TISAX-Beratung - vom ISA-Katalog zum Audit-Pass

TISAX ist der Informationssicherheits-Standard der Automobilindustrie. Pflicht für alle Zulieferer, die vertrauliche Daten von OEMs wie Audi, BMW, Daimler, Porsche, Stellantis oder VW erhalten - de facto für alle Tier-1/Tier-2-Zulieferer.

Abhängig vom Ausgangs-Reifegrad. Mit funktionierendem ISO-27001-Bestand: schneller als ohne. Wir sagen Dir nach der Gap-Analyse den realistischen Zeitrahmen - keine pauschalen Versprechen.

KMU 50-100 MA: Gesamtprojekt 50-130 k€ (inkl. Audit). Minus BAFA-Förderung auf den Beratungsanteil. Wir liefern nach Gap-Analyse eine Festpreis-Schätzung.

Fast immer AL3 für Prototypen-Schutz und personenbezogene Daten. AL2 für Standard-Vertraulichkeits-Informationen. Dein OEM schreibt das im Vertrag vor - wir klären das im ersten Gespräch.

50-70 % Überschneidung in den Controls. Wer ISO 27001:2022 hat, spart erheblich Zeit und Budget. Wer noch kein ISMS hat, baut beides in einem gemeinsamen Programm.

Nein. TISAX-Audits müssen von ENX-zugelassenen Auditoren durchgeführt werden (z. B. TÜV oder DEKRA). Wir bereiten Dich vor und begleiten Dich - den Audit macht ein unabhängiger Dritter.

OEMs streichen Lieferanten ohne TISAX aus der Approved-Supplier-Liste. Bestehende Verträge können gekündigt werden. Neue Verträge bekommt man ohne TISAX-Bestätigung in der Automotive-Industrie kaum mehr.

Nein, TISAX arbeitet mit Labels statt mit einem Zertifikat. Nach bestandenem Assessment hinterlegt der zugelassene Prüfdienstleister das Ergebnis im ENX-Portal, und Du gibst es dort gezielt für einzelne Kunden frei - der OEM ruft es also selbst ab, statt eine Urkunde zu bekommen. Wir bereiten Dich darauf vor und begleiten Dich; vergeben wird das Label ausschließlich über den zugelassenen Prüfdienstleister.

Aus drei getrennten Blöcken: der ENX-Registrierung mit eigener Gebühr, dem Honorar des zugelassenen Prüfdienstleisters für das Assessment und dem eigentlichen Umsetzungsaufwand bei Dir im Haus. Der dritte Block ist fast immer der größte und hängt daran, wie weit Dein ISMS schon ist. Auf den Beratungsanteil sind bis zu 50 % BAFA-Förderung möglich, den Antrag übernehmen wir.

In den Scope gehören die Standorte, an denen die geschützten Daten tatsächlich verarbeitet, gespeichert oder verbaut werden - also häufig Entwicklung, Musterbau und die betroffene Fertigung, nicht zwingend jedes Vertriebsbüro. Der Scope wird bei der Registrierung festgelegt und ist später nur mit Aufwand änderbar. Zu eng gesetzt provoziert er Rückfragen Deines Kunden, zu weit gesetzt kostet er unnötige Audit-Tage.

Er wird auf drei Ebenen geprüft: physisch über Zutrittstrennung, Sichtschutz, Foto- und Kameraregelungen sowie Abdeckung von Fahrzeugen und Bauteilen, digital über Datenklassifizierung, Verschlüsselung und Zugriffsbeschränkung, organisatorisch über Besucherregelungen und die Einbindung von Fremdfirmen. Bei den hohen Prototypen-Zielen sieht sich der Prüfer das vor Ort an, nicht nur die Richtlinie dazu. Genau hier fallen Zulieferer am häufigsten auf: Die Regelung existiert, wird im Werksalltag aber nicht durchgesetzt.

Der ISA-Katalog bewertet in Reifegraden von 0 bis 5; als Zielwert wird in der Regel eine 3 erwartet, also ein etablierter und dokumentierter Prozess. Reifegrad 3 heißt konkret: Es gibt eine Regelung, sie wird gelebt, und Du kannst das mit Nachweisen belegen. Höhere Werte verlangt niemand und sie kosten nur Aufwand - wir arbeiten deshalb gezielt an den Controls unterhalb des Zielwerts.

Abweichungen kommen häufiger vor, als die meisten erwarten, und sind kein Projektabbruch. Üblich sind ein Maßnahmenplan mit Fristen und eine anschließende Nachprüfung durch denselben Prüfdienstleister; erst danach wird das Label vergeben. Teuer ist vor allem die Verzögerung gegenüber dem OEM - deshalb spielen wir das Assessment vorher intern durch und räumen die kritischen Punkte vorab weg.

Rechne rückwärts: zuerst der Audit-Termin, denn gefragte Prüfdienstleister sind oft Monate im Voraus ausgebucht, davor die Umsetzung, davor Gap-Analyse und Registrierung. Den Audit-Termin buchst Du deshalb früh, auch wenn die Umsetzung noch läuft. Ist die Frist realistisch nicht zu halten, sagen wir Dir das und helfen Dir, den Termin mit dem Kunden neu zu vereinbaren, statt in ein Assessment zu gehen, das absehbar durchfällt.

In der Substanz ja. Der ISA-Katalog verlangt, dass Du Dienstleister mit Zugang zu geschützten Daten bewertest, vertraglich verpflichtest und kontrollierst - das betrifft Konstruktionsbüros, Lohnfertiger, den Entsorger von Prototypen-Teilen und Deinen IT-Dienstleister gleichermaßen. Ob ein Sublieferant selbst ein eigenes Label braucht, entscheiden der Datenfluss und die Vorgabe Deines Auftraggebers.