Es beginnt oft mit einer kurzen Mail. Dein wichtigster Automobilkunde schreibt, dass er ab sofort ein gültiges TISAX-Label von seinen Lieferanten erwartet, am besten bis zum nächsten Quartal. Bis dahin hast du von TISAX vielleicht schon mal gehört, aber so richtig auf dem Schirm war es nie. Und plötzlich hängt ein Teil deines Umsatzes an einem Kürzel, das dir niemand erklärt hat.
Die gute Nachricht vorweg. TISAX ist kein Hexenwerk, sondern ein klar geregeltes Verfahren, und mit etwas Vorlauf schaffst du es ohne Panik. Wichtig ist, früh zu verstehen, was da auf dich zukommt, damit du nicht kurz vor der Frist in Hektik verfällst. Genau darum geht es in diesem Beitrag.
Worum es bei TISAX geht
TISAX steht für Trusted Information Security Assessment Exchange und ist der Prüfstandard der Automobilindustrie für Informationssicherheit. Entwickelt hat den zugrunde liegenden Fragenkatalog der Verband der Automobilindustrie, kurz VDA. Betrieben und verwaltet wird das Ganze seit 2017 von der ENX Association, einem Zusammenschluss der Branche.¹
Der Grundgedanke ist einfach. Große Hersteller geben sensible Daten an ihre Zulieferer weiter, von Konstruktionsdaten bis zu Prototypen. Bevor sie das tun, wollen sie wissen, dass diese Daten bei dir sicher sind. Statt dass jeder Hersteller jeden Zulieferer einzeln prüft, gibt es mit TISAX eine gemeinsame Prüfung, die für alle gilt.
Kein Zertifikat, sondern ein geteiltes Prüfergebnis
Anders als bei einer ISO-Zertifizierung bekommst du am Ende kein klassisches Zertifikat, das du an die Wand hängst. Du erhältst ein TISAX-Label, ein Prüfergebnis, das du über das ENX-Portal gezielt mit deinen Kunden teilst. Der Vorteil ist, dass du einmal geprüft wirst und das Ergebnis danach an alle relevanten Partner weitergeben kannst. Ein Label ist drei Jahre gültig, danach steht die nächste Prüfung an.
Wer TISAX überhaupt braucht
Nicht jeder Betrieb in der Region braucht ein Label, aber die Zahl derer, die es brauchen, wächst schnell. Gefragt ist TISAX überall dort, wo ein Automobilhersteller oder ein größerer Zulieferer dir schützenswerte Daten anvertraut. Das trifft den Entwicklungsdienstleister genauso wie den Teilefertiger, der Konstruktionszeichnungen bekommt, oder den Werkzeugbauer, der an einem neuen Modell mitarbeitet. Ob du betroffen bist, entscheidet am Ende nicht du, sondern dein Kunde. Sobald er dich nach einem Label fragt, gehörst du dazu. Deshalb lohnt es sich, das Thema auf dem Schirm zu haben, bevor die Frage kommt, und nicht erst, wenn sie schon auf dem Tisch liegt.
Warum gerade Automobilzulieferer rund um Nürnberg betroffen sind
Die Region zwischen Nürnberg, Ansbach und Rothenburg lebt zu einem großen Teil von der Zulieferindustrie. Viele Betriebe hier fertigen Teile, Werkzeuge oder Komponenten für die großen Hersteller und deren Tier-1-Lieferanten. Genau diese Betriebe bekommen die TISAX-Anforderung inzwischen fast alle auf den Tisch, oft mit wenig Vorwarnung.
Für dich als Zulieferer heißt das, TISAX ist keine freiwillige Kür mehr, sondern die Eintrittskarte in die Lieferkette. Wer das Label nicht vorweisen kann, fliegt bei der nächsten Ausschreibung schlicht raus, egal wie gut die Teile sind.
Warum TISAX heute kaum noch verhandelbar ist
Vor einigen Jahren war TISAX eine Empfehlung, über die man reden konnte. Das ist vorbei. Die Hersteller haben ihre Informationssicherheit über die gesamte Lieferkette hinweg verschärft, auch weil Angriffe über schwächer geschützte Zulieferer ein bekanntes Einfallstor sind. Ein einziger unsicherer Partner kann die Daten eines ganzen Fahrzeugprojekts gefährden. Deshalb machen die großen Kunden TISAX heute zur Bedingung, bevor überhaupt ein Vertrag zustande kommt.
Ein Beispiel aus der Region
Stell dir einen Zerspanungsbetrieb aus dem Raum Ansbach vor, der seit Jahren zuverlässig für einen großen Zulieferer fertigt. Eines Tages kommt die Ansage, dass ohne TISAX-Label ab dem kommenden Jahr keine neuen Aufträge mehr vergeben werden. Der Betrieb hat nie ein strukturiertes Sicherheitsmanagement aufgebaut und steht nun vor der Frage, wie er das in wenigen Monaten stemmen soll.
Mit etwas Vorlauf ist das gut machbar. Der Betrieb nimmt sich früh einen Partner, arbeitet die offenen Punkte Schritt für Schritt ab und geht mit einem realistischen Zeitplan in die Prüfung. Wer dagegen erst kurz vor der Frist anfängt, gerät unnötig unter Druck. Am Ende bekommt der vorbereitete Betrieb sein Label und darf weiter für seinen Kunden fertigen, ohne dass ein einziger Auftrag verloren geht.
Hat dich schon ein Kunde nach TISAX gefragt? IPEXX-Systems schätzt in einem kurzen Gespräch ein, wo dein Betrieb heute steht und was bis zum Label noch fehlt.
Was TISAX konkret von dir verlangt
TISAX prüft nicht einzelne Produkte, sondern wie du in deinem Betrieb mit Informationen umgehst. Grundlage ist ein Fragenkatalog des VDA, der auf den Prinzipien der ISO 27001 aufbaut. Was genau geprüft wird und wie streng, hängt von zwei Dingen ab, den Prüfzielen und dem Level.
Die drei Prüfziele
TISAX kennt drei mögliche Prüfziele, und welche für dich gelten, ergibt sich aus dem, was du für deine Kunden tust. Das Pflichtmodul ist die Informationssicherheit, also der sichere Umgang mit allen Daten in deinem Haus. Dazu kommt der Datenschutz, sobald du personenbezogene Daten verarbeitest. Und wer mit vertraulichen Fahrzeugdaten oder echten Prototypen arbeitet, muss zusätzlich den Prototypenschutz nachweisen, der eigene Anforderungen an Gebäude und Zutritt stellt.
Die Assessment-Level AL2 und AL3
Neben dem Prüfziel gibt es drei Prüftiefen. AL1 ist nur eine Selbsteinschätzung ohne anerkanntes Label und spielt in der Praxis kaum eine Rolle. Der Normalfall ist AL2, bei dem ein Prüfdienstleister deine Unterlagen sichtet und dich per Gespräch aus der Ferne prüft. AL3 ist die strengste Stufe mit einer Prüfung vor Ort und kommt zum Einsatz, wenn der Schutzbedarf sehr hoch ist, etwa beim Prototypenschutz. Welches Level du brauchst, gibt dir dein Kunde vor.
So läuft eine TISAX-Prüfung ab
Der Weg zum Label folgt einem festen Muster, auch wenn die Dauer je nach Ausgangslage schwankt.
Zuerst registrierst du dich und deinen Standort bei der ENX Association und legst mit deinem Kunden fest, was genau geprüft werden soll. Danach kommt der größte Brocken, der Aufbau deines Sicherheitsmanagements. Hier arbeitest du die Anforderungen aus dem VDA-Katalog ab, schließt Lücken und dokumentierst deine Abläufe. Erst wenn das steht, kommt der akkreditierte Prüfdienstleister und führt das eigentliche Assessment durch. Bestehst du, wird das Label vergeben und über das ENX-Portal für deine Kunden freigegeben.
Was in der Vorbereitung auf dich zukommt
Der Aufbau des Sicherheitsmanagements ist der Teil, der die meiste Zeit frisst, und er besteht aus vielen kleinen, handfesten Schritten. Du regelst, wer im Betrieb auf welche Daten zugreifen darf, und sorgst dafür, dass ausgeschiedene Mitarbeiter keinen Zugang mehr haben. Du legst fest, wie mit Passwörtern umgegangen wird, wie die Backups laufen und was im Notfall zu tun ist. Du schulst deine Leute, damit sie eine verdächtige Mail erkennen und wissen, wie sie mit vertraulichen Unterlagen umgehen. Und du hältst all das schriftlich fest, denn was nicht dokumentiert ist, zählt für den Prüfer nicht. Vieles davon ist gesunder Menschenverstand, aber es muss eben strukturiert und nachweisbar sein.
Was TISAX kostet und wie lange es dauert
Verlässliche Zahlen helfen bei der Planung, auch wenn der genaue Aufwand von deiner Größe und deinem Ausgangszustand abhängt.
Die Registrierung bei der ENX Association kostet nach der offiziellen Preisliste einmalig 405 Euro pro Standort, bei mehreren Standorten gibt es Rabatte.² Das eigentliche Assessment durch den Prüfdienstleister kommt dazu und richtet sich nach Level und Betriebsgröße, in der Praxis liegt es meist bei einigen tausend Euro. Der größere Posten ist ohnehin nicht die Prüfung selbst, sondern die Vorbereitung, also die Zeit, dein Sicherheitsmanagement auf Stand zu bringen. Von der Registrierung bis zum fertigen Label solltest du realistisch mit mehreren Monaten bis zu über einem Jahr rechnen.
Dazu kommt der Aufwand im eigenen Haus, der sich schwer in Euro fassen lässt. Jemand muss das Projekt steuern, Unterlagen zusammentragen und die Kollegen einbinden. In kleineren Betrieben landet diese Aufgabe oft bei der Geschäftsführung oder bei der einen IT-Kraft, die ohnehin schon ausgelastet ist. Genau hier lohnt sich Unterstützung von außen, weil sie den laufenden Betrieb entlastet und den Weg abkürzt.
Warum du früh anfangen solltest
Der häufigste Fehler ist, erst dann loszulegen, wenn der Kunde die Frist schon gesetzt hat. Ein Sicherheitsmanagement lässt sich nicht in zwei Wochen aus dem Boden stampfen, und die Prüfdienstleister sind oft Wochen im Voraus ausgebucht. Wer früh anfängt, verteilt den Aufwand, bleibt handlungsfähig und geht ohne Zeitdruck in die Prüfung. Das spart am Ende Nerven und oft auch Geld.
Bevor die Frist deines Kunden zum Problem wird. IPEXX-Systems bringt dich Schritt für Schritt zur TISAX-Reife, im Tempo, das zu deinem Betrieb passt.
Wie TISAX zu anderen Vorgaben passt
TISAX steht nicht allein, sondern zahlt auf deine gesamte Informationssicherheit ein.
ISO 27001 und der Nutzen über die Pflicht hinaus
Der VDA-Katalog baut auf den Grundprinzipien der ISO 27001 auf, der bekanntesten Norm für Informationssicherheit. Wer schon eine ISO 27001 hat, bringt darum einen großen Teil der Grundlage mit und tut sich bei TISAX deutlich leichter. Aber auch ohne diese Norm lohnt sich der Aufwand über die reine Pflicht hinaus. Ein sauber aufgesetztes Sicherheitsmanagement schützt dich nicht nur vor dem Verlust von Aufträgen, sondern auch vor Angriffen, Datenverlust und teuren Ausfällen. Was du für TISAX aufbaust, macht deinen ganzen Betrieb widerstandsfähiger.
NIS2 und der Druck aus der Lieferkette
TISAX trifft gerade auf eine ganze Welle neuer Anforderungen. Mit der Richtlinie NIS2 verpflichtet der Gesetzgeber viele Unternehmen zu mehr IT-Sicherheit, und diese Betriebe geben den Druck an ihre Lieferanten weiter. Wer heute in ein sauberes Sicherheitsmanagement investiert, ist auf die Fragen von morgen schon vorbereitet, egal ob sie vom Autohersteller oder aus einem Gesetz kommen. Der Aufwand zahlt also auf mehrere Anforderungen gleichzeitig ein, statt nur eine einzelne Kundenforderung abzuhaken.
Typische Stolpersteine im Mittelstand
Rund um TISAX wiederholen sich ein paar Fehler, die Zeit und Geld kosten.
Worauf du als Geschäftsführung achten solltest
Der erste Fehler ist der späte Start, der schon angesprochen wurde. Wer die Frist verschläft, zahlt mit Hektik und im schlimmsten Fall mit verlorenen Aufträgen.
Der zweite Fehler ist, TISAX für ein reines IT-Thema zu halten und es komplett an die Technik abzuschieben. Informationssicherheit betrifft das ganze Haus, von der Personalabteilung über die Produktion bis zum Empfang. Ohne Rückhalt von der Geschäftsführung bleibt so ein Projekt auf halber Strecke stehen.
Der dritte Punkt ist, das Label als einmalige Sache zu sehen. Es ist drei Jahre gültig, und in dieser Zeit muss dein Sicherheitsmanagement gelebt werden statt in der Schublade zu liegen. Beim nächsten Assessment schaut der Prüfer genau darauf, ob aus den Dokumenten auch gelebte Praxis geworden ist.
Deine nächsten Schritte mit IPEXX-Systems
Verschaff dir zuerst einen ehrlichen Überblick. Welche Kunden verlangen von dir TISAX, welches Prüfziel und welches Level brauchst du, und wie weit ist dein Betrieb bei der Informationssicherheit heute schon? Diese Fragen kannst du in Ruhe mit deinem IT-Partner durchgehen, bevor irgendetwas Verbindliches ansteht.
Auf dieser Grundlage entscheidest du, wie du vorgehst. Für viele Zulieferer ohne eigene Sicherheitsabteilung ist externe Unterstützung die schnellere und günstigere Wahl, weil sie teure Umwege erspart. Als IT-Systemhaus aus Wörnitz begleiten wir Unternehmen im Umkreis, von Ansbach über Rothenburg und Dinkelsbühl bis Nürnberg, von der ersten Einschätzung bis zur Prüfreife.
Die Frage vom Anfang lässt sich damit gelassen beantworten. Wenn dein wichtigster Kunde plötzlich TISAX verlangt, ist das kein Grund zur Panik, sondern der Startschuss für ein Projekt, das sich planen lässt. Wer es früh angeht, bleibt im Geschäft.
Sichere dir deinen Platz in der Lieferkette, bevor die Frist drückt. IPEXX-Systems begleitet dich zur TISAX-Reife. Kontaktiere uns für einen kostenlosen 30-Minuten-Check!
Häufige Fragen zum Thema
Was ist TISAX einfach erklärt?
TISAX ist der gemeinsame Prüfstandard der Automobilindustrie für Informationssicherheit. Statt dass jeder Hersteller jeden Zulieferer einzeln prüft, gibt es eine Prüfung, deren Ergebnis du über eine zentrale Plattform mit deinen Kunden teilst. So weisen Zulieferer nach, dass sie sicher mit sensiblen Daten umgehen.
Ist TISAX für mich als Zulieferer Pflicht?
Vorgeschrieben durch ein Gesetz ist TISAX nicht, aber deine Kunden machen es faktisch zur Bedingung. Sobald ein Hersteller oder ein größerer Zulieferer dir schützenswerte Daten anvertraut, verlangt er in aller Regel ein Label. Ohne das fliegst du bei Ausschreibungen schnell raus.
Bekomme ich für TISAX ein Zertifikat?
Nein, TISAX ist formal kein Zertifikat, sondern ein Prüfergebnis mit Label. Du bekommst es nach bestandener Prüfung und teilst es über das ENX-Portal gezielt mit deinen Geschäftspartnern. Ein Label ist drei Jahre gültig.
Welches Level brauche ich, AL2 oder AL3?
Das gibt dir dein Kunde vor. AL2 mit einer Prüfung aus der Ferne ist der Normalfall. AL3 mit einer Prüfung vor Ort kommt bei sehr hohem Schutzbedarf dazu, etwa wenn du mit Prototypen arbeitest.
Was kostet TISAX ungefähr?
Die Registrierung bei der ENX kostet nach der offiziellen Preisliste einmalig 405 Euro pro Standort. Das Assessment durch den Prüfdienstleister kommt dazu und liegt je nach Level und Größe meist bei einigen tausend Euro. Der größte Aufwand steckt aber ohnehin in der Vorbereitung, nicht in der Prüfung selbst.
Wie lange dauert es bis zum Label?
Realistisch solltest du mit mehreren Monaten bis zu über einem Jahr rechnen, von der Registrierung bis zum Label. Der größte Teil davon ist der Aufbau deines Sicherheitsmanagements. Genau deshalb lohnt es sich, früh anzufangen.
Wir haben schon ISO 27001. Bringt uns das etwas?
Ja, und zwar einiges. Der TISAX-Katalog baut auf den Grundprinzipien der ISO 27001 auf. Wer diese Norm schon hat, bringt einen großen Teil der Grundlage mit und tut sich deutlich leichter.
Was wird bei TISAX eigentlich geprüft?
Geprüft wird nicht dein Produkt, sondern wie du mit Informationen umgehst. Dazu gehören Zugriffsrechte, Passwörter, Backups, der Umgang mit vertraulichen Unterlagen und die Schulung deiner Mitarbeiter. Je nach Fall kommen Datenschutz und Prototypenschutz dazu.
Wie lange ist das Label gültig?
Ein TISAX-Label ist drei Jahre gültig. Danach steht die nächste Prüfung an. In der Zwischenzeit muss dein Sicherheitsmanagement gelebt werden, sonst wird es beim nächsten Assessment eng.
Können wir das allein schaffen oder brauchen wir Hilfe?
Machbar ist beides, aber gerade kleinere Betriebe ohne eigene Sicherheitsabteilung sparen mit Unterstützung Zeit und Umwege. Ein Partner kennt die Anforderungen und bringt Struktur rein. Für Zulieferer in der Region Wörnitz, Ansbach, Rothenburg, Dinkelsbühl und Nürnberg begleitet dich IPEXX Systems von der ersten Einschätzung bis zur Prüfreife.
Quellen
¹ ENX Association, TISAX-Teilnehmerhandbuch. Offizielle Grundlage zu Label, Prüfzielen, Assessment-Leveln, Ablauf und der Gültigkeit von drei Jahren. Der zugrunde liegende Fragenkatalog VDA ISA stammt vom Verband der Automobilindustrie. https://www.enx.com/handbook/tisax-teilnehmerhandbuch.html
² ENX Association, Preisliste für TISAX-Teilnehmer. Grundgebühr 405 Euro pro Standort, mit Staffelrabatten bei mehreren Standorten. https://portal.enx.com/pricelistde.pdf