TISAX-Anforderungen verstehen: Der VDA-ISA-Prüfkatalog für Automotive-Zulieferer

Ohne gültiges TISAX-Label lehnen BMW, Volkswagen oder Bosch ein Angebot ab – unabhängig davon, wie gut das Produkt ist. Wer die über 300 Fragen des VDA-ISA-Prüfkatalogs nicht kennt, verschenkt Monate bei der Vorbereitung und riskiert ein negatives Assessment-Ergebnis. Dieser Artikel zeigt, welche TISAX-Anforderungen der aktuelle VDA-ISA-Katalog konkret stellt, wie sich Automobilzulieferer mit gezielten Schulungen und Compliance-Trainings darauf vorbereiten und welcher Reifegrad für ein bestehendes Label nötig ist.

Was ist TISAX und wer verlangt das Label?

TISAX steht für Trusted Information Security Assessment Exchange und wird von der ENX Association als neutrale Prüfinstanz betrieben. OEMs wie BMW, Volkswagen oder Bosch fordern das Label von Lieferanten, die sensible Konstruktionsdaten, Prototypen oder personenbezogene Daten verarbeiten. Ein bestandenes Assessment wird über die TISAX Exchange geteilt, sodass nicht jeder Kunde einzeln prüfen muss. Genau diese Wiederverwendbarkeit macht das Label für den Marktzugang so wichtig – ohne aktuelles Assessment bleiben Ausschreibungen für viele Unternehmen verschlossen.

Welche TISAX-Anforderungen stellt der VDA-ISA-Prüfkatalog?

Der VDA-ISA-Katalog verlangt in der aktuellen Version 6.0 über 300 Anforderungsfragen aus drei Prüfmodulen: Informationssicherheit, Datenschutz und Prototypenschutz (Schutz von Erprobungsfahrzeugen und Bauteilen vor Angriffen und Spionage). Das Modul Informationssicherheit ist mit sieben Kapiteln das umfangreichste und deckt Organisation, Zugriffskontrolle, Kryptografie, physische Sicherheit sowie Betriebs- und Kommunikationssicherheit ab. Jede Anforderung muss dabei einen Reifegrad von mindestens 3 erreichen.

Die sieben Kapitel Informationssicherheit im Überblick

Das Kernmodul Informationssicherheit des VDA-ISA-Katalogs strukturiert die TISAX-Anforderungen in sieben Themenblöcke. Diese Struktur entscheidet, wie ein Prüfer Dokumentation und gelebte Praxis im Unternehmen bewertet.

VDA-ISA-Kapitel Informationssicherheit (TISAX):

Für Lieferanten mit Prototypenschutz kommt ein eigenes Modul hinzu, das zusätzlich Fahrzeug- und Bauteilschutz sowie Geheimhaltung bei Erprobungsfahrten prüft.

Was ist neu in VDA ISA 6.0?

Seit der verbindlichen Einführung von VDA ISA 6.0 im April 2024 hat sich die Prüfstruktur an mehreren Stellen verschoben. Statt der bisherigen Prüfziele „Info High“ und „Info Very High“ nutzt der Katalog seither vier klar benannte Labels: Vertraulich, Hohe Verfügbarkeit, Streng vertraulich und Sehr hohe Verfügbarkeit. Zulieferer wählen genau die Kombination, die zur Sensibilität ihrer OEM-Daten passt, statt ein pauschales Prüfziel zu beantragen.

Zusätzlich sind fünf neue Controls für Notfallmanagement, Business Continuity und Backup/Disaster Recovery hinzugekommen – eine Reaktion auf die Zunahme von Ransomware-Angriffen gegen Automotive-Lieferketten. Neu ist außerdem eine stärkere Verzahnung mit Anforderungen aus dem OT/IACS-Umfeld (Operational Technology und industrielle Steuerungssysteme), angelehnt an die Normenreihe IEC 62443. Wer Fertigungsanlagen oder Produktionsnetzwerke betreibt, sollte diesen Themenblock frühzeitig in die Vorbereitung einplanen.

Assessment Level 1 bis 3: Was unterscheidet sich?

Alle drei Assessment Level prüfen dieselben Controls – der Unterschied liegt ausschließlich in der Prüftiefe. Ein Unternehmen, das nur wenig sensible Daten verarbeitet, kommt mit einer Selbstbewertung aus. Prototypenschutz erfordert dagegen praktisch immer die höchste Stufe mit physischer Vor-Ort-Prüfung.

TISAX Assessment Level im Vergleich:

Ein AL-3-Audit ist deutlich zeitintensiver als AL 2, da zur Dokumentenprüfung und den Interviews zusätzlich eine Begehung vor Ort kommt – etwa des Serverraums oder der Fertigungsbereiche.

Reifegrad 3: Das Minimum für TISAX-Konformität

Der VDA-ISA-Katalog bewertet jede TISAX-Anforderung nach einem sechsstufigen Reifegradmodell. Ein Prozess muss dabei nicht nur existieren, sondern nachweislich gelebt und getestet werden. Erst ab Reifegrad 3 gilt eine Anforderung als erfüllt.

Die Reifegrade im VDA-ISA-Katalog:

• Reifegrad 0 – Unvollständig: Prozess fehlt oder erreicht sein Ziel nicht
• Reifegrad 1 – Durchgeführt: Prozess existiert, ist aber kaum dokumentiert
• Reifegrad 2 – Gesteuert: Prozess erreicht sein Ziel, Umsetzung ist noch uneinheitlich
• Reifegrad 3 – Etabliert: Prozess ist dokumentiert, gelebt und nachweislich getestet
• Reifegrad 4 bis 5 – Optimiert: Prozess wird laufend gemessen und verbessert, selten gefordert

Die meisten Findings im Audit entstehen nicht durch fehlende Maßnahmen, sondern durch eine Lücke zwischen Dokumentation und gelebter Praxis. Wer ein Awareness-Training fest im Unternehmen verankert, schließt genau diese Lücke bei Personalsicherheit und Zugriffskontrolle.

Was kostet die TISAX-Zertifizierung?

Die Gesamtkosten setzen sich aus drei Bausteinen zusammen: der einmaligen ENX-Registrierung pro Standort, den Gebühren des Prüfdienstleisters und der internen oder externen Vorbereitung. Die folgenden Werte sind Marktschätzungen, Stand 2026 – die konkreten Kosten hängen vom gewählten Prüfdienstleister und Umfang ab.

Kostenblöcke einer TISAX-Zertifizierung:

Für einen einzelnen Standort liegen Unternehmen mit diesen Bausteinen meist zwischen 10.000 und 30.000 Euro. Ein durchdachtes Angebot aus Managed Services für Patch-Management, Logging und Incident-Response deckt gleich mehrere Kapitel des Katalogs ab und reduziert so den internen Vorbereitungsaufwand spürbar. Bei der Rezertifizierung nach drei Jahren fallen ENX-Gebühr und Prüfdienstleister-Assessment erneut an, die interne Vorbereitung ist bei laufend gepflegter Dokumentation aber meist günstiger als beim Ersttermin.

FAQ zu TISAX-Anforderungen

Was unterscheidet TISAX von einer ISO-27001-Zertifizierung?

Der VDA-ISA-Katalog basiert auf zentralen Aspekten von ISO 27001, geht aber mit Prototypenschutz und Automotive-spezifischen Controls darüber hinaus. Eine bestehende ISO-27001-Zertifizierung erleichtert die Vorbereitung, ersetzt das TISAX-Assessment jedoch nicht.

Wie lange ist ein TISAX-Label gültig?

Ein TISAX-Assessment gilt in der Regel drei Jahre. Danach ist eine Rezertifizierung mit erneuter Prüfung durch einen zugelassenen Prüfdienstleister erforderlich, um das Label aktiv zu halten.

Ist Prototypenschutz für jeden Zulieferer Pflicht?

Nein. Das Modul Prototypenschutz wird nur verlangt, wenn ein Unternehmen tatsächlich mit Fahrzeugprototypen, Erprobungsträgern oder vergleichbar sensiblen physischen Objekten arbeitet. Reine Softwaredienstleister benötigen es meist nicht.

Was passiert bei einem negativen Assessment-Ergebnis?

Der Prüfdienstleister dokumentiert die offenen Findings, und das Unternehmen erhält eine Frist zur Nachbesserung. Erst nach erfolgreicher Nachprüfung wird das Ergebnis über die TISAX Exchange freigegeben und für OEMs sichtbar.

Deckt TISAX auch NIS2-Anforderungen ab?

Teilweise. TISAX und NIS2 überschneiden sich bei vielen technischen und organisatorischen Maßnahmen, ein TISAX-Label ersetzt den NIS2-Nachweis aber nicht automatisch. Ein Abgleich beider Anforderungslisten – etwa mit einer NIS2-Compliance-Checkliste – verhindert Doppelarbeit bei der Dokumentation.

Reicht Assessment Level 2 für die meisten Automotive-Aufträge aus?

Für viele Standardlieferungen ohne Prototypenschutz reicht AL 2 aus. Sobald ein OEM jedoch besonders schützenswerte Daten oder Prototypen betroffen sieht, verlangt er in der Ausschreibung häufig AL 3.

Wer die sieben Kapitel des VDA-ISA-Katalogs Schritt für Schritt durchgeht und Reifegrad 3 als festen Zielwert setzt, verhindert kostspielige Nachprüfungen. Welche Sicherheitsbausteine dafür am schnellsten wirken, klärt der Produktberater in einem kurzen Abgleich mit dem eigenen Assessment-Level.