Vorbereitung auf das TISAX®-Assessment: Wichtige Checkliste für Unternehmen

Was ist ein TISAX®-Assessment?  

Ein TISAX®-Assessment (Trusted Information Security Assessment Exchange) ist ein standardisierter Bewertungsprozess, der vom Verband der Automobilindustrie (VDA) entwickelt und von der ENX Association verwaltet wird. Das TISAX® Assessment ist der Testprozess zum Erlangen eines TISAX®-Labels. Sie zielt darauf ab, hohe Informationssicherheitsstandards in der Automobilzulieferkette zu gewährleisten.  

Basierend auf dem VDA Information Security Assessment (VDA ISA) Katalog, der sich an ISO/IEC 27001 orientiert, bewertet das Assessment den Datenschutz, das Risikomanagement und die physischen Sicherheitsmaßnahmen einer Organisation. Die Ergebnisse werden auf der TISAX-Plattform geteilt, was das Vertrauen stärkt und die Notwendigkeit mehrerer Assessments durch verschiedene Partner verringert. 

Was ist das Hauptziel des TISAX®-Assessments? 

Das Hauptziel des TISAX®-Assessments ist es, hohe Informationssicherheitsstandards in der Lieferkette der Automobilindustrie sicherzustellen und zu überprüfen. Diese standardisierte Bewertung hilft Organisationen, sensible Daten zu schützen, Risiken effektiv zu managen und branchenspezifische Sicherheitsanforderungen zu erfüllen. Dadurch stärkt TISAX® das Vertrauen und die Glaubwürdigkeit unter Geschäftspartnern und Kunden und erleichtert sichere und zuverlässige Informationsaustausche innerhalb des Automobilsektors. 

Was sind die Assessment Levels und ihre Haupttypen?

Es gibt drei TISAX® Assessment Levels (AL), die unterschiedliche Grade der Informationssicherheitsanforderungen widerspiegeln.

TISAX® Level 1: Basis-Schutz 

Diese Assessment Level ist für Organisationen, die allgemeine Geschäftsinformationen verarbeiten. Die Bewertungen konzentrieren sich auf grundlegende Sicherheitsmaßnahmen wie Passwortverwaltung, sichere Datenspeicherung und Zugangskontrolle. Organisationen auf dieser Ebene müssen ein grundlegendes Sicherheitsniveau für nicht-sensitive Informationen gewährleisten. 

TISAX® Level 2: Erweiterter Schutz 

Level 2 ist für Organisationen, die sensible Informationen wie geistiges Eigentum oder persönliche Daten verarbeiten. Diese Bewertung ist gründlicher und deckt zusätzliche Kontrollen wie Datenklassifizierung, -schutz und -verschlüsselung ab. Organisationen auf dieser Ebene müssen strengere Sicherheitsstandards einhalten, um sensible Informationen zu schützen. 

TISAX® Level 3: Erhöhter Schutz 

Dieses Assessment Level ist für Organisationen, die mit hochsensiblen Informationen wie Prototypen oder vertraulichen Projekten umgehen. Die Bewertung ist sehr rigoros und konzentriert sich auf fortgeschrittene Sicherheitsmaßnahmen wie strenge Zugangskontrollen, erweiterte Überwachung und detaillierte Reaktionsverfahren bei Zwischenfällen. Unternehmen auf dieser Ebene müssen starke Sicherheitsmaßnahmen haben, um hochsensible Daten zu schützen. 

TISAX® hat acht verschiedene Prüfziele. Ein Unternehmen kann acht verschiedene Labels gemäß TISAX® erhalten.

	TISAX® Assessment-Ziel	Assessment Levels (AL)
1	Umgang mit Informationen mit hohem Schutzbedarf	AL 2
2	Umgang mit Informationen mit sehr hohem Schutzbedarf	AL 3
3	Schutz von Prototypenteilen und-komponenten	AL 3
4	Schutz von Prototypenfahrzeugen	AL 3
5	Umgang mit Testfahrzeugen	AL 3
6	Schutz von Prototypen bei Veranstaltungen und Film-/Fotoshootings	AL 3
7	Datenschutz (gemäß Art. 28 DSGVO)	AL 2
8	Datenschutz mit speziellen Kategorien personenbezogener Daten	AL 3

Drei TISAX®-Assessment Levels beschreiben auch die Aktivitäten des Auditors während des Assessments.

Bei AL 1 nimmt der Auditor nicht teil. Das Unternehmen führt eine Selbsteinschätzung seines Informationssicherheitsmanagementsystems (ISMS) durch, die nicht weiter hinterfragt oder überprüft wird. AL 1 ist formal und führt zu keinem Prüflabel, daher wird es praktisch nicht verwendet.

Für AL 2 muss das Unternehmen den VDA ISA-Fragebogen ausfüllen und zusammen mit der vollständigen ISMS-Dokumentation an den ausgewählten Auditor senden. Der Auditor überprüft diese Dokumente und bereitet sich auf ein Audit-Interview vor, das remote durchgeführt wird.

Der Hauptunterschied zwischen AL 3 und AL 2 liegt in der Durchführung des Audits. Bei AL 3 wird das Audit persönlich durchgeführt. Der Auditor besucht das Unternehmen, um sicherzustellen, dass die ISMS-Richtlinien und -Maßnahmen effektiv umgesetzt werden.

---

Compliance Aspekte ist ein effizientes, KI-gestütztes Tool für die TISAX®-Implementierung.

Mit dem Tool können Organisationen nahtlos Compliance-Prozesse verwalten, Risiken bewerten und relevante Dokumentationen sowie TISAX®-bezogene Aufgaben managen.

Compliance Aspekte unterstützt mehrere Automobilstandards, einschließlich TISAX® VDA ISA 6.0, ASPICE®, ISO 21434, ISO 26262, KGAS.

---

Wie funktioniert ein TISAX®-Assessment?

Unternehmen müssen sich über das ENX-Onlineportal für den TISAX®-Prozess registrieren, sie ihre gewünschten Assessment-Ziele angeben.

Nach der Registrierung und Auswahl der Assessment-Ziele können Unternehmen einen akkreditierten Assessment-Dienstleister auswählen, der die Assessments durchführt. Sie müssen dem Auditor den ausgefüllten VDA ISA-Fragebogen und die Dokumentation ihres ISMS zur Verfügung stellen. Der Auditor überprüft diese Dokumente, prüft die relevanten Nachweise und führt ein Remote- oder Vor-Ort-Audit durch, bevor er das TISAX®-Label ausstellt.

Der VDA ISA-Fragebogen enthält eine Selbsteinschätzung, wie gut jede Maßnahme umgesetzt wurde. Der Auditor überprüft diese Informationen, indem er geeignete Nachweise anfordert. Das bloße Erstellen interner Richtlinien und Verfahren reicht nicht aus. TISAX®-Teilnehmer müssen nachweisen, dass sie diese Richtlinien einhalten.

Wer braucht ein TISAX®-Zertifikat?

Ein TISAX®-Zertifikat wird von Organisationen in der Automobilindustrie benötigt, die mit sensiblen Informationen umgehen und ihre Einhaltung hoher Informationssicherheitsstandards nachweisen müssen.

Solche Organisationen umfassen:

• Automobilhersteller (OEMs): Unternehmen, die Fahrzeuge entwerfen, produzieren und verkaufen.
• Automobilzulieferer und -anbieter: Organisationen, die Teile, Komponenten oder Dienstleistungen für Automobilhersteller bereitstellen.
• Automobil-Dienstleister: Unternehmen, die IT, Logistik, Beratung oder andere Dienstleistungen für den Automobilsektor anbieten.
• Automobilpartner und -unterauftragnehmer: Entitäten, die an gemeinsamen Projekten beteiligt sind oder Zugang zu sensiblen Informationen haben, die von Automobilunternehmen geteilt werden.

Der Erwerb eines TISAX®-Zertifikats hilft diesen Organisationen, ihr Engagement für Informationssicherheit zu demonstrieren, branchenspezifische Anforderungen zu erfüllen und Vertrauen bei ihren Geschäftspartnern aufzubauen.

Die Hauptvorteile des TISAX®-Assessments

Das TISAX®-Assessment bietet mehrere wichtige Vorteile für Organisationen, die ihre Informationssicherheitspraktiken verbessern und die Sicherheitsanforderungen ihrer Partner oder Kunden erfüllen möchten, darunter:

• Verbesserte Sicherheitslage: Das TISAX®-Assessment hilft Organisationen, Sicherheitslücken zu identifizieren und zu schließen, was zu einer stärkeren und widerstandsfähigeren Sicherheitslage führt.
• Einhaltung von Standards: Die Einhaltung von TISAX® zeigt, dass eine Organisation die Sicherheitsanforderungen der Automobilindustrie erfüllt, was einen Wettbewerbsvorteil bei der Zusammenarbeit mit Automobilherstellern und -lieferanten darstellen kann.
• Verbessertes Risikomanagement: Durch die Durchführung eines TISAX® Assessments können Organisationen ihre Informationssicherheitsrisiken besser verstehen und managen, wodurch die Wahrscheinlichkeit von Sicherheitsvorfällen verringert wird.
• Erhöhtes Kundenvertrauen: Die Einhaltung von TISAX® zeigt Kunden und Partnern, dass eine Organisation die Informationssicherheit ernst nimmt, was dazu beitragen kann, Vertrauen und Glaubwürdigkeit aufzubauen.
• Kosteneinsparungen: Obwohl die anfängliche Investition in ein TISAX®-Assessment erheblich sein kann, kann die Einhaltung langfristig zu Kosteneinsparungen führen, indem die Wahrscheinlichkeit von Sicherheitsverletzungen und den damit verbundenen Kosten verringert wird.
• Wettbewerbsvorteil: Die Einhaltung von TISAX® kann Organisationen einen Wettbewerbsvorteil in der Automobilindustrie verschaffen, indem sie ihr Engagement für Sicherheit und Compliance demonstriert.
• Globale Anerkennung: TISAX® wird international als Standard für Informationssicherheit in der Automobilindustrie anerkannt, was für Organisationen, die in mehreren Regionen tätig sind, von Vorteil sein kann.

Insgesamt kann das TISAX®-Assessment Organisationen helfen, ihre Sicherheitslage zu verbessern, Vertrauen bei Kunden und Partnern aufzubauen und einen Wettbewerbsvorteil in der Automobilindustrie zu erlangen.

Wie lange dauert eine TISAX®-Assessment?

Die Vorbereitung auf ein TISAX®-Assessment kann Wochen, Monate oder sogar Jahre dauern. Die eigentliche TISAX®-Bewertung dauert jedoch nur wenige Tage. Die Dauer hängt vom gewünschten TISAX®-Label und der Struktur des Unternehmens ab.

Ein Unternehmen mit vielen internationalen Standorten und einem Vor-Ort-Audit auf Assessment Level 3 benötigt mehr Zeit als ein Unternehmen mit einem Standort und einem Audit auf AL 2. Dies gilt auch, wenn der Assessment-Dienstleister internationale Teams hat, die die Arbeitslast teilen können.

---

Mit dem Tool Compliance Aspekte können Sie erheblich weniger Zeit für das Assessment und TISAX®-Implementierung aufwenden.

Wir bieten auch TISAX®-Compliance als Service an. Unsere Automobil-Compliance-Berater können den gesamten TISAX®-Implementierungsprozess für Sie im Compliance Aspekte-Tool übernehmen und Ihr Unternehmen auf das TISAX®-Assessment vorbereiten.

---

TISAX-Assessment-Checkliste: Schritte, die Sie befolgen müssen

Schritt 1: Ihr ISMS

Definieren Sie den Umfang Ihres ISMS:

• Skizzieren Sie klar die Grenzen, innerhalb derer Ihr ISMS implementiert wird. Dies umfasst alle Systeme, Prozesse, physischen Standorte, Dienstleistungen, Produkte und Abteilungen, die gemäß TISAX®-Standards geschützt werden müssen.

Listen Sie die geschützten Informationen auf:

• Erstellen Sie eine umfassende Liste aller Informationen, die geschützt werden müssen, einschließlich Daten, die in Cloud-Services gespeichert sind (z.B. Office, G-Suite), Tools wie Salesforce, Pipedrive und Slack sowie Informationen auf Servern, bei Subunternehmern/Lieferanten und von Kunden erhaltenen Daten.

Dokumentieren Sie Sicherheitsziele für Informationen:

• Definieren und dokumentieren Sie Ihre Ziele zur Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit von Unternehmensinformationen.

Entwickeln Sie Prinzipien für den sicheren Betrieb:

• Erstellen Sie Richtlinien, um Informationen vor unbefugtem Zugriff oder Änderungen zu schützen. Stellen Sie sicher, dass autorisiertes Personal jederzeit Zugang zu den Informationen hat.

Schritt 2: Ihr Team

Definieren Sie Rollen und Verantwortlichkeiten:

• Identifizieren Sie Teammitglieder, die für die Vorbereitung des Assessments verantwortlich sind. Beziehen Sie Vertreter aus verschiedenen Abteilungen ein, nicht nur aus der IT.

Implementieren Sie Mitarbeiterschulungen:

• Schulen Sie regelmäßig alle Mitarbeiter in Informationssicherheit, um sie über potenzielle Risiken und deren Auswirkungen auf den täglichen Betrieb zu informieren.

Entwickeln Sie eine Zugangskontrollrichtlinie:

• Erstellen Sie Regeln und Richtlinien für die Gewährung, Kontrolle und Überwachung des Zugangs zu Informationen.

Schritt 3: Risikobewertung und -behandlung

Definieren Sie eine Risikobewertungsmethodik:

• Erstellen Sie eine Methodik zur Bewertung von natürlichen, physischen, rechtlichen, vertraglichen, compliance- und finanziellen Risiken.

Entwickeln Sie einen Plan zur Risikobehandlung:

• Skizzieren Sie Antworten auf potenzielle Risiken, wie Serverabstürze oder kritische Ausfälle von Cloud-Diensten.

Bereiten Sie einen Risikobewertungsbericht vor:

• Fassen Sie potenzielle Bedrohungen, deren Wahrscheinlichkeit, Auswirkungen und erforderliche Sicherheitskontrollen/-maßnahmen zur Verhinderung zusammen.

Schritt 4: Kunden, Lieferanten und Partner

Entwickeln Sie eine Compliance-Richtlinie für Lieferanten:

• Definieren Sie klar die Anforderungen, Erwartungen und Sanktionen Ihres Unternehmens bei der Zusammenarbeit mit Lieferanten und Partnern.

Dokumentieren Sie Maßnahmen zum Schutz von Kundendaten:

• Stellen Sie sicher, dass persönliche oder sensible Kundendaten gemäß gesetzlichen und regulatorischen Anforderungen geschützt werden.

Erfüllen Sie gesetzliche, regulatorische und vertragliche Anforderungen:

• Dokumentieren und befolgen Sie die Anforderungen für jede Geschäftsbeziehung.

Schritt 5: Tests und Bewertung

Überwachen und bewerten Sie Ihr ISMS:

• Bewerten Sie die Wirksamkeit und den detaillierten Betrieb Ihres ISMS, einschließlich Risikoidentifikation, -bewertung, -behandlung, Dokumentationsstatus und Managementüberprüfungen.

Bewerten Sie die Überwachungsergebnisse:

• Analysieren Sie die Prävention von Vorfällen, die Wirksamkeit der Mitarbeiterschulungen und die Zielerreichung.

Dokumentieren Sie Korrekturmaßnahmen:

• Implementieren Sie Maßnahmen zur Verhinderung oder Neutralisierung von Bedrohungen, wie Zugangsschutz oder Serververlagerung.

Führen Sie eine TISAX®-Selbstbewertung durch:

• Stellen Sie die Stabilität und Wirksamkeit des ISMS sicher, indem Sie eine Selbstbewertung basierend auf dem Information Security Assessment (ISA)-Framework durchführen.

Die Hauptherausforderungen des TISAX®-Assessments

Das TISAX®-Assessment bringt, wie jede umfassende Sicherheitsprüfung, eigene Herausforderungen mit sich. Zu den Hauptherausforderungen gehören:

• Komplexität der Anforderungen: Die Einhaltung von TISAX® erfordert die Einhaltung eines detaillierten Sets von Sicherheitsanforderungen. Sicherzustellen, dass alle Aspekte abgedeckt und korrekt implementiert sind, kann eine Herausforderung sein.
• Umfangsdefinition: Die genaue Definition des Assessment-Umfangs, einschließlich aller relevanten Systeme, Prozesse und Standorte, kann komplex sein, insbesondere für große Organisationen mit vielfältigen Operationen.
• Ressourcenzuweisung: Die Durchführung eines TISAX®-Assessments erfordert erhebliche Ressourcen, einschließlich Zeit, Personal und finanzieller Mittel, was für einige Organisationen eine Herausforderung darstellen kann.
• Ständige Einhaltung: Die Aufrechterhaltung der Einhaltung der TISAX®-Anforderungen im Laufe der Zeit kann herausfordernd sein, insbesondere da sich Technologie und Sicherheitsbedrohungen weiterentwickeln.
• Zusammenarbeit mit Dritten: TISAX®-Assessments erfordern oft die Zusammenarbeit mit Drittanbietern und Partnern, um deren Sicherheitspraktiken zu bewerten, was schwierig zu koordinieren sein kann.
• Auswahl des Auditors: Die Auswahl eines qualifizierten und akkreditierten Auditors kann herausfordernd sein, da der Auditor über die notwendige Expertise und Erfahrung verfügen muss, um eine gründliches Assessment durchzuführen.
• Kosten: TISAX®-Assessments können kostspielig sein, insbesondere für Organisationen, die das Assessment zum ersten Mal durchführen oder komplexe Sicherheitsanforderungen haben.

Diese Herausforderungen erfordern sorgfältige Planung, Ressourcenzuweisung und ein kontinuierliches Engagement für bewährte Informationssicherheitspraktiken.

Fazit

Das TISAX®-Assessment ist ein detaillierter Prozess, der Automobilunternehmen hilft, hohe Informationssicherheitsstandards zu erfüllen. Durch dieses Assessment können Sie Ihre Sicherheitsmaßnahmen verbessern, Risiken besser managen und Vertrauen bei Ihren Partnern und Kunden aufbauen. Dies verschafft Ihnen nicht nur einen Wettbewerbsvorteil, sondern trägt auch zum langfristigen Erfolg bei.

Die Vorbereitung und das Bestehen des TISAX®-Assessments können herausfordernd sein, aber das ISMS-Tool von Compliance Aspekte kann helfen. Unsere benutzerfreundliche Plattform erleichtert es, Ihre Compliance-Bemühungen zu managen, Risiken zu handhaben und sich an die TISAX®-Standards anzupassen.

Kontaktieren Sie uns noch heute, um mehr darüber zu erfahren, wie die ISMS-Lösung von Compliance Aspekte Ihnen helfen kann, die TISAX®-Compliance zu erreichen. Lassen Sie uns Ihnen helfen, Ihre Daten zu schützen, Ihre Vermögenswerte zu sichern und die höchsten Informationssicherheitsstandards zu erfüllen.