Ein Interview mit Robert Brown, Global Head of Automotive bei BSI
Der TISAX® ISA2027 bringt einen besser planbaren Veröffentlichungszyklus, klarere Anforderungen und einen stärkeren Fokus auf die Sicherheit der Lieferkette. Wir haben Robert Brown gefragt, was sich ändert, ab wann die neuen Anforderungen gelten und was Sie jetzt tun sollten.
Das Wichtigste in Kürze: Die TISAX® Informationssicherheitsbewertung (Information Security Assessment - ISA) wurde am 1. Juli 2026 als VDA ISA2027 aktualisiert.
- Der TISAX® ISA wird jährlich aktualisiert und jeweils im Juli neu veröffentlicht; sie tritt im darauffolgenden Januar in Kraft.
- Ab dem 1. Januar 2027 wird ISA2027 zum Standard-Bewertungskatalog für neue TISAX®Bewertungen.
- Bestehende TISAX® Kennzeichnungen bleiben bis zu ihrem angegebenen Ablaufdatum gültig.
- Neubewertungen werden anhand der neuesten Fassung des ISA durchgeführt.
Warum ist TISAX® für Organisationen der Automobilbranche relevant?
TISAX® (Trusted Information Security Assessment Exchange) bietet Automobilherstellern und Zulieferern eine einheitliche Grundlage, um Informationssicherheit zu bewerten und die Ergebnisse untereinander auszutauschen. Das ist in einer Branche von großer Bedeutung, in der sehr große Mengen sensibler Daten durch komplexe, globale Lieferketten fließen.
Seit der ersten Bewertung im Jahr 2016 ist das Schema rasant gewachsen. Zunehmend geben auch Tier-1-Zulieferer die TISAX®-Anforderung an ihre eigenen Lieferanten weiter.
Die ENX Association, die Governance-Organisation von TISAX®, berichtet, dass bereits mehr als 21.000 Standorte bewertet wurden und diese Bewertungen zu weit über 100.000 identifizierten und umgesetzten Sicherheitsverbesserungen geführt haben. Heute verlangen mehr als zehn OEMs TISAX® verbindlich und nutzen die Bewertungsergebnisse, um Geschäftspartner zu beurteilen und ihre Lieferketten vor Bedrohungen der Informationssicherheit zu schützen.
Was genau ist der TISAX® ISA?
ISA steht für Information Security Assessment. Es handelt sich um den Anforderungskatalog, der als Grundlage für TISAX® Bewertungen dient.
Ursprünglich wurde er als Anpassung der Informationssicherheitsmanagement-Norm ISO/IEC 27001 für die Automobilindustrie entwickelt. Inzwischen hat sich der ISA zu einem eigenständigen Branchenstandard weiterentwickelt, der weiterhin an international anerkannten Frameworks für Informationssicherheit ausgerichtet ist.
Teilnehmer nutzen den ISA zur Vorbereitung auf die Bewertung und teilen bei erfolgreichem Abschluss ihre TISAX® Bewertungsergebnisse über das ENX-Portal mit ausgewählten Kunden und Partnern.
Was ändert sich also am TISAX® ISA?
Kurz gesagt: ISA2027 macht den Katalog klarer, konsistenter und besser auf die heutigen Sicherheitsrisiken abgestimmt.
Fünf wesentliche Änderungen stechen besonders hervor:
- Neue jahresbasierte Versionierung. Der Name gibt jetzt an, ab wann der Katalog gilt. ISA2027 gilt für Bewertungen, die im Jahr 2027 beauftragt werden.
- Aktualisierte Zuordnungen. ENX hat die Zuordnungen zum NIST Cybersecurity Framework 2.0 und zu ISO/IEC 27001:2022 aktualisiert, die Zuordnungen zu ISA/IEC 62443 präzisiert und die Verweise auf ISO/IEC 27001:2013 entfernt.
- Klarere Sprache. ENX hat Formulierungen, Übersetzungen, Formatierung und die Struktur der Anforderungen überarbeitet. Außerdem wurde die Formulierung „Folgende Aspekte werden berücksichtigt“ formal definiert. Unternehmen müssen sich daher mit jedem aufgeführten Aspekt bewusst auseinandersetzen und ihre Umsetzungsentscheidung in der Bewertung begründen.
- Stärkere Absicherung der Lieferkette. Unternehmen mit hohem Schutzbedarf müssen die Compliance ihrer Lieferanten sowie die zugehörigen Nachweise genauer dokumentieren, überprüfen und überwachen. Bei sehr hohem Schutzbedarf wird von Lieferanten erwartet, dass sie eine angemessene Informationssicherheit durch eine TISAX® Kennzeichnung, eine gleichwertige Bewertung durch Dritte oder ein geeignetes Lieferantenaudit nachweisen.
- Neu strukturierter Prototypenschutz. Aus den bisherigen fünf Kontrollmaßnahmengruppen sind nun zwei Bereiche geworden: Organisatorische Anforderungen sowie physische und umgebungsbezogene Sicherheit. Neue Kontrollmaßnahmen regeln die Rückverfolgbarkeit und die Nachverfolgung über den gesamten Lebenszyklus sowie die Entsorgung, das Recycling oder die Rückgabe geschützter Prototypen, Bauteile und Werkzeuge.
Hinweis: Der Fragenkatalog zum Datenschutz hat sich laut dem offiziellen Redline-Vergleich von ENX zwischen ISA 6 und ISA2027 nicht geändert.
Ab wann gelten die Änderungen am TISAX® ISA?
Die Aktualisierung des ISA erfolgt jedes Jahr am 1. Juli, die neue Version gilt ab dem 1. Januar des darauffolgenden Jahres. Dieser Zeitraum von sechs Monaten gibt zugelassenen Auditdienstleistern und Teilnehmern die Möglichkeit, sich auf die Bewertung nach der neuen Version vorzubereiten.
ISA2027 ist der Standardkatalog für die TISAX® Bewertungen, die ab dem 1. Januar 2027 beauftragt werden. Bewertungen, die vor diesem Datum beauftragt wurden oder deren Erstbewertung (Stufe 2) vor dem 1. April 2027 angesetzt ist, können jedoch weiterhin nach ISA 6 durchgeführt werden. Das Datum der Registrierung des Bewertungsumfangs ist nicht ausschlaggebend dafür, welche Version gilt.
Bewertungen, die vor dem 1. Januar 2027 beauftragt wurden, können weiterhin nach ISA 6 durchgeführt werden. ENX hat zudem erklärt, dass eine Erstbewertung nach ISA 6 letztmalig im März 2027 eröffnet werden kann.
Bei vereinfachten Gruppenbewertungen und Erweiterungen des Bewertungsumfangs gilt weiterhin die ISA-Version, die bei der Erstbewertung verwendet wurde. Alle Standorte innerhalb eines Bewertungsumfangs müssen nach derselben Version geprüft werden.
Bedeutet der jährliche Veröffentlichungszyklus auch jährliche Bewertungen?
Nein. Das ist ein wichtiger Punkt. ENX plant, künftige ISA-Kataloge jährlich zu veröffentlichen, TISAX® Kennzeichnungen bleiben jedoch weiterhin bis zu drei Jahre gültig.
Der jährliche Zyklus ermöglicht es, den Katalog in kleineren, besser planbaren Schritten weiterzuentwickeln. Eine jährliche Neubewertung wird dadurch nicht erforderlich.
In der Praxis werden viele Unternehmen zwischen zwei vollständigen Bewertungen mehrere ISA-Versionen durchlaufen.
Was müssen bestehende TISAX® Teilnehmer tun?
Unmittelbarer Handlungsbedarf besteht nicht. Ihre bestehende TISAX® Kennzeichnung bleibt bis zu ihrem Ablaufdatum gültig.
Jetzt ist jedoch ein guter Zeitpunkt, um zu prüfen, wann Ihre nächste Bewertung ansteht, und festzustellen, welche Anforderungen aus ISA2027 Ihr Unternehmen betreffen könnten. Welche ISA-Version bei Ihrer nächsten Bewertung zugrunde gelegt wird, hängt vom Zeitpunkt der Beauftragung ab. Manche Unternehmen wechseln daher direkt zu ISA2027, andere erst zu einer späteren Jahresversion.
Worauf sollten Teams ihre Vorbereitung konzentrieren?
Ich würde mit vier praktischen Maßnahmen beginnen:
- Laden Sie ISA2027 und den ENX-Redline-Vergleich vom ENX-Portal herunter.
- Gleichen Sie die Änderungen mit Ihren bestehenden Kontrollmaßnahmen und dem Umfang Ihrer Bewertung ab.
- Überprüfen Sie die Anforderungen an die Lieferantenabsicherung und den Prototypenschutz.
- Aktualisieren Sie bei Bedarf Richtlinien, Nachweise und interne Zuständigkeiten.
Ebenso wichtig ist, dass Ihre Teams die Gründe für ihre Vorgehensweise erläutern können. ISA2027 legt größeren Wert darauf, dass Entscheidungen nachweislich bewusst getroffen und dokumentiert wurden.
Ändert ISA2027 etwas an einem ENX Vehicle Cyber Security (VCS) Audit?
Nicht unmittelbar. ENX VCS, das Audit zur Fahrzeug-Cybersicherheit, ist ein eigenständiges Auditverfahren auf Basis von ISO/SAE 21434.
ENX weist jedoch darauf hin, dass zum Zeitpunkt des VCS-Audits für jeden Standort im Umfang des VCS-Audits gültige TISAX® Kennzeichnungen vorliegen sollten.
Wenn Sie beide Maßnahmen planen, stimmen Sie die Zeitpläne aufeinander ab. Stellen Sie sicher, dass die erforderlichen TISAX® Kennzeichnungen gültig bleiben, und klären Sie, welche ISA-Version für eine anstehende TISAX® Bewertung gilt.
Was ist Ihr abschließender Rat für TISAX® Teilnehmer?
Beginnen Sie mit Ihren Stichtagen und konzentrieren Sie sich dann auf die Änderungen, die sich am stärksten auf Ihr Unternehmen auswirken. Prüfen Sie das Ablaufdatum Ihrer Kennzeichnung, den voraussichtlichen Zeitpunkt der Beauftragung der Bewertung, Ihre Lieferanten, Ihren Schutzbedarf sowie etwaige Aktivitäten im Bereich Prototypenschutz.
Denken Sie daran: ISA2027 ist eine Weiterentwicklung und kein Grund, von vorn zu beginnen. Eine gezielte Lückenanalyse hilft Ihnen, bewährte Kontrollmaßnahmen beizubehalten und Ihren Aufwand auf die Bereiche zu richten, die sich geändert haben.
Machen Sie den nächsten Schritt
- ISA2027 und den Redline-Vergleich von ENX herunterladen – Sichten Sie den offiziellen Katalog und ermitteln Sie die für Ihren Bewertungsumfang relevanten Änderungen.
- Schulungen zum VDA ISA auf Basis von TISAX® entdecken – Vertiefen Sie das Verständnis Ihres Teams für die Anforderungen des ISA und an ein ISMS.
- BSI kontaktieren – Besprechen Sie den Zeitplan für Ihre Bewertung und Ihre Prioritäten bei der Vorbereitung mit unserem Team.
