Mit dem VDA ISA 6.0 hat der Verband der Automobilindustrie (VDA) den Prüfkatalog für TISAX® grundlegend aktualisiert. Seit dem 1. April 2024 ersetzt Version 6.0 die bisherige Version 5.1 – neue Beauftragungen erfolgen ausschließlich nach 6.0. Die Aktualisierung erweitert die Anforderungen an die Informationssicherheit spürbar, insbesondere in Incident- und Krisenmanagement, Business Continuity, Back-up/Recovery sowie im vollständig überarbeiteten Datenschutz-Modul.

Was ist neu im VDA ISA 6.0?

Neue Controls und Anforderungen

Stärkerer Fokus auf IoT/OT, Software-Management (Freigabe, Lizenzierung, Patch-Management), Incident-/Krisenmanagement, IT-Service-Continuity und Backup/Recovery. Neue bzw. umbenannte Controls u. a.: 1.3.4 Software-Freigabe, 1.6.2 Management von Sicherheitsvorfällen, 1.6.3 Umgang mit Krisen (ersetzt 3.1.2), 5.2.8 IT-Service-Continuity-Planung, 5.2.9 Backup und Recovery.

Überarbeitetes Datenschutz-Modul

Vollständig neu strukturiert, jetzt 12 Controls (9.1.1–9.8.1) entlang der DSGVO: Datenschutz-Richtlinien, Organisation, Verarbeitungsverzeichnis, DSFA, Datenübermittlungen, Betroffenenrechte/Vorfälle, Personal, Weisungen.

Neue Labels

Die bisherigen Labels „Info hoch“/„Info sehr hoch“ wurden aufgeteilt in High/Very High Availability (Verfügbarkeit) und Confidential/Strictly Confidential (Vertraulichkeit) – für eine präzisere Einordnung des Schutzbedarfs.

Zahlen 5.1 vs. 6.0

VDA 5.1: 41 Controls, 271 Anforderungen (Info hoch/AL2), 5 Anforderungen (Info sehr hoch/AL3). VDA 6.0: 45 Controls, 297 Anforderungen (Info hoch/AL2), 17 Anforderungen (Info sehr hoch/AL3) – rund 12 % mehr Anforderungen insgesamt; Umsetzungsaufwand je nach Reifegrad +20–25 %.

Gültigkeit & Übergang

Seit 1. April 2024 verbindlich. Bestehende 5.1-Assessments müssen bei der Re-Zertifizierung auf 6.0 wechseln, um das TISAX®-Label zu behalten.

Der Übergang von 5.1 auf 6.0 – Schritt für Schritt

GAP-Analyse durchführen
Dokumentation anpassen
Neue Controls implementieren
Schulung & Sensibilisierung
Internes Audit
Management-Review
TISAX®-Assessment durch einen ENX-zugelassenen Prüfdienstleister

Hinweis: Mit VDA ISA 2027 hat der VDA bereits den Nachfolgekatalog veröffentlicht – gültig für ab 2027 beauftragte Assessments; den verbindlichen Stichtag legt die ENX fest. Alle Neuerungen in unserem Beitrag VDA ISA 2027 – die wichtigsten Änderungen.

So unterstützt Sie 360 Digitale Transformation

Wir begleiten Sie beim Umstieg auf VDA ISA 6.0 – von der GAP-Analyse über die Umsetzung der neuen Controls bis zur Assessment-Vorbereitung. Grundlage: der TISAX®-Fragenkatalog sowie der Überblick der Anforderungen. Gerne im Rahmen unserer Beratung zu TISAX®.

Über den Autor

Can Adiguzel ist der Gründer von 360 Digital Transformation. Er ist TISAX®-Berater und ISO 27001 Lead Auditor. Er ist seit mehr als 11 Jahren im IT-Projektmanagement tätig. Seine Leidenschaft ist die Informationssicherheit für den Mittelstand und er hilft dem Mittelstand bei der Bewältigung seiner Herausforderungen im Bereich der Informationssicherheit mit einem praxisnahen Beratungsansatz.

TISAX® ist eine eingetragene Marke der ENX Association. Die 360 Digitale Transformation steht in keiner geschäftlichen Beziehung zur ENX. Mit der Nennung der Marke TISAX® ist keine Aussage des Markeninhabers zur Geeignetheit der hier beworbenen Leistungen verbunden. TISAX® Assessments, zur Erlangung von Labels, werden nur von den auf der Homepage der ENX genannten Prüfdienstleistern durchgeführt.