Der Grundgedanke von TISAX lässt sich an einem alltäglichen Problem der Lieferkette festmachen: Große Automobilhersteller und ihre Zulieferer tauschen sensible Informationen aus – Konstruktionsdaten, Prototypen, personenbezogene Daten. Jeder Hersteller möchte sicher sein, dass seine Partner diese Informationen angemessen schützen. Früher führte das dazu, dass ein Zulieferer von jedem seiner Kunden ein eigenes Sicherheitsaudit über sich ergehen lassen musste. TISAX beseitigt diese Vielfachprüfung: Ein Unternehmen lässt seine Informationssicherheit einmal nach einem gemeinsamen Maßstab bewerten und teilt das Ergebnis mit allen berechtigten Partnern.
Historisch entstand TISAX aus einer Initiative des Verbands der Automobilindustrie (VDA). Der VDA hatte bereits einen Fragenkatalog zur Selbsteinschätzung der Informationssicherheit entwickelt – das sogenannte VDA ISA (Information Security Assessment). Um daraus einen belastbaren, gegenseitig anerkannten Nachweis zu machen, wurde ein neutraler Betreiber gebraucht, der die Prüfungen ordnet, Prüfdienstleister akkreditiert und den Austausch der Ergebnisse organisiert. Diese Rolle übernimmt die ENX Association.
Die ENX Association ist ein Zusammenschluss von Automobilherstellern, Zulieferern und Verbänden mit Sitz in Europa. Sie betreibt TISAX als neutrale Instanz: Sie legt die Regeln fest, nach denen Prüfungen ablaufen, akkreditiert die Prüfdienstleister (Audit-Provider), sorgt für ein einheitliches Qualitätsniveau und stellt die Plattform bereit, über die geprüfte Ergebnisse ausgetauscht werden. Wichtig ist, dass ENX die Prüfungen nicht selbst durchführt, sondern den Rahmen setzt und überwacht – die eigentlichen Assessments erledigen unabhängige, akkreditierte Prüfdienstleister.
Für das Verständnis ist der neutrale, gemeinschaftlich getragene Charakter entscheidend. TISAX gehört keinem einzelnen Hersteller und ist kein proprietäres Produkt. Der Standard ist offen dokumentiert, die Regeln gelten für alle Teilnehmer gleichermaßen, und der Austausch der Ergebnisse erfolgt kontrolliert über eine gemeinsame Plattform. Für Zulieferer bedeutet das eine gewisse Unabhängigkeit: Sie erfüllen einen branchenweit anerkannten Maßstab, statt sich immer wieder neuen, kundenindividuellen Prüfanforderungen zu beugen.
Dass ausgerechnet die Automobilbranche einen eigenen Standard entwickelt hat, ist kein Zufall. Kaum eine andere Industrie verfügt über eine so tief gestaffelte, international verzweigte Lieferkette mit Zehntausenden von Zulieferern über mehrere Ebenen (Tier 1, Tier 2 und darunter). Gleichzeitig ist der Schutzbedarf hoch: Es geht um Konstruktions- und Prototypendaten, um geistiges Eigentum und um vertrauliche Entwicklungsprojekte, deren vorzeitiges Bekanntwerden erheblichen wirtschaftlichen Schaden anrichten kann. Ein einheitlicher, gegenseitig anerkannter Prüfmaßstab senkt in dieser Konstellation den Gesamtaufwand für alle Beteiligten erheblich.
Hinzu kommt die enge Verzahnung der Entwicklungsprozesse: Zulieferer arbeiten oft frühzeitig an noch unveröffentlichten Modellen mit und erhalten Zugang zu hochsensiblen Informationen. Für den Hersteller ist es deshalb existenziell, dass jeder Partner ein nachgewiesenes Mindestniveau an Informationssicherheit einhält. TISAX macht dieses Niveau sichtbar, vergleichbar und – über die Austauschplattform – für die berechtigten Partner nachvollziehbar, ohne dass jeder Hersteller selbst prüfen muss.
Um TISAX zu verstehen, hilft es, drei Ebenen zu trennen: was geprüft wird (der VDA-ISA-Katalog mit seinen Anforderungen), wozu geprüft wird (die Prüfziele, engl. Assessment Objectives) und wie tief geprüft wird (das Prüf- beziehungsweise Assessment-Level). Diese Ebenen greifen ineinander und ergeben in Kombination den konkreten Prüfumfang, den ein Kunde von seinem Zulieferer verlangt.
Der VDA-ISA-Katalog ist eine strukturierte Liste von Anforderungen an die Informationssicherheit, gegliedert in thematische Bereiche. Er deckt organisatorische Aspekte wie Sicherheitsrichtlinien, Verantwortlichkeiten und Risikomanagement ebenso ab wie personelle Themen (etwa Sensibilisierung und Umgang mit Mitarbeitenden), physische Sicherheit (Zutritt, Gebäude), den Betrieb der IT (Zugriffe, Netzwerke, Datensicherung) sowie den Umgang mit Lieferanten und Vorfällen. Der Katalog ist inhaltlich eng an etablierte Sicherheitsstandards angelehnt, insbesondere an die international verbreitete Norm für Informationssicherheits-Managementsysteme, ergänzt um automobilspezifische Anforderungen.
Wichtig ist, dass der Katalog nicht als starre Checkliste zu verstehen ist, die man nur „abhakt“. Vielmehr fragt er nach dem Vorhandensein und der Wirksamkeit von Maßnahmen und verlangt Nachweise dafür, dass Sicherheit tatsächlich gelebt wird. Der VDA aktualisiert den Katalog von Zeit zu Zeit, um ihn an neue Bedrohungslagen und regulatorische Entwicklungen anzupassen; welche Version jeweils maßgeblich ist, sollte zu Beginn eines Vorhabens auf dem aktuellen Stand geprüft werden.
TISAX kennt unterschiedliche Prüfziele, die abbilden, welche Art von Schutzbedarf im Vordergrund steht. Im Kern lassen sich drei Themenfelder unterscheiden: die allgemeine Informationssicherheit (der Schutz vertraulicher Informationen ganz grundsätzlich), der Prototypenschutz (besondere Anforderungen für Unternehmen, die mit physischen Prototypen, Bauteilen oder Erlkönigen umgehen) und der Datenschutz (Anforderungen mit Bezug zum Umgang mit personenbezogenen Daten). Welche Prüfziele für ein Unternehmen relevant sind, ergibt sich aus der Art der Zusammenarbeit mit seinen Kunden.
Ein reiner Software- oder Dienstleistungszulieferer ohne physische Prototypen wird typischerweise vor allem im Bereich Informationssicherheit geprüft, während ein Betrieb, der an Fahrzeugteilen für unveröffentlichte Modelle arbeitet, zusätzlich den Prototypenschutz nachweisen muss. Die genaue Kombination der Prüfziele gibt in aller Regel der Kunde vor – er teilt dem Zulieferer mit, welchen Nachweis er erwartet. Deshalb ist die frühe Klärung mit den relevanten Kunden ein wichtiger erster Schritt.
Neben dem Was und Wozu bestimmt das Prüf- oder Assessment-Level die Tiefe der Prüfung. Höhere Schutzbedarfe – etwa besonders sensible Informationen oder Prototypen – erfordern eine gründlichere Prüfung, die über die reine Selbsteinschätzung hinaus auch eine Begutachtung vor Ort oder eine intensivere Nachweisführung umfassen kann. Je höher das Niveau, desto belastbarer ist die Aussage, aber desto aufwendiger ist auch die Prüfung. Das jeweils geforderte Niveau leitet sich aus dem Schutzbedarf und den Vorgaben des Kunden ab.
Das Ergebnis einer erfolgreichen Prüfung wird in Form eines TISAX-Labels dokumentiert. Ein Label steht qualitativ für eine bestimmte Kombination aus Prüfziel und Prüfniveau und signalisiert den berechtigten Partnern, dass das geprüfte Unternehmen die entsprechenden Anforderungen erfüllt. Die Labels werden nicht öffentlich verteilt, sondern kontrolliert über die ENX-Plattform mit ausgewählten Partnern geteilt. Wie viele Prüfziele und Labelvarianten es genau gibt und wie sie im Detail benannt sind, ändert sich mit den Versionen des Standards und ist jeweils am aktuellen Stand zu prüfen.
Der entscheidende Unterschied zwischen einer bloßen Checkliste und einem Reifegradmodell liegt in der Frage nach der Qualität. Es genügt bei TISAX nicht, dass eine Richtlinie irgendwo abgelegt ist. Gefragt ist, ob sie bekannt ist, angewendet wird, ihre Wirksamkeit überprüft und bei Bedarf verbessert wird. Diese Sichtweise verschiebt den Fokus von der reinen Dokumentation hin zur tatsächlich gelebten Sicherheitspraxis – und genau das prüft ein Assessment.
Für jede Anforderung des VDA-ISA-Katalogs wird ein Reifegrad bestimmt. Das Modell orientiert sich an einem gestuften Ansatz, wie man ihn aus dem Prozessmanagement kennt: Auf einer unteren Stufe ist eine Maßnahme gar nicht oder nur unvollständig vorhanden. Auf einer mittleren Stufe existiert sie und wird angewendet, ist aber noch nicht durchgängig dokumentiert oder überprüft. Auf den höheren Stufen ist die Maßnahme etabliert, wird nachvollziehbar dokumentiert, regelmäßig auf Wirksamkeit geprüft und kontinuierlich verbessert. Je höher der Reifegrad, desto verlässlicher und nachhaltiger wirkt die Maßnahme.
In der Praxis wird für jede Anforderung ein Soll-Reifegrad definiert, den das Unternehmen erreichen soll, und der tatsächliche Ist-Reifegrad ermittelt. Die Differenz zwischen Soll und Ist bildet die Grundlage für die Priorisierung von Maßnahmen. Diese Reifegrad-Logik macht TISAX zu einem Instrument der kontinuierlichen Verbesserung: Es geht nicht um ein einmaliges Bestehen, sondern um den Aufbau eines dauerhaft wirksamen Managementsystems für Informationssicherheit.
Die Anforderungen erstrecken sich über die gesamte Breite eines Informationssicherheits-Managementsystems. Dazu gehören organisatorische Maßnahmen (Sicherheitsleitlinie, Rollen und Verantwortlichkeiten, Risikomanagement, Umgang mit Vorfällen), personelle Maßnahmen (Sensibilisierung, Regelungen für Ein- und Austritt von Mitarbeitenden), physische Maßnahmen (Zutrittskontrolle, Schutz von Räumen und Geräten) und technische Maßnahmen (Zugriffsverwaltung, Netzwerksicherheit, Datensicherung, Verschlüsselung, Protokollierung). Hinzu kommen Anforderungen an das Management von Lieferanten und, wo relevant, spezifische Vorgaben zum Prototypen- oder Datenschutz.
Diese Breite verdeutlicht, dass TISAX kein reines IT-Thema ist. Zwar spielt die Technik eine wichtige Rolle, doch ein großer Teil der Anforderungen betrifft Organisation, Prozesse und Menschen. Ein Vorhaben, das TISAX allein der IT-Abteilung überlässt, greift deshalb zu kurz. Erfolgreiche Umsetzungen binden die Geschäftsführung, die Fachbereiche und häufig auch Personal- und Facility-Verantwortliche ein, weil Informationssicherheit als Querschnittsaufgabe verstanden werden muss.
Aus dem Abgleich von Soll- und Ist-Reifegraden entsteht typischerweise eine Gap-Analyse: eine Übersicht darüber, welche Anforderungen bereits erfüllt sind und wo Lücken bestehen. Diese Analyse ist der Ausgangspunkt für eine priorisierte Roadmap, die festlegt, welche Maßnahmen mit welchem Aufwand und in welcher Reihenfolge umgesetzt werden. Sinnvoll ist es, kritische Lücken mit hohem Risiko zuerst zu schließen und den Aufbau des Managementsystems planvoll zu gestalten, statt punktuell einzelne Anforderungen abzuarbeiten.
Für den Mittelstand ist dabei die realistische Erwartung wichtig: Der Aufbau des geforderten Reifegrads braucht Zeit, weil sich gelebte Praxis nicht über Nacht etablieren lässt. Eine Richtlinie kann man schnell schreiben; dass sie bekannt ist, angewendet und überprüft wird, entsteht erst über Wochen und Monate. Wer diese Vorlaufzeit einplant, vermeidet, dass ein Prüftermin zu früh angesetzt wird und die gewünschte Reife noch nicht nachweisbar ist.
Ein häufiges Missverständnis ist, dass ein Tool den Reifegrad „herstellt“. Das ist nicht der Fall: Software dokumentiert, ordnet und erinnert, aber sie ersetzt weder die inhaltliche Arbeit noch die gelebte Praxis. Trotzdem kann der richtige Werkzeugeinsatz spürbar entlasten, weil er die schiere Menge an Nachweisen beherrschbar macht und wiederkehrende Aufgaben – etwa das Nachhalten von Maßnahmen oder Wiedervorlagen – strukturiert. Der Nutzen liegt in Ordnung und Nachvollziehbarkeit, nicht in einer vermeintlichen Automatik der Sicherheit.
Werkzeuge für GRC (Governance, Risk, Compliance) und für den Betrieb eines Informationssicherheits-Managementsystems (ISMS) bilden den Anforderungskatalog, die Maßnahmen und die Risiken strukturiert ab. Sie erlauben es, Anforderungen zu erfassen, ihnen verantwortliche Personen und Fristen zuzuordnen, den Umsetzungsstand zu verfolgen und Reifegrade zu dokumentieren. Manche Lösungen bringen bereits Vorlagen mit, die sich am VDA-ISA-Katalog oder an verwandten Normen orientieren, was den Einstieg erleichtern kann. Ob und wie gut eine Lösung den VDA-ISA-Katalog abbildet, ist im Auswahlprozess konkret zu prüfen.
Der Wert solcher Werkzeuge steigt mit der Größe und Komplexität der Organisation. Ein kleiner Betrieb kommt unter Umständen mit strukturierten Dokumenten und einer soliden Ablage aus, während ein größerer Zulieferer mit mehreren Standorten von einer zentralen Plattform profitiert, die Verantwortlichkeiten, Fristen und Nachweise über die gesamte Organisation hinweg konsolidiert. Die Werkzeugfrage sollte deshalb an der tatsächlichen Komplexität ausgerichtet werden, nicht am größtmöglichen Funktionsumfang.
Ein zentraler Aspekt jeder Prüfung ist das Evidenzmanagement – das geordnete Sammeln und Bereithalten von Nachweisen, die belegen, dass eine Maßnahme tatsächlich umgesetzt ist und wirkt. Das reicht von Richtliniendokumenten über Protokolle und Screenshots bis zu Schulungsnachweisen und Prüfberichten. Werkzeuge können diese Nachweise den jeweiligen Anforderungen zuordnen, versionieren und mit Wiedervorlagen versehen, sodass zum Prüftermin eine vollständige, nachvollziehbare Nachweislage vorliegt.
Der Automatisierungsgewinn ist hier real, aber begrenzt: Bestimmte Nachweise lassen sich technisch erzeugen oder aktuell halten – etwa Berichte aus Sicherheitssystemen. Andere, insbesondere organisatorische und personelle Nachweise, entstehen weiterhin durch menschliche Arbeit. Eine realistische Erwartung lautet deshalb, dass Werkzeuge die Nachweisführung ordnen und beschleunigen, die Verantwortung für Vollständigkeit und Richtigkeit aber beim Unternehmen bleibt.
So hilfreich Werkzeuge sind – die inhaltlichen Kernfragen der Informationssicherheit lassen sich nicht wegautomatisieren. Ob ein Zugriffskonzept angemessen ist, ob Risiken richtig bewertet wurden oder ob Mitarbeitende sensibilisiert sind, bleibt eine Frage fachlicher Beurteilung und gelebter Kultur. Ein Werkzeug, das mit unrealistischen Angaben gefüttert wird, produziert lediglich ein aufgeräumtes, aber falsches Bild – und ein Assessment deckt solche Diskrepanzen erfahrungsgemäß auf.
Für die Praxis empfiehlt sich deshalb ein nüchterner Blick: Ein Werkzeug ist ein Mittel zur Strukturierung und Effizienz, kein Ersatz für die eigentliche Sicherheitsarbeit. Bei der Auswahl zählen die Passung zum VDA-ISA-Katalog, die Nutzbarkeit im Alltag, die Integrierbarkeit in bestehende Systeme sowie – wie bei jeder Software, die sensible Daten verarbeitet – der Serverstandort und die datenschutzrechtliche Ausgestaltung. Diese Kriterien sind herstellerneutral zu prüfen, ohne sich vorschnell an einen Anbieter zu binden.
Der eigentliche Mehrwert von TISAX entsteht nicht durch die Prüfung allein, sondern durch den kontrollierten Austausch ihrer Ergebnisse. Eine Sicherheitsprüfung, deren Ergebnis niemand teilen kann, hätte wenig Nutzen für eine Lieferkette. TISAX organisiert deshalb sowohl die Prüfung als auch den geordneten Austausch – und genau darin liegt der Unterschied zu einem rein internen Sicherheitsprojekt.
Die eigentlichen Prüfungen führen unabhängige, von ENX akkreditierte Prüfdienstleister (Audit-Provider) durch. Sie sind nicht Teil von ENX, sondern eigenständige Unternehmen, die sich einem Akkreditierungsverfahren unterzogen haben und nach einheitlichen Regeln arbeiten. Diese Trennung sichert die Neutralität: Weil ENX die Regeln setzt und die Provider akkreditiert, aber nicht selbst prüft, und weil die Provider unabhängig vom geprüften Unternehmen sind, entsteht ein belastbares, gegenseitig anerkanntes Ergebnis. Das geprüfte Unternehmen wählt seinen Prüfdienstleister aus dem Kreis der akkreditierten Anbieter aus.
Für Unternehmen bedeutet das, dass die Auswahl des Prüfdienstleisters ein eigener, bewusster Schritt ist. Kriterien sind neben der Akkreditierung etwa Verfügbarkeit, Erfahrung mit der eigenen Branche und Unternehmensgröße, Sprache und regionale Präsenz. Da die Ergebnisse dank einheitlicher Regeln branchenweit anerkannt werden, geht es bei der Wahl weniger um das Ergebnisniveau als um eine reibungslose, kompetente Durchführung der Prüfung.
Das Herzstück des Ökosystems ist die ENX-Plattform, über die Unternehmen sich registrieren, ihren Prüfumfang festlegen und – nach erfolgreicher Prüfung – ihre Ergebnisse mit ausgewählten Partnern teilen. Der Austausch erfolgt kontrolliert: Ein Unternehmen entscheidet, welchem Kunden es welche Ergebnisse zugänglich macht. Ergebnisse sind also nicht öffentlich einsehbar, sondern werden gezielt und nachvollziehbar geteilt. So erreicht ein Zulieferer, dass mehrere Kunden denselben Nachweis anerkennen, ohne jeweils eine eigene Prüfung zu verlangen.
Dieser Mechanismus ist der Kern des „Exchange“ im Namen TISAX. Er verwandelt eine einzelne Prüfung in einen wiederverwendbaren Nachweis und beseitigt die Vielfachprüfung, die vor TISAX üblich war. Für den Zulieferer sinkt dadurch der wiederkehrende Aufwand erheblich; für den Kunden entsteht Verlässlichkeit, weil er auf ein geprüftes, standardisiertes Ergebnis vertrauen kann.
Vereinfacht verläuft der Weg in mehreren Etappen: Zunächst registriert sich das Unternehmen und legt den Prüfumfang fest – also die relevanten Prüfziele und das Prüfniveau. Anschließend bereitet es sich vor, indem es den geforderten Reifegrad aufbaut und die Nachweise ordnet. Danach beauftragt es einen akkreditierten Prüfdienstleister, der die Prüfung durchführt. Bei erfolgreichem Abschluss wird das Ergebnis dokumentiert, und das Unternehmen kann das entsprechende Label über die Plattform mit den berechtigten Kunden teilen.
Wichtig ist das Verständnis, dass die Prüfung ein definierter Geltungsbereich (Scope) hat – etwa bestimmte Standorte oder Bereiche. Was außerhalb dieses Scopes liegt, ist vom Nachweis nicht abgedeckt. Der Scope wird deshalb bewusst festgelegt und sollte zu den Erwartungen der Kunden passen. Die genaue Ausgestaltung der einzelnen Schritte und die Gültigkeit der Ergebnisse richten sich nach den Regeln von ENX in der jeweils aktuellen Fassung, die zu Beginn eines Vorhabens zu prüfen sind.
Wer sich mit TISAX beschäftigt, stößt schnell auf verwandte Begriffe und fragt sich, wie sie zusammenhängen. Statt sie gegeneinander auszuspielen, ist es hilfreich, ihre unterschiedlichen Rollen zu verstehen. Manche sind freiwillig, andere verpflichtend; manche international, andere branchen- oder länderspezifisch; manche zielen auf ein Managementsystem, andere auf den Austausch von Nachweisen. Diese Klärung nimmt viel Verwirrung aus der Diskussion.
Die ISO/IEC 27001 ist die international führende Norm für Informationssicherheits-Managementsysteme (ISMS). Sie ist branchenübergreifend und über eine akkreditierte Zertifizierungsstelle zertifizierbar. TISAX ist inhaltlich eng mit dieser Norm verwandt – der VDA-ISA-Katalog orientiert sich an ihr –, unterscheidet sich aber in Zweck und Kontext: TISAX ist speziell auf die Automobilindustrie zugeschnitten, ergänzt automobilspezifische Themen wie den Prototypenschutz und legt besonderen Wert auf den kontrollierten Austausch der Ergebnisse innerhalb der Branche.
In der Praxis bedeutet die Verwandtschaft, dass ein Unternehmen mit einem gut geführten ISMS nach ISO 27001 eine solide Grundlage für TISAX mitbringt – gleichsetzen lassen sich beide jedoch nicht. Eine ISO-27001-Zertifizierung ist kein automatischer TISAX-Nachweis, und umgekehrt. Wer beide Welten bedient, kann Synergien nutzen, muss aber die jeweils spezifischen Anforderungen erfüllen. Der eigenständige Beitrag zur ISO 27001 vertieft die Norm; für die Abgrenzung genügt das Verständnis der engen, aber nicht deckungsgleichen Verwandtschaft.
Der BSI IT-Grundschutz ist ein vom deutschen Bundesamt für Sicherheit in der Informationstechnik herausgegebenes, methodisches Rahmenwerk zum Aufbau von Informationssicherheit. Er ist besonders im öffentlichen Sektor und bei kritischen Infrastrukturen verbreitet und bietet einen sehr detaillierten, bausteinorientierten Ansatz. Auch der IT-Grundschutz lässt sich mit der ISO 27001 in Beziehung setzen. Für TISAX ist er insofern relevant, als Unternehmen, die bereits nach IT-Grundschutz arbeiten, ebenfalls eine methodische Grundlage besitzen, auf der sich die TISAX-Anforderungen aufbauen lassen.
Der Unterschied liegt im Fokus: BSI IT-Grundschutz ist ein umfassendes Vorgehensmodell mit deutschem Ursprung und starker Verankerung in Verwaltung und kritischen Infrastrukturen, während TISAX ein branchenspezifischer Austauschmechanismus der Automobilindustrie ist. Beide können koexistieren; ein Automobilzulieferer, der auch in andere Sektoren liefert, kann von einer gemeinsamen methodischen Basis profitieren. Der eigenständige Beitrag zum BSI-Grundschutz behandelt das Rahmenwerk im Detail.
NIS2 ist eine europäische Regulierung zur Erhöhung der Cybersicherheit, die für bestimmte Unternehmen und Sektoren verpflichtende Anforderungen an das Sicherheitsniveau und an Meldepflichten mit sich bringt. Anders als TISAX, ISO 27001 und BSI IT-Grundschutz ist NIS2 kein freiwilliger Standard, sondern gesetzlich getriebene Pflicht – der entscheidende Unterschied. Ob und in welchem Umfang ein Unternehmen unter NIS2 fällt, hängt von Sektor, Größe und weiteren Kriterien ab und ist eine rechtliche Frage, die nicht durch TISAX beantwortet wird.
Für betroffene Unternehmen können sich die Welten überschneiden: Wer ein reifes Informationssicherheits-Managementsystem betreibt – ob mit Blick auf TISAX, ISO 27001 oder IT-Grundschutz –, hat in der Regel auch für NIS2 eine tragfähige Grundlage geschaffen. Ein TISAX-Label ersetzt jedoch nicht die eigenständige Prüfung und Erfüllung regulatorischer Pflichten. Ob NIS2 einschlägig ist und welche Pflichten konkret gelten, ist rechtlich zu klären; der eigenständige Beitrag zu NIS2 gibt eine erste Orientierung, ersetzt aber keine Rechtsberatung.
TISAX wird selten „auf der grünen Wiese“ eingeführt. Fast immer gibt es bereits gewachsene IT-Strukturen, Prozesse und eine bestimmte Sicherheitskultur. Ein gutes Vorgehen respektiert diese Ausgangslage und plant den Weg schrittweise – überstürzte Prüftermine sind eine der häufigsten Ursachen für unnötige Nacharbeit. Bewährt hat sich, mit einer ehrlichen Standortbestimmung zu beginnen und von dort aus planvoll den geforderten Reifegrad aufzubauen.
Am Anfang steht die Registrierung über die ENX-Plattform und die Festlegung des Prüfumfangs. Hier werden die relevanten Prüfziele (Informationssicherheit, gegebenenfalls Prototypenschutz und Datenschutz) und das Prüfniveau bestimmt, außerdem der Geltungsbereich (Scope) – etwa welche Standorte, Bereiche oder Prozesse abgedeckt sein sollen. Diese Weichenstellung sollte eng mit den Anforderungen der Kunden abgestimmt werden, denn ein zu enger Scope kann dazu führen, dass der Nachweis für die tatsächliche Zusammenarbeit nicht ausreicht.
Die Scope-Definition wirkt technisch, hat aber erhebliche praktische Bedeutung. Sie bestimmt Aufwand, Kosten und Aussagekraft des Nachweises zugleich. Ein bewusst und realistisch gewählter Geltungsbereich, der zu den Kundenanforderungen passt, ist deshalb eine der wichtigsten frühen Entscheidungen im gesamten Vorhaben.
Vor dem eigentlichen Audit steht die Selbsteinschätzung (Self-Assessment) anhand des VDA-ISA-Katalogs. Das Unternehmen bewertet für jede Anforderung seinen Ist-Reifegrad und vergleicht ihn mit dem geforderten Soll. Aus dieser Gap-Analyse entsteht eine priorisierte Liste von Maßnahmen. Die anschließende Umsetzungsphase ist erfahrungsgemäß der zeitintensivste Teil, weil hier die eigentliche Arbeit stattfindet: Richtlinien werden erstellt und bekannt gemacht, technische und organisatorische Maßnahmen umgesetzt, Mitarbeitende sensibilisiert und Nachweise geordnet.
Realistisch ist einzuplanen, dass diese Phase Zeit braucht, weil gelebte Praxis nicht sofort entsteht. Ein Selbst-Assessment, das ehrlich ist und Lücken benennt, ist wertvoller als ein geschöntes, das im Audit auffällt. Genau an dieser Stelle ist eine erfahrene, herstellerneutrale Begleitung nützlich, weil sie hilft, Lücken realistisch zu bewerten und Maßnahmen sinnvoll zu priorisieren.
Ist die geforderte Reife erreicht, führt der beauftragte akkreditierte Prüfdienstleister das Audit durch. Je nach Prüfniveau umfasst dies die Sichtung von Nachweisen und – bei höheren Niveaus – auch eine Begutachtung vor Ort. Werden dabei Abweichungen festgestellt, folgt in der Regel eine Phase zur Behebung, bevor das Ergebnis final ist. Bei erfolgreichem Abschluss wird das Ergebnis dokumentiert und das entsprechende Label vergeben, das anschließend über die Plattform mit berechtigten Kunden geteilt werden kann.
Ein TISAX-Ergebnis ist zeitlich befristet gültig und muss nach Ablauf erneuert werden – die konkrete Gültigkeitsdauer ist am aktuellen Stand der ENX-Regeln zu prüfen und wird hier bewusst nicht als feste Zahl genannt. Wichtig ist die Konsequenz für die Planung: TISAX ist kein einmaliges Projekt, sondern ein wiederkehrender Zyklus. Wer das Managementsystem dauerhaft pflegt, hält den Reifegrad und erleichtert die spätere Erneuerung erheblich.
Der Mittelstand bildet das Rückgrat der Automobil-Lieferkette – vom spezialisierten Teilelieferanten über den Werkzeugbauer bis zum Engineering- oder IT-Dienstleister. Für diese Betriebe hat sich TISAX von einem Wettbewerbsvorteil zu einer Grundvoraussetzung entwickelt: Zunehmend machen Hersteller und Tier-1-Zulieferer einen gültigen TISAX-Nachweis zur Bedingung für die Zusammenarbeit. Wer ihn nicht vorweisen kann, wird in Ausschreibungen häufig gar nicht erst berücksichtigt.
Die wachsende Bedeutung von TISAX hat einen einfachen Hintergrund: Die Automobilindustrie hat erkannt, dass die Sicherheit einer Lieferkette nur so stark ist wie ihr schwächstes Glied. Ein einzelner unzureichend geschützter Zulieferer kann zum Einfallstor für Angriffe oder zum Leck für vertrauliche Entwicklungsdaten werden. Deshalb verlagern Hersteller und große Zulieferer die Anforderung an nachgewiesene Informationssicherheit systematisch in ihre Lieferkette hinein – und TISAX ist das etablierte Instrument, um diesen Nachweis zu standardisieren.
Für den Mittelstand hat das eine doppelte Konsequenz. Einerseits entsteht ein echter Aufwand, der Ressourcen bindet und für kleinere Betriebe herausfordernd sein kann. Andererseits eröffnet ein solider TISAX-Nachweis Zugang zu Aufträgen, die ohne ihn verschlossen blieben. Wer TISAX strategisch angeht, verwandelt eine Pflicht in einen Wettbewerbsvorteil: Ein reifes Sicherheitsmanagement ist auch unabhängig vom Label ein Wert an sich, weil es Risiken senkt und die Widerstandsfähigkeit des Unternehmens erhöht.
Gerade für kleinere Zulieferer und Dienstleister ist eine ehrliche Einordnung wichtig. TISAX bedeutet Aufwand, und dieser Aufwand steht in einem Verhältnis zum Nutzen: Wer intensiv in die Automobil-Lieferkette eingebunden ist oder es werden will, kommt an dem Nachweis kaum vorbei. Wer nur am Rande und ohne Zugang zu sensiblen Daten mitwirkt, sollte die konkrete Anforderung mit seinen Kunden klären, bevor er investiert. Die pauschale Aussage „jeder braucht TISAX“ ist ebenso falsch wie ihr Gegenteil – entscheidend ist die konkrete Kundenanforderung.
Für die Umsetzung empfiehlt sich ein pragmatischer, an der eigenen Größe orientierter Ansatz. Kleinere Betriebe müssen nicht die Strukturen eines Konzerns aufbauen, sondern ein angemessenes, wirksames Sicherheitsmanagement, das zum tatsächlichen Risiko passt. Eine herstellerneutrale Begleitung hilft, den Aufwand realistisch zu halten und die Maßnahmen auf das Wesentliche zu fokussieren, statt in überzogene Bürokratie zu verfallen.
Verlässliche Aussagen zu Preisen lassen sich seriös nur eingeschränkt treffen: Der Aufwand hängt vom gewählten Prüfumfang, dem Prüfniveau, der Zahl der Standorte, dem Ausgangs-Reifegrad und dem gewählten Prüfdienstleister ab und verändert sich über die Zeit. Dieser Beitrag nennt deshalb bewusst keine konkreten Preise, sondern erläutert die Kostenlogik und verweist für belastbare Zahlen auf den jeweiligen Prüfdienstleister und die aktuellen ENX-Rahmenbedingungen.
Die Gesamtkosten eines TISAX-Vorhabens setzen sich aus mehreren Bausteinen zusammen: den externen Prüfkosten des akkreditierten Dienstleisters, den Registrierungs- und Plattformkosten im Rahmen des ENX-Ökosystems sowie – meist am gewichtigsten – dem internen Aufwand für den Aufbau des Reifegrads, also Personalzeit für Maßnahmen, Dokumentation, Sensibilisierung und gegebenenfalls technische Investitionen. Häufig unterschätzt wird, dass nicht die Prüfung selbst, sondern die Vorbereitung den größten Teil des Aufwands ausmacht.
Für eine belastbare Kalkulation empfiehlt sich eine ehrliche Standortbestimmung: Je höher der Ausgangs-Reifegrad, desto geringer der Vorbereitungsaufwand. Ein Unternehmen mit bereits etabliertem Sicherheitsmanagement – etwa in Anlehnung an ISO 27001 – startet günstiger als eines, das bei null beginnt. Pauschale Preisangaben aus Sekundärquellen sind in diesem Feld regelmäßig unvollständig oder veraltet; maßgeblich sind ein konkretes Angebot des Prüfdienstleisters und eine realistische Einschätzung des internen Aufwands.
Im Zuge eines TISAX-Vorhabens werden sensible Informationen und – je nach Prüfziel – auch personenbezogene Daten verarbeitet, etwa in Dokumentationen, Nachweisen oder unterstützenden Werkzeugen. Weil dabei häufig externe Werkzeuge oder Dienstleister zum Einsatz kommen, ist die datenschutzrechtliche Ausgestaltung relevant. Zentral sind die Fragen, wo Daten verarbeitet und gespeichert werden, ob eine Verarbeitung in Rechenzentren innerhalb Deutschlands oder der EU angeboten wird und ob ein Datentransfer in Drittländer stattfindet.
Praktisch bedeutet das: Wer Werkzeuge oder Dienstleister für die Vorbereitung auswählt, sollte gezielt den Serverstandort und die datenschutzfreundlichere Option bevorzugen, sofern verfügbar. Ebenso gehören der Auftragsverarbeitungsvertrag (AVV), die Liste der Unterauftragsverarbeiter und vertragliche Garantien für etwaige Drittlandtransfers in jede Prüfung. Da es bei TISAX gerade um Informationssicherheit geht, wäre es widersprüchlich, die Datenhoheit bei den unterstützenden Werkzeugen zu vernachlässigen – dieser Aspekt verdient besondere Aufmerksamkeit.
Ein Punkt, der beim Fokus auf die Prüfung leicht übersehen wird, ist die Nachhaltigkeit des Aufwands. Weil ein TISAX-Ergebnis befristet gilt und regelmäßig erneuert werden muss, lohnt es sich, das Sicherheitsmanagement von Anfang an als dauerhaften Prozess zu gestalten, statt es nur für einen Prüftermin „hochzufahren“. Ein gepflegtes Managementsystem hält den Reifegrad und senkt den Aufwand künftiger Erneuerungen erheblich – die anfängliche Investition zahlt sich über mehrere Zyklen aus.
Daraus folgt, dass TISAX weniger als Projekt und mehr als Betriebsaufgabe zu verstehen ist. Welche Fristen, Erneuerungszyklen und konkreten Anforderungen im Einzelfall gelten, richtet sich nach den aktuellen ENX-Regeln und ist am aktuellen Stand zu prüfen. Die Verwandtschaft zu ISO 27001 und BSI IT-Grundschutz behandeln die eigenständigen Beiträge; für die Kostenlogik genügt das Verständnis, dass ein tragfähiges, gelebtes Managementsystem die nachhaltigste Investition ist.
