Datenschutz (Kapitel 9, 4 Anforderungen). Beide Module werden nur geprüft, wenn der OEM dies im Auftrag verlangt oder personenbezogene Daten verarbeitet werden.

Jede Anforderung wird auf einer Reifegradskala von 0 (unvollständig) bis 5 (optimierend) bewertet. Der Zielreifegrad liegt bei 3 (etabliert). Reifegrade unter 3 gelten als Abweichung und müssen im Maßnahmenplan geschlossen werden.

Die Schnittmenge mit ISO/IEC 27001:2022 ist hoch: Wer ein zertifiziertes ISMS mit den 93 Annex-A-Controls betreibt, deckt schätzungsweise 70 Prozent der VDA-ISA-Anforderungen ab. Die Lücke betrifft typischerweise Prototypenschutz, Lieferantensteuerung und konkrete Klassifizierungsregeln.

CIVAC stellt 490 Audit-Vorlagen bereit, darunter Reifegrad-Tracker, Maßnahmenplan und Stakeholder-Map. Wer ein bestehendes ISMS ergänzen will, findet im Modul für die Informationssicherheits-Rolle ein vorkonfiguriertes Mapping VDA ISA zu ISO 27001.

Audit-fest, dokumentiert, VDA-ISA-6-fest.

TISAX kennt drei Assessment-Level. AL 1 ist eine reine Selbstauskunft ohne externe Prüfung und wird nur in seltenen Fällen akzeptiert, etwa für unkritische administrative Daten ohne Personenbezug.

AL 2 umfasst eine Selbstauskunft plus Plausibilitätsprüfung durch den Auditor, in der Regel remote per Videokonferenz und Dokumentenreview. AL 2 deckt Standarddaten mit Schutzbedarf hoch ab, etwa Konstruktionsdaten ohne Prototypenstatus.

AL 3 verlangt eine Vor-Ort-Prüfung mit Begehung der Liegenschaften, Stichproben in produktiven Systemen und Interviews mit Schlüsselrollen. AL 3 ist Pflicht für sehr hohen Schutzbedarf, Prototypenschutz und besondere personenbezogene Daten.

Die Wahl des Levels bestimmt der OEM, nicht der Zulieferer. Wer für mehrere OEMs arbeitet, sollte das höchste geforderte Level umsetzen, weil Mehrfach-Audits die Kosten verdoppeln. Ein AL-3-Label wird von OEMs anerkannt, die nur AL 2 verlangen.

Typische Aufwände aus der Praxis: AL 2 benötigt vier bis sechs Monate Vorbereitung, AL 3 zwischen sechs und zwölf Monaten. Die Audit-Kosten liegen je nach Standortgröße bei 8.000 bis 25.000 Euro netto, zuzüglich interner Aufwände.

CIVAC verkürzt die Vorbereitung über vorgefertigte Richtlinien und einen geführten Reifegrad-Check. Der Workspace dokumentiert Gap-Analyse, Maßnahmenplan und Verantwortliche revisionssicher.

Das Prototypenschutz-Modul (Kapitel 8 des VDA ISA) ist die häufigste Stolperstelle. Es verlangt physische Schutzzonen, Zutrittskontrolle mit Mehrfaktor-Authentifizierung, Foto- und Mobiltelefon-Verbote, abgeschottete Werkstattbereiche und dokumentierte Transportprozesse.

Konkret zu belegen sind unter anderem: Türschleusen für Erprobungsfahrzeuge, Tarnungsvorgaben bei Strassenerprobung, getrennte Lackier- und Montagelinien, manipulationssichere Verpackung beim Versand und protokollierte Vernichtung nach Projektende.

Das Modul greift, sobald der Lieferant Vorserien-Bauteile, Erprobungsträger, Designmodelle oder Erlkönige in seinem Verantwortungsbereich hat. Auch reine Datentransporte (CAD-Modelle ungetarnter Fahrzeuge) lösen den Schutzbedarf aus.

Auditoren prüfen vor Ort und unangekündigt im Rahmen des AL-3-Audits. Eine fehlende Kameraüberwachung an Anlieferungstoren oder ein offenes WLAN im Werkstattbereich führen regelmässig zu Major-Findings, die das Label blockieren.

CIVAC liefert eine vorkonfigurierte Richtlinie Prototypenschutz, eine Schulungsunterlage für die Belegschaft sowie eine Checkliste für die physische Begehung. Sicherheitskonzept, Begehungsprotokoll und Schulungsnachweise liegen im Workspace zentral ab.

Der Prüfer ruft an, der Nachweis liegt bereit.

Das Datenschutz-Modul (Kapitel 9) ist verpflichtend, sobald der Zulieferer personenbezogene Daten der OEMs verarbeitet, etwa Telematikdaten aus Connected-Car-Diensten, Mitarbeiterdaten aus Werkverträgen oder Kundendaten aus After-Sales-Prozessen.

Geprüft werden vier Kernanforderungen: dokumentierte Rechtsgrundlage, Auftragsverarbeitungsverträge nach Art. 28 DSGVO, technische und organisatorische Massnahmen sowie Meldewege für Datenpannen nach Art. 33 DSGVO mit der 72-Stunden-Frist.

Wichtig ist die Abgrenzung: Das Datenschutz-Modul ersetzt nicht den DSGVO-Vollumfang. Es prüft nur, ob die Schnittstelle zum OEM datenschutzkonform betrieben wird. Eine bestehende DSGVO-Compliance vereinfacht den Nachweis erheblich.

Wer einen externen Datenschutzbeauftragten bestellt hat, kann dessen Berichtslinie und Bestellurkunde direkt vorlegen. CIVAC verbindet beide Welten: Das DSB-Modul speist Verarbeitungsverzeichnis und TOM-Liste, das ISB-Modul greift dieselben Daten für das VDA-ISA-9-Mapping ab.

Bestellurkunde, unterschrieben, abgelegt, belegbar. Wer den externen Datenschutzbeauftragten über CIVAC bestellt, dokumentiert beide Compliance-Linien in einem System.

Frist läuft ab Kenntnis. 72 Stunden für die Meldung, drei Werktage für die Lieferanteninformation an den OEM.

VDA ISA 6.0 verlangt einen formalisierten Lieferantensteuerungsprozess. Ein Tier-1-Zulieferer muss seine eigenen Sub-Tier-Lieferanten bewerten, vertraglich binden und regelmässig auditieren. Die OEM-Verantwortung kaskadiert die Lieferkette hinab.

Konkret gefordert sind: dokumentierte Risikoklassifizierung der Lieferanten, vertragliche Informationssicherheitsklauseln, Selbstauskunft oder TISAX-Label-Prüfung vor Beauftragung sowie regelmässige Re-Bewertung mindestens alle drei Jahre.

Kritisch sind IT-Dienstleister, Cloud-Provider, Engineering-Büros und Speditionen. Wer dort Personalveränderungen oder Subkontraktoren nicht überwacht, riskiert Findings im eigenen Audit. Der Auditor zieht Stichproben aus dem Lieferantenregister.

Hilfreich ist ein dreistufiges Modell: Stufe A (kritisch, eigenes TISAX-Label erforderlich), Stufe B (mittel, Selbstauskunft und vertragliche Bindung), Stufe C (unkritisch, Standardklauseln). Diese Klassifizierung muss begründet und nachvollziehbar sein.

CIVAC stellt im Workspace eine Lieferanten-Audit-Vorlage bereit, die VDA-ISA-konform ist. Der Lieferanten-Auditor als Service ergänzt das Modul, wenn intern keine Kapazität für Lieferantenbesuche besteht.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Eine TISAX-Vorbereitung in 90 Tagen ist ambitioniert, aber machbar, wenn ein ISMS-Grundgerüst vorhanden ist. Tag 1 bis 14: Scoping-Workshop, Standortdefinition, Datenkategorien, Festlegung des Assessment-Levels und Vertragsschluss mit dem Audit-Provider.

Tag 15 bis 30: Gap-Analyse gegen VDA ISA 6.0, Aufnahme aller bestehenden Richtlinien, Identifikation von Lücken in Prototypenschutz und Lieferantensteuerung, Erstellung des Maßnahmenplans mit Verantwortlichen und Terminen.

Tag 31 bis 60: Umsetzung der priorisierten Maßnahmen. Typische Quick Wins sind Mobile-Device-Management, Mehrfaktor-Authentifizierung, Clean-Desk-Policy, Schulungswelle für die Belegschaft und Aktualisierung des Notfallhandbuchs.

Tag 61 bis 80: Interne Audits, Stichprobenprüfung der Reifegrade, Korrektur restlicher Lücken, Aufbau des Audit-Ordners mit Nachweisen je VDA-ISA-Anforderung. Der Auditor erhält ein vollständiges Dossier vor dem Termin.

Tag 81 bis 90: Probe-Interview mit Schlüsselrollen, Test der Begehungsroute, Eskalationsplan für Major-Findings, finale Freigabe durch Geschäftsleitung. Das eigentliche Audit folgt unmittelbar danach.

CIVAC-SLA: Der Workspace wird in zwei Werktagen bereitgestellt, statt der klassischen zwei bis sechs Wochen für eine ISMS-Beraterausschreibung. Der Maßnahmenplan startet ab Tag drei.

Die Gesamtkosten einer TISAX-Erstzertifizierung liegen für mittelständische Zulieferer typischerweise zwischen 35.000 und 120.000 Euro. Diese Spanne umfasst Audit-Gebühren, externe Beratung, interne Personalaufwände und technische Investitionen.

Die Audit-Gebühren selbst bewegen sich bei AL 2 zwischen 8.000 und 14.000 Euro netto je Standort, bei AL 3 zwischen 15.000 und 25.000 Euro netto. Hinzu kommen Reisekosten der Auditoren und Nacharbeiten bei Findings.

Externe Beratung schlägt mit 25.000 bis 60.000 Euro zu Buche, je nach Reifegrad des Ausgangssystems. Wer CIVAC als Compliance-Plattform und Officer-as-a-Service nutzt, ersetzt einen Teil dieser Beratungsleistung durch eine standardisierte, lizenzierbare Lösung.

Die Dauer bis zum Label beträgt im Durchschnitt sechs bis neun Monate ab Kickoff. Nachzertifizierungen alle drei Jahre dauern erheblich kürzer, typischerweise zwei bis drei Monate, weil das ISMS bereits etabliert ist.

Wichtig: Major-Findings im Audit lösen ein Nachprüfungsverfahren aus. Innerhalb von neun Monaten muss der Zulieferer die Abweichung beseitigen, sonst verfällt der vorläufige Audit-Status und der gesamte Prozess startet neu.

Wer früh plant, spart deutlich. Ein etabliertes ISMS reduziert die Erstzertifizierungs-Kosten um geschätzt 30 bis 50 Prozent.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service mit zwei Bereitstellungsmodellen. Modell eins: Sie lizenzieren den Workspace für Ihre interne ISB-Rolle und nutzen die 490 Audit-Vorlagen, das VDA-ISA-zu-ISO-27001-Mapping sowie die Reifegrad-Tracker.

Modell zwei: Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Im zweiten Fall übernimmt ein externer CIVAC-ISB die Scoping-Sitzung, die Gap-Analyse, die Maßnahmensteuerung und die Audit-Begleitung vor Ort.

Beide Modelle nutzen dasselbe System: EU-Datenresidenz, ISO/IEC 27001:2022 ISMS, definierte Berichtslinie an die Geschäftsleitung, dokumentierte Bestellurkunde und ein revisionssicherer Audit-Ordner. Der Prüfer ruft an, der Nachweis liegt bereit.

Typische Einstiegssituationen: Erstaudit nach OEM-Anforderung, Wiederholungsaudit mit Lückenschluss, Multi-Standort-Rollout, Verschmelzung von ISO-27001-ISMS und TISAX-Scope, oder Krisenmodus nach Major-Finding mit Neun-Monats-Frist.

Lesen Sie weiter in der CIVAC-FAQ oder vereinbaren Sie ein 30-minütiges Erstgespräch. Ein Senior-ISB skizziert Scope, Aufwand und realistischen Zeitplan.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de.