Am 1. Juli 2026 hat der Verband der Automobilindustrie (VDA) den Nachfolger von VDA ISA 6 veröffentlicht – den Prüfkatalog, auf dem jedes TISAX®-Assessment basiert. Viele erwarteten „ISA 7.0“; offiziell heißt die neue Version ISA 2027, denn der VDA ist auf eine jahresbasierte Bezeichnung umgestiegen. Die Struktur bleibt weitgehend erhalten – doch die Anforderungen werden verbindlicher, die Lieferkette rückt stärker in den Fokus und der Prototypenschutz wurde komplett neu aufgebaut.
Das Wichtigste in Zahlen
- Jahresbasierte Bezeichnung: „2027“ statt „7.0“ – künftig erscheint jährlich ein Katalog (ISA 2028 ist für Sommer 2027 angekündigt). Labels bleiben trotzdem bis zu drei Jahre gültig.
- Informationssicherheit: 46 Control-Nummern, davon 45 wirksam – wie bei ISA 6 (3.1.2 bleibt durch 1.6.3, 5.2.8 und 5.2.9 ersetzt). Neue Controls gibt es nicht; 1.2.4 wird zu 6.1.3. Bei 10 Controls ändern sich Anforderungen konkret, dazu kommen Umformulierungen im gesamten Katalog.
- Prototypenschutz: von 22 auf 20 Controls, in zwei statt fünf Abschnitten – das Modul wurde vollständig neu strukturiert (13 organisatorische, 7 physische Controls).
- Datenschutz: unverändert – die Änderungshistorie nennt für die 12 Controls aus Kapitel 9 keine Änderungen.
- Neues Framework-Mapping: ISA 2027 verweist auf NIST CSF 2.0, ISO/IEC 27001:2022 und IEC 62443; die alten Bezüge zu ISO 27001:2013 entfallen.
Von der Empfehlung zur Pflicht
Die folgenreichste Änderung ist leise: Anforderungen wandern vom Should-Level (Empfehlung) auf das Must-Level (Pflicht). Zwei Beispiele:
- Control 1.1.1: Sicherheitsrichtlinien den Mitarbeitenden verfügbar zu machen und über relevante Änderungen zu informieren, war bisher eine Soll-Anforderung – in ISA 2027 ist es Pflicht.
- Control 4.1.2: Passwörter nach dem Stand der Technik rücken von der Randnotiz in die regulären Anforderungen.
Wenn Ihr ISMS nur gebaut wurde, um die Muss-Schwelle von ISA 6 zu erreichen, entstehen genau hier die ersten neuen Lücken.
Kapitel im Überblick
| Kapitel | Was sich ändert | Bewertung |
|---|---|---|
| 1 – IS-Richtlinien | Bereitstellung der Richtlinien für Mitarbeitende jetzt Muss-Anforderung (1.1.1) | Geringe Änderung |
| 2 – Personal | Schulungsprogramme für die Geschäftsleitung ergänzt (2.1.3), Muss-Anforderungen zum mobilen Arbeiten neu formuliert (2.1.4) | Große Änderung |
| 3 – Physische Sicherheit | Einzelne Klarstellungen | Geringe Änderung |
| 4 – Zugriffsmanagement | Passwort-Anforderung umformuliert (4.1.2), zeitliche Begrenzung von Identifikationsmitteln bei hohem Schutzbedarf gestrichen (4.1.1) | Geringe Änderung |
| 5 – IT-Sicherheit | Einzelne Anpassungen, u. a. IT-Service-Continuity bei hohem Schutzbedarf (5.2.8), Kontrollfrage auf IT-Services umgestellt (5.3.1) | Geringe Änderung |
| 6 – Lieferanten | Lieferantenprüfung bei hohem und sehr hohem Schutzbedarf verschärft (6.1.1), 1.2.4 wird zu 6.1.3 | Große Änderung |
| 7 – Compliance | Nur Umformulierungen | Geringe Änderung |
| 8 – Prototypenschutz | Komplett neu strukturiert: zwei statt fünf Abschnitte, 22 → 20 Controls | Große Änderung |
| 9 – Datenschutz | Keine Änderungen | Unverändert |
Die Systematik des Fragenkatalogs — Reifegrade, Assessment Level, Prüflogik — erklären wir ausführlich unter TISAX® Fragenkatalog.
Die Lieferkette rückt in den Fokus
Control 1.2.4 (externe IT-Dienstleister) wandert als neues Control 6.1.3 in das Lieferanten-Kapitel. Die im ersten Entwurf vorgesehene Muss-Anforderung „Supplier SoA“ wurde mit Version 2027.1 wieder gestrichen. Die eigentliche Verschärfung steckt in 6.1.1: Bei hohem Schutzbedarf müssen Sicherheitsnachweise der Lieferanten künftig dokumentiert und regelmäßig sowie anlassbezogen geprüft werden; bei sehr hohem Schutzbedarf wird ein Drittaudit oder ein passendes TISAX®-Label des Lieferanten erwartet. Das Lieferantenmanagement wird damit zu einem der Bereiche mit spürbar wachsendem Aufwand.
Prototypenschutz: neu gebaut, nicht erweitert
Der Prototypenschutz ist die größte strukturelle Änderung: Die fünf Abschnitte von ISA 6 (8.1 bis 8.5) werden zu zwei zusammengefasst (8.1 organisatorisch, 8.2 physische und Umgebungssicherheit), Controls werden zusammengeführt und veraltete Inhalte entfernt – das Modul schrumpft von 22 auf 20 Controls (13 organisatorisch, 7 physisch); neu sind u. a. 8.1.1, 8.1.2, 8.1.4 und 8.1.11–8.1.13. Wenn Ihr Prüfumfang den Prototypenschutz umfasst, muss Ihre Dokumentationsstruktur neu zugeordnet werden, selbst wenn die zugrunde liegenden Maßnahmen gleich bleiben.
Was gleich bleibt: der Datenschutz
Kapitel 9 (Datenschutz) ist unverändert – die Änderungshistorie von ISA 2027 nennt für die 12 Controls keine Änderungen. Umfasst Ihr Scope das Datenschutz-Modul, ändert sich hier nichts.
Ab wann gilt VDA ISA 2027?
Die ENX hat den Stichtag festgelegt: VDA ISA 2027 gilt für alle TISAX®-Assessments, die ab dem 1. Januar 2027 beauftragt werden. Assessments, die bis zum 31. Dezember 2026 beauftragt werden, laufen weiter nach ISA 6. Maßgeblich ist die ISA-Version zum Zeitpunkt der Beauftragung des Erst-Assessments. Bestehende TISAX®-Labels bleiben für ihre volle Laufzeit (bis zu drei Jahre) gültig; der jährliche Katalogrhythmus führt nicht zu jährlichen Assessments. ISA 2028 soll im Sommer 2027 erscheinen.
Was Sie jetzt tun sollten
- Beauftragungszeitpunkt planen: Wird Ihr Assessment noch 2026 beauftragt, gilt ISA 6; ab dem 1. Januar 2027 beauftragte Assessments laufen nach ISA 2027.
- Die substanziellen Kapitel zuerst prüfen: 1, 2, 6 und 8 – Richtlinien, Schulung der Geschäftsleitung und mobiles Arbeiten, Lieferantenmanagement und Prototypenschutz.
- Should-zu-Must-Promotionen prüfen: bisher optionale Anforderungen können jetzt Pflicht sein.
- GAP-Analyse gegen die geänderten Controls statt den ganzen Katalog neu durchzuarbeiten.
So unterstützt Sie 360 Digitale Transformation
Wir begleiten Sie beim Umstieg auf VDA ISA 2027 – von der Gap-Analyse auf ISA 2027 über die Umsetzung der verschärften Controls und das Remapping des Prototypenschutzes bis zur Assessment-Vorbereitung. Grundlage ist der Abgleich Ihres ISMS mit dem TISAX®-Fragenkatalog und den TISAX®-Anforderungen. Sie sind noch auf ISA 6? Auch dann beginnt der Umstieg mit der Gap-Analyse – der Weg zum Label bleibt derselbe.
Quelle: VDA – Informationssicherheit
Über den Autor
Can Adigüzel ist Mitgründer und Geschäftsführer der 360 Digitale Transformation GmbH, Berater für TISAX® und ISO 27001 Lead Auditor mit über 200 Audits. Er ist seit 2012 im IT-Projektmanagement und seit 2019 in der Informationssicherheit tätig. Er hilft mittelständischen Unternehmen, Informationssicherheit pragmatisch umzusetzen.