Fahrzeughersteller teilen mit ihren Zulieferern vertrauliche Informationen: Konstruktionsdaten, Prototypen, Testergebnisse, Personendaten. Statt dass jeder Hersteller jeden Lieferanten selbst prüft, haben sich die Unternehmen der Branche auf ein gemeinsames Verfahren geeinigt. TISAX wird von der ENX Association betrieben, die Prüfungen führen zugelassene Prüfdienstleister durch.
Grundlage: der VDA-ISA-Katalog
Geprüft wird nach dem Information Security Assessment des Verbands der Automobilindustrie. Der Katalog beruht inhaltlich auf ISO 27001 und ergänzt Anforderungen etwa zum Prototypenschutz und zum Datenschutz. Vor der Prüfung bewertet das Unternehmen seinen Reifegrad selbst.
Assessment Level und Labels
Je nach Schutzbedarf der Informationen verlangt der Auftraggeber ein bestimmtes Assessment Level. Bei Level 2 prüft der Dienstleister vor allem Unterlagen und führt Gespräche, bei Level 3 kommt eine umfassende Prüfung vor Ort hinzu. Das Ergebnis sind Labels, etwa für hohen oder sehr hohen Schutzbedarf von Informationen oder für Prototypenschutz. Die Ergebnisse sind in der Regel drei Jahre gültig und werden auf Freigabe des geprüften Unternehmens mit Auftraggebern geteilt.
TISAX ist keine Zertifizierung im engeren Sinn
Formal ist TISAX ein Prüf- und Austauschverfahren, kein Zertifikat nach einer Norm. In der Praxis spielt es für Zulieferer aber dieselbe Rolle: Ohne das verlangte Label werden keine Aufträge mit vertraulichen Daten vergeben.
Verhältnis zu NIS2
TISAX ist eine Anforderung der Kunden, NIS2 eine gesetzliche Pflicht. Viele Zulieferer der Automobilindustrie sind seit Dezember 2025 als wichtige Einrichtungen nach dem deutschen NIS2-Umsetzungsgesetz erfasst. Ein ISMS, das für TISAX aufgebaut wurde, deckt viele NIS2-Pflichten ab, aber nicht die Registrierung und die gesetzlichen Meldewege. Wie beides zusammenpasst, klärt eine Compliance-Analyse.