TISAX (Trusted Information Security Assessment Exchange)
TISAX (Trusted Information Security Assessment Exchange) ist das Prüf- und Austauschverfahren der Automobilbranche für Informationssicherheit. Es prüft, wie ein Unternehmen mit vertraulichen Informationen umgeht: Konstruktionsdaten, Produktionsdaten, Prototypen, Kundendaten. Dahinter steht die ENX Association. Die ersten Teilnehmer haben sich 2016 registriert.
Wie läuft ein TISAX-Assessment ab?
Der Ablauf hat drei Schritte. Zuerst registriert sich das Unternehmen und legt den Prüfumfang fest, also Standorte, Prozesse und Schutzbedarf. Dann führt ein zugelassener Prüfdienstleister das Assessment durch. Es beginnt mit einer Selbstauskunft nach dem ISA-Katalog, danach folgt die externe Prüfung. Zuletzt teilt das Unternehmen das Ergebnis über das ENX-Portal mit seinen Partnern.
Wie gründlich geprüft wird, hängt vom Schutzbedarf ab. TISAX kennt drei Assessment Level. Level 1 ist eine reine Selbstauskunft. Level 2 prüft auf Plausibilität, Interviews laufen in der Regel per Videokonferenz. Level 3 prüft gründlich, auch vor Ort.
Das Ergebnis sind Labels für einzelne Prüfziele, zum Beispiel „Confidential“, „Strictly confidential“ oder „Proto parts“. Sie gelten drei Jahre.
Der Katalog VDA ISA
Grundlage jedes Assessments ist der Anforderungskatalog ISA (Information Security Assessment). Die ENX Working Group ISA pflegt ihn, der VDA veröffentlicht ihn als VDA ISA. Die ersten Versionen lehnten sich eng an ISO/IEC 27001 an. Heute versteht ENX den Katalog als eigenen Branchenstandard, der mit ISO/IEC 27001 abgeglichen bleibt.
Ab dem 1. Januar 2027 gilt für neu beauftragte Assessments ISA2027. Ab dieser Version erscheint jedes Jahr ein Katalog mit der Jahreszahl im Namen. ISA2027 verlangt bei hohem Schutzbedarf mehr Nachweise über die Sicherheit der eigenen Lieferanten. Überarbeitet sind auch die Verweise auf andere Standards, darunter ISO/IEC 27001:2022, NIST CSF 2.0 und IEC 62443.
TISAX ist keine Fahrzeug-Cybersecurity
TISAX und ISO/SAE 21434 drehen sich beide um Security und richten sich an Zulieferer. Sie prüfen aber verschiedene Dinge. TISAX bewertet das Informationssicherheits-Managementsystem eines Unternehmens. ISO/SAE 21434 und die UNECE R155 betreffen die Cybersecurity des Fahrzeugs und seiner Komponenten. Die zentrale Analyse dort ist die Threat Analysis and Risk Assessment (TARA).
Ein TISAX-Label sagt nichts darüber, ob ein Steuergerät gegen Angriffe geschützt ist. Und eine gute TARA sagt nichts darüber, wie sicher ein Werk mit Prototypen umgeht. Wer eine Anfrage bekommt, sollte deshalb zuerst klären, welche der beiden Fragen gemeint ist.
Wie die Regelwerke der Fahrzeug-Cybersecurity zusammenhängen, zeigt unsere Seite Cyber Security.