Was ist TISAX?
TISAX ist ein von ENX organisierter Mechanismus, mit dem Unternehmen ihr Informationssicherheitsmanagement anhand der ISA-Anforderungen bewerten lassen und Ergebnisse mit teilnehmenden Geschäftspartnern austauschen können.
Die Abkürzung steht für „Trusted Information Security Assessment Exchange“. TISAX verbindet ein Assessment mit einem kontrollierten Ergebnisaustausch. Es ist weder eine gesetzliche Pflicht noch eine ISO-Zertifizierung. Die Teilnahme beruht auf Verträgen mit ENX und dem beauftragten Audit Provider.
Für wen ist TISAX relevant?
TISAX richtet sich vor allem an Unternehmen der automobilen Wertschöpfungskette und deren Partner. Voraussetzung für die Teilnahme ist die Registrierung. Ein Geschäftspartner kann einen ISA-basierten Nachweis verlangen; ein Unternehmen kann den Prozess aber auch vorsorglich beginnen.
Der Standard-Scope umfasst die verantworteten Prozesse, Verfahren und Ressourcen an den registrierten Standorten, soweit sie für die Schutzobjekte und Schutzziele der gewählten Assessment Objectives relevant sind. Ein Custom Scope ist besonderen Fällen vorbehalten.
Wie läuft der TISAX-Prozess ab?
Ein Partnerverlangen ist der übliche geschäftliche Auslöser, aber keine technische Teilnahmevoraussetzung. Der Prozess besteht aus der Registrierung, dem Assessment durch einen von ENX approbierten Audit Provider und dem Austausch des Ergebnisses. Scope und Assessment Objectives müssen zur konkreten Anforderung passen.
Welche fachliche Grundlage gilt für das Assessment?
Fachliche Grundlage ist der ISA-Katalog. Die gewählten Assessment Objectives bestimmen, welche ISA-Anforderungen anzuwenden sind. Am Stichtag gilt ISA 6 für Assessments, die seit dem 1. April 2024 beauftragt wurden. ENX hat angekündigt, dass ISA2027 für Assessments gelten soll, die ab dem 1. Januar 2027 beauftragt werden; das ist ein angekündigter Versionswechsel und noch nicht der am Stichtag geltende Stand.
Wer kann TISAX-Ergebnisse sehen?
TISAX-Ergebnisse sind nicht allgemein öffentlich. Zugriff und Austausch erfolgen im registrierten Teilnehmerkreis, nachdem das bewertete Unternehmen das Ergebnis veröffentlicht oder eine selektive Sharing-Freigabe erteilt hat. Das Unternehmen steuert Empfänger und Detailgrad der Freigabe.
Wie lange gelten TISAX-Labels und welche Fristen greifen?
Eine allgemeine Frist für den Beginn des TISAX-Prozesses besteht nicht. Maßgeblicher Startpunkt für die folgenden Zeiträume ist das Abschlussmeeting des Initial Assessments: Labels gelten höchstens drei Jahre. Festgestellte Nichtkonformitäten müssen innerhalb von höchstens neun Monaten behoben werden; andernfalls werden keine Labels erteilt.
Temporäre Labels gelten höchstens neun Monate. Sie setzen das Ergebnis „minor non-conform“ und einen Bericht zur Bewertung des Maßnahmenplans voraus. Wesentliche Änderungen des Assessment-Scopes können die Gültigkeit verkürzen. Eine Scope Extension verlängert die ursprüngliche Gültigkeitsdauer nicht.
Welche Grenzen hat ein TISAX-Ergebnis?
Ein TISAX-Ergebnis ist kein universeller Nachweis vollständiger Sicherheit. Es bezieht sich auf den registrierten Scope, die Standorte und die gewählten Assessment Objectives. Auch der kontrollierte Teilnehmerzugang unterscheidet TISAX von einem allgemein öffentlichen Nachweis. Das Verfahren schafft zudem keine eigenständige gesetzliche TISAX-Pflicht.
Häufige Fehlannahmen
- „TISAX ist gesetzlich vorgeschrieben.“ Nein. Eine Teilnahme kann geschäftlich verlangt werden, beruht aber auf vertraglichen Beziehungen und nicht auf einer eigenständigen gesetzlichen TISAX-Pflicht.
- „TISAX ist eine ISO-Zertifizierung.“ Nein. TISAX ist ein ENX-organisierter Assessment- und Austauschmechanismus auf Grundlage des ISA-Katalogs.
- „Jeder kann TISAX-Ergebnisse abrufen.“ Nein. Der Zugriff ist auf registrierte Teilnehmer beschränkt und hängt von Veröffentlichung oder selektiver Freigabe durch das bewertete Unternehmen ab.
- „Eine Partneranforderung ist Voraussetzung für die Registrierung.“ Nein. Sie ist ein typischer Auslöser; ein Unternehmen kann den Prozess auch vorsorglich beginnen.
- „Ein Label gilt stets exakt drei Jahre.“ Nein. Drei Jahre sind die Höchstdauer ab dem Abschlussmeeting des Initial Assessments; wesentliche Scope-Änderungen können sie verkürzen.
Was die Geschäftsleitung tun sollte
Die folgenden Schritte sind Praxisempfehlungen und keine gesetzlichen Pflichten:
- Partneranforderungen, Assessment Objectives und den benötigten Sharing-Level vor der Beauftragung verbindlich klären.
- Betroffene Standorte sowie Standard- oder ausnahmsweise Custom Scope festlegen und dokumentieren.
- Das Informationssicherheitsmanagement anhand der einschlägigen ISA-Anforderungen vorbereiten.
- Einen von ENX approbierten Audit Provider auswählen und die Beauftragung auf die passende ISA-Version abstimmen.
- Nichtkonformitäten, wesentliche Scope-Änderungen und die maximale Label-Laufzeit terminlich steuern.
- Nach dem Assessment die passende Freigabe für den registrierten Geschäftspartner veranlassen.
Für die Geschäftsleitung
Die Entscheidung für TISAX sollte vom konkreten Partnerbedarf und dem betroffenen Informationsumfang ausgehen. Festzulegen sind Assessment Objectives, Standorte, Scope, Audit Provider und Freigabetiefe. Als Nachweis dient nur das Ergebnis innerhalb dieses festgelegten Rahmens; seine Laufzeit, Nichtkonformitäten, Scope-Änderungen und der kontrollierte Austausch müssen aktiv gesteuert werden.
Quellen
- ENX: TISAX Participant Handbook, insbesondere Abschnitte 1.1, 1.3, 2.4, 3.1, 3.3, 4.1, 4.3.1, 4.3.2.2, 5.2.3, 5.4.6, 5.4.7, 5.4.9.4, 5.4.14.2, 6.7.1, 6.8.1, 7.10 und 7.11.
- ENX: TISAX FAQ, Hinweise zu Veröffentlichung und Sharing Permissions.
- ENX: TISAX – Information Security Assessment.
- ENX: ISA2027 – A New Versioning Scheme.
