Das Audit nach TISAX®

Audit nach TISAX®: Was ist das und wie funktioniert es?  Was ist ein Audit nach TISAX® und wie funktioniert es?

In der Automobilindustrie ist die Informationssicherheit ein wichtiger Faktor für die Zusammenarbeit zwischen Unternehmen. Um die Informationssicherheit bei Geschäftspartnern zu bewerten, hat der Verband der Automobilindustrie (VDA) den TISAX®-Standard entwickelt. TISAX® steht für "Trusted Information Security Assessment Exchange" und ist ein Prüf- und Austauschmechanismus für die Informationssicherheit von Unternehmen in der Automobilbranche.

Das Audit nach TISAX® ist das Verfahren bzw. die Prüfung zur Bewertung der Informationssicherheits-, Prototypenschutz- und Datenschutzanforderungen von Unternehmen, die mit der Automobilindustrie zusammenarbeiten. Das Audit wird von einem akkreditierten Auditor nach TISAX® durchgeführt und basiert auf dem VDA-ISA-Fragenkatalog.

Was ist der Zweck eines Audits nach TISAX®?

Der Zweck eines Audits nach TISAX® ist es, die Informationssicherheit eines Unternehmens zu bewerten und zu zertifizieren. Das Audit wird von einem unabhängigen Prüfdienstleister durchgeführt und basiert auf dem VDA-ISA-Standard. Der Standard definiert Anforderungen an die Informationssicherheit der Organisation, die Prozesse, die technischen Maßnahmen und die Mitarbeiter eines Unternehmens.

Was ist ein Audit nach TISAX® und worin besteht der Unterschied zum Assessment?

Das Audit nach TISAX® ist der Prüfprozess zur Erlangung eines Labels nach TISAX®. Oft wird der Begriff auch mit Assessment nach TISAX® durcheinandergebracht, wobei beide im Grunde dasselbe bedeuten. Das begriffliche Durcheinander ist vermutlich auf Übersetzungsunschärfen zurückzuführen. Maßgeblich für den TISAX® Prozess ist nämlich das Teilnehmerhandbuch für TISAX®. Dieses wurde ursprünglich auf Englisch verfasst.

In der englischsprachigen Version wird der Prüfprozess konsequent als Assessment bezeichnet, die Prüfenden als Auditor. In der deutschen Version des Handbuchs wird das Assessment dagegen meist mit Prüfung übersetzt, es gibt begrifflich allerdings weiterhin drei Assessment level (AL 1, AL 2, AL 3), keine Prüf-Level. Die Prüfenden heißen mal Prüfer, mal Auditor. In der Praxis werden beide Begriffe gleichrangig nebeneinander genutzt: Audit nach TISAX® und Assessment nach TISAX®. Inhaltlich gibt es aber keine Unterschiede.

Was sind Assessment Level nach TISAX®? 

Insgesamt gibt es drei Assessment Level (AL). Die Assessment Level beschreiben die Tätigkeit des Auditors im Rahmen der Prüfung und den Umfang des Audits. Daran geknüpft ist die Intensität des Audits.

Bei AL 1 wird der Auditor nicht aktiv. Das Unternehmen gibt lediglich eine Selbsteinschätzung zur Wirksamkeit des eigenen Informationssicherheits-Managementsystems (ISMS) ab. Diese wird nicht weiter hinterfragt und überprüft. Das Assessment nach Level 1 nach TISAX® spielt damit faktisch keine Rolle. Es existiert formell, ist aber mit keinem Prüflabel verbunden.

Bei AL 2 muss das zu überprüfende Unternehmen den VDA ISA Fragebogen ausfüllen und diesen zusammen mit einer kompletten ISMS-Dokumentation an den ausgewählten Auditor schicken. Dieser wird die Unterlagen auf Plausibilität prüfen und mithilfe der übermittelten Informationen ein Auditgespräch vorbereiten. Dieses wird remote geführt.

Der maßgebliche Unterschied zwischen AL 3 und AL 2 ist das Auditverfahren. Es läuft bei AL 3 nicht remote ab, sondern live. Der Auditor wird sich vor Ort im Unternehmen persönlich davon überzeugen, dass die im ISMS definierten Richtlinien und Maßnahmen auch tatsächlich und in wirksamer Art und Weise umgesetzt sind.

Welche Unternehmen sind von einem Audit nach TISAX® betroffen?

Der Standard nach TISAX® ist Grundlage für die Zusammenarbeit in der Industrie und die Voraussetzung für Geschäftsbeziehungen zwischen Zulieferern und Herstellern. Das heißt: Alle Unternehmen, die mit Automobilherstellern in der Europäischen Union zusammenarbeiten, sind von einem Audit nach TISAX® betroffen. Dies gilt sowohl für Lieferanten als auch für Dienstleister.

Aber: Die Anforderungen an die Zusammenarbeit unterscheiden sich. Sowohl die Intensität des Audits als auch die Prüfziele selbst können unterschiedlich ausfallen.

Welche Art von Audit (Assessment Level) umgesetzt werden soll, hängt von den Forderungen der Geschäftspartner ab. Denn die Automobilhersteller können von ihren Partnern verlangen, dass und welches Audit sie durchführen. Unternehmen richten sich also in den meisten Fällen nach den Anforderungen der Geschäftspartner.  

Wie läuft ein Audit nach TISAX® ab? 

Das Ziel eines Audits nach TISAX® ist die Listung des Unternehmens auf der TISAX®-Plattform. Wenn Unternehmen mit einem Label nach TISAX® in der Liste erscheinen möchten, ist der erste Schritt die Registrierung bei der ENX Association. Für die Registrierung werden die angestrebten Prüfziele abgefragt.

Nach der Registrierung beauftragen Unternehmen einen akkreditierten Prüfdienstleister (Auditor), der dafür verantwortlich ist, das Audit durchzuführen und die Informationssicherheit im Unternehmen bewertet.

Das Assessment besteht zum einen aus einer grundlegenden Bewertung der Informationssicherheit. Zusätzlich können weitere Module wie Prototypenschutz und Datenschutz geprüft werden.

Dafür müssen dem Auditor von Seiten des Unternehmens der ausgefüllte VDA-ISA-Fragenkatalog und eine Dokumentation des etablierten Informationssicherheits-Managementsystems (ISMS) zur Verfügung gestellt werden. Nach Überprüfung dieser Unterlagen sowie entsprechender Nachweise und einem remote oder vor Ort durchgeführten Audit erteilt der Auditor am Ende das bzw. die gewünschten Label nach TISAX®.

Ein Audit nach TISAX® besteht aus vier Phasen:

1. Anmeldung: Das Unternehmen, das sich einem Audit nach TISAX® unterziehen möchte, muss sich bei der ENX Association registrieren. Danach bestimmt es einen akkreditierten Prüfdienstleister.

2. Vorbereitung: Das Unternehmen bereitet sich auf das Audit vor, indem es eine Selbstbewertung durchführt und die erforderlichen Dokumente zusammenstellt.

3. Audit: Der Prüfdienstleister führt das Audit durch und bewertet die Informationssicherheit des Unternehmens. Je nach Assessment Level findet das Audit remote als Plausibilitätsprüfung (AL 2) oder vor Ort als Verifizierung der Ergebnisse (AL 3) statt.

4. Ergebnis: Der Prüfdienstleister erstellt einen Auditbericht, der das Ergebnis des Audits zusammenfasst. Das entsprechende Label wird in der Datenbank der TISAX®-Plattform vermerkt.

BMW, Audi oder Volkswagen: Das Label ist unter allen VDA-Mitgliedern und wichtigen Herstellern anerkannt und meistens gefordert. Der Bericht über das Label kann von den jeweiligen Unternehmen an entsprechende Kunden, die den Status nach TISAX® abfragen, weitergegeben werden.

Wer führt ein Audit nach TISAX® durch und welche Parteien sind involviert?

Prüfungen nach TISAX® dürfen nur von Prüfdienstleistern durchgeführt werden, die über eine entsprechende TISAX® Zulassung verfügen. Diese wird exklusiv von der ENX Association erteilt, dem Zusammenschluss der europäischen Automobilindustrie. Am eigentlichen Prüfprozess für AL 2 und AL 3 sind lediglich das zu prüfende Unternehmen auf der einen und der Prüfdienstleister auf der anderen Seite beteiligt. Die Prüfergebnisse werden im Mitgliederbereich des ENX-Portals veröffentlicht.

Wie lange dauert ein Audit nach TISAX®?

Die Vorbereitung kann Wochen, Monate oder sogar Jahre dauern, das Audit nach TISAX® selbst nimmt allenfalls einige Tage in Anspruch – je nach angestrebtem Label nach TISAX® und der eigenen Organisationsstruktur.

Ein Unternehmen mit vielen internationalen Standorten und Prüfzielen, die eine Vor-Ort-Überprüfung gemäß Assessment Level 3 erfordern, muss mehr Zeit einplanen als ein Automobilzulieferer mit nur einem Standort und einer Überprüfung gemäß AL 2. Auch, wenn es Prüfdienstleister gibt, die über internationale Auditorenteams verfügen und arbeitsteilig vorgehen können.