TISAX und ISO 27001 parallel: was doppelt anfällt und was nicht

ISO/IEC 27001 ist eine internationale Norm für Informationssicherheits-Managementsysteme; das Ergebnis ist ein Zertifikat einer akkreditierten Zertifizierungsstelle, das Sie jedem zeigen können. TISAX ist ein branchenspezifisches Assessmentverfahren; das Ergebnis ist ein Label im ENX-Portal, das Sie gezielt freigeben. Inhaltlich überschneiden sich beide stark, weil der VDA ISA je Anforderung auf ISO/IEC 27001:2022 verweist. TISAX geht mit den Katalogen Prototypenschutz und Datenschutz darüber hinaus. Unterschiedlich ist außerdem die Prüflogik: Reifegrade mit Zielwert 3 statt Konformitätsbewertung. Auch der Geltungsbereich unterscheidet sich: Bei TISAX ist der Prüfumfang vorgegeben und muss innerhalb Ihres ISMS liegen.

Der Begriff ist verbreitet, fachlich aber unzutreffend. TISAX ist kein Zertifizierungssystem, und es gibt kein TISAX-Zertifikat. Das Ergebnis sind TISAX-Labels, die ausschließlich im ENX-Portal geführt und dort mit Partnern geteilt werden. Wer eine TISAX-Zertifizierung verlangt, meint ein Label für ein bestimmtes Prüfziel.

Nein. Ein TISAX-Label entsteht nur durch ein Assessment eines von der ENX zugelassenen Prüfdienstleisters. Ein bestehendes ISO-27001-Managementsystem ist aber eine belastbare Ausgangslage, weil ein großer Teil der ISA-Anforderungen auf dieselben Maßnahmen zielt. Voraussetzung ist, dass der ISMS-Geltungsbereich den TISAX-Prüfumfang umfasst.

Drei. AL 1 ist eine reine Selbsteinschätzung, deren Ergebnisse in TISAX nicht verwendet werden. Bei AL 2 prüft der Prüfdienstleister die Selbsteinschätzung auf Plausibilität, gestützt auf Nachweise und ein Interview; als Variante gibt es eine vollständige Fernprüfung. AL 3 ist eine umfassende Prüfung vor Ort mit Dokumentenprüfung, geplanten und ungeplanten Interviews und eigener Beobachtung. Welches Level gilt, ergibt sich aus dem Prüfziel, das Ihr Partner verlangt.

In drei Schritten: Registrierung als Teilnehmer und Registrierung des Prüfumfangs im ENX-Portal, Assessment durch einen zugelassenen Prüfdienstleister, Freigabe des Ergebnisses an Ihre Partner. Davor steht eine Selbsteinschätzung anhand des VDA ISA. Fallen Abweichungen an, erstellen Sie einen Korrekturplan; bei minor non-conform erhalten Sie temporäre Labels. Kein Korrekturplan darf länger als neun Monate laufen, und das Folgeassessment muss innerhalb von neun Monaten nach Abschluss des Erstassessments stattfinden.

Die ENX Association betreibt TISAX im Auftrag des VDA. Das Portal führt Teilnehmer- und Standortdaten, Prüfumfänge, Assessmentstatus, Labels und die Freigaben an Partner. Ihre Labels sind nur dort einsehbar und nicht im Assessmentbericht vermerkt. Damit ist die Portalpflege eine dauerhafte Aufgabe, die es auf der ISO-Seite so nicht gibt.

Der Prüfkatalog heißt VDA ISA und besteht aus den Katalogen Informationssicherheit, Prototypenschutz und Datenschutz. Für laufende Assessments gilt ISA 6, veröffentlicht am 16. Oktober 2023 und verbindlich für Assessments ab dem 1. April 2024. Am 1. Juli 2026 wurde ISA2027 veröffentlicht; er gilt für Assessments, die 2027 beauftragt werden. Künftig erscheint jedes Jahr im Sommer eine neue Fassung, die zum 1. Januar des Folgejahres greift.

Drei Jahre, gerechnet ab dem Ende des Assessmentprozesses. TISAX kennt keine jährlichen Überwachungsaudits; um das Label zu behalten, durchlaufen Sie den Prozess vollständig neu. Ändert sich etwas Wesentliches am Prüfumfang, etwa durch Umzug oder neue Standorte, kann die Gültigkeit kürzer ausfallen. Bei ISO 27001 läuft dagegen ein dreijähriger Zyklus mit jährlichen Überwachungsaudits und Rezertifizierung im dritten Jahr.

Für die erstmalige Einführung kann externe Unterstützung sinnvoll sein. Beachten Sie eine Regel des Verfahrens: Ein Prüfdienstleister, der Sie berät, darf bei Ihnen anschließend kein Assessment durchführen. Die wichtigere Frage stellt sich danach. Beratung endet mit dem Label. Der Betrieb läuft weiter: Nachweise, Maßnahmen, Kontrollen, Portalpflege, zwei Terminreihen.

Der wesentliche Aufwand liegt im Betrieb, nicht in der Einführung: wiederkehrende Kontrollen, Lieferantenbewertungen, Schulungsnachweise, Notfallübungen, Dokumentenpflege, Pflege der Portal- und Zertifikatsdaten und die Vorbereitung zweier Prüfungen mit unterschiedlichen Terminen. Wie hoch er ausfällt, hängt vor allem davon ab, ob dieselben Nachweise einmal oder zweimal erhoben werden.