TISAX (Trusted Information Security Assessment Exchange) ist der verbindliche Informationssicherheitsstandard der deutschen Automobilindustrie, entwickelt vom Verband der Automobilindustrie (VDA). Er basiert auf ISO/IEC 27001 und dem VDA ISA-Fragenkatalog und regelt, wie Lieferanten den Schutz sensibler Informationen nachweisen müssen. Ergebnisse werden ausschließlich über die ENX-Plattform geteilt - nicht öffentlich zugänglich.
TISAX-Labels sind drei Jahre gültig - danach ist eine vollständige Rezertifizierung erforderlich.
Ergebnisse werden ausschließlich über die geschlossene ENX-Plattform geteilt - kein öffentliches Zertifikat.
Verpflichtend für Lieferanten von BMW, VW, Mercedes-Benz, Porsche, Audi, Bosch, Continental und weiteren OEMs.
| Merkmal | TISAX® | ISO 27001 |
|---|---|---|
| Branchenfokus | Automotive | Branchenübergreifend |
| Grundlage | VDA ISA + ISO 27001 | ISO 27001 |
| Nachweis | Label via ENX-Plattform | Öffentliches Zertifikat |
| Pentest verpflichtend | ✓ Ab AL 2 | — Optional |
| Gültigkeit | 3 Jahre | 3 Jahre (jährl. Überwachung) |
TISAX unterscheidet drei Schutzbedarfsstufen. Euer OEM gibt vor, welches Level ihr erfüllen müsst. Wir führen Pentests für alle drei Assessment-Level durch.
Für Unternehmen, die vertrauliche Informationen ohne besonders sensible Inhalte verarbeiten. Eine qualifizierte Selbstauskunft reicht in der Regel aus - ein Pentest ist als freiwilliger Nachweis dennoch empfehlenswert.
Für Unternehmen mit hochsensiblen Informationen wie Entwicklungsdaten oder Fahrzeugkonzepten. Ein externer Auditor und ein technischer Penetrationstest sind verpflichtend.
Für Unternehmen mit Prototypen und streng vertraulichen Daten. Höchste Anforderungen an physische und technische Sicherheit. Mehrfache Audits durch akkreditierte Stellen sind verpflichtend.
Der VDA ISA-Fragenkatalog deckt alle sicherheitsrelevanten Bereiche ab. Unser Pentest liefert die technischen Nachweise für die folgenden Kontrollen - direkt verwendbar für euren ENX-Auditor.
Nachweis eines funktionierenden ISMS: Richtlinien, Rollen, Verantwortlichkeiten und Awareness-Maßnahmen nach VDA ISA Kapitel 1.
Zutrittskontrolle, Gebäudesicherheit, sicheres Entsorgen von Datenträgern und Schutz von Serverräumen nach VDA ISA Kapitel 3.
Netzwerksegmentierung, Schwachstellenmanagement, Patch-Management, Zugriffssteuerung und Logging nach VDA ISA Kapitel 4.
Besonderer Schutz von Prototypenfahrzeugen und -teilen: Abdeckungen, Camouflage, sichere Lagerung, Transport und Zutrittskontrolle zu Prototypenbereichen.
Verarbeitung personenbezogener Daten im Automotive-Kontext: Einwilligungen, Löschkonzepte und technische Schutzmaßnahmen nach VDA ISA Kapitel 6.
Sicherheitsanforderungen an Dienstleister und Sub-Lieferanten: Verträge, Audits, Remote-Zugänge und Sicherheitsklauseln nach VDA ISA Kapitel 7.
TISAX ist verpflichtend für alle Unternehmen, die vertrauliche Informationen von OEMs oder Tier-1-Lieferanten verarbeiten - unabhängig von Unternehmensgröße oder Mitarbeiterzahl.
Wir begleiten euch von der Scope-Definition bis zum auditfähigen Bericht - strukturiert, termingerecht und vollständig auf den VDA ISA-Fragenkatalog abgestimmt.
Gemeinsame Festlegung der TISAX-Prüfziele, des Assessment-Levels, der betroffenen Systeme und des Zeitplans. Klare Ausschlusszonen werden verbindlich dokumentiert.
OSINT, Netzwerkanalyse, Gebäudebegehung und Systemerhebung gemäß VDA ISA-Prüfkatalog.
Infrastruktur-Pentest, Active Directory-Analyse, physische Sicherheitsüberprüfung und Social Engineering nach den Anforderungen des VDA ISA-Katalogs.
Alle Findings werden direkt auf die entsprechenden VDA ISA-Kontrollen gemappt - für maximale Auditfähigkeit und minimalen Aufwand beim ENX-Audit.
Detaillierter Pentest-Bericht mit CVSS-Bewertungen, VDA ISA-Mapping, priorisierten Maßnahmenempfehlungen und Executive Summary für die Geschäftsführung.
Wir kombinieren physische, digitale und Social-Engineering-Angriffsvektoren zu einem ganzheitlichen TISAX-Assessment - alles aus einer Hand, alles VDA ISA-gemappt.
Zutrittskontrolle, Tailgating, Schlossüberwindung, Kamera-Totzonen und Prototypenschutzbereiche: wir prüfen, ob eure physische Sicherheit TISAX AL 2 und AL 3 standhält.
Mehr erfahrenNetzwerksegmentierung, Patch-Stand, Active Directory-Sicherheit und Remote-Zugänge: technisch nachgewiesen und direkt auf VDA ISA Kapitel 4 gemappt.
Mehr erfahrenPhishing, Vishing und Pretexting gegen eure Mitarbeiter: wir prüfen die menschliche Firewall, die VDA ISA Kapitel 1 als zentrales Schutzelement fordert.
Mehr erfahren
Think like an Attacker, Act as a Partner