Mit dem VDA ISA 6.0 hat der Verband der Automobilindustrie (VDA) den Prüfkatalog für TISAX® grundlegend aktualisiert. Seit dem 1. April 2024 ersetzt Version 6.0 die bisherige Version 5.1 – neue Beauftragungen erfolgen ausschließlich nach 6.0. Die Aktualisierung erweitert die Anforderungen an die Informationssicherheit spürbar, insbesondere in Incident- und Krisenmanagement, Business Continuity, Back-up/Recovery sowie im vollständig überarbeiteten Datenschutz-Modul.

Was ist neu im VDA ISA 6.0?

Neue Controls und Anforderungen

Stärkerer Fokus auf IoT/OT, Software-Management (Freigabe, Lizenzierung, Patch-Management), Incident-/Krisenmanagement, IT-Service-Continuity und Backup/Recovery. Neue bzw. umbenannte Controls u. a.: 1.3.4 Software-Freigabe, 1.6.2 Management von Sicherheitsvorfällen, 1.6.3 Umgang mit Krisen (ersetzt 3.1.2), 5.2.8 IT-Service-Continuity-Planung, 5.2.9 Backup und Recovery.

Überarbeitetes Datenschutz-Modul

Vollständig neu strukturiert, jetzt 12 Controls (9.1.1–9.8.1) entlang der DSGVO: Datenschutz-Richtlinien, Organisation, Verarbeitungsverzeichnis, DSFA, Datenübermittlungen, Betroffenenrechte/Vorfälle, Personal, Weisungen.

Neue Labels

Die bisherigen Labels „Info hoch“/„Info sehr hoch“ wurden aufgeteilt in High/Very High Availability (Verfügbarkeit) und Confidential/Strictly Confidential (Vertraulichkeit) – für eine präzisere Einordnung des Schutzbedarfs.

Zahlen 5.1 vs. 6.0

VDA 5.1: 41 Controls, 271 Anforderungen (Info hoch/AL2), 5 Anforderungen (Info sehr hoch/AL3). VDA 6.0: 45 Controls, 297 Anforderungen (Info hoch/AL2), 17 Anforderungen (Info sehr hoch/AL3) – rund 12 % mehr Anforderungen insgesamt; Umsetzungsaufwand je nach Reifegrad +20–25 %.

Gültigkeit & Übergang

Seit 1. April 2024 verbindlich. Bestehende 5.1-Assessments müssen bei der Re-Zertifizierung auf 6.0 wechseln, um das TISAX®-Label zu behalten.

Der Übergang von 5.1 auf 6.0 – Schritt für Schritt

GAP-Analyse durchführen
Dokumentation anpassen
Neue Controls implementieren
Schulung & Sensibilisierung
Internes Audit
Management-Review
TISAX®-Assessment durch einen ENX-zugelassenen Prüfdienstleister

Hinweis: Mit VDA ISA 2027 hat der VDA bereits den Nachfolgekatalog veröffentlicht – gültig für ab 2027 beauftragte Assessments; den verbindlichen Stichtag legt die ENX fest. Alle Neuerungen in unserem Beitrag VDA ISA 2027 – die wichtigsten Änderungen.

So unterstützt Sie 360 Digitale Transformation

Wir begleiten Sie beim Umstieg auf VDA ISA 6.0 – von der GAP-Analyse über die Umsetzung der neuen Controls bis zur Assessment-Vorbereitung. Grundlage: der TISAX®-Fragenkatalog sowie der Überblick der Anforderungen. Gerne im Rahmen unserer Unterstützung beim Wechsel auf ISA 6.

Über den Autor

Can Adiguzel ist der Gründer von 360 Digital Transformation. Er ist TISAX®-Berater und ISO 27001 Lead Auditor. Er ist seit mehr als 11 Jahren im IT-Projektmanagement tätig. Seine Leidenschaft ist die Informationssicherheit für den Mittelstand und er hilft dem Mittelstand bei der Bewältigung seiner Herausforderungen im Bereich der Informationssicherheit mit einem praxisnahen Beratungsansatz.

TISAX® ist eine eingetragene Marke der ENX Association. Die 360 Digitale Transformation steht in keiner geschäftlichen Beziehung zur ENX. Mit der Nennung der Marke TISAX® ist keine Aussage des Markeninhabers zur Geeignetheit der hier beworbenen Leistungen verbunden. TISAX® Assessments, zur Erlangung von Labels, werden nur von den auf der Homepage der ENX genannten Prüfdienstleistern durchgeführt.