Die Automobilindustrie ist eine Branche, die auf den Schutz sensibler Daten und Informationen angewiesen ist. Um diese Sicherheit zu gewährleisten, haben sich die Automobilhersteller und Zulieferer auf den TISAX®-Standard geeinigt.

TISAX® ist ein internationaler Standard, der die Anforderungen an die Informationssicherheit von Unternehmen in der Automobilindustrie definiert. Er wurde von der ENX Association entwickelt, einem Zusammenschluss von Automobilherstellern und Lieferanten. 

Der TISAX®-Standard besteht aus drei Assessment-Levels: Level 1, Level 2 und Level 3. Level 1, um das es hier gehen soll, basiert auf einer Selbsteinschätzung, Level 2 umfasst in der Regel ein remote durchgeführtes Audit und Level 3, ist ein on-site Audit.

Was ist TISAX®?

TISAX® ist ein von der ENX Association entwickelter Prüf- und Austauschmechanismus für die Informationssicherheit in der Automobilindustrie. TISAX® unterstützt Unternehmen dabei, ihre Informationssicherheit zu verbessern und ihre Compliance mit den Anforderungen der Automobilindustrie sicherzustellen.

Die Anforderungen für eine Zertifizierung nach TISAX® basieren auf dem VDA-ISA-Fragenkatalog. Der Katalog legt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) und die datenschutzrechtlichen Bedingungen für Zulieferer in der Automobilindustrie fest.

TISAX® ist seit 2000 eine eingetragene Marke der ENX. Seitdem hat sich der Standard in ganz Europa durchgesetzt. Die Zertifizierung ist zwar freiwillig, wird mittlerweile jedoch von den meisten Automobilherstellern als Bedingung für Geschäftsbeziehungen mit Zulieferern vorausgesetzt.

Assessment Level nach TISAX®

TISAX ist ein Informationssicherheits-Managementsystem (ISMS) für die Automobilindustrie. Aus dem jeweiligen Schutzbedarf ergeben sich dann die drei Assessment Levels (ALs).

Assessment Level 1 (AL 1)

Das Assessment Level 1 nach TISAX® bedeutet Schutzbedarf “normal” und kann vom Unternehmen selbst durchgeführt werden. AL 1 erfordert eine Selbsteinschätzung des Unternehmens auf Grundlage des VDA-ISA-Fragenkatalogs. Der Inhalt der Selbsteinschätzung wird anschließend nicht überprüft. Das bedeutet aber auch, dass dieses Level in der Praxis kaum relevant ist: Die Maßnahmen werden nicht objektiv geprüft, das Unternehmen ist allein verantwortlich für die Prüfergebnisse. Level 1 ist daher rein theoretischer Natur.

Wenn Sie als Unternehmen einen höheren Schutzbedarf für Ihre Daten und Informationen haben, sollten Sie mindestens Assessment Level 2 (AL 2), wenn nicht Assessment Level 3 (AL 3) anstreben. Bei diesem Level wird die Selbsteinschätzung durch einen akkreditierten TISAX®-Auditor geprüft und bestätigt.

Assessment Level 2 (AL 2)

Bei einem Assessment Level 2 wird die Selbsteinschätzung des Unternehmens durch einen akkreditierten TISAX®-Prüfer bestätigt. Die Prüfung basiert auf der Dokumentation des Unternehmens und wird in der Regel durch Telefon-Interviews und Plausibilitätstprüfungen remote ergänzt.

Assessment Level 3 (AL 3)

Assessment Level 3 ist das höchste Level und bedeutet Schutzbedarf “sehr hoch". Im Rahmen des Audits nach TISAX® werden Dokumente und Nachweise vor Ort geprüft, die örtlichen Gegebenheiten betrachtet und die Durchführung von Prozessen beobachtet. Ungeplante Interviews mit Prozessbeteiligten sind ebenfalls möglich.

Assessment Level 1 nach TISAX®

Das Assessment Level 1 spielt meist eher eine Rolle für interne Zwecke. Das AL1 ist eine gute Möglichkeit für Unternehmen, die ihre Informationssicherheit verbessern möchten, einen ersten Schritt zu machen und eine Selbsteinschätzung der Sicherheitslage vorzunehmen. Anschließend wird nur überprüft, ob eine Selbsteinschätzung vorliegt, nicht jedoch, was der Inhalt der Einschätzung ist.

Wichtige Fakten: Assessment Level 1 nach TISAX®

• Basiert auf einer Selbsteinschätzung des Unternehmens
  
  
• Keine inhaltliche Überprüfung durch einen Auditor
  
  
• Weniger Aufwand für die Prüfung
  
  
• Keine Relevanz auf dem Markt
  
  
• Gute Vorbereitung für die Zertifizierung nach TISAX® (AL 2, AL 3)

Im Gegensatz zu Assessment Level 2 und 3 nach TISAX® wird für das Assessment Level 1 nicht geprüft, ob wirklich stimmt, was angegeben wird. Eine Selbsteinschätzung für AL 1 ist eine gute Möglichkeit, sich bei Bedarf selbst auf die Probe zu stellen. Ohne jedoch, dass die eigenen Angaben verifiziert werden. Bestätigt man sich als Unternehmen selbst Assessment Level 1 nach TISAX®, sollte das Unternehmen über ein nach TISAX® verifiziertes Informationssicherheits-Managementsystem verfügen. Unternehmen sollten dann alle relevanten Prozesse und Maßnahmen implementiert haben, um die Sicherheit ihrer sensiblen Daten zu gewährleisten.

Voraussetzungen für Assessment Level 1 nach TISAX®

Um an einem TISAX® Assessment Level 1 teilzunehmen, müssen Unternehmen die folgenden Voraussetzungen erfüllen:

• Grundsätzlich kann sich jedes Unternehmen für das Assessment nach TISAX® registrieren. Aber gerade für Unternehmen in der Automobilindustrie und Zulieferer für Automobilhersteller ist ein Label sinnvoll. Unternehmen aus dieser Branche verarbeiten sensible Daten von Automobilherstellern. Deswegen fordern OEMs häufig von ihren Zulieferern entsprechende Nachweise.
  
  
• Unternehmen müssen ein aktives Informationssicherheits-Managementsystem (ISMS) implementiert haben, das den Anforderungen der Automobilindustrie entspricht. Das ISMS kann auf der ISO 27001 basieren, muss aber vor allem die spezifischen Kriterien von TISAX® erfüllen.
  
  
• Selbstbewertung nach TISAX®: Das Unternehmen muss eine Selbstbewertung nach TISAX® durchführen. Die Ergebnisse sollten dokumentiert und für die Prüfung zu weiteren Assessment Levels bereitgehalten werden.

Ablauf des Assessment Level 1 nach TISAX® 

Da das Assessment Level 1 nur eine theoretische Bedeutung hat und die Maßnahmen nicht von einem Prüfer bestätigt werden, weicht auch der Ablauf von dem sonst relevanten Prozessablauf der Prüfung nach TISAX® ab.

1. Selbsteinschätzung auf Grundlage des VDA-ISA-Fragebogens
   
   
2. Es wird geprüft, ob eine Selbsteinschätzung vorgenommen wurde. Als Vorbereitung für weitere Assessments Level 2 und Assessments Level 3 nach TISAX® sollte außerdem Folgendes umgesetzt werden:
   
   
   • Erstellen eines Maßnahmenplans zur Verbesserung der Informationssicherheit
     
     
   • Umsetzen der Optimierungsmaßnahmen.

Vorteile einer Zertifizierung nach TISAX® 

Ein Assessment Level 1 ist die niedrigste Stufe der Assessment Levels nach TISAX®. Die Ergebnisse haben keine hohe Vertrauensstufe und werden in TISAX® daher nicht verwendet. Es ist aber möglich, dass ein Geschäftspartner trotzdem ein Assessment Level 1, das heißt eine Selbsteinschätzung des Unternehmens, einfordert.  

Außerdem: Ein Label nach TISAX® zu erhalten, bringt einem Unternehmen in der Automobilbranche viele Vorteile. Level 1 hilft in der Praxis zwar kaum weiter, aber von hier ist der Schritt zu AL 2 und AL 3 schon geringer.

Ein Überblick über die Vorteile:

• Optimierte Informationssicherheit:

  • Risiken werden minimiert und Datenschutzverletzungen vermieden

  • Ein hohes Maß an Informationssicherheit wird gewährleistet

  • Schutz vor Cyberangriffen wird erhöht

  • Sensible Daten werden sicher verarbeitet und genutzt

• Zugang zu neuen Märkten wird erleichtert:

  • Automobilhersteller behandeln Unternehmen mit Label nach TISAX® bevorzugt

  • Die Chancen auf Zusammenarbeit mit Automobilherstellern steigen

  • Neue Märkte werden erschlossen

• Vertrauen von Kunden und Partnern wird erhöht:

  • Unternehmen werden als zuverlässiger und vertrauenswürdiger Partner wahrgenommen

  • Kundenzufriedenheit wird gesteigert

Zertifizierung nach TISAX® mit DataGuard: Schnell und sicher zum Ziel 

Die Zertifizierung nach TISAX® ist ein komplexer Prozess, der Zeit und Ressourcen erfordert. Mit DataGuard haben Sie einen starken Partner an Ihrer Seite, der Sie auf dem Weg zur Zertifizierung begleitet.

DataGuard verfügt über das nötige Know-how und die Erfahrung, um Sie erfolgreich durch den Zertifizierungsprozess zu führen. Unser Beratungs- und Serviceportfolio umfasst alle Schritte der Zertifizierung, von der Ist-Analyse und der Erstellung eines Maßnahmenplans bis hin zur Begleitung des Audits.