Eine TISAX®-Zertifizierung bestätigt offiziell, dass Ihr Unternehmen die von der Automobilbranche definierten Standards für Informationssicherheit, Datenschutz und Prototypenschutz erfüllt. Sie ist bei vielen OEM-Ausschreibungen der Türöffner für die Zulieferindustrie, stärkt das Vertrauen Ihrer Bestandskunden und positioniert Sie als verlässlichen, professionellen Partner in der Lieferkette. Kurz gesagt –– ohne TISAX® sinkt Ihre Wettbewerbsfähigkeit, mit Zertifikat gewinnen Sie Projekte und Glaubwürdigkeit.
Was ist TISAX®?
TISAX® ist ein Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie (vom Verband der Automobilindustrie) – verbindlich für viele OEMs und Zulieferer. TISAX® steht für Trusted Information Security Assessment Exchange. Es schafft Vertrauen entlang der Lieferkette, indem es den sicheren Umgang mit sensiblen Daten nachweisbar macht. Für B2B-Unternehmen bedeutet das: Ohne TISAX® kein Zugang zu relevanten Projekten und Partnerschaften.
Welche Anforderungen gibt es an die TISAX® Zertifizierung?
Ich erinnere mich noch gut an den ersten Workshop mit einem Zulieferer aus dem süddeutschen Raum.
Typisch Mittelstand, 150 Mitarbeitende, Elektronik für Automobilindustrie. Der Geschäftsführer saß mir gegenüber, leicht genervt, mit einem Satz, den ich inzwischen auswendig kenne:
„Was genau will TISAX® eigentlich von uns?“
Diese Frage klingt einfach – aber sie kratzt an einem echten Kernproblem: Die Anforderungen an die TISAX®-Zertifizierung wirken diffus, überfordernd und nicht selten wie ein schwarzer Kasten.
Und ja: Das liegt weniger an der Technik als an der Art, wie sie von den meisten vermittelt wird.
Deshalb hier eine klare, praxisnahe Einordnung – aufgeteilt in zwei Ebenen:
1. Formale Anforderungen: Was offiziell verlangt wird
TISAX® basiert auf dem VDA ISA Fragenkatalog. Dahinter steckt keine neue Norm, sondern ein Ableger der bekannten ISO/IEC 27001 – mit Zusätzen, die speziell auf die Automobilindustrie ausgerichtet sind.
Die drei Pflichtsäulen:
- Informationssicherheit – also das klassische ISMS: Zugriffsschutz, Netzwerkabsicherung und Risikobewertung
- Prototypenschutz – extrem wichtig für Automobilhersteller mit Entwicklungsprojekten oder Vorserienaufträgen
- Datenschutz – vor allem bei personenbezogenen Daten, z. B. in der Entwicklung, Logistik oder bei Remote-Zugriffen
Konkret heißt das:
- Durchführung einer Selbstbewertung nach VDA ISA
- Auswahl eines passenden Assessment-Levels (AL1 bis AL3)
- Definition eines klaren Scopes (Standorte, Prozesse, Systeme)
- Dokumentation aller relevanten Policies, Prozesse, Maßnahmen
- Durchführung eines Audits durch einen akkreditierten Prüfdienstleister
Und dann, ganz wichtig: Veröffentlichung des Ergebnisses im ENX-Portal – damit Automobilhersteller darauf zugreifen können.
2. Praktische Anforderungen: Was wirklich dahintersteckt
Hier wird’s spannend – und herausfordernd. Denn die Theorie ist das eine. Was sie für Ihren Alltag bedeutet, ist das andere. Hier geht es nicht um Haken im Fragebogen, sondern um die zentralen Handlungsfelder:
a) Struktur schaffen, wo bisher Pragmatismus herrschte
Viele Unternehmen in der Branche arbeiten operativ sehr gut – aber mit wenig formalisierter Anforderungen an die Informationssicherheit
TISAX® verlangt:
- klare Rollen
- nachvollziehbare Prozesse
- dokumentierte Sicherheitsmaßnahmen
Für jemanden ohne ISO-Vorerfahrung fühlt sich das an wie ein Dschungel aus Vorgabedateien, Templates und kryptischen Begriffen.
Ziel: Aus Wildwuchs ein System machen. Nicht überdokumentieren – aber nachvollziehbar und prüfbar werden.
b) Schutz auf dem Niveau, das Automobilhersteller erwarten
Lieferanten und Dienstleister wollen keine Unsicherheiten darstellen. Schon gar nicht bei vernetzten Komponenten. Deshalb prüft TISAX® streng:
- Wer kann wann auf welche Systeme zugreifen?
- Was passiert bei einem Vorfall (z. B. Cyberangriff)?
- Wie wird mit Entwicklungsdaten umgegangen?
- Wie wird verhindert, dass Vorserienprototypen in falsche Hände geraten?
Pain Point: Wer diese Fragen nicht mit belastbaren Prozessen beantworten kann, bekommt Auflagen – oder kein Label.
Wenn Sie möchten, schauen wir gemeinsam auf Ihre Ausgangslage – und bauen daraus einen realistischen Fahrplan. TISAX® ist kein Selbstläufer. Aber es ist machbar. Auch für Sie. Hier finden Sie einen umfangreichen Leitfaden zu den TISAX® Anforderungen
Wie lange dauert die TISAX® Zertifizierung?
- Dauer: 3–12 Monate je nach Vorbereitung, Umfang & Level
- Kosten: typisch 25.000–50.000 €, abhängig von Scope, Stufe & Dienstleister
- Häufige Dokumente: ISMS-Policy, Notfallmanagement, Asset-Register, Risikobewertung, Schulungsnachweise
Tipp von Can Adigüzel – Berater für Informationssicherheit: „Klären Sie frühzeitig mit dem OEM oder Ihrem Kunden, welches Assessment Level und Scope von Ihnen erwartet wird.“
Wie sieht der Zertifizierungsprozess von der Registrierung bis zum TISAX®-Label aus?
Phase
Schritt
Beschreibung
1. Registrierung & Vorbereitung
Registrierung im ENX-Portal
Anmeldung auf portal.enx.com (ENX Association) und Festlegung des Zertifizierungs-Scopes (z. B. Standorte, Prozesse, Systeme)
Wahl des Assessment Levels (AL1–AL3)
Die Stufe bestimmt Prüftiefe (häufig AL2 oder AL3 bei Automotive-Kunden)
2. GAP-Analyse
Externe GAP-Analyse durch Berater (empfohlen)
Externer TISAX®-Dienstleister analysiert Schwächen im ISMS / VDA-ISA-Kontext und liefert Handlungsempfehlungen
3. Selbstbewertung (Self Assessment)
Bearbeitung des VDA-ISA-Fragebogens
Selbsteinschätzung anhand des offiziellen VDA-ISA Katalogs
Dokumente vorbereiten
Sicherheitsrichtlinien, Risikobewertung, technische Nachweise, Schulungen etc.
4. Auswahl & Beauftragung Prüfdienstleister
Akkreditierter TISAX® Audit Provider wählen
z. B. TÜV Nord, DEKRA, DQS – Abstimmung zu Umfang, Grad und Zeitrahmen
5. Durchführung des Audits
Audit vor Ort / Remote
Prüfer kontrolliert Dokumente, Prozesse & Umsetzung vor Ort
Bearbeitung von Abweichungen
Mögliche Korrekturmaßnahmen nach Audit werden dokumentiert und nachgereicht
6. Auditbericht
Ergebnisbericht vom Prüfer
Detaillierter Auditbericht im ENX-Portal zur Freigabe durch ENX
7. Erhalt des TISAX®-Labels
Veröffentlichung des Labels
Sichtbar für registrierte Partner im ENX-Portal, 3 Jahre gültig
8. Re-Zertifizierung
Neues Assessment nach 3 Jahren
Ggf. vereinfachter Re-Audit-Prozess bei gleichem Scope & Grad
Was kostet eine Zertifizierung nach TISAX® Standard?
TISAX® klingt erstmal nach „einmal auditieren und fertig“. In der Realität ist es ein ganzes Projekt – mit verschiedenen Kostenbausteinen. Manche davon sind offensichtlich. Andere spüren Sie erst dann, wenn das Projekt schon läuft. Hier ist ein erfahrungsbasierter Überblick über das, was auf Sie zukommt:
1. ENX-Registrierung – der Startpunkt
Bevor irgendetwas passiert, muss das Unternehmen bei der ENX Association registriert werden. Ohne diese Registrierung gibt’s kein Label.Die Kosten sind fix: 405 € pro Standort und Scope – einmalig je Dreijahreszyklus, fällig bei der Registrierung im ENX-Portal.
2. Auditkosten – abhängig vom Grad der Zertifizierung
Das Assessment selbst dürfen nur zertifizierte Prüfer durchführen – zum Beispiel von TÜV, DEKRA oder DQS.
Je nach Assessment Stufe unterscheiden sich die Preise deutlich:
- Level 2 (AL2): ab ca. 4.000 €
- Level 3 (AL3): ab ca. 8.000 €
Die Bandbreite entsteht durch Faktoren wie Anzahl der Standorte, Vorbereitungsstand oder die Reisetätigkeit des Auditors. Wer hier sauber vorbereitet ist, spart Zeit – und Geld.
3. Beratung – die oft unterschätzte Abkürzung
Ohne Vorerfahrung in der Informationssicherheit wird’s schwer. Die Anforderungen von VDA ISA sind komplex – und die Erwartungshaltung der OEMs ist glasklar.
Eine gute Beratung schafft Struktur, Tempo und Klarheit.
- Typischer Startpreis: AL2 ab 18.000 € · AL3 ab 24.000 €
- Nach oben offen – abhängig vom Reifegrad des ISMS und dem internen Know-how
Wer früh sauber aufsetzt, vermeidet teure Nacharbeiten und beschleunigt den gesamten Prozess deutlich.
4. Interne Aufwände – schwer greifbar, aber real
Selbst mit Beratung bleibt intern einiges zu tun: Projektkoordination, Dokumentation, Abstimmungen mit der IT und den Fachbereichen.
Ob das eine halbe Stelle über drei Monate ist – oder mehr – hängt ganz von der Ausgangslage ab.
Wer schon ISO-27001 nahe Prozesse hat, ist klar im Vorteil. Wer nicht, muss mehr investieren.
5. Technologiekosten – nur falls nötig, dann aber richtig
TISAX® bringt oft Lücken ans Licht.
Vielleicht braucht es ein ISMS-Tool, bessere Rechteverwaltung, neue Firewalls oder einfach strukturiertere IT-Dokumentation. Dann entstehen zusätzliche Technologiekosten – plus Implementierung, Konfiguration und Schulung.
Wer clever plant, kann hier Synergien mit anderen Digitalisierungsprojekten nutzen.
Wenn Sie möchten, stelle ich Ihnen gern eine Beispielkalkulation auf Basis Ihrer Rahmenbedingungen zusammen.
In unserem Artikel: Kosten der TISAX® Zertifizierung: Ein umfassender Leitfaden finden Sie vertiefende Informationen zu Kosten.
Häufig gestellte Fragen zur TISAX® Zerifizierung:
Ein TISAX®-Label ist in der Regel drei Jahre gültig. Die Gültigkeit beginnt mit dem Abschlussdatum des Assessments – nicht mit dem Zeitpunkt der Veröffentlichung im ENX-Portal. Danach ist eine Re-Zertifizierung erforderlich, um weiterhin gelistet zu bleiben.
TISAX®-Audits dürfen ausschließlich von von der ENX Association zugelassenen Prüfdienstleistern durchgeführt werden. Dazu zählen z. B. TÜV, DEKRA, DQS oder Bureau Veritas. Die Auditoren müssen speziell geschult und für TISAX® akkreditiert sein.
TISAX® vergibt Labels basierend auf dem Assessment-Level (AL1, AL2, AL3) und den geprüften Schutzbedarfen wie Informationssicherheit, Prototypenschutz oder Datenschutz. Die Kombination ergibt unterschiedliche Label-Ausprägungen, z. B. „AL2 – Informationssicherheit – hoher Schutzkategorie“. Welche Label benötigt werden, hängt von den Anforderungen des jeweiligen OEM oder Partners ab.
Level 1: Basiert ausschließlich auf einer Selbsteinschätzung und kommt nur in Ausnahmefällen zum Einsatz, da es keine externe Prüfung erfordert.
Level 2: Hoher Schutzbedarf (remote & plausibilisiert)
Diese Ebene gilt für Informationen mit erhöhter Schutzbedarfskategorie, etwa bei Projektdaten oder vertraulichen Kundeninformationen. Die Prüfung erfolgt durch ein plausibilisiertes Remote-Assessment, meist in Kombination mit Dokumentenprüfungen und Interviews. Für viele Tier-1-Zulieferer ist dieser Grad Standard.
Level 3: Sehr hoher Schutzbedarf (Vor-Ort-Audit)
Hier geht es um besonders sensible Daten, z. B. Prototypenschutz oder geheime Entwicklungsprojekte. Die Prüfung ist deutlich strenger und umfasst ein vollständiges Vor-Ort-Assessment durch einen akkreditierten Prüfdienstleister. OEMs fordern diese Ebene oft, wenn höchste Sicherheit und direkter Zugriffsschutz nachgewiesen werden muss – relevant etwa bei exklusiven Technologieentwicklungen.
💡 Unser Tipp aus der Beratung: Wenn Deine Kunden nicht explizit Grad 3 fordern, ist Grad 2 oft ausreichend – spart Zeit, Kosten und Ressourcen. Ein Upgrade auf Grad 3 ist später möglich.
TISAX® (Trusted Information Security Assessment Exchange) ist ein branchenspezifisches Prüfverfahren für die Automobilindustrie, entwickelt vom VDA. Es standardisiert die Anforderungen an Informationssicherheit, Datenschutz und Technologieschutz und richtet sich speziell an die Anforderungen von OEMs und Tier-1-Zulieferern. TISAX® setzt inhaltlich auf ISO-27001 auf, ergänzt diesen Standard aber um industriebezogene Prüfziele und ein Austauschportal, über das Ergebnisse für Geschäftspartner sichtbar werden.
ISO 27001 hingegen ist ein internationaler Standard für Informationssicherheits-Managementsysteme (ISMS) – unabhängig von Branche oder Unternehmensgröße. Wer nach ISO-27001 zertifiziert ist, zeigt, dass ein systematischer Ansatz zur Absicherung aller Informationen verfolgt wird.
Sie möchten noch tiefer in die Unterschiede eintauchen. Lesen Sie dazu unseren Artikel: TISAX® und ISO 27001: Unterschiede und Gemeinsamkeiten
Über den Autor
Can Adiguzel ist der Gründer von 360 Digital Transformation. Er ist TISAX®-Beauftragter und ISO 27001 Lead Auditor. Er ist seit mehr als 11 Jahren im IT-Projektmanagement tätig. Seine Leidenschaft ist die Informationssicherheit für den Mittelstand und er hilft dem Mittelstand bei der Bewältigung seiner Herausforderungen im Bereich der Informationssicherheit mit einem praxisnahen Beratungsansatz.