Computer-Security durch die Cloud

TISAX – Branchenspezifisches Assessment-Label für die Automobil-Lieferkette

Der Verband der Automobilindustrie (VDA) führte TISAX 2017 ein, um Informationssicherheit in der gesamten Lieferkette einheitlich zu bewerten. Der Standard baut auf dem VDA-ISA-Katalog auf, der die Kontrollen aus ISO 27001 Annex A um automobiltypische Anforderungen erweitert: Prototypenschutz, physische Sicherheit an Standorten, Einbindung von Entwicklungspartnern in die eigene IT-Landschaft sowie strengere Datenschutzvorgaben.

Das Ergebnis ist kein öffentliches Zertifikat, sondern ein Label, das ausschließlich über das ENX-Portal mit autorisierten Geschäftspartnern geteilt wird. Statt eines einfachen Bestanden/Nicht-bestanden nutzt TISAX ein Reifegradmodell mit den Assessment-Leveln AL1 bis AL3. AL1 bestätigt die Plausibilität der Selbstauskunft, AL2 prüft die Umsetzung vor Ort, AL3 bewertet zusätzlich die Wirksamkeit der Schutzmaßnahmen. Weltweit wurden bereits über 21.000 Standorte nach TISAX bewertet – ein Indikator für die breite Akzeptanz in der Branche.

Für Zulieferer europäischer OEMs ist das Label de facto Zugangsvoraussetzung zu Ausschreibungen. ISO 27001 wird dort regelmäßig nicht als Ersatz akzeptiert, da branchenspezifische Risiken wie der Schutz vor Serienanlaufdaten-Leaks oder die Absicherung von OTA-Update-Prozessen im generischen Standard nicht abgebildet sind. Ein kombiniertes ISMS deckt beide Welten ab, weil TISAX inhaltlich auf der ISO-Struktur aufsetzt und lediglich automobile Zusatzanforderungen hinzufügt.

ISO 27001 – Internationaler Standard für branchenübergreifendes ISMS

ISO 27001 definiert den global anerkannten Rahmen für ein Informationssicherheits-Managementsystem (ISMS) und gilt branchenneutral. Der Standard fordert einen systematischen Risikomanagement-Prozess, die Festlegung von Schutzbedarfsklassen sowie die Auswahl geeigneter Maßnahmen aus Anhang A. Der PDCA-Zyklus (Plan-Do-Check-Act) sichert die kontinuierliche Verbesserung. Akkreditierte Zertifizierer prüfen die Konformität in einem mehrstufigen Audit; bei Erfolg erhalten Organisationen ein drei Jahre gültiges Zertifikat, das durch jährliche Überwachungsaudits aufrechterhalten wird. Im Gegensatz zu TISAX kennt die Norm nur den binären Status „konform“ oder „nicht konform“ – Reifegradstufen gibt es nicht.

Für Unternehmen mit internationalen Märkten oder Kunden außerhalb der Automobil-Lieferkette ist das Zertifikat häufig Türöffner und Vertragsvoraussetzung. Inhaltlich bildet ISO 27001 das Fundament für TISAX: Der VDA-ISA-Katalog entspricht weitgehend Anhang A, ergänzt um automotive Zusätze wie Prototypenschutz. Eine ISO-27001-Zertifizierung ist zwar keine formale Voraussetzung für ein TISAX-Assessment, deckt aber bereits große Teile der Controls ab. Wer beide Nachweise benötigt, fährt mit einem integrierten ISMS und einer kombinierten Gap-Analyse meist effizienter als mit getrennten Strukturen.

Direktvergleich: TISAX vs. ISO 27001

Die folgende Tabelle stellt die sechs entscheidenden Kriterien gegenüber. Sie zeigt auf einen Blick, warum Automobilzulieferer oft beide Standards benötigen – und wo sich Aufwände bündeln lassen.

Kriterium	TISAX	ISO 27001
Geltungsbereich	Branchenspezifisch für die Automobil-Lieferkette (VDA-ISA-Katalog)	Universal, branchenübergreifend anwendbar
Nachweistyp	Assessment-Label (kein öffentliches Zertifikat), teilbar nur über ENX-Portal	Öffentliches Zertifikat, drei Jahre gültig mit jährlichen Überwachungsaudits
Reifegradmodell	Assessment-Level AL1–AL3 (ehemals Level 1–3), gestufte Reifegradbewertung	Binär: konform / nicht konform (Pass/Fail)
Automotive-Zusatzanforderungen	Prototypenschutz, Entwicklungsdatenschutz, physische Sicherheit, Partner-Einbindung, strengere Datenschutz-Regeln	Nicht enthalten; Annex A deckt generische Controls ab
Gültigkeit & Teilen	Label wird im ENX-Portal verwaltet, gezielte Freigabe an OEMs/Partner	Zertifikat öffentlich einsehbar, frei teilbar
Audit-Kosten & Aufwand	Nach Anbieterangaben ca. 62 % günstiger als ISO-27001-Audit; kürzere Auditdauer bei AL2/AL3	Höherer Aufwand durch vollständiges ISMS-Audit, Stage-1/Stage-2, jährliche Surveillance

Die Übersicht macht deutlich: TISAX ist das Marktzugangsticket für europäische OEMs, während ISO 27001 als international anerkannter Vertrauensnachweis nach außen wirkt. Beide Schemata arbeiten formal unabhängig – eine ISO-Zertifizierung ersetzt TISAX nicht und umgekehrt. Synergien entstehen durch das gemeinsame ISMS-Fundament: Der VDA-ISA-Katalog orientiert sich stark an ISO 27001 Annex A, ergänzt um automotive-spezifische Controls. Wer ein ISO-27001-ISMS betreibt, deckt große Teile der TISAX-Basisanforderungen bereits ab. Eine kombinierte Gap-Analyse reduziert Doppelarbeit und beschleunigt beide Assessments.

Wann TISAX die bessere Wahl ist

TISAX wird für Zulieferer europäischer OEMs zur de-facto Eintrittskarte. Volkswagen, BMW, Mercedes-Benz und Stellantis verlangen das Label zunehmend bereits bei der Angebotsabgabe – wer es nicht vorweisen kann, scheidet früh aus Vergabeprozessen aus. Das bestätigt auch eine Analyse des German Compliance Institute, das TISAX als „Ticket to Play“ für die Lieferkette bezeichnet.

Darüber hinaus deckt der VDA-ISA-Katalog automotive-spezifische Schutzbedarfe ab, die ISO 27001 nicht adressiert: Prototypenschutz bei Erprobungsfahrzeugen, Entwicklungsdatenschutz für Konstruktionsdaten, physische Sicherheit an Produktionsstandorten sowie die Einbindung von Dienstleistern in die eigene IT-Landschaft nach VDA-Vorgaben. Ein Vergleich von Cyeqt zeigt, dass genau diese Zusatzanforderungen den Ausschlag geben, wenn Projekte mit Vorserienfahrzeugen oder sensiblen Entwicklungsdaten anstehen.

Wer also in die Serienfertigung großer europäischer Hersteller liefern will oder Entwicklungsdaten verarbeitet, kommt an TISAX nicht vorbei. ISO 27001 allein genügt dort nicht als Nachweis.

Wann ISO 27001 die bessere Wahl ist

ISO 27001 eignet sich, wenn Ihre Kunden branchenübergreifend oder international agieren und ein öffentliches Zertifikat erwarten. Der Standard liefert ein dreijährig gültiges Zertifikat mit jährlichen Überwachungsaudits, das weltweit anerkannt wird – im Gegensatz zum TISAX-Label, das nur über das ENX-Portal mit ausgewählten Partnern geteilt wird. Ein unternehmensweites ISMS nach ISO 27001 deckt alle Geschäftsbereiche ab, nicht nur automobile Projekte.

Typische Szenarien: Nicht-automotive Geschäftsfelder, globale Ausschreibungen mit ISO-27001-Vorgabe, Nachweis gegenüber Finanzinstituten oder Behörden. Wer beide Welten bedient, nutzt oft ein integriertes ISMS als Fundament und baut TISAX-Module darauf auf. Laut DataGuard bestehen keine formalen Abhängigkeiten zwischen den Schemata; Synergien entstehen durch gemeinsame Controls. Weltweit wurden bereits über 21.000 Standorte nach TISAX bewertet – ISO 27001 bleibt jedoch der universelle Nachweis für Informationssicherheit über Branchengrenzen hinweg.

Hintergrund: Entstehung und Governance beider Standards

TISAX ging 2017 aus einer Initiative des VDA hervor, um die Flut herstellereigener Fragebögen in der Automobil-Lieferkette abzulösen. Die Governance liegt seither bei der ENX Association, die den Assessment-Pool betreibt und Labels über ihr Portal verwaltet. ISO 27001 wird vom technischen Komitee ISO/IEC JTC 1/SC 27 gepflegt und erhielt 2022 sein letztes Major-Update. Beide Rahmenwerke teilen das PDCA-Prinzip und einen risikobasierten Ansatz, unterscheiden sich jedoch grundlegend in Trägerschaft, Audit-Mechanik und Verbindlichkeit: TISAX liefert ein nicht-öffentliches Label für ausgewählte Partner, ISO 27001 ein international anerkanntes Zertifikat mit jährlichen Überwachungsaudits. Wer die historische Genese kennt, kann Audit-Erwartungen realistischer einschätzen – etwa warum OEMs TISAX oft schon bei Angebotsabgabe fordern, während ISO 27001 branchenübergreifend als Vertrauensanker dient.

Synergien nutzen: Integriertes ISMS für beide Anforderungen

Der VDA-ISA-Katalog baut inhaltlich auf ISO 27001 Annex A auf. Ein unternehmensweites ISO-27001-ISMS deckt daher bereits große Teile der TISAX-Basisanforderungen ab. Wer beide Schemata parallel betreibt, verschwendet Ressourcen. Eine kombinierte Gap-Analyse legt offen, wo Delta-Themen liegen: Prototypenschutz, physische Sicherheit an Standorten und Partner-Management im eigenen IT-Bereich.

Statt zwei getrennte Audit-Strukturen zu pflegen, lässt sich der Aufwand signifikant senken. Ein gemeinsames Risikomanagement, einheitliche Richtlinien und ein zentraler Kontrollkatalog bedienen beide Standards. Die Überwachungsaudits von ISO 27001 liefern Nachweise, die TISAX-Prüfer anerkennen – sofern der Geltungsbereich identisch ist. Entscheidend ist ein sauberer Mapping-Nachweis, der jedes VDA-ISA-Control auf die entsprechende ISO-Maßnahme verweist.

Praktisch bedeutet das: Ein Assessment-Level-2- oder AL3-Audit prüft automotive-spezifische Zusätze auf dem ISO-Fundament. Unternehmen, die ISO 27001 bereits leben, benötigen für TISAX oft nur ergänzende Kontrollen. Der Ansatz „einmal richtig“ ersetzt „doppelt hält besser“. Eine detaillierte Gegenüberstellung der Kontrollbereiche zeigt die Überschneidungen konkret auf. Ergänzend beschreibt ein praxisnaher Leitfaden, wie ein integrierter Implementierungsfahrplan aussieht.

Wichtig: Der Geltungsbereich muss beide Schemata abdecken. Wer ISO 27001 nur für die Zentrale zertifiziert, aber TISAX für Produktionsstandorte braucht, schafft neue Lücken. Ein einheitlicher Scope vermeidet Doppelarbeit und erleichtert die Beweisführung gegenüber OEMs. Für mittelständische Zulieferer empfiehlt sich oft der Stufenplan über den BSI IT-Grundschutz zur ISO 27001 und schließlich zum TISAX-Label – dieser Pfad senkt den Aufwand spürbar, weil sich Kontrollen und Dokumentationen wiederverwenden lassen.

Kosten, Audit-Aufwand und Gültigkeitsdauer im Überblick

TISAX-Assessments gelten häufig als budgetschonender. Ein Anbieter-Blog beziffert den Kostenunterschied auf rund 62 Prozent geringere Audit-Kosten gegenüber ISO 27001 – eine Markteinschätzung eines Dienstleisters, keine unabhängige Studie. Die Gültigkeit unterscheidet sich: ISO-27001-Zertifikate laufen drei Jahre mit jährlichen Überwachungsaudits. TISAX-Labels erreichen je nach Assessment-Level ebenfalls bis zu drei Jahre. Der eigentliche Kostentreiber bleibt für beide Standards der interne Aufbau eines ISMS samt Dokumentation; dieser Aufwand dominiert das Budget weit stärker als die externen Audit-Tage. Kürzere Auditdauern bei AL2 und AL3 sowie der Wegfall öffentlicher Zertifikatsverwaltung reduzieren den externen Aufwand bei TISAX zusätzlich.

Aktuelle Trends 2026: Konvergenz und neue Assessment-Level

Der Markt bewegt sich auf integrierte Managementsysteme zu. Statt paralleler Strukturen bauen Zulieferer ein ISMS auf, das beide Standards abdeckt. Der bewährte Stufenplan führt über den BSI IT-Grundschutz zur ISO 27001 und schließlich zum TISAX-Label. Dieser Pfad senkt den Aufwand für mittelständische Betriebe spürbar, weil sich Kontrollen und Dokumentationen wiederverwenden lassen.

Der VDA-ISA-Katalog wird granularer. Die bisherigen Level 1 bis 3 weichen den Assessment-Leveln AL1 bis AL3. Schwerpunkte rücken auf Prototypenschutz, physische Sicherheit und die Absicherung von Software-defined Vehicles sowie OTA-Updates. Lieferketten-Anforderungen ziehen ebenfalls an. Details dazu liefert der aktuelle Vergleich der Governance-Dokumente.

International gewinnen die Labels an Reichweite. US-amerikanische und chinesische OEMs übernehmen TISAX zunehmend als Vergabevoraussetzung. Das ENX-Portal wächst über den europäischen Raum hinaus und wird zur globalen Austauschplattform für Assessment-Ergebnisse. Für Zulieferer bedeutet das: Ein einmal erarbeitetes Label öffnet Türen in neuen Märkten.

Für Unternehmen heißt das: Roadmaps frühzeitig auf Konvergenz ausrichten. Wer ISO 27001 als Fundament nutzt und die automotive-spezifischen Zusätze modular ergänzt, vermeidet Doppelarbeit und erfüllt OEM-Forderungen schneller. Das Label wird zum „Ticket to Play“ – oft schon bei der Angebotsabgabe, nicht erst zum Serienanlauf. Wer jetzt in ein gemeinsames ISMS investiert, spart spätere Nachrüstkosten.