Ein Kunde aus der Automobilindustrie fordert den TISAX-Nachweis. Damit verbunden sind ein Anforderungskatalog, ein Prüfdienstleister und ein Ergebnis, das drei Jahre gültig bleibt. CRISAM® bildet die Anforderungen ab, erhebt sie bei den Fachverantwortlichen und exportiert das Assessment.
Stand: 23. September 2026
| Abweichung | Bereich | Einstufung | Status |
|---|---|---|---|
| Zutrittsregelung Musterbau nicht dokumentiert | Prototypenschutz | offen | |
| Lieferantenanforderungen ohne Nachweis | Informationssicherheit | in Arbeit | |
| Löschkonzept für Testdaten offen | Datenschutz | in Arbeit | |
| Notfallplanung Fertigung dokumentiert | Verfügbarkeit | erledigt |
TISAX steht für Trusted Information Security Assessment Exchange und ist ein System zum vertrauenswürdigen Austausch von Prüfergebnissen zur Informationssicherheit. Betrieben wird es von der ENX Association. Geprüft wird gegen das Information Security Assessment des Verbands der Automobilindustrie, kurz VDA ISA. Das Ergebnis ist kein Zertifikat, sondern ein TISAX-Label, das drei Jahre gültig ist.
Der Anlass kommt von außen: Ein Partner fordert den Nachweis, dass Ihr Informationssicherheitsmanagement den Anforderungen des Information Security Assessments entspricht. Sie entscheiden anschließend selbst, bis zu welcher Ebene dieser Partner Ihr Ergebnis einsehen darf.
Die ENX Association beschreibt das Verfahren als Registrierung, Prüfung und Austausch. In der Praxis fallen dazwischen Entscheidungen, die den Aufwand bestimmen.
Angaben zum Unternehmen und zum Prüfumfang werden über das ENX-Portal erfasst. Der Scope legt fest, welche Standorte und Prozesse geprüft werden.
Aus den Prüfzielen ergeben sich die Labels und das Prüfniveau. Welche Prüfziele nötig sind, gibt in der Regel der Partner vor, der den Nachweis verlangt.
Die Anforderungen des Katalogs werden bewertet und belegt. Dieser Schritt verursacht intern in der Regel den größten Aufwand.
Die Prüfung übernimmt ein bei der ENX Association zugelassener Prüfdienstleister. Bei Abweichungen folgen ein Maßnahmenplan und eine Nachprüfung.
Das Ergebnis wird über die ENX-Plattform geteilt. Sie entscheiden, bis zu welcher Ebene der Partner Zugang erhält.
Das Prüfergebnis ist drei Jahre gültig. Sind Sie danach weiterhin Zulieferer Ihres Partners, wird es erneuert, und das Verfahren beginnt von vorn.
TISAX ist keine gesetzliche Pflicht. Die Automobilindustrie macht es jedoch häufig zur Voraussetzung, bevor sie Informationen an Zulieferer und Dienstleister weitergibt.
Die Labels decken vier Themenfelder ab: Vertraulichkeit von Informationen, Verfügbarkeit, Prototypenschutz und Datenschutz. Jedes Prüfziel bringt eigene Anforderungen mit. Wer mit Prototypen arbeitet, durchläuft eine umfangreichere Prüfung als ein reiner Datendienstleister.
Bei AL 2 prüft der Prüfdienstleister die Selbsteinschätzung auf Plausibilität, sichtet Nachweise und führt Gespräche, meist per Webkonferenz. Bei AL 3 kommen die Prüfung von Dokumenten, Gespräche vor Ort mit Prozessverantwortlichen und die Beobachtung von Zuständen und Abläufen dazu. Höhere Prüfniveaus schließen die niedrigeren ein.
TISAX vergibt kein Zertifikat, sondern Labels zu den erreichten Prüfzielen. Sie werden nicht veröffentlicht, sondern gezielt mit den Partnern geteilt, die den Nachweis verlangt haben.
Die Schritte bauen aufeinander auf, und das Ergebnis muss drei Jahre Bestand haben.
| Anforderung | Grundlage | Was verlangt wird | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Registrierung und Scope | ENX-Portal | Angaben zum Unternehmen und zum Prüfumfang erfassen. Der Scope legt fest, welche Standorte und Prozesse in die Prüfung fallen | Unternehmensstrukturen, Standorte und Prozesse werden als Modell abgebildet. Der Prüfumfang ist mit denselben Objekten verknüpft wie die Anforderungen. |
| Prüfziele und Labels | TISAX-Verfahren | Die Prüfziele festlegen, aus denen sich die Labels ergeben: Vertraulichkeit von Informationen, Verfügbarkeit, Prototypenschutz und Datenschutz | Je Prüfziel wird der zugehörige Anforderungsbereich aktiviert. Der Compliance-Status ist je Prüfziel getrennt auswertbar. |
| Selbsteinschätzung nach VDA ISA | VDA ISA 6.0 | Jede Anforderung des Katalogs bewerten, den Ist-Stand begründen und den Nachweis hinterlegen | CRISAM® unterstützt die Abbildung und Bewertung der Anforderungen aus VDA TISAX. Compliance-Lücken und Abweichungen werden transparent identifiziert. |
| Beteiligung der Fachbereiche | Praxis | Die Antworten kommen aus IT, Personal, Einkauf, Entwicklung, Fertigung und Facility. Ohne ihre Beteiligung bleibt die Selbsteinschätzung ungenau | Informationen lassen sich gezielt und dezentral bei Fachverantwortlichen erheben. Das reduziert den Aufwand bei Baseline-Audits, Reviews und Lieferantenauskünften. |
| Abweichungen und Maßnahmenplan | TISAX-Verfahren | Bei Abweichungen einen Maßnahmenplan vorlegen und die Umsetzung bis zur Nachprüfung belegen | Aus Abweichungen werden Maßnahmen mit Verantwortlichem und Termin. Die Automotive-Security-Dashboards zeigen Compliance-Status, Abweichungen und Maßnahmen an einer Stelle. |
| Prüfung durch den Prüfdienstleister | ENX Association | Die Prüfung führt ein bei der ENX Association zugelassener Prüfdienstleister durch. Je nach Prüfniveau per Webkonferenz oder vor Ort | Das geforderte TISAX Information Security Assessment kann direkt aus CRISAM® generiert, exportiert und importiert werden, konsistent und auditfähig. |
| Ergebnis teilen | ENX-Plattform | Das Prüfergebnis wird über die ENX-Plattform geteilt. Die Ebene, bis zu der ein Partner Zugang erhält, legen Sie fest | Zur Verfügung stehen TISAX-Reports für Audits und Kundenanfragen sowie Export-Funktionen für Assessments und Prüfungen. |
| Erneuerung nach drei Jahren | TISAX-Verfahren | Das Prüfergebnis ist drei Jahre gültig. Danach läuft das Verfahren erneut, mit dem dann gültigen Katalog | Bewertungen, Nachweise und Maßnahmen bleiben im Modell. Die Erneuerung baut auf den bereits beantworteten Anforderungen auf, statt bei null zu beginnen. |
Vom Scope bis zum Assessment für den Prüfdienstleister.
Standorte, Prozesse, Prüfziele und Prüfniveau werden festgelegt und begründet. Diese Festlegungen bestimmen den Umfang der Prüfung und den damit verbundenen Aufwand.
In der Regel nennt der Kunde, welche Prüfziele er erwartet. Daraus ergeben sich die Labels und das Prüfniveau.
Prototypen erhöhen den AufwandWer Prototypen, Erprobungsfahrzeuge oder geschützte Bauteile im Haus hat, prüft mehr als ein reiner Datendienstleister.
Standorte einzelnJeder Standort im Scope wird betrachtet. Was außerhalb liegt, gehört nicht zum Ergebnis.
Der Anforderungskatalog wird je Prüfziel bewertet. So sehen Sie, wo Lücken bestehen: bei welcher Anforderung, in welchem Bereich und wie weit der Ist-Stand vom Ziel entfernt ist.
| Anforderung | Prüfziel | Ist | Soll | Schwere |
|---|---|---|---|---|
| Zutritt zu Musterbau und Erprobung | Prototypenschutz | 1 | 4 | |
| Sicherheitsanforderungen an Lieferanten | Lieferkette | 1 | 4 | |
| Umgang mit Bild- und Videomaterial | Prototypenschutz | 2 | 4 | |
| Löschkonzept für Testdaten | Datenschutz | 2 | 4 | |
| Notfallplanung Fertigung | Verfügbarkeit | 3 | 4 |
Das nötige Wissen liegt in den Fachbereichen, nicht im Sicherheitsteam. Abfragen gehen gezielt an die Verantwortlichen, die Antworten werden direkt bei der jeweiligen Anforderung gespeichert.
Für jede Abweichung legen Sie eine Maßnahme mit Verantwortlichem und Termin an. Diese Liste dient als Maßnahmenplan für den Prüfdienstleister.
In der Automobilindustrie kommen zu TISAX meist weitere Regelwerke hinzu. Über das Mapping gilt eine beantwortete Kontrollzielfrage für mehrere Regelwerke.
| Kontrollziel | TISAX | ISO 27001 | ISO/SAE 21434 | UN R 155 | IATF 16949 |
|---|---|---|---|---|---|
| Zugriffsrechte nach Aufgabe | |||||
| Sicherheitsanforderungen an Lieferanten | |||||
| Umgang mit Sicherheitsvorfällen | |||||
| Schutz von Entwicklungsdaten | |||||
| Sensibilisierung der Beschäftigten | |||||
| Notfall- und Wiederanlaufplanung |
Am Ende steht das Assessment, das der Prüfdienstleister erwartet, samt Nachweisen und Maßnahmenplan. Auf derselben Grundlage beantworten Sie auch Kundenanfragen im Tagesgeschäft.
| Unterlage | Inhalt | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Scope-Beschreibung | Standorte, Prozesse, Prüfziele | 11.09.2026 | ISMS-Team | |
| Information Security Assessment | Bewertung aller Anforderungen | 15.09.2026 | ISMS-Team | |
| Maßnahmenplan | Abweichungen mit Termin und Verantwortlichem | 15.09.2026 | ISMS-Team | |
| Nachweise Prototypenschutz | Zutritt, Kennzeichnung, Transport | in Überarbeitung | Facility | |
| Nachweise Lieferkette | Vertragsklauseln und Rückmeldungen | geplant 11/2026 | Einkauf | |
| Freigabe zur Weitergabe | Ebene je Partner | offen | Geschäftsführung |
Scope, Prüfziele, Freigabe der Weitergabe an Partner.
Bewertung nach VDA ISA, Maßnahmenplan, Begleitung der Prüfung.
Prototypenschutz, Umgang mit Bildmaterial, Wiederanlauf.
Sicherheitsanforderungen an Lieferanten, Sensibilisierung der Beschäftigten.
In der Automobilindustrie gilt selten nur ein Regelwerk. CRISAM® verbindet Automotive-Security-Anforderungen mit Risiko-, Compliance- und Auditprozessen in einer Plattform und steuert Mehrfachanforderungen über ein gemeinsames Modell.
Das integrierte Automotive Knowledge Pack basiert unter anderem auf VDA TISAX, UN R 155 und R 156, ISO/SAE 21434 und IATF 16949.
Das geforderte TISAX Information Security Assessment wird direkt aus CRISAM® generiert, exportiert und importiert, konsistent und auditfähig.
Informationen lassen sich gezielt bei Fachverantwortlichen erheben. Das reduziert den Aufwand bei Baseline-Audits, Reviews und Lieferantenauskünften.
Die Automotive-Erweiterung ist mit ISMS, Datenschutz, IKS, Audit und Risikomanagement integriert. Wie CRISAM® in der Branche eingesetzt wird, erfahren Sie unter Automobil-Industrie.
Beide prüfen Informationssicherheit, jedoch für unterschiedliche Adressaten. ISO/IEC 27001 führt zu einem Zertifikat einer akkreditierten Zertifizierungsstelle, das Sie jedem zeigen können. TISAX führt zu Labels der ENX Association, die Sie gezielt mit einzelnen Partnern teilen. Ein bestehendes Managementsystem nach ISO/IEC 27001 deckt viele Anforderungen des VDA ISA ab, ersetzt das TISAX-Verfahren aber nicht.
| Kriterium | TISAX | ISO/IEC 27001 |
|---|---|---|
| Trägerschaft | ENX Association, Prüfkatalog vom Verband der Automobilindustrie | Internationale Norm, Zertifizierung durch akkreditierte Stellen |
| Prüfgrundlage | VDA Information Security Assessment, Version 6.0 | ISO/IEC 27001:2022, deutsche Fassung DIN EN ISO/IEC 27001:2024-01 |
| Ergebnis | Labels zu den erreichten Prüfzielen, ausdrücklich kein Zertifikat | Zertifikat über den festgelegten Anwendungsbereich |
| Sichtbarkeit | Wird gezielt mit Partnern geteilt, die Ebene legen Sie fest | Frei vorzeigbar, häufig veröffentlicht |
| Umfang der Prüfung | Ergibt sich aus Scope und gewählten Prüfzielen, Prüfniveau AL 2 oder AL 3 | Ergibt sich aus Anwendungsbereich und Risikobeurteilung |
| Besondere Themen | Prototypenschutz und Datenschutz sind eigene Prüfziele | Kein eigener Prototypenschutz, Datenschutz nur mittelbar |
| Gültigkeit | Drei Jahre, danach läuft das Verfahren erneut | Dreijahreszyklus mit jährlichen Überwachungsaudits |
| Abbildung in CRISAM® | Automotive Knowledge Pack mit über 85 Bausteinen und mehr als 650 Kontrollzielen | ISMS Knowledge Pack mit über 230 Bausteinen und mehr als 2.500 Kontrollzielen |
Dann zahlt sich das Mapping aus. Eine beantwortete Kontrollzielfrage gilt in CRISAM® für beide Regelwerke und muss nicht zweimal erhoben werden. Was für ISO/IEC 27001 bereits belegt ist, steht für die Selbsteinschätzung nach VDA ISA zur Verfügung. Eine Übersicht aller Regelwerke, die CRISAM® abdeckt, finden Sie unter Normen und Standards.
Der erste Schritt hängt davon ab, wo Sie heute stehen.
Sie beginnen mit Scope und Prüfzielen. Das Automotive Knowledge Pack liefert die Anforderungen dazu, geprüfte und wiederverwendbare Inhalte stehen für die Bewertung sofort zur Verfügung.
Entscheidend ist, wer antwortet. Statt eine Datei durch mehrere Fachbereiche zu schicken, gehen Abfragen gezielt an die Verantwortlichen, und die Antworten werden direkt bei der jeweiligen Anforderung gespeichert.
Ein großer Teil der Arbeit ist damit bereits erledigt. Über das Mapping gilt eine beantwortete Kontrollzielfrage für beide Regelwerke. Offen bleiben die Themen, die nur TISAX abdeckt, allen voran der Prototypenschutz.
Sie benötigen dafür die CRISAM® GRC Plattform, das CRISAM® ISMS Modul und das Automotive oder TISAX Knowledge Pack. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
TISAX steht für Trusted Information Security Assessment Exchange und ist ein System zum vertrauenswürdigen Austausch von Prüfergebnissen zur Informationssicherheit. Betrieben wird es von der ENX Association. Geprüft wird gegen das Information Security Assessment des Verbands der Automobilindustrie, kurz VDA ISA. Das Ergebnis ist kein Zertifikat, sondern ein TISAX-Label, das drei Jahre gültig ist.
Die ENX Association beschreibt drei Schritte: Registrierung, Prüfung und Austausch. Bei der Registrierung werden Angaben zum Unternehmen und zum Prüfumfang über das ENX-Portal erfasst. Die Prüfung führt ein zugelassener Prüfdienstleister durch, bei Abweichungen folgen ein Maßnahmenplan und eine Nachprüfung. Anschließend teilen Sie das Ergebnis mit Ihren Partnern und legen fest, bis zu welcher Ebene sie Zugang erhalten.
Beide prüfen Informationssicherheit, jedoch für unterschiedliche Adressaten. ISO/IEC 27001 führt zu einem Zertifikat einer akkreditierten Zertifizierungsstelle, das Sie jedem zeigen können. TISAX führt zu Labels der ENX Association, die Sie gezielt mit einzelnen Partnern teilen. Ein bestehendes Managementsystem nach ISO/IEC 27001 deckt viele Anforderungen des VDA ISA ab, ersetzt das TISAX-Verfahren aber nicht.
Die Labels decken vier Themenfelder ab: Vertraulichkeit von Informationen, Verfügbarkeit, Prototypenschutz und Datenschutz. Welche Prüfziele nötig sind, gibt in der Regel der Partner vor, der den Nachweis verlangt. Aus den Prüfzielen ergeben sich die Labels und das Prüfniveau.
Bei AL 2 prüft der Prüfdienstleister die Selbsteinschätzung auf Plausibilität, sichtet Nachweise und führt Gespräche, meist per Webkonferenz. Bei AL 3 kommen die Prüfung von Dokumenten, Gespräche vor Ort mit Prozessverantwortlichen und die Beobachtung von Zuständen und Abläufen dazu. Höhere Prüfniveaus schließen die niedrigeren ein.
Das Prüfergebnis ist drei Jahre gültig. Sind Sie danach weiterhin Zulieferer Ihres Partners, wird es erneuert, und das Verfahren beginnt von vorn. In CRISAM® bleiben Bewertungen, Nachweise und Maßnahmen im Modell, die Erneuerung baut auf den bereits beantworteten Anforderungen auf.
Entscheidend ist, ob der Anforderungskatalog mitgeliefert wird und ob sich die Antworten direkt bei den zuständigen Fachbereichen erheben lassen. Das integrierte Automotive Knowledge Pack von CRISAM® stellt über 85 Bausteine und mehr als 650 Kontrollziele bereit, unter anderem auf Basis von VDA TISAX, UN R 155 und R 156, ISO/SAE 21434 und IATF 16949. Das geforderte TISAX Information Security Assessment kann direkt aus CRISAM® generiert, exportiert und importiert werden.
Ja. Neben TISAX lassen sich Anforderungen aus UN R 155 und R 156, ISO/SAE 21434 und IATF 16949 strukturiert abbilden und auswerten. Über das Mapping der Kontrollzielfragen gilt eine Antwort für mehrere Regelwerke und muss nicht je Regelwerk erneut erhoben werden. Das ist besonders in komplexen Lieferketten und Konzernstrukturen relevant.
Die Angaben zum TISAX-Verfahren und zum VDA ISA auf dieser Seite stammen aus den folgenden Quellen.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: Scope, Prüfziele, Bewertung nach VDA ISA, die Abfragen an die Fachbereiche und den Export des Assessments.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
