TISAX® oder ISO 27001: Was braucht ein Zulieferer?

Dein Kunde will einen Nachweis zur Informationssicherheit, und du weißt nicht, ob er TISAX® oder ISO 27001 meint? Die kurze Antwort: Kommt er aus der Automobilindustrie und verlangt ein TISAX®-Label, brauchst du ein TISAX®-Assessment. Verlangt er ein Zertifikat nach ISO 27001, brauchst du die Zertifizierung. Und weil beide auf einem Managementsystem für Informationssicherheit aufbauen, lassen sie sich gut verbinden.

Was unterscheidet TISAX® und ISO 27001?

ISO 27001 ist eine internationale Norm: Eine Zertifizierungsstelle prüft dein Managementsystem und stellt ein Zertifikat aus. TISAX® ist das Prüfverfahren der Automobilindustrie: Ein Prüfdienstleister prüft nach dem Katalog VDA ISA, am Ende stehen Labels, die du gezielt mit deinen Kunden teilst.

Herkunft: ISO/IEC 27001 geben die Normungsorganisationen ISO und IEC gemeinsam heraus, sie gilt weltweit und für jede Branche. Den Katalog VDA ISA veröffentlicht der Verband der Automobilindustrie (VDA). Gepflegt wird er von der ENX Association, die auch das TISAX®-Verfahren betreibt.

Was geprüft wird: ISO/IEC 27001 legt fest, was dein Managementsystem leisten muss. Die passenden Maßnahmen beschreibt der Leitfaden ISO/IEC 27002 ausführlich. Der Katalog VDA ISA fragt die Anforderungen ab, auf die sich die Automobilindustrie geeinigt hat – dazu gehören eigene Prüfziele wie Prototypenschutz und Datenschutz.

Wie weit die Prüfung reicht: Bei ISO 27001 legst du den Geltungsbereich deines Managementsystems selbst fest, und genau der wird geprüft. Bei TISAX® ist der Umfang vorgegeben: Geprüft werden die Standorte und Prüfziele, die dein Kunde braucht. Dieser Umfang darf kleiner sein als dein Managementsystem, muss aber darin liegen. So steht es im Teilnehmerhandbuch der ENX.

Quellen: ENX Association, TISAX® Participant Handbook 2.8 und enx.com; ISO (iso.org); Prüfzyklus der Zertifizierung nach ISO/IEC 17021-1 – in eigenen Worten zusammengefasst. Welches Level zu welchem Prüfziel gehört, steht im Artikel AL2 und AL3 erklärt.

Wer verlangt TISAX®, wer ISO 27001?

TISAX® verlangen Unternehmen der Automobilindustrie von ihren Lieferanten und Dienstleistern. Ein ISO-27001-Zertifikat können Kunden aus jeder Branche verlangen, ebenso Ausschreibungen. Entscheidend ist, was in deinem Vertrag oder deiner Anfrage steht.

Laut ENX beginnt TISAX® meist damit, dass ein Partner von dir einen Nachweis über ein bestimmtes Schutzniveau verlangt. Genutzt wird der Katalog VDA ISA für die Prüfung von Lieferanten und Dienstleistern in der automobilen Lieferkette. Mehr als 21.000 Standorte wurden laut ENX bisher nach TISAX® geprüft.

ISO 27001 ist dagegen nicht an eine Branche gebunden. Laut ISO-Umfrage 2022 gab es weltweit über 70.000 Zertifikate in 150 Ländern, von der Landwirtschaft bis zu sozialen Diensten.

Steht in deiner Anfrage nur „Informationssicherheit nachweisen“, frag nach: Akzeptiert dein Kunde ein Label, ein Zertifikat oder beides? Und bei TISAX®: Welche Prüfziele und welche Standorte braucht er?

Was haben TISAX® und ISO 27001 gemeinsam?

Den Kern: Beide setzen ein Managementsystem für Informationssicherheit voraus, also Regeln, Zuständigkeiten, eine Bewertung deiner Risiken und regelmäßige Kontrolle. Was du für das eine aufbaust, nutzt du für das andere.

Auch für TISAX® legst du dein Managementsystem fest, das sagt das ENX-Handbuch ausdrücklich. Und der Katalog VDA ISA enthält Zuordnungen zu ISO/IEC 27001:2022. Mit VDA ISA 2027 hat die ENX sie überarbeitet und die Verweise auf die alte Fassung von 2013 gestrichen. So siehst du, welche Anforderung des Katalogs zu welcher Stelle der Norm passt, und kannst Nachweise für beide Prüfungen nutzen.

Gleich sind die beiden aber nicht. Laut ENX war der Katalog ursprünglich stark an ISO ausgerichtet und ist heute ein eigenständiger Standard der Branche. ISO/IEC 27001 bleibt ein wichtiger Bezugspunkt, die Anforderungen werden aber nicht mehr daraus abgeleitet. Ein ISO-27001-System deckt deshalb nicht automatisch alles ab, was der Katalog fragt – Prüfziele wie Prototypenschutz kommen zum Beispiel dazu. Was sich mit dem neuen Katalog ändert, liest du im Artikel VDA ISA 2027.

TISAX®, ISO 27001 oder beides – welche Fragen helfen dir bei der Entscheidung?

Fünf Fragen, die du mit Ja oder Nein beantwortest. Schon die erste Antwort mit Ja zeigt dir meist den Weg.

1. Fordert dein Kunde aus der Automobilindustrie TISAX® – oder nennt er ein Prüfziel wie Prototypenschutz? Dann brauchst du ein TISAX®-Assessment. Ein ISO-27001-Zertifikat ersetzt es nicht. Wie die Begleitung bis zum Label aussieht: TISAX®-Beratung.
2. Verlangt ein Kunde oder eine Ausschreibung ausdrücklich ein ISO-27001-Zertifikat? Dann brauchst du die Zertifizierung. Ein TISAX®-Label ist kein Zertifikat und ersetzt es nicht. Wie du vorbereitet ins Audit gehst: ISO-27001-Beratung.
3. Steht beides im Raum, weil du für Automobilkunden und für andere Branchen arbeitest? Dann lohnt ein Managementsystem für beide Anforderungen – wie das geht, steht im nächsten Abschnitt.
4. Hast du schon ein ISO-27001-Zertifikat, und jetzt kommt TISAX® dazu? Dann ist dein Managementsystem die Grundlage. Du schließt die Lücken zum Katalog VDA ISA und achtest darauf, dass der Umfang des Assessments in deinem Geltungsbereich liegt.
5. Fordert noch niemand etwas, aber du willst vorbereitet sein? Dann frag deine wichtigsten Kunden, welchen Nachweis sie künftig erwarten. Bis dahin ist ein Managementsystem nach ISO 27001 ein guter Startpunkt, weil beide Wege darauf aufbauen.

Wie bekommst du beides, ohne doppelte Arbeit?

Mit einem Managementsystem für beide Anforderungen: Du baust es einmal auf und lässt es zweimal prüfen – von einer Zertifizierungsstelle für ISO 27001 und von einem Prüfdienstleister für das TISAX®-Label.

• Geltungsbereich passend wählen: Der Umfang des TISAX®-Assessments muss in deinem Managementsystem liegen. Leg den Geltungsbereich deshalb so fest, dass die Standorte für deinen Automobilkunden dazugehören.
• Nachweise einmal erstellen: Richtlinien, Risikobewertung und Schulungen dienen beiden Prüfungen. Die Zuordnungen im Katalog VDA ISA zeigen dir, wo das passt.
• Was nur TISAX® will, gezielt ergänzen: etwa Prototypenschutz oder die Anforderungen an deine Lieferkette.
• Termine im Blick behalten: Labels gelten bis zu drei Jahre, das Zertifikat läuft in der Regel ebenfalls in einem Dreijahresrhythmus mit jährlicher Überwachung. Plan beide Prüfungen so, dass sie sich nicht in die Quere kommen.

Eine Regel gilt für beide: Wer dich berät, prüft dich nicht. Bei TISAX® schließt das ENX-Handbuch Prüfdienstleister aus, die dich vorher beraten haben. Bei ISO 27001 entscheidet eine unabhängige Zertifizierungsstelle über dein Zertifikat.

Und NIS2? Ob dich NIS2 betrifft, ist eine eigene Frage. Was ISO 27001 und TISAX® dafür leisten – und was nicht –, liest du im NIS2-Ratgeber auf nis2-berater.de.

Aktueller Stand der Norm: Welche Fassung von ISO 27001 gilt?

Gültig ist ISO/IEC 27001:2022 mit der Ergänzung Amendment 1 von 2024. Die Umstellungsfrist für Zertifikate nach der alten Fassung von 2013 ist am 31. Oktober 2025 abgelaufen. Neu ist seit Juli 2026 ISO/IEC 27000:2026 – sie erklärt die Grundlagen, ändert an deinem Zertifikat aber nichts.

Quellen: ISO (iso.org, abgerufen am 13.10.2026), Gemeinsame Mitteilung von ISO und IAF vom 22.02.2024, Umstellungsanleitung der DAkkS vom 11.08.2023.

Die drei Normen wurden nacheinander neu herausgegeben: zuerst der Leitfaden ISO/IEC 27002 im Februar 2022, dann die Anforderungen in ISO/IEC 27001 im Oktober 2022, jetzt der Überblick in ISO/IEC 27000. Für dich heißt das: Wer heute ein Managementsystem aufbaut, arbeitet nach der Fassung von 2022 mit der Ergänzung zum Klimawandel. Auch der Katalog VDA ISA verweist seit VDA ISA 2027 nur noch auf ISO/IEC 27001:2022.

Geschrieben von

Martin Solarczek

Geschäftsführer der GEFIM · Zuständig für: Informationssicherheit und Handwerk

Profil und Beiträge von Martin Solarczek