Zum Inhalt springen
0621 877 55 990
Notfall
DAVINCI Rechenzentrum

TISAX für Zulieferer: die IT-Seite der Anforderungen – bevor die Prüfstelle kommt

Wer Automobilhersteller beliefert, wird nach TISAX gefragt – einem Prüfverfahren der ENX Association auf Basis des VDA-ISA-Katalogs. Was dahintersteckt, wie lange ein Label gilt, was ein Zulieferer mit 80 Beschäftigten technisch braucht und was davon aus dem Rechenzentrum kommt. Die Prüfung selbst machen zugelassene Prüfdienstleister – nicht wir.

0621 877 55 990 · rund um die Uhr, 365 Tage im Jahr
Techniker vor einem Systemschrank in einer ServerhalleKI-generiertes Bild

Was Ihr Haus vorlegen muss

Wirtschaftsprüfer, Finanzamt, Kunden und BSI verlangen dieselben Belege – gebaut werden sie einmal.

1Wie viele Arbeitsplätze hat Ihr Unternehmen?
2In welcher Branche?
3Welche Software setzen Sie ein?

Erscheint nach der Branche.

Drei Angaben genügen – Sie sehen sofort, was bei Ihnen trägt.

Die Anfrage kommt vom Einkauf des Kunden, meist mit einer Frist: Bitte weisen Sie ein TISAX-Label nach. Für einen Zulieferer in der Metropolregion – Maschinenbau, Kunststoff, Elektronik, Logistik für die Werke in Mannheim, Rastatt, Sindelfingen – ist das keine Frage der Sicherheit, sondern des Auftrags. Ohne Label kein Rahmenvertrag.

TISAX steht für Trusted Information Security Assessment Exchange. Die ENX Association betreibt es; nach ihrer Beschreibung wurde es entwickelt, um einen standardisierten und skalierbaren Ansatz für die Informationssicherheit in der Automobilindustrie zu schaffen, und es verbindet einen strukturierten Prüfprozess mit einer Plattform, über die Ergebnisse geteilt werden. Grundlage ist der Fragenkatalog VDA ISA (Information Security Assessment), den die ENX pflegt und der VDA veröffentlicht; aktuell ist die Version VDA ISA 2027, veröffentlicht am 1. Juli 2026. Die Prüfung führen zugelassene, unabhängige Prüfdienstleister durch; das Ergebnis sind TISAX-Labels, die drei Jahre gültig sind.

Was TISAX von anderen Nachweisen unterscheidet

  • Ein Assessment, viele KundenDas Ergebnis wird über die ENX-Plattform geteilt; wer ein Label hat, legt es jedem Automobilkunden vor, statt jeden Fragebogen einzeln zu beantworten. Das ist der eigentliche Nutzen: eine Prüfung, viel Anerkennung – so beschreibt es die ENX selbst.
  • Labels je PrüfzielDie Labels spiegeln die Prüfziele: Informationssicherheit, Datenschutz, Prototypenschutz. Welche Labels und welche Prüftiefe ein Kunde verlangt, bestimmt er – es steht in seiner Anfrage, nicht im Katalog.
  • Drei Jahre, dann erneutEin Label gilt drei Jahre. Wer es 2026 erwirbt, wird 2029 erneut geprüft – mit dem dann gültigen Katalog. Die Dokumentation muss in der Zwischenzeit gepflegt werden, nicht neu geschrieben.
  • Prüfdienstleister, nicht IT-DienstleisterDas Assessment darf nur ein von der ENX zugelassener Prüfdienstleister durchführen. Wer Ihre IT betreibt, kann das nicht sein – und sollte es nicht sein. Wir bereiten vor und liefern Belege; geprüft wird von Dritten.

Was ein Zulieferer technisch braucht – ohne den Katalog zu zitieren

Der VDA-ISA-Katalog ist nicht frei zugänglich, und wir zitieren ihn deshalb nicht. Was sich sagen lässt, ist, welche technischen Maßnahmen in Assessments erfahrungsgemäß geprüft werden, weil sie in jedem Informationssicherheits-Rahmenwerk stehen – in ISO 27001 ebenso wie im IT-Grundschutz des BSI. Es sind dieselben acht Belege wie auf der Übersicht dieses Bereichs, mit drei Schwerpunkten, die in der Automobilbranche besonders gewichtet werden.

Erstens Netztrennung: Entwicklungs- und Konstruktionsdaten des Kunden liegen in einem Netz, das vom Büronetz und erst recht von der Produktion getrennt ist – mit dokumentierten Übergängen. Zweitens Zugriffskontrolle mit Mehrfaktor-Authentifizierung für jeden Fernzugang und jeden Zugriff auf Kundendaten. Drittens Erkennung und Reaktion: Ein Zulieferer, bei dem Konstruktionsdaten abfließen, ohne dass er es bemerkt, ist für den Hersteller das größte Risiko – eine überwachte Angriffserkennung mit Vorfallberichten ist deshalb der Beleg, nach dem gefragt wird.

Dazu das, was auf jeder Seite dieses Bereichs steht: Berechtigungskonzept mit Rezertifizierung, Sicherung mit geprobter Rücksicherung, Änderungsfreigaben, Verfahrens- und Systemdokumentation, Dienstleister mit Nachweis, Befassung der Leitung. Wer die NIS2-Checkliste abgearbeitet hat, hat den größten Teil davon. Was fehlt, ist meist nicht die Technik, sondern das Dokument dazu.

Der Weg zum Label – aus Sicht der IT

  1. Anforderung des Kunden lesenWelche Labels, welche Prüfziele, welche Frist. Das bestimmt den Umfang; nichts davon lässt sich aus dem Katalog allein ableiten.
  2. Selbstbewertung gegen den KatalogDer VDA-ISA-Katalog ist als Selbstbewertung angelegt. Hier wird sichtbar, was fehlt – meist Dokumente, nicht Technik.
  3. Technische Lücken schließenNetztrennung, Mehrfaktor, Angriffserkennung, Sicherung, Berechtigungen – in dieser Reihenfolge, weil sie bei einem Vorfall auch den Unterschied machen. Das ist der Teil, den wir bauen und betreiben.
  4. Belege zusammenstellenFür jede Maßnahme der Nachweis: Protokoll, Liste, Vertrag, Bericht. Die Nachweismappe dieses Bereichs ist dafür gebaut.
  5. Prüfdienstleister beauftragenEinen von der ENX zugelassenen. Das Assessment prüft, ob die Maßnahmen umgesetzt und wirksam sind; das Label gilt drei Jahre.

Häufige Fragen

Wir haben 60 Beschäftigte und ein Auto-Kunde verlangt TISAX – ist das realistisch?
Ja, und es ist der Normalfall: TISAX ist für die Lieferkette gemacht, nicht für Hersteller. Der Aufwand hängt weniger an der Größe als am Zustand der Dokumentation. Ein Haus mit geregelten Berechtigungen, geprobter Sicherung, Mehrfaktor und überwachter Erkennung braucht vor allem Zeit für Dokumente; ein Haus ohne das braucht erst Technik, dann Dokumente.
Reicht ISO 27001 statt TISAX?
Das entscheidet Ihr Kunde. TISAX baut auf denselben Grundlagen auf wie ISO 27001, ist aber ein eigenes Verfahren mit eigenen Labels und eigener Plattform. Manche Hersteller akzeptieren ISO 27001 für bestimmte Lieferanten, viele verlangen ausdrücklich TISAX. Fragen Sie den Einkauf, bevor Sie in eines von beiden investieren.
Was kostet ein Assessment?
Das legen die Prüfdienstleister fest, und wir nennen hier keine Zahl, weil sie von Umfang, Prüftiefe und Standorten abhängt. Was wir beziffern können, ist die technische Vorbereitung – sobald feststeht, welche Labels der Kunde verlangt und was heute vorhanden ist.
Zählt Ihre Angriffserkennung als Nachweis im Assessment?
Als Beleg dafür, dass Vorfälle erkannt, bewertet und bearbeitet werden, ja: Vorfallberichte mit Zeitachse und das Lagebild der Konsole sind genau die Dokumente, nach denen gefragt wird. Ob der Prüfdienstleister sie als ausreichend bewertet, hängt von Prüfziel und Prüftiefe ab – das entscheidet er, nicht wir.

Quellen und Nachweise

  1. TISAX – ENX Association (Betreiber, VDA ISA, Labels, Prüfdienstleister) · ENX Association
  2. IT-Grundschutz-Kompendium · Bundesamt für Sicherheit in der Informationstechnikamtlich
  3. § 30 BSIG – Risikomanagementmaßnahmen, Absatz 2 Nummer 4: Sicherheit der Lieferkette · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich

Das gehört dazu

WirtschaftsprüferDer Wirtschaftsprüfer prüft IT nicht als IT, sondern als Grundlage der Zahlen: Wer darf buchen, wer darf ändern, läuft die Sicherung, wer hat Administratorrechte. Die vier Felder, die typischen Feststellungen – und warum eine Feststellung ein Termin für die Geschäftsführung ist.Ansehen →
VerfahrensdokumentationFür jedes DV-System muss eine Verfahrensdokumentation vorhanden sein, aus der Inhalt, Aufbau, Ablauf und Ergebnisse vollständig und schlüssig ersichtlich sind – so steht es in Rz. 151 der GoBD. Was hinein muss, wie sie gegliedert ist, wer welchen Teil schreibt, und warum sie fehlt, obwohl alles läuft.Ansehen →
GoBD-konforme IT„GoBD-konform“ ist keine Eigenschaft einer Software, sondern eines Verfahrens. Drei Dinge muss die Technik dafür leisten: Buchungen und Belege unveränderbar halten, acht bis zehn Jahre lesbar aufbewahren und dem Prüfer auf drei Wegen zugänglich machen. Was das für Server, Archiv und Sicherung bedeutet – mit Randnummern.Ansehen →
BerechtigungskonzeptWer darf was, wer hat das entschieden, wann wurde es zuletzt geprüft – drei Fragen, die Wirtschaftsprüfer, Betriebsprüfer, Kundenauditoren und das BSI gleichermaßen stellen. In den meisten Häusern liegt die Antwort im Verzeichnisdienst, aber nicht auf Papier. Wie ein Berechtigungskonzept aussieht, das ein Prüfer akzeptiert, und wie es gepflegt wird.Ansehen →
ISO 27001ISO/IEC 27001 zertifiziert ein Managementsystem, nicht eine Technik – aber ohne die Technik besteht kein Audit. Was ein Zertifikat ist, wie lange es gilt, wie das BSI den Weg über den IT-Grundschutz beschreibt, und welche Maßnahmen der Auditor im Betrieb der Systeme prüft. Wir sind nicht zertifiziert und sagen, was das für Sie bedeutet.Ansehen →
ISAE 3402 / PS 951Wenn Buchhaltung, Server oder Archiv bei einem Dienstleister laufen, muss Ihr Wirtschaftsprüfer dessen Kontrollen beurteilen. Entweder prüft er selbst – oder er liest einen Bericht, den ein anderer Prüfer über den Dienstleister erstellt hat: nach ISAE 3402 international, nach IDW PS 951 in Deutschland. Was darin steht, wie man ihn liest, was Typ 1 von Typ 2 unterscheidet – und warum wir ehrlich sagen, dass wir keinen haben.Ansehen →
DORASeit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie verpflichtet Finanzunternehmen – und reicht ihre Pflichten an jeden IT-Dienstleister weiter, der für sie arbeitet. Was ein Dienstleister dann vertraglich zusagen und nachweisen muss, und wo die Grenze zu Rechtsberatung liegt.Ansehen →
NachweismappeDer Nachweiskatalog dieses Bereichs als Arbeitsliste: je Beleg, was er enthält, wer ihn liefert, in welchem Rhythmus er erneuert wird und welcher Prüfer in welcher Formulierung danach fragt. Wer die Mappe führt, bereitet keine Prüfung mehr vor – er zieht sie aus dem Schrank.Ansehen →
Prüfung bestehenVier Prüfer, ein Nachweiskatalog: Wer die Buchführung prüft, die Steuer, die Lieferkette oder die Sicherheit, verlangt am Ende dieselben acht Belege aus der IT. Einmal gebaut, viermal vorgelegt. Diese Seiten sagen, was jeder Prüfer sehen will, was technisch dahintersteht und was davon aus dem Rechenzentrum kommt.Ansehen →

Die technischen Maßnahmen vor dem Assessment

Berechtigungen, Sicherung, Angriffserkennung, Netztrennung, Dokumentation – wir bauen und betreiben die technische Seite und liefern die Belege, die der Prüfdienstleister sehen will. Das Assessment selbst beauftragen Sie bei einem zugelassenen Prüfdienstleister.

Verfahrensdokumentation gliedern