TISAX® Beratung Informationssicherheit Automotive

TISAX® (Trusted Information Security Assessment Exchange) ist ein branchenspezifisches Prüfverfahren für Informationssicherheit, das vor allem in der Automobilindustrie Anwendung findet. Es basiert auf dem sogenannten ISA-Katalog (Information Security Assessment), der vom Verband der Automobilindustrie (VDA) entwickelt wurde und sich an internationalen Standards wie ISO/IEC 27001 und IEC 62443 orientiert.

TISAX® dient dazu, die Informationssicherheit, den Prototypenschutz und den Datenschutz entlang der Lieferkette sicherzustellen. Unternehmen, die mit sensiblen Daten wie Fahrzeugdesigns, Prototypen oder personenbezogenen Informationen arbeiten, müssen nachweisen, dass sie angemessene Sicherheitsmaßnahmen implementiert haben.

Statt eines Zertifikats erhalten Unternehmen ein TISAX®-Label, das über die ENX-Plattform veröffentlicht wird und für Geschäftspartner einsehbar ist.

Wie läuft ein TISAX®-Assessment ab?

Der Prozess umfasst typischerweise folgende Schritte:

• Selbsteinschätzung anhand des VDA-ISA-Katalogs.
• Audit durch einen akkreditierten Prüfdienstleister (z. B. TÜV, DEKRA, BSI Group).
• Erhalt des TISAX®-Labels, gültig für drei Jahre.
• Regelmäßige interne Audits zur Aufrechterhaltung des ISMS (Informationssicherheitsmanagementsystems).
   

Was wird geprüft?

Das Assessment umfasst:

• Informationssicherheit: Schutz vertraulicher Daten und Systeme.
• Prototypenschutz: Umgang mit Entwicklungsdaten und Vorserienprodukten.
• Datenschutz: Einhaltung gesetzlicher Vorgaben wie DSGVO.
   

Aktuelle Entwicklungen (Version 6 ab April 2024)

Die neue Version 6.0 des VDA-ISA-Katalogs bringt wesentliche Änderungen:

• Einführung neuer Labels wie „Verfügbarkeit“ und „Vertraulichkeit“.
• Erweiterte Anforderungen an OT-Systeme (Operational Technology), also Produktionsanlagen.
• Möglichkeit zur Scope-Erweiterung, etwa bei neuen Standorten, ohne den Prüfdienstleister zu wechseln.
   

Die Beratung zur TISAX®-Zertifizierung erfolgt in mehreren strukturierten Schritten, die Unternehmen dabei unterstützen, ein Informationssicherheitsmanagementsystem (ISMS) aufzubauen und sich erfolgreich assessieren zu lassen:

Analyse des Ist-Zustands

• Durchführung einer ersten Bewertung, um bestehende Sicherheitsmaßnahmen zu erfassen.
• Identifikation von Lücken im Vergleich zu den Anforderungen des TISAX®-Modells.
   

Festlegung des Geltungsbereichs

• Definition, welche Standorte, Prozesse oder Systeme in die Bewertung einbezogen werden.
• Auswahl des passenden TISAX®-Assessment-Levels (z. B. Schutzbedarf normal, hoch oder sehr hoch).
   

Aufbau oder Optimierung des ISMS

• Entwicklung von Richtlinien, Prozessen und technischen sowie organisatorischen Maßnahmen.
• Schulung der Mitarbeitenden zur Sensibilisierung für Informationssicherheit.
   

Vorbereitung auf das Audit

• Durchführung interner Prüfungen zur Sicherstellung der Auditfähigkeit.
• Unterstützung bei der Auswahl eines akkreditierten Prüfdienstleisters.
   

Begleitung beim externen Audit

• Teilnahme am offiziellen TISAX®-Assessment durch einen zertifizierten Anbieter.
• Unterstützung bei der Beantwortung von Rückfragen und Nachbesserungen.
   

Ergebnisveröffentlichung

• Veröffentlichung des Prüfergebnisses auf der TISAX®-Plattform.
• Freigabe der Ergebnisse für Geschäftspartner zur Vertrauensbildung.
   

Typische Inhalte der Beratung

• Aufbau eines ISMS nach VDA ISA
• Risikoanalyse und Schutzbedarfsfeststellung
• Maßnahmen zur Netzwerksicherheit, Zugriffskontrolle und Datenverschlüsselung
• Notfallmanagement und Backup-Konzepte
• Awareness-Trainings für Mitarbeitende
   

Beratungskosten

• Für kleine Unternehmen mit bis zu etwa 50 Mitarbeitenden gibt es oft standardisierte ISMS-Modell, wie das sogenannte Toolbox-Modell von QAS-Company AG. Dieses ist darauf ausgelegt, die Zertifizierung möglichst kostengünstig und effizient umzusetzen. Die Beratungskosten liegen hier meist zwischen 19.000 € und 25.000 €. Die Leistungen beinhalten in der Regel die Erstellung der notwendigen QM-Dokumentation, Schulungen und die Vorbereitung auf das Audit.
• Mittlere Unternehmen mit 50 bis 250 Mitarbeitenden benötigen in der Regel eine individuellere Beratung. Hier kommt häufig ein sogenanntes „4-Phasen-Modell“ von QAS-Company AG zum Einsatz, das neben der Dokumentation auch eine Prozessanalyse und Optimierung umfasst. Die Beratungskosten bewegen sich in diesem Fall zwischen 25.000 € und 35.000 €, abhängig von der Anzahl der Standorte und der Komplexität der Prozesse.
• Große Unternehmen mit mehr als 250 Mitarbeitenden haben meist komplexe Strukturen und mehrere Standorte. Die Beratung ist entsprechend umfangreicher und kann auch die Integration weiterer Normen wie ISO 27001, ISO 9001, ISO 14001 oder IATF 16949 beinhalten. Die Kosten für die externe Beratung liegen hier oft bei über 35.000 €, teilweise deutlich darüber, wenn zusätzliche Normen oder internationale Standorte berücksichtigt werden müssen.

Zertifizierungskosten

• Die Kosten für die eigentliche Zertifizierung – also das Audit durch eine akkreditierte Zertifizierungsstelle – hängen ebenfalls von der Unternehmensgröße und der Auditdauer ab. Nachfolgend sind die Kosten für das erste Jahr gelistet. Die akkreditierten Zertifizierer schließen jedoch immer Dreijahresverträge mit den Kunden ab.
• Für sehr kleine Unternehmen belaufen sich die Zertifizierungskosten auf etwa 5.000 € bis 7.000 €.
• Bei mittleren Unternehmen mit etwa 20 bis 125 Mitarbeitenden steigen die Zertifizierungskosten auf 7.000 € bis 15.000 €.
• Große Unternehmen mit über 250 Mitarbeitenden müssen mit Zertifizierungskosten von 15.000 € und mehr rechnen.

Zusätzliche Einflussfaktoren

• Vorhandenes ISMS-System: Wenn bereits ein funktionierendes Informationssicherheitsmanagementsystem existiert, können sowohl Beratungs- als auch Zertifizierungskosten reduziert werden.
• Branche: In regulierten Branchen wie Luftfahrt oder Automotive sind oft zusätzliche Normen erforderlich, was die Kosten erhöht.
• Standorte: Mehrere Standorte bedeuten mehr Aufwand für das Audit und damit höhere Zertifizierungskosten.
• Internationalität: Wenn Standorte im Ausland eingebunden werden müssen, steigen die Kosten durch Reiseaufwand und ggf. zusätzliche lokale Anforderungen.
• Risikoanalyse: Es kommt sehr stark auf die IT-Sicherheits-Risikoeinstufung des Unternehmens an. Es macht einen großen Unterschied für den Beratungs- und Zertifizierungsaufwand (aus IT-Sicherheitssicht), ob das Unternehmen mit sensiblen Daten arbeitet (z.B. Energieversorger kritische Infrastruktur) oder ein Metallverarbeitungs-Zulieferbetrieb ist, (z.B. Schüttware für den Endverbraucher)
• IT-Sicherheitsmaßnahmen: Wenn bereits ein IT-Sicherheitskonzept existiert und IT-Sichereitsmaßnahmen umgesetz sind, ist das von Vorteil für eine TISAX®  Zertifizierung
   

• Erfahrung & Branchenvielfalt: Über 4.800 realisierte Projekte. Mehr als 500 aktive Kunden. Tätig in Luftfahrt, Automotive, Maschinenbau, Umwelt, Elektronik u. v. m.
• 98 % Weiterempfehlungsquote: Hohe Kundenzufriedenheit durch praxisnahe Beratung und transparente Kommunikation
• Modulare Beratungskonzepte: Vom ISO-SPEZIAL 3-in-1 Festpreisangebot, über 4-Phasen-Modelle bis hin zur stundenweisen Individualberatung
• Toolbox & Intranetlösungen: Bereitstellung kompletter QM-Dokumentation inkl. digitalem Zugriffssystem
• Standorte deutschlandweit: München, Köln, Hamburg, Berlin, Leipzig, Stuttgart, Frankfurt – kurze Wege, schnelle Reaktionszeiten
• Zertifizierte Kompetenz: ISO 9001 zertifiziertes Unternehmen mit qualifizierten Beratern und Auditoren
• Schnelle Verfügbarkeiten: Großes Beraternetzwerk mit mehr als 200 Experten deutchlandweit
   

Vertrauen bei Kunden und Partnern

• Die Zertifizierung signalisiert, dass ein Unternehmen hohe Standards beim Schutz sensibler Informationen einhält.
• Viele Automobilhersteller verlangen TISAX®-Nachweise von ihren Zulieferern.
   

Wettbewerbsvorteil

• Unternehmen mit TISAX®-Zertifizierung können sich leichter für neue Projekte qualifizieren.
• Besonders für kleinere Anbieter kann dies entscheidend sein, um in Ausschreibungen berücksichtigt zu werden.
   

Effizienz durch Standardisierung

• Die branchenweite Anerkennung des TISAX®-Labels reduziert den Aufwand für Mehrfachprüfungen.
• Ein einmal durchgeführtes Assessment kann von mehreren Partnern akzeptiert werden.
   

Unterstützung bei Datenschutz und rechtlicher Konformität

• Die Umsetzung eines Informationssicherheits-Managementsystems (ISMS) hilft, gesetzliche Anforderungen wie die DSGVO besser zu erfüllen.
   

Verbesserte Sicherheitskultur

• Die Zertifizierung fördert das Bewusstsein für Informationssicherheit im gesamten Unternehmen.
• Risiken wie Datenverlust oder Industriespionage können gezielter minimiert werden.
   

Transparenz und Vergleichbarkeit

• Einheitliche Prüfstandards ermöglichen eine klare Bewertung des Sicherheitsniveaus.
• Unternehmen können sich intern und extern besser positionieren.
   

Stärkung der Lieferkette

• Die Anforderungen gelten nicht nur für das eigene Unternehmen, sondern auch für Dienstleister und Lieferanten.
• So wird die gesamte Wertschöpfungskette sicherer.

Internationale Anerkennung

• Das TISAX®-Label wird nicht nur in Deutschland, sondern auch international zunehmend akzeptiert.
   

Typische Zeitrahmen für eine TISAX® Beratung

• Kleine Unternehmen mit einfachen Prozessen: 6 bis 9 Monate. Diese Firmen haben oft weniger dokumentierte Abläufe und benötigen weniger Ressourcen für die Umsetzung.
• Mittlere Unternehmen mit moderater Komplexität: 9 bis 18 Monate. Hier ist meist eine strukturierte Prozessanalyse und Anpassung notwendig.
• Große Unternehmen mit komplexen Strukturen und mehreren Standorten:18 bis 24 Monate oder länger. Die Einführung erfordert umfangreiche Abstimmungen, Prozessdokumentationen und oft auch Schulungen über mehrere Abteilungen hinweg.

Einflussfaktoren auf die Dauer der TISAX® Beratung

• Unternehmensgröße: Je größer das Unternehmen, desto mehr Prozesse und Beteiligte müssen berücksichtigt werden.
• Komplexität der Prozesse: Stark verzweigte oder nicht dokumentierte Prozesse verlängern die Analyse- und Anpassungsphase.
• Vorhandene Managementsysteme: Wenn bereits ein informationssicherhaeitsmanagementsystem (z.B. ISO 27001) existiert, kann TISAX® schneller integriert werden.
• Ressourcen und Engagement: Ein engagiertes Projektteam und klare Verantwortlichkeiten beschleunigen die Umsetzung.
• Externe Unterstützung: Die Einbindung von Beratern oder Zertifizierungsstellen kann den Prozess strukturieren und verkürzen.
• IT-Sicherheitsmaßnahmen: Wenn bereits ein IT-Sicherheitskonzept existiert und IT-Sichereitsmaßnahmen umgesetz sind, ist das von Vorteil für eine ISO 27001 Zertifizierung
• Geltungsbereich und Assessment-Level: Basierend auf der Einstufung, welche Standorte, Prozesse oder Systeme in die Bewertung einbezogen werden und basierend auf der Auswahl des passenden TISAX®-Assessment-Levels (z. B. Schutzbedarf normal, hoch oder sehr hoch), können die Beratungzeiten auch höher ausfallen
   

Zulieferer in der Automobilbranche

Unternehmen, die direkt oder indirekt Komponenten, Systeme oder Dienstleistungen für Automobilhersteller bereitstellen, sind häufig verpflichtet, ihre Informationssicherheit über TISAX® nachzuweisen. Dies gilt nicht nur für Tier-1-Lieferanten, sondern zunehmend auch für Tier-2 und Tier-3.
 

Dienstleister mit Zugang zu vertraulichen Informationen

Auch externe Partner wie IT-Dienstleister, Werbeagenturen oder Rechenzentren, die mit sensiblen Daten arbeiten, sind betroffen. Die Anforderungen können je nach Art der Zusammenarbeit variieren – von vertraglichen Regelungen bis zur Teilnahme am TISAX®-Verfahren.
 

Unternehmen mit bestehenden Managementsystemen

Organisationen, die bereits ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 betreiben, sind oft gut vorbereitet für ein TISAX®-Assessment. Dennoch ist TISAX® ein eigenständiges Verfahren mit spezifischen Anforderungen.
 

KMU mit OEM-Kontakten

Auch kleinere Unternehmen, die mit OEMs zusammenarbeiten oder dies anstreben, sollten sich mit TISAX® auseinandersetzen, da viele Hersteller ein entsprechendes Label voraussetzen.
 

Was wird geprüft?

Das Assessment umfasst:

• Informationssicherheit: Schutz vertraulicher Daten und Systeme.
• Prototypenschutz: Umgang mit Entwicklungsdaten und Vorserienprodukten.
• Datenschutz: Einhaltung gesetzlicher Vorgaben wie DSGVO.
   

Die Prüfung erfolgt je nach Schutzbedarf in verschiedenen Stufen (Assessment Level 1–3), wobei höhere Stufen auch Vor-Ort-Audits beinhalten.
 

Warum ist TISAX® wichtig?

• Vermeidung von Mehrfachprüfungen: Ein TISAX®-Label wird von vielen OEMs und Partnern anerkannt.
• Vertrauensbildung: Es zeigt, dass ein Unternehmen verantwortungsvoll mit sensiblen Informationen umgeht.
• Wettbewerbsvorteil: Unternehmen mit TISAX®-Nachweis sind oft bevorzugte Partner in der Lieferkette.