TISAX®-Assessment: Informations­sicherheit in der Automobil­industrie | Bureau Veritas

Grundsätzlich richtet sich TISAX® an alle Dienstleister und Zulieferer in der Automobilbranche, die sensible Kundendaten und unternehmensinterne Informationen bestmöglich schützen und regelmäßig Nachweise darüber erbringen müssen. 

Der jeweilige Assessment-Umfang lässt sich dabei an den individuellen Bedarf anpassen. 

Grundsätzlich werden gemäß TISAX® zwei Rollen voneinander unterschieden: 

• Aktiver Teilnehmer (z. B. Zulieferer): Wird TISAX®-geprüft und teilt sein Prüfergebnis mit anderen Teilnehmern.
• Passiver Teilnehmer (z. B. Fahrzeughersteller): Verlangt eine TISAX®-Prüfung und erhält das Prüfergebnis. 

Der TISAX®-Prozess beginnt damit, dass ein passiver Teilnehmer von einem aktiven Teilnehmer einen Nachweis über die Einhaltung eines bestimmten Prüfziels fordert. Um diesen zu erbringen, lässt der aktive Teilnehmer ein TISAX®-Assessment durchführen. 

Angelehnt an den individuellen Schutzbedarf erhält er vom gewählten Prüfdienstleister, z. B. Bureau Veritas, auf seine definierten Ziele zugeschnittene Assessments gemäß eines vordefinierten Leistungsumfangs. Die Auditoren führen die Prüfung gemäß des festgelegten Prüfziels und dem angestrebten Assessment Level durch und erstellen anschließend einen detaillierten Assessmentbericht. 

Nachdem etwaige Nichtkonformitäten TISAX®-gerecht behoben wurden, steht dem finalen Label nichts mehr im Wege. Abschließend kann der aktive Teilnehmer die Ergebnisse über das Online-Portal mit dem passiven Teilnehmer teilen. 

Die Frage nach den Kosten für ein TISAX®-Assessment lässt sich nicht pauschal beantworten, da diese letztendlich von verschiedenen Faktoren beeinflusst werden. Darunter zum Beispiel die Unternehmensgröße und -organisation, gewähltes Assessment-Level oder Anzahl der Standorte. 

Die Ergebnisse eines TISAX®-Assessments sind 3 Jahre lang gültig. 

Im Anschluss daran muss ein erneutes Assessment durchgeführt werden, um das TISAX®-Label zu aktualisieren.

Sie haben ein Informationssicherheitsmanagementsystem (ISMS) gemäß den Anforderungen des ISA-Kataloges vollständig implementiert. 

Sie haben sich im Online-Portal der ENX Association registriert. Dies ist der notwendige erste Schritt, um einen Prüfdienstleister zu beauftragen. 

Sie haben eine Selbstbewertung nach TISAX® vorgenommen, da diese die Grundlage für die Durchführung eines TISAX®-Assessments darstellt.

Beide Standards sind vollständig komplementär. 

Der internationale Standard ISO 27001 konzentriert sich auf die Organisation und ihre Struktur, während TISAX® sich auf Themen fokussiert, die speziell für die Informationssicherheit in der Automobilindustrie relevant sind.

Die ENX Association hat analysiert, inwieweit die Anforderungen der NIS2-Richtlinie durch ein TISAX®-Assessment bereits abgedeckt sind. Das Ergebnis: Alle relevanten Anforderungen von NIS2 werden durch den internationalen Automobilstandard adressiert. 

Aus Sicht der Experten belegt ein entsprechendes TISAX®-Label, dass das geprüfte Unternehmen:

• der in NIS2 Artikel 20 geforderten Verantwortung gerecht wird und
• alle in Artikel 21 geforderten Risiko-Management-Maßnahmen nach Stand der Technik umgesetzt hat.*

Zudem geht TISAX® zum Teil über die gesetzlichen Mindestanforderungen hinaus.

In Bezug auf die jeweilige nationale Umsetzung von NIS2 sind ergänzende Anforderungen zu berücksichtigen, wie z. B. länderspezifische Meldepflichten. Vorhandene TISAX®-Strukturen helfen jedoch dabei, diese Anforderungen erfolgreich in ein wirksames Managementsystem der Informationssicherheit zu integrieren.

_{* Vorausgesetzt die Prüfziele reflektieren das Gesamtrisiko und alle Unternehmensstandorte waren Teil der Prüfung.}