Es gilt für einen Standort, ein Schutzobjekt und ein Assessment-Level. Ab Level 2 verlangt der Auditor dafür einen technischen Nachweis. Den liefern wir, gemappt auf die Kapitel des VDA-ISA-Fragenkatalogs.
Ein Standort, der vertrauliche OEM-Informationen verarbeitet. Zweiter Standort, zweiter Prüfgegenstand.
Gibt euer OEM vor, nicht ihr. Bei Tier-1-Lieferanten ist AL 2 die häufigste Stufe.
Selbstauskunft, keine externe Prüfung. Es entsteht kein Label.
Pentest freiwilligPlausibilitätsprüfung durch einen zugelassenen Prüfdienstleister, meist remote.
Pentest erwartetVollständiges Vor-Ort-Audit mit Dokumentenprüfung und Interviews.
Pentest erwartet, erweiterter Scope=Jede Kombination ergibt ein eigenes Label. Es gilt drei Jahre, wird nicht veröffentlicht und läuft nur über die ENX-Plattform. In welcher der fünf Freigabestufen von A bis E ein anfragender Partner es sieht, entscheidet ihr.
Prototypenschutz und Datenschutz sind eigenständige Prüfmodule, nicht Teil des Kernkatalogs. Beide decken wir mit ab.
Der Auditor akzeptiert unseren Bericht als technisches Nachweisdokument. Er ersetzt ihn nicht. Damit im Angebot keine Erwartung entsteht, die wir nicht einlösen können, steht hier beides nebeneinander.
Den Pentest nach vorher festgelegtem Scope, physisch und technisch. Den Bericht mit CVSS-Bewertung, VDA-ISA-Mapping und Executive Summary. Dazu eine priorisierte Maßnahmenliste, damit vor dem Termin klar ist, was zuerst drankommt.
Das Assessment selbst. Das führt ein zugelassener Prüfdienstleister durch, und das Label vergibt die ENX Association. Auch keine Rechtsberatung und keine Einstufung: welches Level für euch gilt, gibt euer OEM vor.
Schutz von Prototypenfahrzeugen und Bauteilen: Abdeckungen, Camouflage, sichere Lagerung, Transport und Zutrittskontrolle zu Prototypenbereichen. Wir prüfen dafür Kamera-Totzonen, Lagerbereiche und Transportprozesse. Das Prüfobjekt umfasst mehrere eigenständige Labels je Schutzobjekt, nicht ein einzelnes.
Verarbeitung personenbezogener Daten im Automotive-Umfeld: Einwilligungen, Löschkonzepte und technische Schutzmaßnahmen. Eigenständiges Prüfmodul für die Auftragsverarbeitung nach Art. 28 DSGVO, in den beiden Stufen Basic und High.
| Kriterium | AL 1 | AL 2 | AL 3 |
|---|---|---|---|
| Prüfmethode | Selbstauskunft im Online-Fragebogen | Plausibilitätsprüfung mit Nachweisen und Interviews | Vollständiges Audit mit Dokumentenprüfung und Interviews |
| Prüfort | Kein Termin erforderlich | In der Regel Web-Konferenz | Vor Ort im Unternehmen |
| Prüfende Instanz | Keine externe Prüfung | Zugelassener Prüfdienstleister | Zugelassener Prüfdienstleister |
| Label auf der ENX-Plattform | Nicht vorgesehen | Ja | Ja |
| Technischer Pentest | Freiwillig empfohlen | In der Praxis erwartet | Erwartet, erweiterter Scope |
Vertrauliche Informationen mit hohem Schutzbedarf, etwa Entwicklungsunterlagen. Wird typischerweise über AL 2 nachgewiesen.
Streng vertrauliche Informationen wie unveröffentlichte Fahrzeugkonzepte. Ausschließlich über AL 3 mit Vor-Ort-Audit.
Weist nach, dass Systeme und Prozesse definierte Anforderungen an Wiederherstellung und Kontinuität erfüllen.
Die höchste Verfügbarkeitsstufe. Relevant, wenn ein Ausfall unmittelbar die Fahrzeugproduktion beim OEM gefährdet.
Bauteile, Prototypen- und Erprobungsfahrzeuge, Veranstaltungen und Shootings. Mehrere Labels statt eines einzelnen.
Auftragsverarbeitung nach Art. 28 DSGVO in zwei Stufen. Relevant, sobald ihr personenbezogene Daten im Auftrag eines OEM verarbeitet.
VDA ISA 6.0 ist seit dem 1. April 2024 für neu beauftragte Assessments verbindlich. Sie bringt fünf zusätzliche Kontrollen mit, unter anderem zu Software-Freigabe, Krisenmanagement, IT-Service-Continuity sowie Backup und Recovery, führt eigene Verfügbarkeits-Labels ein und ist an ISO/IEC 27001:2022 angeglichen.
Das Label gilt drei Jahre, der Katalog verlangt aber eine regelmäßige Überprüfung der technischen Maßnahmen, nicht nur eine zum Assessment-Termin. Bewährt hat sich ein vollständiger Pentest vor dem Assessment und danach jährlich ein kürzerer Test auf das, was sich geändert hat.
30 Minuten Erstgespräch, danach ein Festpreisangebot, in der Regel innerhalb von 24 Stunden. Kostenlos und unverbindlich.
Access Granted liefert den Pentest und den technischen Nachweis. Assessment und Label laufen über einen zugelassenen Prüfdienstleister und die ENX-Plattform, nicht über uns. TISAX ist eine Marke der ENX Association.
