Auf der Überholspur zum TISAX® Assessment

TISAX® steht für Trusted Information Security Assessment Exchange und ist eine eingetragene Marke der ENX Association. Es handelt sich um einen Sicherheitsstandard für die Automobilindustrie – ursprünglich initiiert durch den Verband der Deutschen Automobilindustrie (VDA) – der helfen soll, die Informationssicherheit in der Branche zu erhöhen. TISAX® dient also der Überprüfung und Zertifizierung der Informationssicherheit von Unternehmen. Nach erfolgreicher Überprüfung erhalten Unternehmen ein TISAX® Label, welches das Vertrauen von Kunden und Partnern stärkt und als Wettbewerbsvorteil dienen kann.

Für die Zertifizierung nach TISAX^® besteht noch keine gesetzliche Pflicht. Allerdings besteht eine inoffizielle Pflicht, um in der Branche wettbewerbsfähig zu sein / bleiben. Viele OEMs fordern mittlerweile für eine Zusammenarbeit mit Zulieferern oder Partnern ein Label nach TISAX^®. Wenn Sie als Zulieferer, Partner oder Hersteller in der Automobilindustrie tätig sind, ist es daher empfehlenswert, sich zertifizieren zu lassen, um ihre Geschäftschancen zu erhöhen.

Je komplexer die Anforderungen (Assessment Level 1 bis 3 möglich), desto höher fallen in der Regel die Kosten aus. Damit die konkreten Kosten ermittelt werden können, müssen verschiedene Faktoren einbezogen werden: Welches Assessment Level nach TISAX^® streben Sie an? Haben Sie bereits ein ISMS etabliert und ist dieses ggf. schon nach ISO 27001 zertifiziert? Etc.

Mit steigendem Level, steigen die Anforderungen an den Schutzbedarf Ihrer Informationssicherheit. Das Level 1 Assessment erfolgt mithilfe einer Selbsteinschätzung, die nicht durch einen Dienstleister geprüft wird. Es wird daher i.d.R. nur für interne Zwecke gebraucht. Diese Prüfergebnisse haben nur eine geringe Aussagekraft und stellen kein geltendes TISAX® Label dar. Daher fordern die meisten Hersteller mindestens das Assessment Level 2.

Bei diesem erfolgt die Prüfung der Selbsteinschätzung durch einen anerkannten Prüfdienstleister. Diese Prüfungen werden oft telefonisch durchgeführt. Eine vor-Ort-Prüfung erfolgt lediglich, wenn Sie das Modul „Prototypenschutz“ prüfen lassen oder die vor-Ort-Prüfung ausdrücklich wünschen.

Bei Level 3 erfolgt eine umfassende vor-Ort-Prüfung Ihrer Selbsteinschätzung durch einen Prüfdienstleister. Diese dauert im Durchschnitt 2-3 Tage.

Nachdem Sie das Assessment Level 2 oder 3 erfolgreich absolviert haben, erhalten Sie ein Label, welches Ihre Prüfungsergebnisse zusammenfasst. Das Label ist dann samt den Informationen über Ihr Assessment im ENX Portal für zugelassene OEMs einsehbar. Sie können im Gegenzug natürlich auch die TISAX® Label und Ergebnisse der anderen Teilnehmer einsehen.

Sobald Sie Ihr Label erhalten haben, ist dieses für 3 Jahre gültig. Anschließend muss es erneuert werden. Für die Erneuerung fallen in der Regel geringere Kosten an, als für die Erst-Zertifizierung. Sie bringen in diesem Fall bereits Erfahrung sowie bestimmte etablierte Prozesse auf dem Gebiet der Informationssicherheit mit.

Die Dauer der Assessments kann stark variieren und ist von verschiedenen Faktoren, wie beispielsweise der Größe Ihres Unternehmens und der Anzahl der Unternehmensstandorte, abhängig. Bei durchschnittlicher Unternehmensgröße reichen für das Prüfverfahren selbst 2-3 Tage vor Ort aus. Was hingegen mit höherem Zeitaufwand verbunden sein kann, ist die Vorbereitung auf das Assessment. Die Prüfung bzw. das Audit sollte erst durchgeführt werden, wenn Sie die TISAX® Anforderungen aus dem VDA-ISA Fragenkatalog auch erfüllen. Andernfalls werden Sie das Audit nicht bestehen und erhalten auch kein Zertifikat. Es besteht die Gefahr, dass Sie eine Nachprüfung absolvieren müssen, was wiederum mit Mehrkosten verbunden ist.

Die Vorbereitung und der Prüfungsprozess können bis zu 8 – 12 Monate dauern. Der reine Prüfungsprozess darf ab Anmeldung nicht länger als 9 Monate dauern, ansonsten erhalten Sie kein Label. Eine ausreichende Vorbereitung auf das Assessment ist also ausschlaggebend!

Ein bereits etabliertes und zertifiziertes ISMS (Informationssicherheitsmanagementsystem) gemäß der Norm ISO 27001 ist keine Voraussetzung für das TISAX® Assessment. Für das Assessment muss lediglich nachgewiesen werden, dass Sie mit einem Informationssicherheitsmanagement arbeiten und die entsprechenden Prozesse und Verfahren im Unternehmen umgesetzt werden. Eine bereits bestehende Zertifizierung nach ISO 27001 wird Ihnen allerdings eine gute Grundlage für die TISAX® Zertifizierung bieten.

Unsere skalierbare NORM X Lösung führt Ihr Unternehmen mithilfe von einem Informationssicherheitsbeauftragten aus unserem Hause, automatisierten Prozessen, Checklisten und Anleitungen zielgerichtet zum TISAX^® Assessment. Wir passen die Leistung speziell an die Bedürfnisse Ihres Unternehmens an. Dabei ermöglichen wir bis zu 50% TCO und Zeit-Einsparungen.