TISAX-Zertifizierung: So gewährleistet die Automobilbranche IT-Sicherheit

NIS2 ist aktuell in aller Munde. Spätestens ab Oktober müssen alle betroffenen Unternehmen auch in Deutschland handeln. Die Automobilbranche hat sich bereits vor einiger Zeit auf die TISAX-Zertifizierung verständigt, um einheitliche Sicherheitsstandards sicherzustellen. Doch was verbirgt sich hinter dieser Zertifizierung und welche Anforderungen müssen Unternehmen erfüllen? Wir geben Ihnen einen umfassenden Überblick.

Die Bedeutung von TISAX für die Automobilindustrie

Die Automobilindustrie ist eine der innovativsten und dynamischsten Branchen. Jedes neue Fahrzeugmodell, jede neue Technologie wird von großen Teams entwickelt, die hohe Sicherheitsstandards erfüllen müssen, um Datenlecks und Reputationsschäden zu verhindern.

Deshalb hat die Branche die TISAX-Zertifizierung (Trusted Information Security Assessment Exchange) eingeführt, die auf dem ISO 27001-Standard basiert. Dieser europäische Prüfmechanismus stellt sicher, dass alle Partner und Zulieferer höchste Sicherheitsstandards einhalten und keine sensiblen Daten öffentlich werden.

Genau wie bei der ISO 27001 geht es bei TISAX um Vorgaben im Hinblick auf die Strukturierung, die Abwicklung und den Betrieb von ISM-Systemen. Die Sicherheitsvorgaben bleiben also fast gleich. TISAX ergänzt nur weitere Anforderungen speziell für Prototypen und Datenschutz

Was ist TISAX

TISAX definiert die Standards für Informationssicherheits-Management-Systeme (ISMS) in der Automobilindustrie. Es handelt sich dabei um ein Gutachten, das auf der ISO-Norm 27001 basiert. Ziel ist es, sicherzustellen, dass keine unternehmensbezogenen Daten nach außen dringen und bestmöglich geschützt sind. Die ENX Association, der Verband der europäischen Automobilindustrie, verwaltet die TISAX-Marke bereits seit dem Jahr 2000.

Die TISAX-Zertifizierung wird durch den ISA-Fragebogen (Information Security Assessment) durchgeführt, den der Verband der Deutschen Automobilindustrie bereitstellt.

TISAX und ISO 27001

TISAX basiert auf den Standards der internationalen Norm ISO 27001. TISAX ergänzt diese Vorgaben um spezifische Anforderungen für Prototypen und Datenschutz, die sich besonders an die Automobilbranche richten.

Eine TISAX-Zertifizierung ist nicht gesetzlich vorgeschrieben, wird jedoch von nahezu allen Unternehmen in der Automobilbranche erwartet. Unternehmen, die mit Autoherstellern zusammenarbeiten möchten, sollten daher eine TISAX-Zertifizierung anstreben, um auf dem Markt akzeptiert zu werden. Das TISAX Assessment bedarf einer langfristigen Planung und Vorbereitung. Unternehmen sollten also möglichst frühzeitig mit der Umsetzung beginnen.

Anforderungen für die TISAX-Zertifizierung

Grundsätzlich ist jedes Unternehmen in der Lage, den TISAX zu erfüllen – mit ausreichender Vorbereitung. Je nach Unternehmensgröße steigt auch der Aufwand zur Erfüllung der Anforderungen. Denn je größer ein Unternehmen ist, desto komplexer sind auch die Prozesse, die zur Einhaltung der Vorgaben optimiert werden müssen. Die Prozesse innerhalb des Unternehmens müssen sich an die Anforderungen des vorgesehenen ISMS anpassen und dieses erfüllen. Häufig müssen die Standards der ISO 27001 in Grundzügen erfüllt werden, in einigen Bereichen gelten weiterreichende Anforderungen.

Dies ist vor allem davon abhängig, welches Assessment-Level erreicht werden soll. Grundlage für alle Level ist der Fragenkatalog des Verbands der Automobilindustrie (VDA). Die Schutzanforderungen werden in 3 Schutzniveaus gegliedert:

Für Level 1 ist eine Selbstauskunft über den Fragenkatalog ausreichend. In Level 2 werden Prüfdienstleister der ENX Association eingeschaltet, die die Angaben kontrollieren. Dies findet nur auf Nachfrage zu Angaben in der Selbstauskunft statt. Die Überprüfung der Angaben kann sowohl vor Ort als auch ortsunabhängig erfolgen. Bei hohem Schutzbedarf in Level 3 sind die Prüfdienstleister ausschließlich vor Ort tätig und verifizieren die Angaben in allen Bereichen.

Der Weg zur TISAX-Zertifizierung

Ein "TISAX-Zertifikat" gibt es nicht, der Begriff ist also zunächst einmal etwas irreführend. Stattdessen erhalten Unternehmen nach Erfüllung aller Anforderungen ein Gutachten und ein Label, mit dem sie werben können. Die Unternehmen werden zudem in eine von der ENX Association geführte Datenbank eingetragen, auf die alle Teilnehmer Zugriff haben.

So bereiten Sie sich vor

Informieren Sie sich ausführlich über Ihre Rechte und Pflichten im TISAX-Verfahren.
Registrieren Sie Ihr Unternehmen für das TISAX-Assessment.
Bearbeiten Sie den Fragebogen zum Self-Assessment und wählen Sie einen Prüfdienstleister aus.
Optimieren Sie bei Bedarf die erkannten Schwachstellen
Nach erfolgreicher Prüfung erhalten Sie das TISA-Label und werden in die TISAX-Datenbank eingetragen.

Fazit

Die TISAX-Zertifizierung sorgt für einheitliche Standards in der Informationssicherheit und im Datenschutz in der Automobilbranche. Obwohl sie nicht gesetzlich vorgeschrieben ist, wird sie von den meisten Unternehmen erwartet und ist entscheidend für die Marktakzeptanz und Zusammenarbeit in der Branche. Jeder Betrieb, unabhängig von seiner Größe, sollte sich der Bedeutung dieser Zertifizierung für die eigene Datensicherheit und Wirtschaftlichkeit bewusst sein.

Unser Team aus über 90 Datenschutzexperten steht Ihnen bei allen Fragen rund um den Datenschutz und die TISAX-Zertifizierung zur Verfügung. Kontaktieren Sie uns jederzeit für eine umfassende Beratung.

Sie haben Fragen zum TISAX?

Gerne beraten wir Sie zu den Möglichkeiten für Ihr individuelles Unternehmen in der Automobilbranche. Neben Datenschutzexperten, die Ihnen mit Fachwissen und jahrelanger Erfahrung zur Seite stehen, können Sie von unseren Beratungsangeboten zum Thema Datenschutz und Informationssicherheit für Unternehmen profitieren. Kommen Sie für eine unverbindliche Erstberatung jederzeit auf uns zu.

Jetzt mehr erfahren

Artikel überarbeitet am 06.06.2024