Dein Kunde schickt den nächsten Termin für das TISAX®-Assessment, und im Anhang steht plötzlich „VDA ISA 2027“? Kein Grund zur Hektik. Dein gültiges Label bleibt gültig. Aber wer 2027 ins Assessment geht, wird nach einem überarbeiteten Katalog geprüft. Hier liest du, was sich ändert und was du jetzt vorbereitest.
Was ist VDA ISA 2027 – und ab wann gilt es?
VDA ISA 2027 ist die neue Fassung des Fragenkatalogs, nach dem TISAX®-Assessments geprüft werden. Der Katalog gilt für Assessments, die ab dem 1. Januar 2027 beauftragt werden. Veröffentlicht hat die ENX Association das am 1. Juli 2026.
ISA steht für „Information Security Assessment“. Den Katalog gibt der Verband der Automobilindustrie (VDA) heraus, gepflegt wird er in einer Arbeitsgruppe der ENX. Er ist das Herzstück von TISAX®: Du füllst ihn als Selbsteinschätzung aus, und der Prüfdienstleister prüft im Assessment, ob deine Antworten stimmen.
Bisher trugen die Versionen Nummern. Die letzte, VDA ISA 6, erschien im Oktober 2023 und gilt seit April 2024 für neue Assessments. Mit ISA 2027 ändert sich das Namensschema: Die Jahreszahl nennt das Jahr, ab dem der Katalog für neu beauftragte Assessments gilt.
Seit dem 1. Oktober 2026 gibt es den Katalog auch auf Deutsch. Beide Sprachfassungen heißen jetzt VDA ISA 2027.1; die Änderungen gegenüber der ersten Fassung sind laut ENX rein redaktionell. Maßgeblich für das Assessment bleibt die englische Fassung. Beide Excel-Dateien stehen frei zum Download bereit, die Links findest du unten in den Quellen.
Was ändert sich gegenüber VDA ISA 6?
Die größten Änderungen betreffen die Lieferkette und den Prototypenschutz. Dazu kommen klarere Formulierungen, neue Begriffsbestimmungen und aktualisierte Bezüge zu anderen Normen. Die Tabelle zeigt, was sich laut ENX ändert und was du daraus machst.
| Thema | Neu in ISA 2027 | Was du tust |
|---|---|---|
| Lieferkette | Bei hohem Schutzbedarf dokumentierst, prüfst und überwachst du stärker, ob deine Lieferanten die Anforderungen einhalten – auch bei relevanten Änderungen. Bei sehr hohem Schutzbedarf steigen die Anforderungen an den Nachweis. | Liste deiner Lieferanten mit Zugriff auf vertrauliche Informationen aufstellen und je Lieferant einen Nachweis ablegen, etwa ein TISAX®-Label oder einen Prüfbericht. |
| Prototypenschutz | Aus fünf Kontrollbereichen werden zwei: organisatorische Anforderungen sowie physische und umgebungsbezogene Sicherheit. Neu: lückenlose Nachverfolgung von Fahrzeugen, Komponenten und Teilen über den ganzen Lebenszyklus und kundengerechte Entsorgung, Rückgabe oder Wiederverwertung. | Prüfen, ob du jedes Prototypenteil vom Eingang bis zur Rückgabe nachverfolgen kannst. Den Ablauf für Entsorgung und Rückgabe mit deinem Kunden abstimmen. |
| „Following aspects“ | Wo der Katalog Aspekte aufzählt, braucht es je Aspekt eine bewusste, nachvollziehbare Entscheidung, die du im Assessment erläutern kannst. | Zu jedem Aspekt kurz festhalten, ob und wie er bei dir umgesetzt ist – und warum. |
| Begriffe | Neue Definitionen für „Projekt“ und für den Unterschied zwischen Ereignis (Event) und Vorfall (Incident). | Deinen Ablauf für Sicherheitsvorfälle auf die Begriffe abgleichen. |
| Führungskräfte | Führungskräfte gelten ausdrücklich als eigene Zielgruppe für Sensibilisierung und Schulung – ohne neue Anforderung. | Führungskräfte im Schulungsplan eigens aufführen. |
| Bezüge zu Normen | Zuordnungen zu NIST CSF 2.0 und ISO/IEC 27001:2022 aktualisiert, ISA/IEC 62443 präzisiert, Verweise auf ISO/IEC 27001:2013 entfernt. | Wenn du ein ISMS nach ISO 27001 hast: die neue Zuordnung nutzen, um Doppelarbeit zu vermeiden. |
Quelle: ENX Association, Meldung vom 1. Juli 2026. Spalte „Was du tust“: Einordnung des Autors.
Was bedeutet ISA 2027, wenn du mit Prototypen arbeitest?
Wenn dein Kunde Prototypenschutz verlangt, wird die Prüfung übersichtlicher, aber nicht leichter. Statt fünf Kontrollbereichen gibt es nur noch zwei, dafür kommen Anforderungen an Nachverfolgung und Entsorgung hinzu.
Die beiden neuen Bereiche heißen sinngemäß „organisatorische Anforderungen“ und „physische und umgebungsbezogene Sicherheit“. Neu ist der Blick auf den ganzen Lebenszyklus: Du solltest jederzeit sagen können, wo sich ein Fahrzeug, eine Komponente oder ein Teil gerade befindet – vom Wareneingang bis zur Rückgabe an den Kunden.
Ebenfalls neu: Schutzbedürftige Objekte und Werkzeuge werden so entsorgt, zurückgegeben oder wiederverwertet, wie es dein Kunde verlangt. In vielen Betrieben ist genau das heute Zuruf statt Ablauf. Ein kurzes, schriftliches Verfahren mit Übergabeprotokoll schließt die Lücke meist schon.
Was gilt für dein gültiges Label und das nächste Re-Assessment?
Dein Label bleibt bis zu seinem Ablaufdatum voll gültig. Nach ISA 2027 wirst du erst geprüft, wenn du ein Assessment ab dem 1. Januar 2027 beauftragst – also meist beim nächsten regulären Re-Assessment.
TISAX®-Labels gelten drei Jahre. Das ändert sich mit ISA 2027 nicht: Künftige Labels bleiben laut ENX bis zu drei Jahre gültig. Entscheidend für den Katalog ist der Zeitpunkt der Beauftragung, nicht der Termin des Assessments. Beauftragst du dein Assessment noch 2026, gilt in der Regel VDA ISA 6.
Daraus folgt eine Abwägung, die du bewusst treffen solltest. Läuft dein Label im ersten Halbjahr 2027 ab, kann ein Auftrag noch 2026 Planungssicherheit bringen. Sprich die Frage aber mit deinem Prüfdienstleister ab: Er kennt die genauen Regeln für den Übergang und seine eigene Vorlaufzeit.
Wie sieht dein Zeitplan bis zum nächsten Assessment aus?
Rechne vom Ablaufdatum deines Labels oder von der Frist deines Kunden rückwärts. Plane Zeit für die Lücken ein, die ISA 2027 bei dir aufdeckt, und frag deinen Prüfdienstleister früh nach einem Termin.
So gehst du vor, wenn dein nächstes Assessment 2027 ansteht:
- Jetzt: Ablaufdatum deines Labels und die Anforderung deines Kunden prüfen. Welche Prüfziele braucht er weiterhin?
- In den nächsten Wochen: die Excel-Fassung von ISA 2027 neben deine letzte Selbsteinschätzung legen. Neue und geänderte Anforderungen markieren.
- Danach: Lieferkette und, falls du sie brauchst, Prototypenschutz zuerst angehen. Dort stecken die größten Änderungen.
- Rechtzeitig vor dem Termin: Prüfdienstleister anfragen. Das ENX-Handbuch weist ausdrücklich auf deren Vorlaufzeit hin.
- Vor dem Assessment: internes Audit nach ISA 2027 und eine ehrliche Selbsteinschätzung.
Dein nächstes Assessment läuft nach VDA ISA 2027? Was sich ändert und was du vorher erledigst, auf vier Seiten: Checkliste VDA ISA 2027 per E-Mail
Du stehst ganz am Anfang und hast noch kein Label? Dann startest du direkt mit ISA 2027, sofern dein Assessment 2027 beauftragt wird. Für dich ist der neue Katalog keine Umstellung, sondern einfach der aktuelle Stand.
Wo hakt es in der Praxis am häufigsten?
In Assessments fällt selten die fehlende Richtlinie auf, sondern der fehlende Nachweis. Genau dort setzt ISA 2027 bei der Lieferkette an: Es reicht nicht mehr, dass es Lieferantenverträge gibt.
Aus der Begleitung von TISAX®-Projekten kennen wir das Muster: Die Lieferantenliste existiert, aber niemand weiß, welcher Dienstleister welche Daten sieht. Die Reinigungsfirma hat einen Schlüssel, der IT-Dienstleister einen Fernzugang, die Spedition holt Prototypenteile ab. Für jeden davon solltest du künftig sagen können, wie du dich von seiner Sicherheit überzeugt hast.
Drei Fragen helfen dir beim Sortieren:
- Welche Lieferanten haben Zugang zu vertraulichen Informationen, Gebäuden oder Prototypen?
- Welchen Schutzbedarf haben diese Informationen – hoch oder sehr hoch?
- Welchen Nachweis hast du je Lieferant – und wann hast du ihn zuletzt geprüft?
Wenn du diese drei Fragen beantworten kannst, hast du den größten Brocken von ISA 2027 schon vorbereitet. Wenn nicht, weißt du, wo du anfängst.
Wie geht es mit den jährlichen Versionen weiter?
Ab jetzt erscheint jedes Jahr im Sommer eine neue ISA-Version, die ab dem 1. Januar des Folgejahres gilt. VDA ISA 2028 soll laut ENX also im Sommer 2027 erscheinen. Häufigere Re-Assessments folgen daraus laut ENX nicht.
Für dich heißt das: Zwischen zwei regulären Assessments können mehrere Katalogversionen liegen. Du springst beim nächsten Assessment einfach auf die dann gültige Fassung. Wer sein Managementsystem laufend pflegt, hat damit weniger Arbeit als wer alle drei Jahre bei null anfängt.
Ein fester Termin im Kalender hilft: Schau dir jeden Sommer an, was die neue Version ändert. Eine Stunde im Jahr reicht oft, um zu entscheiden, ob du handeln musst.
Klingt nach deinem Betrieb?
Dein nächstes Assessment fällt ins Jahr 2027 oder du startest gerade erst? Im TISAX®-Rechner auf der Seite zur TISAX®-Beratung wählst du auch das Upgrade auf VDA ISA 2027 und bekommst in fünf Fragen deine Preistendenz.
TISAX®-Beratung: Upgrade auf VDA ISA 2027
Wenn du zuerst wissen willst, wo du stehst: Dort findest du auch den TISAX®-Readiness-Check, in dem ihr den Fragenkatalog VDA ISA gemeinsam ausfüllt, und die Preistendenz in 5 Fragen.
Häufige Fragen
Muss ich mein gültiges TISAX®-Label wegen VDA ISA 2027 sofort erneuern?
Nein. Bestehende Labels behalten laut ENX ihre volle Gültigkeit. VDA ISA 2027 gilt erst für Assessments, die ab dem 1. Januar 2027 beauftragt werden – bei dir also spätestens beim nächsten regulären Re-Assessment.
Gibt es VDA ISA 2027 auch auf Deutsch?
Ja. Seit dem 1. Oktober 2026 gibt es den Katalog auch auf Deutsch. Beide Sprachfassungen heißen jetzt VDA ISA 2027.1, die Änderungen gegenüber der ersten Fassung sind laut ENX rein redaktionell. Maßgeblich für das Assessment bleibt die englische Fassung – bei Abweichungen gilt sie.
Muss ich jetzt jedes Jahr ein Assessment machen?
Nein. Der Katalog erscheint künftig jährlich, das Label gilt aber weiter bis zu drei Jahre. ENX schreibt ausdrücklich, dass der neue Rhythmus nicht zu häufigeren Re-Assessments führt.
Ich habe ein ISO-27001-Zertifikat. Hilft mir das bei ISA 2027?
Ja, als Grundlage. Die Zuordnung zu ISO/IEC 27001:2022 wurde aktualisiert, Verweise auf die alte Fassung von 2013 sind entfallen. Ein ISO-Zertifikat ersetzt das TISAX®-Assessment aber nicht – dein Kunde verlangt das Label.
Quellen
Geschrieben von
Marcel Hofmann
Geschäftsführer der GEFIM · Zuständig für: Informationssicherheit und externer ISB
Die Inhalte dieser Website dienen der allgemeinen Information und ersetzen keine Rechtsberatung im Einzelfall. GEFIM ist ein Beratungsunternehmen für Informationssicherheit und keine Rechtsanwaltskanzlei.
TISAX® ist eine eingetragene Marke der ENX Association.