TISAX®-Zertifizierung: warum es ein Label ist und wie das Assessment abläuft

Dein Kunde verlangt ein TISAX®-Label – oft ist von einer „TISAX®-Zertifizierung“ die Rede, gemeint ist dasselbe. Du fragst dich, was da auf dich zukommt? Hier bekommst du den Überblick: was TISAX® wirklich ist, wie das Assessment abläuft, welches Level du brauchst und wo Projekte typischerweise ins Stocken geraten.

Ist TISAX® eine Zertifizierung?

Nein. Umgangssprachlich heißt es oft so, aber TISAX® ist ein Assessment, und am Ende steht ein Label, kein Zertifikat. Das steht so im Teilnehmerhandbuch der ENX Association.

Der Unterschied ist mehr als Wortklauberei. Ein Zertifikat, wie bei ISO 27001, ist ein Dokument, das du an die Wand hängen und jedem zeigen kannst. Ein TISAX®-Label liegt dagegen in der Plattform der ENX. Dort gibst du dein Ergebnis gezielt für die Unternehmen frei, die es sehen sollen. Öffentlich ist es nicht. Wie sich beides im Detail unterscheidet und wann du was brauchst, liest du im Vergleich TISAX® oder ISO 27001.

TISAX® steht für „Trusted Information Security Assessment Exchange“. Das letzte Wort ist der Kern: Statt dass jeder Autohersteller jeden Zulieferer selbst prüft, wird einmal geprüft und das Ergebnis vielen Kunden zugänglich gemacht. Die Fragen dafür kommen aus dem Katalog VDA ISA des Verbands der Automobilindustrie.

Wer braucht TISAX® – und wer verlangt es?

Du brauchst TISAX®, wenn dein Kunde aus der Automobilindustrie es verlangt. Das betrifft nicht nur Teilefertiger, sondern jeden, der mit vertraulichen Informationen, Prototypen oder personenbezogenen Daten eines Herstellers oder Zulieferers arbeitet.

Typische Beispiele aus der Praxis:

• Zulieferer, die Konstruktionsdaten oder Zeichnungen ihres Kunden bekommen,
• Entwicklungs- und Ingenieurdienstleister,
• Agenturen, Fotografen und Eventdienstleister, die Prototypen zu sehen bekommen,
• IT-Dienstleister und Rechenzentren, die Daten für Automobilkunden verarbeiten,
• Logistiker, die Prototypenteile transportieren oder lagern.

Wie verbreitet das ist, zeigt eine Zahl der ENX: In zehn Jahren TISAX® wurden über 21.000 Standorte geprüft. Für dich zählt aber nur eine Frage: Steht die Anforderung im Vertrag, in der Lieferantenfreigabe oder in einer E-Mail deines Kunden? Dann brauchst du das Label – meist mit einer Frist.

Wie läuft das TISAX®-Assessment ab?

In sechs Schritten: Anforderung klären, bei der ENX registrieren, Prüfdienstleister anfragen und beauftragen, vorbereiten und selbst einschätzen, Assessment, Label erhalten und teilen. Die ersten vier Schritte liegen bei dir, die Prüfung macht ein unabhängiger Prüfdienstleister.

Die meiste Zeit steckt in Schritt 4. Wie lange er dauert, hängt von deiner Ausgangslage ab. Hast du schon ein Managementsystem für Informationssicherheit, etwa nach ISO 27001, geht es deutlich schneller. Startest du bei null, kommt Vorbereitung vor dem Auftakt mit dem Prüfdienstleister dazu. Anfragen solltest du ihn trotzdem früh: Wer erst nach der Vorbereitung Kontakt aufnimmt, riskiert laut ENX-Handbuch eine unnötige Verzögerung.

Welches Assessment-Level brauchst du – AL2 oder AL3?

Das Level ergibt sich aus den Prüfzielen, die dein Kunde verlangt. Für hohen Schutzbedarf reicht AL2. Für sehr hohen Schutzbedarf, Prototypenteile und Prototypenfahrzeuge sowie besonders schützenswerte personenbezogene Daten gilt AL3. Erprobungsfahrzeuge sowie Veranstaltungen und Shootings mit Prototypen laufen mit AL2.

Der Unterschied liegt in der Tiefe der Prüfung. Bei AL2 prüft der Prüfdienstleister deine Selbsteinschätzung auf Plausibilität und spricht per Videokonferenz mit deinem Verantwortlichen für Informationssicherheit. Bei AL3 prüft er gründlich, sieht sich Unterlagen und Abläufe an, führt Interviews vor Ort und begeht deine Räume.

Quelle: ENX Association, TISAX® Participant Handbook, Version 2.8 vom 13.03.2025 – in eigenen Worten zusammengefasst. Bis zum 31.03.2024 hießen die Prüfziele zur Vertraulichkeit „Info hoch“ und „Info sehr hoch“; in älteren Anforderungen deines Kunden findest du noch diese Namen.

Daneben gibt es AL1. Dabei wird nur geprüft, ob eine Selbsteinschätzung vorliegt. Für TISAX®-Labels spielt AL1 keine Rolle. Und es gibt eine Mischform: AL2 ganz aus der Ferne, das sich später zu AL3 ausbauen lässt. Ob das für dich passt, klärst du mit deinem Prüfdienstleister.

Wie lange gilt das Label – und was passiert bei Abweichungen?

Ein TISAX®-Label gilt drei Jahre. Findet der Prüfdienstleister Abweichungen, hast du höchstens neun Monate Zeit, sie zu beheben. Bis dahin kann es ein vorläufiges Label geben.

Abweichungen sind kein Weltuntergang. Für kleinere Abweichungen erstellst du einen Maßnahmenplan. Dauert eine Maßnahme länger als drei Monate, musst du die Frist begründen, ab sechs Monaten belegen, dass es nicht schneller geht. Spätestens neun Monate nach dem Abschlussgespräch des ersten Assessments muss alles umgesetzt sein, sonst gibt es kein Label.

Das vorläufige Label gilt so lange wie deine längste Umsetzungsfrist. Für viele Kunden reicht es, um die Zusammenarbeit fortzusetzen. Frag aber vorher nach, ob dein Kunde das akzeptiert.

Allein schließen musst du die Abweichungen nicht. Ein Berater kann mit dir einen Maßnahmenplan erarbeiten, den der Prüfdienstleister kennt, und dich bis zur Nachprüfung begleiten – auch wenn du das Assessment ohne ihn vorbereitet hast. Umsetzen muss dein Team im Betrieb selbst, und über das Ergebnis entscheidet der Prüfdienstleister. Wie das bei GEFIM läuft: Nacharbeit nach dem Assessment.

Wer darf prüfen – und warum nicht dein Berater?

Prüfen dürfen nur Prüfdienstleister, die die ENX zugelassen hat. Und keiner von ihnen darf dich prüfen, wenn er dich vorher beraten hat. So bleibt das Ergebnis unabhängig.

Für dich heißt das: Beratung und Prüfung kommen immer von zwei verschiedenen Unternehmen. Die Liste der zugelassenen Prüfdienstleister veröffentlicht die ENX auf ihrer Website. Hol dir mehrere Angebote ein, und frag nach freien Terminen. Die ENX empfiehlt ausdrücklich, früh Kontakt aufzunehmen, weil Prüfdienstleister eine gewisse Vorlaufzeit haben.

Dein Berater kann dich trotzdem am Prüftag begleiten. Er sitzt neben dir, hilft beim Finden von Nachweisen und übersetzt Fragen in die Sprache deines Betriebs. Bewerten darf er nichts.

Woran scheitern TISAX®-Projekte am häufigsten?

Selten an der Technik, meist an der Planung: falscher Umfang, unklare Prüfziele, zu späte Terminanfrage und eine Selbsteinschätzung, die schöner ist als die Wirklichkeit.

• Prüfziele nicht geklärt: Wer AL3 vorbereitet, obwohl AL2 reicht, zahlt drauf. Wer AL2 vorbereitet und AL3 braucht, muss nachlegen.
• Umfang zu groß oder zu klein: Jeder Standort im Scope wird geprüft. Ein Standort, den dein Kunde braucht, darf aber auch nicht fehlen.
• Termin zu spät angefragt: Die Frist deines Kunden wartet nicht auf freie Prüfer.
• Papier statt Praxis: Richtlinien, die niemand kennt, fallen im Interview auf. Geprüft wird, was gelebt wird.
• Neuer Katalog übersehen: Assessments, die ab dem 1. Januar 2027 beauftragt werden, laufen nach VDA ISA 2027.

Und falls sich dein Kunde auch nach NIS2 erkundigt: Was ISO 27001 und TISAX® dafür leisten – und was nicht – liest du im NIS2-Ratgeber auf nis2-berater.de.

Geschrieben von

Marcel Hofmann

Geschäftsführer der GEFIM · Zuständig für: Informationssicherheit und externer ISB

Profil und Beiträge von Marcel Hofmann