TISAX: Assessment, Label und Ablauf in der Automobilindustrie

Stand: Oktober 2026

Wer als Zulieferer oder Dienstleister für einen Automobilhersteller arbeitet, wird früher oder später nach TISAX gefragt. Die Anforderung steht meist im Lieferantenvertrag oder Fragebogen und nennt gleich das benötigte Prüfziel und die Prüftiefe.

Hier lesen Sie, wie TISAX aufgebaut ist, was die Assessment Level AL1 bis AL3 bedeuten, wie Scope und Labels zusammenhängen und worauf Sie bei Prüfdienstleister und Zeitplan achten sollten. Die Angaben beruhen auf den Veröffentlichungen der ENX Association, die den Mechanismus betreibt.

Was TISAX ist und wer dahintersteht

TISAX wurde vom Verband der Automobilindustrie (VDA) entwickelt. Die ENX Association, ein Zusammenschluss von Unternehmen der Branche, betreibt den Mechanismus und das zugehörige Portal. Grundlage der Bewertung ist der VDA-ISA-Katalog (Information Security Assessment), der Fragen zu Informationssicherheit, Prototypenschutz und Datenschutz enthält.

Ziel ist, dass ein Lieferant sich einmal bewerten lässt und das Ergebnis mit mehreren Kunden teilen kann, statt jedem einzeln Auditzugang zu gewähren. Die Ergebnisse sind nicht öffentlich, sondern werden gezielt mit ausgewählten Partnern ausgetauscht. Die ENX weist zudem darauf hin, dass der Katalog weiterentwickelt wird: Neben der bisherigen Fassung nennt sie eine neue Version ISA2027 (englisch veröffentlicht am 1. Juli 2026, deutsche Fassung ISA2027.1 seit 1. Oktober 2026). Klären Sie mit Ihrem Prüfdienstleister, nach welcher Version Ihr Assessment läuft.

Der Ablauf einer TISAX-Zertifizierung

Umgangssprachlich heißt es „TISAX-Zertifizierung“. Genauer spricht die ENX von Assessment und Label. Der Ablauf besteht aus vier Schritten.

1. Registrierung: Sie registrieren sich als Teilnehmer im ENX-Portal und legen mindestens einen Assessment Scope fest, also Standorte, Prozesse und Schutzbedarf. Die Person, die registriert, muss die Teilnahmebedingungen verbindlich für das Unternehmen annehmen können.
2. Prüfdienstleister wählen: Nach der Registrierung erhalten Sie eine Liste der von der ENX zugelassenen Prüfdienstleister und können Angebote einholen.
3. Assessment: Selbstbewertung nach dem ISA-Katalog, dann die externe Prüfung in der vereinbarten Tiefe.
4. Austausch: Das Ergebnis erscheint als Label im Portal und wird an ausgewählte Geschäftspartner freigegeben.

Wie lange das gesamte Verfahren dauert, lässt sich nicht verlässlich vorhersagen. Das ENX-Handbuch weist selbst darauf hin, dass die Dauer von vielen Faktoren abhängt.

Assessment Level AL1, AL2 und AL3

Das Assessment Level beschreibt die Prüftiefe. Nach dem TISAX-Teilnehmerhandbuch der ENX gilt:

Zusätzlich beschreibt das Handbuch eine Variante AL 2.5 als vollständiges Remote-Assessment, das später zu AL 3 aufgewertet werden kann. Ob sie für Sie infrage kommt, klären Sie mit dem Prüfdienstleister und dem Kunden.

Labels und Prüfziele

Das Label bildet das Prüfziel ab. Das Handbuch nennt zwölf Prüfziele, jeweils mit zugeordneter Mindesttiefe. Dazu zählen Informationen mit hohem und sehr hohem Schutzbedarf, Vertraulichkeit und strenge Vertraulichkeit, hohe und sehr hohe Verfügbarkeit, Prototypenteile, Prototypenfahrzeuge, Erprobungsfahrzeuge und Prototypenveranstaltungen sowie Datenschutz und besondere Kategorien personenbezogener Daten.

In der Praxis nennt Ihr Kunde die benötigten Prüfziele in Vertrag oder Fragebogen. Wählen Sie keine Prüfziele auf Verdacht: Zu niedrige Ziele führen zur Wiederholung, zu hohe zu unnötigen Kosten. Eine höhere Bewertung kann nach Angaben der ENX auch für Partner genutzt werden, die niedrigere Anforderungen haben. Klären Sie bei Unklarheit die Anforderung schriftlich mit dem Auftraggeber.

Der Scope: Was genau geprüft wird

Der Scope legt fest, welche Standorte und Prozesse Gegenstand des Assessments sind. Er muss mindestens einen Standort enthalten, und Sie können mehrere Scopes führen, etwa für Entwicklung und Produktion getrennt. Die Standard-Scope-Beschreibung ist laut Handbuch vorgegeben und nicht änderbar; sie umfasst relevante Prozesse, Verfahren und Ressourcen an den gelisteten Standorten.

Ein sauber abgegrenzter Scope wirkt direkt auf Aufwand und Kosten, weil der Prüfdienstleister seine Kalkulation daran ausrichtet. Beschreiben Sie Standorte, Mitarbeiterzahl, genutzte IT-Dienste und Dienstleister genau, bevor Sie Angebote anfordern.

Ein Beispiel aus der Lieferkette

Ein mittelständischer Konstruktionsdienstleister erhält Entwicklungsdaten eines Herstellers. Der Kunde verlangt in seinem Rahmenvertrag ein Label für strenge Vertraulichkeit. Daraus folgt eine Prüfung auf hohem Niveau mit Vor-Ort-Anteilen. Der Dienstleister legt als Scope den Standort mit dem Entwicklungsnetz fest, schließt Büroräume ohne Kundenbezug aus und dokumentiert Zugriffswege, Datenspeicherorte und Dienstleister.

Wichtig ist die Reihenfolge: erst Kundenanforderung klären, dann Scope und Prüfziel, dann Angebote. Wer mit dem Auftrag beginnt, bevor die Anforderung klar ist, riskiert ein falsches Label und eine zweite Prüfung.

Gültigkeit und Fristen

Ein Assessment-Ergebnis ist drei Jahre gültig. Danach muss der Prozess für den Scope neu durchlaufen werden, sofern Sie weiterhin Lieferant sind. Daneben gibt es temporäre Labels bei offenen Abweichungen: Nach Angaben der ENX läuft ein temporäres Label neun Monate nach dem Abschlussgespräch der Erstbewertung ab und kann nicht verlängert werden. In dieser Zeit müssen die Abweichungen behoben sein.

Planen Sie Folge-Assessments rechtzeitig, damit zwischen Ablauf und neuem Label keine Lücke entsteht, in der Ihr Kunde Aufträge anhält.

Kosten und Gebühren

Es entstehen zwei Kostenarten. Erstens Registrierungsgebühren an die ENX, die sich nach den Standorten im Scope richten; die Preisliste veröffentlicht die ENX selbst. Zweitens die Honorare der Prüfdienstleister, die frei kalkulieren und vom Scope abhängen. Konkrete Beträge nennen wir hier bewusst nicht, weil sie sich ändern und je nach Anbieter stark schwanken.

Holen Sie mehrere Angebote ein und vergleichen Sie, welche Prüftage, Reisekosten und Nachprüfungen enthalten sind. Für die Rechenlogik ähnlicher Audits können Sie den Zertifizierungskosten-Rechner als Orientierung heranziehen. Er bildet TISAX nicht exakt ab, zeigt aber, wie Auditzeit entsteht.

Rollen und Aufwand im Unternehmen

Der Aufwand hängt weniger von der Mitarbeiterzahl als von der Reife der Informationssicherheit ab. Brauchen Sie erst Richtlinien, Rollen und Prozesse, ist die Vorbereitung deutlich länger als bei einem Unternehmen, das bereits ein ISMS betreibt. Rechnen Sie neben der Prüfung mit Zeit für Dokumentation, Technik und Schulungen.

Benennen Sie früh eine verantwortliche Person für das Projekt, meist die oder den Informationssicherheitsbeauftragten, und binden Sie Personal, IT, Facility-Management und Einkauf ein. Gerade physische Sicherheit und Personalprozesse werden häufig unterschätzt, weil sie nicht zur klassischen IT gehören.

Was nach dem Label passiert

Das Label endet nicht mit der Ausstellung. Sie müssen den Betrieb im Scope so aufrechterhalten, dass die Aussage über die drei Jahre trägt, und Änderungen wie neue Standorte oder Dienstleister mit Auswirkung auf den Scope berücksichtigen. Kunden greifen die Ergebnisse über das ENX-Portal ab und können bei Bedarf Nachweise anfordern.

Pflegen Sie deshalb eine Maßnahmenliste, überwachen Sie Vorfälle und planen Sie interne Überprüfungen. Ein internes Audit nach dem Muster des Beitrags zum internen Audit hilft, das Folge-Assessment ohne Hektik zu erreichen.

TISAX und ISO 27001: Unterschiede und Gemeinsamkeiten

Beide Regelwerke folgen dem Risikoansatz der Informationssicherheit, dennoch sind sie nicht austauschbar. ISO 27001 prüft ein Managementsystem und endet mit einem Zertifikat einer akkreditierten Zertifizierungsstelle. TISAX prüft den Erfüllungsgrad des VDA-ISA-Katalogs und führt zu einem Label im ENX-Portal. Der Katalog enthält branchenspezifische Teile, die ISO 27001 nicht abdeckt.

Wenn Sie bereits ein ISMS nach ISO 27001 betreiben, sparen Sie Arbeit bei Richtlinien, Risikobewertung, Rollen und Nachweisen. Ob Ihr Kunde ein ISO-Zertifikat als Ersatz akzeptiert, entscheidet er. Lesen Sie dazu den Ratgeber ISO 27001 vs. TISAX.

Vorbereitung: eine sinnvolle Reihenfolge

1. Anforderung des Kunden klären: Prüfziele, Level, Frist.
2. Scope definieren und Zuständigkeiten für Informationssicherheit festlegen.
3. Selbstbewertung nach ISA-Katalog durchführen und Lücken in einer Maßnahmenliste erfassen.
4. Richtlinien, Zugriffskonzept, Schulungen, Dienstleistersteuerung und Notfallverfahren vervollständigen.
5. Registrierung im ENX-Portal und Angebote der Prüfdienstleister einholen.
6. Interne Vorprüfung und Nachweissammlung vor dem Termin.

Beginnen Sie früh: Prüfdienstleister haben Vorlaufzeiten, und Abweichungen müssen oft technisch oder organisatorisch behoben werden, was Wochen dauern kann.

Typische Abweichungen und wie Sie sie vermeiden

• Der Scope passt nicht zu den tatsächlich genutzten Standorten oder Cloud-Diensten.
• Verantwortlichkeiten für Informationssicherheit sind nicht dokumentiert.
• Dienstleister mit Zugriff auf Kundeninformationen sind nicht vertraglich verpflichtet.
• Prototypenschutz wird verlangt, aber Zutritts- und Fotoverbote sind nicht umgesetzt.
• Vorfallmeldewege existieren, werden aber nicht geübt.

Sinnvoll ist außerdem ein Probelauf: Lassen Sie einen Kollegen oder Berater das Assessment aus Sicht des Prüfers durchgehen, inklusive Interviewfragen. So erkennen Sie Wissenslücken bei den Beschäftigten, bevor der Prüfdienstleister sie bemerkt.

Zugelassene Prüfdienstleister und weitere Hilfen

Prüfdienstleister benötigt die ENX-Zulassung. Zulassung ist nicht identisch mit einer Akkreditierung durch die DAkkS, die für Zertifizierungsstellen gilt. Manche Prüfdienstleister sind zugleich nach ISO akkreditiert, andere nicht. Prüfen Sie daher in der ENX-Liste, wer für Ihr Prüfziel zugelassen ist.

Weitere Orientierung finden Sie auf Zertifizierung und Akkreditierung. Stellen mit ISO-27001-Akkreditierung listet das Verzeichnis unter Zertifizierungsstellen für Managementsysteme.

Fragen Sie bei Angeboten nach der Erfahrung mit Ihrem Prüfziel, etwa Prototypenschutz oder hoher Verfügbarkeit, nach der Zahl der Prüftage, nach dem Umgang mit Abweichungen und nach der Möglichkeit eines Remote-Anteils. Vergleichen Sie außerdem Reaktionszeiten und Terminverfügbarkeit, denn Kunden setzen oft feste Fristen.