TISAX
Ordnen Sie VDA-ISA-Kriterien zu, grenzen Sie das relevante Assessment Level ein und verbinden Sie Maßnahmen für Prototypendaten mit Verantwortlichen und Nachweisen. Das nächste OEM-Assessment nutzt die freigegebene Arbeit weiter, soweit der Scope es trägt.
Eine Maßnahme, mehrere Standards
Standards überschneiden sich weit mehr, als sie sich unterscheiden. Eine einmal erfasste Maßnahme wird jedem Framework zugeordnet, dessen Anforderung sie beantwortet. Das zweite Audit erbt den Nachweis aus dem ersten.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Von der Maßnahme zur Richtlinie
Eine Maßnahme ist keine Zeile in einem Register. Sie gehört zu einem Managementsystem und wird von den Richtlinien und Verfahren getragen, die Ihr Team tatsächlich liest. Deshalb läuft sie durch beides.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Managementsysteme
Richtlinien und Verfahren
01
KaitoSec wird mit dem vollständigen VDA-ISA-Katalog (Information Security Assessment) als zuweisbaren Kriterien geliefert. Jedes Kriterium ist samt der Zusatzanforderungen für hohen und sehr hohen Schutzbedarf mit Umsetzungshinweisen verknüpft, sodass Ihr Team weiß, was gefordert ist und welche Nachweise es sammeln muss.
02
TISAX definiert drei Assessment Level: AL1 als Selbsteinschätzung, AL2 mit Remote-Audit, AL3 mit Vor-Ort-Audit für Prototypendaten. KaitoSec hilft zu bestimmen, welches Level Ihre OEM-Kunden verlangen, und begrenzt die Umsetzungsarbeit darauf. So entsteht kein unnötiger Mehraufwand.
03
Im Portal der ENX Association werden TISAX-Ergebnisse registriert und für OEM-Kunden freigegeben. KaitoSec bereitet Ihr Nachweispaket in dem Format vor, das ENX-akkreditierte Prüfdienstleister erwarten, und verfolgt den Einreichungsstatus durch das gesamte Assessment.
01
Für jedes ISA-Kriterium verfolgt KaitoSec den aktuellen Reifegrad gegen den Ziel-Reifegrad 3, den die TISAX-Methodik für alle Kriterien ansetzt. Vor dem Assessment-Termin sehen Sie, welche Kriterien am weitesten vom Ziel entfernt sind.
02
TISAX AL3 enthält spezifische Anforderungen für den Umgang mit Prototypendaten und Entwicklungsgeheimnissen. KaitoSec bietet dedizierte Maßnahmensätze für physische Sicherheit, Need-to-know-Zugriff und die Absicherung von F&E-Umgebungen.
03
Sobald Ihr TISAX-Label im ENX-Portal aktiv ist, führt KaitoSec nach, welchen OEM-Kunden Sie Ergebnisse freigegeben haben und welchen Scope jede Freigabe umfasst. Sie behalten die Kontrolle darüber, wer was sieht.
TISAX (Trusted Information Security Assessment Exchange) ist ein Informationssicherheits-Bewertungsstandard der Automobilindustrie, der auf dem VDA-ISA-Katalog basiert. Es wird von den meisten großen deutschen OEMs verlangt und wird zunehmend auch von Tier-1-Zulieferern gefordert. Jedes Unternehmen in der Automobilzulieferkette, das sensible OEM-Daten, Prototypeninformationen oder kritische Entwicklungs-Assets verarbeitet, benötigt wahrscheinlich ein TISAX-Label.
TISAX ist speziell für die Automobilzulieferkette konzipiert und konzentriert sich auf den Schutz von Fahrzeugdaten, Prototypendaten und Zuliefererbeziehungen. ISO 27001 ist ein allgemeiner ISMS-Standard, der für jeden Sektor gilt. TISAX baut auf ISO-27001-Konzepten auf, hat jedoch sektorspezifische Anforderungen. Ergebnisse werden ausschließlich über das ENX-Portal geteilt, ein öffentliches Zertifikat wie bei ISO 27001 gibt es nicht. Der TISAX-Glossareintrag erklärt die Assessment-Level-Struktur und die Rolle des ENX-Portals.
Das Assessment Level hängt von der Sensibilität der Daten ab, die Sie für OEM-Kunden verarbeiten. AL1 deckt normalen Informationsschutz ab und ist ausschließlich Selbsteinschätzung. AL2 ist für hohen Schutzbedarf erforderlich und beinhaltet ein Remote-Audit durch einen ENX-akkreditierten Prüfdienstleister. AL3 deckt sehr hohen Schutzbedarf ab, wie Prototypendaten, und erfordert ein Vor-Ort-Audit. Ihr OEM-Kunde gibt das erforderliche Level im Vertrag an.
TISAX-Labels sind ab dem Assessment-Datum drei Jahre gültig. KaitoSec verfolgt den Ablauf Ihres Labels und erinnert rechtzeitig, damit die Vorbereitung der Neubewertung früh genug beginnt und keine Lücke in der Lieferantenqualifikation entsteht.
Ja. KaitoSec pflegt eine Kreuzzuordnung zwischen VDA-ISA-Kriterien und ISO 27001:2022 Annex-A-Maßnahmen. Strebt Ihre Organisation TISAX-Label und ISO-27001-Zertifikat an, werden Nachweise und Umsetzungen für beide Frameworks wiederverwendet. Das erspart doppelte Arbeit.
