In Ausschreibungen, Lastenheften und Vertriebsgesprächen werden TISAX® und ISO® 27001 oft so behandelt, als wäre das eine einfach die Automobil-Variante des anderen. Historisch ist das nicht ganz falsch: Frühe Versionen des VDA-ISA-Katalogs wurden aus der ISO 27001 abgeleitet. Seitdem hat sich der Katalog hinter TISAX aber weiterentwickelt. Er stellt heute eigene Anforderungen an das Informationssicherheits-Managementsystem (ISMS). Deshalb lohnt es sich, beim Aufbau des ISMS den passenden Standard zu wählen. Oder zu prüfen, ob nicht sogar beide für das Unternehmen relevant sind. Darum soll es nachfolgend gehen.
Christopher Eller
Nehmen wir Organisationen, die beispielsweise neben Automotive-OEMs- und Tier-1-Kunden auch Kunden anderer Branchen beliefern. Für sie könnte die Erfüllung beider Standards zugleich interessant sein.
Aber auch wer nur TISAX umsetzen möchte, kann sich mit der sauberen Umsetzung des ISMS die spätere Zertifizierung nach 27001 erleichtern. Einfach, indem von vornherein möglichst nach Best-Practice-Prinzipien strukturiert wird und Synergieeffekte genutzt werden.
Vorab eine wichtige Abgrenzung, da die Begriffe leicht durcheinandergeraten: Sowohl TISAX als auch die ISO 27001 betreffen die Informationssicherheit der Organisation. Die Cybersicherheit im Fahrzeug selbst (geregelt über ISO/SAE 21434, UN R155 u.a.), ist ein eigenes Regelungsfeld und bleibt hier außen vor.
Warum verlangt die Automobilindustrie mit TISAX eigentlich einen eigenen Nachweis?
Aufgrund des intensiven Austauschs von vertraulichen Daten – etwa über EDI-Schnittstellen oder bis hin zum Einblick in Produktionsprozesse eines OEMs – ist der Wunsch, beauftragte Lieferanten an die eigenen Sicherheitsbedingungen zu binden, durchaus begründet
Anfangs geschah dies dezentral: Jeder OEM stellte eigene Sicherheitsanforderungen und prüfte seine Lieferanten selbst – mithilfe individuell gestalteter Fragebögen und Audits in Eigenregie. Für Lieferanten, die mehrere Hersteller belieferten, bedeutete das einen erheblichen Mehraufwand: unterschiedlich formulierte Kataloge, mehrfache Prüfungen, geringe Vergleichbarkeit.
Dieses Muster war in der Branche bereits aus der Qualitätssicherung bekannt, wo Lieferantenanforderungen bereits verbandsweit harmonisiert worden waren (ISO 9001 → IATF 16949 / VDA 6.3). Denselben Ansatz übertrug der Arbeitskreis „Informationssicherheit” im VDA (Verband der Automobilindustrie) nun auf die Informationssicherheit. In mehreren Ausbaustufen entstand so der VDA ISA (Information Security Assessment): ein gemeinsamer Fragenkatalog, der inhaltlich auf der ISO 27001 aufbaut und um branchenspezifische Module ergänzt wurde.
In Zusammenarbeit mit der ENX Association entstand daraus TISAX (Trusted Information Security Assessment Exchange). Die Idee dahinter steckt bereits im Namen. Ein einmal durchgeführtes Assessment wird über eine zentrale Plattform allen berechtigten Partnern zur Verfügung gestellt. Eben ein Nachweis anstelle vieler Einzelprüfungen.
Es gibt nun durchaus starke Parallelen zwischen den Anforderungen aus der Automobilbranche und der ISO 27001. Die Anforderungen von TISAX gehen jedoch gerade im Bereich der physischen Sicherheit (Zutrittsberechtigungen, Einsicht auf Prototypen) weiter. Darüber hinaus explizite Anforderungen, die so nur auf die Automobilbranche übertragbar sind (Prototypenschutz).
Dem folgend entspricht es dem Selbstverständnis der Automobilbranche, nicht nur den ISO-Standard selbst, sondern eben auch das Prüfverfahren eigenständig zu definieren.
Prüfziele: Was prüft man mit TISAX tatsächlich?
TISAX ist modular aufgebaut. Es wird nicht „TISAX als Ganzes“ angemeldet, sondern ein oder mehrere Prüfziele. Aktuell sind das zwölf, verteilt auf drei Kriterienkataloge.
Den Kern bildet der Katalog „Informationssicherheit“ mit vier Zielen, gestaffelt nach Schutzbedarf: „Confidential“ und „Strictly confidential“ für den Umgang mit vertraulichen bzw. streng vertraulichen Informationen. „High availability“ und „Very high availability“ für die Verfügbarkeit.
Letztere betreffen vor allem die in der Automobilindustrie so wichtigen Just-in-time-Lieferanten, deren Ausfall die Produktion der Kunden stoppt.
Fast jedes Assessment enthält mindestens eines dieser vier Ziele. Als „Neueinsteiger“ startet man in der Praxis zunächst mit „Confidential“. (Dazu angemerkt: Bis März 2024 hießen die Vertraulichkeitsziele „Info high“ und „Info very high“. Diese alten Bezeichnungen sind auch heute noch in vielen Unterlagen zu finden.)
Was umfasst der Prototypenschutz und der Datenschutz in TISAX?
Dazu kommen zwei Spezialkataloge: „Prototypenschutz“ und „Datenschutz“.
Der Katalog „Prototypenschutz“ ist selbst noch einmal in vier Prüfziele unterteilt:
- Prototypenbauteile,
- Prototypenfahrzeuge,
- Erprobungsfahrzeuge
- sowie Veranstaltungen, samt Film- und Fotoaufnahmen.
Dies wird relevant, sobald unveröffentlichte Bauteile oder getarnte Fahrzeuge im Spiel sind.
Der Datenschutz-Katalog („Data“ und „Special Data“) greift bei Auftragsverarbeitung nach Art. 28 DSGVO und wird stets in Kombination mit der Informationssicherheit angewendet.
Wichtig für die Planung: Mit der Definition des Prüfziels geht mehr einher als nur der reine Prüfumfang. Es legt das Assessment-Level und damit die Prüfmethode fest. Dadurch bestimmt sich der Vorbereitungsaufwand. Und letztlich auch die entstehenden Kosten.
Welche Prüfziele erforderlich sind, entscheidet dabei faktisch der Kunde. Nicht der Zulieferer und auch nicht der Prüfdienstleister.
Gerade an dieser kritischen Stelle entstehen die teuersten Fehler.
Ein Beispiel aus der Praxis gefällig?
Ein Komponentenfertiger meldete auf mündlichen Zuruf des Einkäufers vorsorglich „Strictly confidential“ an. Gefordert war aber nur „Confidential“. Der Unterschied: Für die Vor-Ort-Verifizierung (anstelle der Plausibilitätsprüfung) ist deutlich mehr Vorbereitung erforderlich. Und das für ein Schutzniveau, das niemand verlangt hatte.
Das klingt vielleicht unspektakulär, aber Korrektheit spart hier bares Geld. Ein ganz simpler Tipp für die Praxis lautet daher, die geforderten Prüfziele vor der TISAX-Registrierung schriftlich bestätigen zu lassen.
TISAX-Assessment-Level verstehen: keine Wahlmöglichkeit, eher eine Konsequenz
Aus den zuvor definierten Prüfzielen ergibt sich dann das Assessment-Level. Dieses wird also nie direkt gewählt.
Relevant sind zwei Stufen:
- AL2 als Plausibilitätsprüfung, bei der der Prüfdienstleister die Selbsteinschätzung samt Nachweisen sichtet und per Webkonferenz mit dem Sicherheitsverantwortlichen bespricht.
- AL3 als vollständige Verifizierung vor Ort. Dabei werden Interviews geführt und die gelebten Prozesse beobachtet.
Prüfziele mit hohem Schutzbedarf laufen auf AL2, Prüfziele mit sehr hohem Schutzbedarf auf AL3.
Das AL2 bedeutet allerdings nicht automatisch weniger Arbeit, auch wenn die Prüftiefe geringer ist. Da die Plausibilitätsprüfung mit einer durchgängig belegten Selbsteinschätzung steht und fällt, verlagert sich der Aufwand nach innen. Jede getroffene Aussage braucht einen Nachweis, der einer kritischen Sichtung standhält.
So können bei einem Fertigungsbetrieb mit rund 100 Mitarbeitern für „Confidential“ am Ende gut 40 Richtlinien und weit über 100 Nachweise zusammenkommen. Wichtig ist, sich klarzumachen, dass der Prüfer vor Ort nichts davon sieht. Die Dokumentation muss allein überzeugen.
Wer AL2 also als „TISAX light“ einplant, unterschätzt genau diesen dahinterliegenden Aufwand.
Wo die ISO 27001 endet und TISAX noch weitergeht
Trotz der eingangs beschriebenen Loslösung gibt es eine starke Überschneidung des ISMS-Kerns aus Risikomanagement, Richtlinien und Maßnahmensteuerung zwischen ISO 27001 und TISAX.
Ein ausgereiftes ISO-27001-ISMS deckt somit einen erheblichen Teil der ISA-Anforderungen ab.
Es gilt jedoch: Nur weil sich beide Standards überschneiden, ersetzt ein Nachweis den anderen nicht.
Der OEM will das erwähnte Label im ENX-Portal einsehen und das Assessment läuft in vollem Umfang gegen den ISA-Katalog. Ein vorhandenes ISO-27001-Zertifikat, bzw. dessen Erarbeitung verkürzt in der Regel die Vorbereitungszeit, nicht aber die Prüfungszeit.
Umgekehrt ist ebenso ein Teil der Warheit: Außerhalb der Automobilbranche und Fahrzeugentwicklung hat ein TISAX-Label kaum Bedeutung.
Aufschlussreicher ist daher die Frage, woran ISO-zertifizierte Unternehmen im TISAX-Assessment tatsächlich „hängen bleiben“.
Das sind selten die Kern-Controls, sondern häufig die Besonderheiten rund um den Prototypenschutz, die ein generisches ISMS eben nicht kennt, sowie die Bewertungslogik.
Die ISO 27001 fragt binär nach Konformität.
Der ISA-Katalog bewertet dagegen jede Anforderung auf Reifegraden von 0 bis 5 im Vergleich zu einer Ziel-Reife von in der Regel 3.
In der Praxis zeigt sich dabei häufig das folgende Bild: In der ersten Selbsteinschätzung einer ISO-zertifizierten Organisation werden fast durchgängig Reifegrade von 4 erreicht. Nach kritischer Durchsicht liegt der erreichte Schnitt jedoch oft unter der Ziel-Reife. Nicht, weil Prozesse fehlen, sondern weil niemand ihre Wirksamkeit misst.
ISO 27001 vs. TISAX: Ein System, zwei Nachweise
Die einfache Faustregel lautet: Wer den Nachweis fordert, entscheidet den Weg.
Automotive-OEMs und Tier-Zulieferer (in Europa) akzeptieren in der Regel nur TISAX, während die ISO 27001 branchenübergreifend zählt.
Unternehmen, die beide Welten beliefern, benötigen daher über kurz oder lang beide Nachweise.
Aufgesetzt wird logischerweise trotzdem nur ein ISMS, aber mit zwei Prüfungen und eigenen Zyklen.
Da von der Registrierung bis zum erreichten TISAX-Label ohnehin mehrere Monate vergehen, lohnt sich ein frühzeitiger Blick auf die richtigen Reihenfolgen.
Praxiseinblicke, wenn ISO 27001 und TISAX anstehen: Erst das eine oder das andere?
Wie das in der Praxis aussieht, zeigt ein typisches Beispiel: Ein Systemhaus mit OEM-Kunden möchte mittelfristig auch die ISO 27001 umsetzen.
Was also zuerst?
Fast immer TISAX.
Das Label bringt unmittelbaren Nutzen im Automotive-Geschäft. Gleichzeitig ist der Katalog etwas schlanker und die Prüfung günstiger als ein Zertifizierungsaudit.
Entscheidend ist jedoch das „Wie“.
Wer beides auf der Agenda hat und mit TISAX beginnt, um dann zur ISO 27001 zu gelangen, für den funktioniert das nur, wenn das System nicht auf maximale Schlankheit getrimmt wurde.
Konkret bedeutet das: Ein TISAX-ISMS, das nicht auf dem ISMS-Standard basiert, weicht in Struktur und Begriffen so stark davon ab, dass selbst die TISAX-Prüfer damit Probleme haben.
Es empfiehlt sich also, das ISMS so zu gestalten, dass es zu rund 80 Prozent mit der ISO 27001 übereinstimmt. Zwingend ist das nicht. Da die TISAX-Prüfer jedoch in der Regel aus der ISO-27001-Welt kommen, erwarten sie zwangsläufig deren Muster.
Wer da im gewohnten Wording bleibt, der trifft die Sprache der Prüfer. So finden sich für praktisch jedes Dokument Vorlagen und Schulungsmaterialien. Wenn später die Auditierung der ISO 27001 dazukommt, dann sind es in der Regel nur noch 10 bis 20 Prozent Restaufwand. Plus natürlich das ISO-27001-Audit selbst.
Der umgekehrte Weg – erst vollständig ISO 27001 und dann TISAX – ist laut Praxisbeobachtung der anspruchsvollere. Der Übergang von der ISO 27001 zu TISAX ist zwar möglich, im Wesentlichen müssen lediglich die TISAX-spezifischen Nachweise erzeugt werden.
Handlungsempfehlungen, wenn ISO 27001 und TISAX bevorstehen
Die Leitlinie, die wir generell empfehlen, lautet daher: standardnah aufbauen, selbst wenn die ISO 27001 nie kommen sollte.
So entstehen im Aufbau kaum Mehrkosten und die Option bleibt offen.
Ein Blick auf die Kosten von TISAX
Welche Kosten gehen mit TISAX einher? Hier sind zunächst die festen Posten zu nennen:
- Die ENX®-Registrierung pro Standort,
- das Honorar des Prüfdienstleisters (der kleinere, planbare Teil).
Den Ausschlag gibt in der Regel der interne Aufbau. Dort entscheidet sich, ob ein TISAX-Vorhaben im vier- oder im fünfstelligen Bereich landet.
Die eigentliche Herausforderung ist dabei selten das fehlende Wissen, sondern die Steuerung. Es gibt Dutzende Anforderungen, verteilte Zuständigkeiten und eine Selbsteinschätzung, die über Monate konsistent bleiben muss.
Hier sei am Rande der Einsatz von Plattformen zur Steuerung empfohlen. Beispielsweise mit Valiido lassen sich Richtlinien, Maßnahmen und Nachweise entlang der Kataloge strukturieren. So entsteht die Selbsteinschätzung prüffertig und muss nicht am Ende mühsam zusammengesucht werden.
Sum Up
TISAX und ISO 27001 sind keine Konkurrenten.
Vielmehr sind sie als zwei Prüfungen desselben Systems für verschiedene Adressaten zu verstehen.
Das Fundament beider Nachweise ist jedoch immer dasselbe: ein ISMS, das systematisch aufgebaut und gelebt wird.
Die im Vorangegangenen erwähnten Synergieeffekte entstehen bereits beim Aufbau und nicht erst beim Audit.
Für den ersten Selbstcheck bei der Frage „Erst ISO 27001 oder erst TISAX?” genügen drei Fragen:
- Wer fordert den Nachweis? Ein OEM, der breitere Markt oder absehbar beide?
- Welche Prüfziele verlangt der Kunde tatsächlich und liegt das auch schriftlich vor?
- Ist das ISMS so strukturiert, dass eine zweite Prüfung darauf aufsetzen könnte?
Wer diese Fragen vor dem Start beantwortet, baut sein ISMS von Beginn an so auf, dass die beschriebenen Synergien tatsächlich eintreten.
Es gilt: Teuer wird es fast nie durch die Prüfungen selbst. Sondern durch das, was vorher falsch aufgesetzt wurde.
