TISAX® Registrierung im ENX-Portal: Scope, Prüfziele und Labels richtig festlegen

Was bei der TISAX® Registrierung passiert – und warum sie Geld kostet

Mit der Registrierung wird Ihr Unternehmen bei der ENX Association zum TISAX®-Teilnehmer. Die ENX betreibt das TISAX®-Verfahren, lässt die Prüfdienstleister zu und stellt die Plattform bereit, über die Sie Ihr Ergebnis später mit Kunden teilen. Ohne Registrierung kann kein Prüfdienstleister ein Assessment für Sie durchführen – sie ist laut ENX die Voraussetzung für alle weiteren Schritte und kostenpflichtig.

Das Entgelt richtet sich nach der ENX-Preisliste: Im Standardmodell zahlen Sie 405 € pro Standort und Scope, einmalig für die Gültigkeitsdauer des Ergebnisses; ab fünf Standorten in einem Scope gewährt die ENX automatisch einen Mengenrabatt. Das Entgelt fällt laut Teilnehmerhandbuch auch dann an, wenn Sie den Prozess nicht fortsetzen oder das Assessment nicht bestehen. Die Kosten des Prüfdienstleisters kommen separat hinzu – eine Übersicht aller Kostenblöcke finden Sie unter TISAX® Zertifizierung Kosten.

Formal ist TISAX® keine Zertifizierung, sondern ein Label, das nach einem Assessment durch einen ENX-zugelassenen Prüfdienstleister vergeben wird. Die Registrierung ist deshalb kein Formular „nebenbei“, sondern die verbindliche Beschreibung dessen, was später geprüft und gelabelt wird.

Der TISAX® Scope: Standard-Scope oder angepasster Scope?

Der Prüf-Scope beschreibt, welcher Teil Ihres Unternehmens geprüft wird. Die ENX unterscheidet zwei Arten:

• Standard-Scope: Die Beschreibung ist von der ENX vorgegeben und kann nicht verändert werden. Sie wählen nur noch die Standorte und Prüfziele dazu.
• Angepasster Scope (Custom Scope): Sie formulieren den Umfang selbst, etwa um ihn zu erweitern oder ganz frei zu beschreiben.

In der Praxis ist der Standard-Scope fast immer die richtige Wahl. Der Grund steht im Teilnehmerhandbuch selbst: Andere TISAX®-Teilnehmer akzeptieren nur Ergebnisse, die auf dem Standard-Scope beruhen, und die ENX empfiehlt ihn ausdrücklich. Ein angepasster Scope kann dazu führen, dass Ihr Kunde das Ergebnis nicht anerkennt – und dann war das gesamte Assessment umsonst.

Wichtiger als die Scope-Art ist meist die Frage, welche Standorte in einen Scope gehören. Ein gemeinsamer Scope für mehrere Standorte ergibt einen Bericht, ein Ergebnis und ein Ablaufdatum. Dafür müssen alle Standorte dieselben Prüfziele haben, und das Ergebnis liegt erst vor, wenn jeder Standort bestanden hat. Ob ein Scope oder mehrere sinnvoller sind, klären wir in der GAP-Analyse gemeinsam mit Ihnen.

Prüfziele und Assessment Level: welche TISAX® Labels es gibt

Das Prüfziel legt fest, welche Anforderungen des VDA-ISA-Katalogs für Sie gelten. Jedes Prüfziel entspricht einem gleichnamigen TISAX® Label, und jedes Prüfziel ist fest einem Assessment Level zugeordnet. Thematisch lassen sich die Prüfziele in vier Gruppen einteilen:

Die früheren Prüfziele „Info high“ und „Info very high“ konnten nur bis zum 31. März 2024 gewählt werden; an ihre Stelle sind „Confidential“ und „Strictly confidential“ getreten. Wenn ein Kunde in einer Anfrage noch die alten Bezeichnungen verwendet, ist meist das jeweilige Nachfolge-Label gemeint – klären Sie das vor der Registrierung.

Wer bestimmt das Prüfziel? Idealerweise Ihr Kunde. In unseren Projekten nennen OEMs und Tier-1-Zulieferer meist das geforderte Label – manchmal auch nur das Assessment Level. Fehlt eine Vorgabe, wählen Sie selbst – und sollten dabei auch absehbare künftige Kunden berücksichtigen. Im Zweifel gilt die Empfehlung der ENX: den Partner fragen, bevor der Prüfprozess beginnt. Welche Anforderungen hinter den einzelnen Modulen stehen, zeigen wir unter TISAX® Anforderungen und im TISAX® Fragenkatalog.

AL1, AL2, AL3: Was der Prüfer tatsächlich macht

Das Assessment Level beschreibt die Prüftiefe. Ein höheres Level erhöht den Aufwand der Prüfung, und höhere Level schließen die niedrigeren ein.

• AL1: Der Prüfer prüft nur, ob eine vollständige Selbsteinschätzung vorliegt – nicht deren Inhalt. Ergebnisse auf AL1 haben nach Aussage der ENX ein geringes Vertrauensniveau und werden in TISAX® nicht verwendet. Für die Registrierung spielt AL1 daher praktisch keine Rolle.
• AL2: Der Prüfdienstleister unterzieht Ihre Selbsteinschätzung einer Plausibilitätsprüfung, prüft Nachweise und führt ein Interview mit der für Informationssicherheit verantwortlichen Person – in der Regel per Videokonferenz. Eine Prüfung vor Ort ist auf Ihren Wunsch möglich.
• AL3: Der Prüfer verifiziert umfassend: Dokumentenprüfung, geplante und ungeplante Interviews, Beobachtung von Abläufen. Dafür muss der Prüfdienstleister an Ihre Standorte kommen.

Aus unserer Audit-Praxis: Der Unterschied zwischen AL2 und AL3 liegt weniger im Katalog als in der Beweisführung. Bei AL3 reicht ein gutes Dokument nicht – der Prüfer will sehen, dass im Alltag danach gearbeitet wird, und spricht dafür auch mit Mitarbeitenden ohne Vorbereitung.

Vom Prüfziel zum Label: Gültigkeit und Erneuerung

Bestehen Sie das Assessment, erhalten Sie für jedes Prüfziel das gleichnamige Label. Ihr Prüfergebnis ist drei Jahre gültig. Für die Erneuerung durchlaufen Sie die drei Schritte Registrierung, Assessment und Austausch erneut – mit einem neuen Scope, der inhaltlich dem alten entsprechen darf. Die ENX-Registrierung fällt also je Drei-Jahres-Zyklus einmal an.

Maßgeblich für die Prüfgrundlage ist die VDA-ISA-Version zum Zeitpunkt der Beauftragung: Assessments, die bis zum 31. Dezember 2026 beauftragt werden, laufen nach ISA 6, ab dem 1. Januar 2027 beauftragte Assessments nach VDA ISA 2027.

Die teuren Fehler bei der TISAX® Registrierung

Die folgenden Punkte haben wir am aktuellen ENX-Teilnehmerhandbuch (Version 2.8) geprüft. Jeder davon kostet in der Praxis Geld oder Zeit.

1. Scope-Name ohne Jahreszahl

Jeder Scope braucht einen Namen, und für jede Erneuerung ist ein neuer Scope nötig. Die ENX empfiehlt deshalb, das Jahr der Prüfung in den Scope-Namen aufzunehmen, etwa nach dem Muster „Standort oder Bereich + Jahr“. Wer das unterlässt, hat spätestens beim Re-Assessment zwei gleich lautende Scopes – und Kunden, die nicht wissen, welches Ergebnis aktuell ist.

2. Standorte nachträglich hinzufügen oder entfernen

Ein Scope lässt sich ändern, solange der Prüfdienstleister die Prüfung nicht abgeschlossen hat. Aber: Wird etwas hinzugefügt, erhöht sich das Entgelt. Werden Standorte entfernt, gibt es keine Rückerstattung. Zudem kalkulieren Prüfdienstleister ihr Angebot auf Basis des ursprünglichen Scopes – Änderungen wirken sich also auch dort auf die Kosten aus. Die Standortliste sollte deshalb vor dem Absenden feststehen.

3. Prüfziel zu hoch gewählt

„Sicherheitshalber“ das höhere Prüfziel zu wählen, klingt vernünftig, bedeutet aber in vielen Fällen AL3 statt AL2: Prüfung vor Ort, umfassendere Verifikation und deutlich mehr Vorbereitungsaufwand. Wählen Sie das Prüfziel, das Ihr Kunde fordert oder absehbar fordern wird – nicht mehr und nicht weniger.

4. Veröffentlichen und Teilen unüberlegt freigeben

Bei der Registrierung können Sie festlegen, ob Ihr Ergebnis auf der Austauschplattform veröffentlicht oder mit bestimmten Teilnehmern geteilt wird. Laut ENX lassen sich Veröffentlichungen und Freigaben nicht widerrufen. Umgekehrt gilt: Wenn Sie nichts freigeben, sieht niemand Ihr Ergebnis. Entscheiden Sie bewusst, wer was sehen soll – die Freigabe lässt sich auch später noch erteilen.

5. Ein Scope für Standorte mit unterschiedlichem Reifegrad

Weil in einem gemeinsamen Scope alle Standorte bestehen müssen, kann ein schwächerer Standort das Ergebnis für alle verzögern. Prüfen Sie vor der Registrierung, ob alle Standorte auf vergleichbarem Stand sind.

Der Ablauf im ENX-Portal im Überblick

Die Online-Registrierung ist in wenigen, klar getrennten Schritten aufgebaut. Für die erste Registrierung mit einem Scope und einem Standort rechnet die ENX mit mindestens 20 Minuten – die eigentliche Arbeit liegt in den Entscheidungen davor.

1. Portal-Konto anlegen: persönlicher Zugang zum ENX-Portal.
2. Teilnehmer registrieren: Unternehmensdaten Ihres Unternehmens als TISAX®-Teilnehmer.
3. Ansprechpartner benennen: die Person, mit der die ENX zum Teilnehmer kommuniziert.
4. Allgemeine Geschäftsbedingungen akzeptieren: Online ist die englische Fassung zu bestätigen; eine deutsche Übersetzung steht zur Information bereit.
5. Prüf-Scope registrieren: Scope-Name, Scope-Art, Ansprechpartner für den Scope, Prüfziele, Standorte, optional Veröffentlichen und Teilen sowie der Rechnungsempfänger.
6. Bestätigungs-E-Mail: In der Regel innerhalb von drei Werktagen erhalten Sie Teilnehmer-ID und Scope-ID sowie die Liste der zugelassenen Prüfdienstleister.

Danach wählen und beauftragen Sie einen der von der ENX zugelassenen Prüfdienstleister. Wie Sie sich bis dahin vorbereiten, erklärt unser Beitrag zum TISAX® Teilnehmerhandbuch.

TISAX® Scoping-Guide kostenlos herunterladen

Scope, Standorte und Prüfziele entscheiden über Aufwand und Kosten des gesamten Projekts. Unser Scoping-Guide führt Sie Schritt für Schritt durch die ENX-Vorgaben – mit Entscheidungsbaum, Standort-Checkliste und Namenskonvention. Wählen Sie unten den TISAX®-Scoping-Guide aus.

Häufige Fragen zur TISAX® Registrierung

Registrierung richtig aufsetzen – mit 360DT

Seit 2019 begleiten wir Unternehmen der Automobil-Lieferkette bei Informationssicherheit und TISAX®. In der Beratung zu TISAX® legen wir Scope, Standorte und Prüfziele gemeinsam fest, bevor Sie im ENX-Portal etwas absenden – und begleiten Sie anschließend bis zum Label. Das Assessment selbst führt ein von der ENX zugelassener Prüfdienstleister durch; 360DT berät, prüft aber nicht. Parallel zur Registrierung empfehlen wir dringend eine GAP-Analyse: Sie misst den Reifegrad Ihres Unternehmens und zeigt genau, was bis zur TISAX®-Konformität noch zu tun ist.

Klären Sie Ihre offenen Fragen im kostenlosen 45-minütigen Erstgespräch.

Kostenloses Erstgespräch vereinbaren

Quellen: ENX Association, TISAX® Teilnehmerhandbuch, Version 2.8 vom 13.03.2025 (enx.com/handbook); ENX-Preisliste, gültig ab 19.08.2020 (portal.enx.com/pricelist.pdf).