Compliance · TISAX
TISAX: Anforderungen der Lieferkette, sauber nachgewiesen.
Wer in der Automobil-Lieferkette arbeitet, wird nach TISAX gefragt, oft mit einem Termin. Wir bereiten Sie auf das Assessment nach dem aktuellen Katalog ISA2027 vor: Selbsteinschätzung inklusive, mit Nachweisen an der richtigen Stelle und ohne doppelte Arbeit neben ISO 27001.
kostenlos · 30 Minuten · telefonisch oder online
Kurz erklärt
Kein Gesetz, aber eine Bedingung Ihrer Kunden.
TISAX ist das Prüfverfahren der Automobilindustrie für Informationssicherheit bei Zulieferern und Dienstleistern. Das Ergebnis ist ein Label, das Ihre Kunden einsehen können. TISAX ist kein Gesetz. Verlangt wird es von Ihren Auftraggebern, meist als Voraussetzung für einen Auftrag oder für den Zugang zu vertraulichen Daten. Wie tief geprüft wird, richtet sich danach, wie schutzbedürftig die Informationen sind, mit denen Sie arbeiten.
ISA: der Fragenkatalog, nach dem geprüft wird.
Stand: Oktober 2026
Welcher Katalog gilt, und was sich ändert.
Für Assessments, die ab dem 1. Januar 2027 beauftragt werden, gilt der neue Katalog ISA2027. Bestehende Labels bleiben für ihre Laufzeit gültig. Der Katalog wird künftig jährlich aktualisiert. NXN Compliance OS arbeitet bereits mit ISA2027.
- Heißt jährlich: jedes Jahr ein Assessment?
- Nein. Der Katalog erscheint jährlich, ein Label gilt weiterhin bis zu drei Jahre. Beim nächsten Assessment gilt dann der jeweils aktuelle Katalog.
- Was ist neu?
- Unter anderem ist der Prototypenschutz in zwei Bereiche zusammengefasst, die Anforderungen an die eigenen Lieferanten sind geschärft, und Entscheidungen zur Umsetzung müssen sich im Assessment begründen lassen.
- Was heißt das für Sie?
- Bereiten Sie sich jetzt vor, arbeiten Sie am besten gleich mit ISA2027. Haben Sie ein gültiges Label, bleibt es gültig. Was sich bis zum nächsten Assessment ändert, sehen wir uns gemeinsam an.
Stand: Oktober 2026. Keine Rechtsberatung.
Für wen
Wer nach TISAX gefragt wird.
Welcher Umfang für Sie gilt, legt Ihr Auftraggeber mit fest. Das klären wir zuerst, bevor Arbeit in Anforderungen fließt, die Sie nicht betreffen.
Typische Fälle
- Zulieferer von Teilen, Komponenten und Werkzeugen für Fahrzeughersteller
- Entwicklungs- und Engineering-Dienstleister mit Zugang zu Konstruktionsdaten
- Unternehmen, die Prototypen oder Vorserienteile bauen, transportieren oder testen
- Dienstleister, die vertrauliche Daten ihrer Auftraggeber verarbeiten, etwa IT-, Logistik- oder Softwaredienstleister
Sind Sie unsicher, ob und in welchem Umfang Ihr Kunde TISAX verlangt? Bringen Sie seine Anfrage ins Erstgespräch mit.
Ablauf
So läuft das Verfahren, und wer welchen Teil übernimmt.
TISAX hat feste Beteiligte: Sie als Unternehmen, die ENX als Betreiberin des Verfahrens, einen zugelassenen Prüfdienstleister und Ihren Auftraggeber, der das Ergebnis sieht. Wir bereiten vor und unterstützen. Das Assessment führen wir nicht durch.
| Schritt | Wir | Sie | Prüfdienstleister / ENX |
|---|---|---|---|
| 1. Umfang und Prüfziele klären | Anforderungen Ihres Auftraggebers einordnen, Umfang und Prüfziele mit Ihnen festlegen | Abstimmung mit Ihrem Auftraggeber | – |
| 2. Selbsteinschätzung entlang ISA2027 | gehen sie mit Ihnen durch | beantworten, bestätigen | – |
| 3. Gap-Analyse und Maßnahmen | Einstufung, benötigter Nachweis, Maßnahme mit Aufwand; technische Maßnahmen setzen wir mit um | entscheiden, was umgesetzt wird | – |
| 4. Registrierung und Beauftragung | unterstützen bei der Registrierung bei der ENX und bei der Wahl des Prüfdienstleisters | registrieren sich bei der ENX und beauftragen einen Prüfdienstleister | – |
| 5. Assessment | Nachweise gebündelt, Vorbereitung auf die Gespräche | stehen Rede und Antwort | ein zugelassener Prüfdienstleister prüft |
| 6. Label | – | geben das Ergebnis für Ihre Kunden frei | das Ergebnis wird als Label über die ENX bereitgestellt |
| 7. Bis zum nächsten Assessment | Nachweise aktuell halten, auf Wunsch als Managed Compliance | entscheiden über Änderungen | – |
1. Umfang und Prüfziele klären
- Wir
- Anforderungen Ihres Auftraggebers einordnen, Umfang und Prüfziele mit Ihnen festlegen
- Sie
- Abstimmung mit Ihrem Auftraggeber
2. Selbsteinschätzung entlang ISA2027
- Wir
- gehen sie mit Ihnen durch
- Sie
- beantworten, bestätigen
3. Gap-Analyse und Maßnahmen
- Wir
- Einstufung, benötigter Nachweis, Maßnahme mit Aufwand; technische Maßnahmen setzen wir mit um
- Sie
- entscheiden, was umgesetzt wird
4. Registrierung und Beauftragung
- Wir
- unterstützen bei der Registrierung bei der ENX und bei der Wahl des Prüfdienstleisters
- Sie
- registrieren sich bei der ENX und beauftragen einen Prüfdienstleister
5. Assessment
- Wir
- Nachweise gebündelt, Vorbereitung auf die Gespräche
- Sie
- stehen Rede und Antwort
- Prüfdienstleister / ENX
- ein zugelassener Prüfdienstleister prüft
6. Label
- Sie
- geben das Ergebnis für Ihre Kunden frei
- Prüfdienstleister / ENX
- das Ergebnis wird als Label über die ENX bereitgestellt
7. Bis zum nächsten Assessment
- Wir
- Nachweise aktuell halten, auf Wunsch als Managed Compliance
- Sie
- entscheiden über Änderungen
Das Assessment führt ein zugelassener Prüfdienstleister durch. Wer berät, prüft nicht dasselbe Unternehmen.
Umfang
Was Ihr Auftraggeber noch verlangen kann.
Welche Teile des Katalogs geprüft werden, hängt von Ihrem Auftrag ab. Neben der Informationssicherheit können Prototypenschutz und Datenschutz dazukommen. Am Anfang steht die Registrierung.
Registrierung bei der ENX
Für das Assessment registriert sich Ihr Unternehmen bei der ENX und beauftragt einen zugelassenen Prüfdienstleister. Wir unterstützen bei der Registrierung, bei Umfang und Prüfzielen und bei der Wahl des Prüfdienstleisters.
Prototypenschutz
Wer Prototypen oder Vorserienteile baut, transportiert oder testet, wird auch dazu geprüft, etwa zu Zutritt, Sichtschutz, Transport und dem Umgang mit Fotos. Wir bereiten Sie darauf vor, auch auf die Teile, die vor Ort geprüft werden.
Datenschutz
Verarbeiten Sie im Auftrag Ihres Kunden personenbezogene Daten, kann er zusätzlich den Datenschutz-Teil von TISAX verlangen. Auch darauf bereiten wir Sie vor. Die rechtliche Bewertung im Einzelfall bleibt Sache Ihrer Datenschutz- oder Rechtsberatung.
Das Assessment führt ein zugelassener Prüfdienstleister durch. Wer berät, prüft nicht dasselbe Unternehmen.
Zuordnung
Einmal einrichten, für beide nachweisen.
ISA2027 ist auf ISO 27001:2022 abgestimmt. Viele Anforderungen decken sich, einige gibt es nur bei TISAX. Wer beides braucht, richtet eine Maßnahme einmal ein und belegt sie an beiden Stellen.
- Zugriffsrechte regelnISO 27001 (zählt)TISAX (zählt)
- Schwachstellen behandelnISO 27001 (zählt)TISAX (zählt)
- Datensicherung prüfenISO 27001 (zählt)TISAX (zählt)
- Prototypen schützenISO 27001 (zählt nicht)TISAX (zählt)
Beispiel
Beispiel. Welche Anforderungen sich in Ihrem Fall decken, zeigt die Gap-Analyse.
Stolpersteine
Was TISAX-Vorbereitungen unnötig aufhält.
Fragenkatalog in Excel
Stand von gestern, drei Versionen im Umlauf.
Nachweise von gestern
Der Screenshot belegt den Stand von letztem Juni.
Parallel zu ISO 27001
Dieselbe Maßnahme, zweimal dokumentiert.
Umfang zu spät geklärt
Erst kurz vor dem Assessment zeigt sich, welche Prüfziele der Auftraggeber erwartet. Dann fehlt Zeit für das, was dazukommt.
Prototypenschutz unterschätzt
Zutritt, Sichtschutz, Transport, Umgang mit Fotos: Prototypenschutz ist ein eigener Teil des Katalogs, oft mit baulichen und organisatorischen Folgen.
Technische Prüfung
Auch die Produktion gehört in die Prüfung.
Im Assessment zählt, was umgesetzt ist, nicht was geplant ist. Deshalb prüfen wir technisch nach: Netzwerk-Scan und automatisierte Pentests nur gegen freigegebene Ziele, jeder Lauf im Audit-Log. Das gilt auch für Produktions- und OT-Netze. Gerade dort stimmen wir Ziele, Tiefe und Prüffenster besonders sorgfältig mit Ihnen und den Verantwortlichen für die Anlagen ab. Für die Tiefe gibt es den manuellen Pentest durch unsere Sicherheitsforscher.
Ergebnis
Was Sie ins Assessment mitnehmen.
- Selbsteinschätzung entlang ISA2027
- Gap-Analyse mit Einstufung, benötigtem Nachweis und Aufwand je Anforderung
- Maßnahmenplan mit Zuständigkeit und Frist
- Nachweise, die an der Anforderung hängen
- Zuordnung zu ISO 27001: eine Maßnahme zählt für beide
- Auf Wunsch: Vorbereitung auf Prototypenschutz und Datenschutz
- Nachweise gebündelt für das Assessment
FAQ
Häufige Fragen
Ihr Kunde verlangt ein Label? Dann planen wir rückwärts.
Bringen Sie die Anfrage Ihres Auftraggebers ins kostenlose Erstgespräch mit. Wir klären Umfang und Ausgangslage und schlagen einen ersten Schritt vor. Wenn etwas nicht nötig ist, sagen wir das auch. Auf Ihre Anfrage meldet sich unser Team.
kostenlos · 30 Minuten · telefonisch oder online