Der Auftrag ist in Sicht, der Vertrag liegt vor und darin steht eine Anforderung, mit der viele Gründerteams nicht gerechnet haben: Sie sollen ein TISAX-Label nachweisen. Für ein TISAX Startup ist das zunächst ein Begriff ohne Kontur: kein Zertifikat im gewohnten Sinn, kein frei käufliches Dokument, sondern ein Prüfverfahren mit eigener Organisation, eigener Plattform und eigenen Regeln. Das klingt nach einem schwer greifbaren Großprojekt. Tatsächlich folgt TISAX aber einer klaren Logik, und wer sie einmal verstanden hat, kann den Aufwand realistisch einschätzen und oft auf Vorhandenem aufbauen.
Was TISAX ist und was nicht
TISAX ist ein Verfahren zum Austausch von Prüfergebnissen zur Informationssicherheit in der Automobilindustrie. Grundlage ist der VDA ISA, ein Katalog von Anforderungen, den der Verband der Automobilindustrie pflegt. Die ENX Association betreibt das Verfahren und die Plattform, über die Ergebnisse geteilt werden.
Zwe i Eigenschaften unterscheiden es von einer klassischen Zertifizierung: Erstens prüft ein zugelassener Prüfdienstleister gegen den VDA ISA, nicht gegen eine ISO-Norm. Zweitens erhalten Sie kein Zertifikat, das Sie auf die Website stellen, sondern ein Label, das Sie gezielt für einzelne Partner freigeben.
Für ein TISAX Startup heißt das: Der Nachweis entsteht nicht für die Öffentlichkeit, sondern für einen konkreten Kunden. Dieser Kunde gibt in der Regel auch vor, welche Anforderungen das Label erfüllen muss.
Assessment Level und Prüfziele
Der Aufwand hängt an zwei Festlegungen, die vor dem Projekt stehen und die der Kunde maßgeblich bestimmt:
Das Prüfziel beschreibt, worauf sich die Prüfung bezieht – etwa der allgemeine Umgang mit Informationssicherheit, der Schutz von Prototypen oder der Umgang mit besonders schützenswerten Daten. Jedes Prüfziel bringt eigene Anforderungen mit; Prototypenschutz etwa umfasst bauliche und organisatorische Anforderungen, die für ein reines Softwareunternehmen oft gar nicht einschlägig sind.
Das Assessment Level bestimmt die Prüftiefe. Es reicht von einer Selbstauskunft mit Plausibilitätsprüfung bis zu einer Prüfung mit Begehung vor Ort. Je höher das Level, desto mehr Nachweise werden nicht nur beschrieben, sondern gezeigt.
Klären Sie beides schriftlich mit dem Kunden, bevor Sie anfangen. Ein Projekt, das auf das falsche Prüfziel hinarbeitet, erzeugt Aufwand, den niemand braucht; das fällt erst am Ende auf.
Das Verhältnis zur ISO 27001
Der VDA ISA ist an der ISO/IEC 27001 orientiert und übernimmt viele ihrer Themen: Risikomanagement, Zugriffskontrolle, Umgang mit Lieferanten, Vorfallsbehandlung, Kontinuität. Wer ein funktionierendes ISMS betreibt, hat demnach einen erheblichen Teil der Arbeit bereits getan.
Deckungsgleich sind die beiden allerdings nicht. Der VDA ISA stellt in einigen Bereichen konkretere Anforderungen, insbesondere dort, wo es um den Schutz von Entwicklungsdaten und um den Umgang mit Informationen aus Kundenprojekten geht. Umgekehrt ersetzt ein TISAX-Label keine ISO-27001-Zertifizierung, falls ein anderer Kunde genau diese verlangt.
In der Praxis läuft es häufig auf eine Reihenfolge hinaus, die sich mit einer gemeinsamen Zertifizierungsvorbereitung abbilden lässt: Das ISMS wird einmal aufgebaut und trägt beide Nachweise. Ein zweites, paralleles System für den Automobilkunden ist grundsätzlich nicht nötig und wäre auf Dauer auch nicht pflegbar.
Der Ablauf in groben Zügen
Das Verfahren folgt einer festen Reihenfolge:
- Registrierung auf der ENX-Plattform und Festlegung von Prüfziel und Level
- Selbstauskunft entlang des VDA ISA, mit Reifegradbewertung je Anforderung
- Beauftragung eines zugelassenen Prüfdienstleisters
- Assessment, je nach Level mit Interviews und Vor-Ort-Anteil
- Maßnahmenplan für offene Punkte, Nachweis der Umsetzung
- Freigabe des Ergebnisses an den anfragenden Partner
Die Selbstauskunft ist dabei mehr als Vorbereitung: Sie ist das Arbeitsdokument des gesamten Projekts. Wer sie ehrlich ausfüllt, sieht die Lücken, bevor der Prüfer sie sieht, und kann die Reihenfolge der Maßnahmen selbst bestimmen.
Die ENX Association beschreibt Verfahren, Level und Prüfziele auf ihrer offiziellen Seite zu TISAX.
Was Startups erfahrungsgemäß unterschätzen
Drei Punkte kosten regelmäßig mehr Zeit als erwartet:
Der Reifegrad der Selbstauskunft ist keine Ja-Nein-Frage. Gefordert ist in der Regel nicht die höchste Stufe, aber eine, die über „gemacht, aber nicht festgelegt" hinausgeht. Ein Ablauf, der funktioniert, ohne beschrieben zu sein, fällt hier durch – nicht wegen der Praxis, sondern wegen der fehlenden Festlegung.
Der Umgang mit Lieferanten wird zur echten Aufgabe. Wenn Teile Ihrer Leistung bei Dienstleistern liegen, muss nachvollziehbar sein, welche Anforderungen Sie dort gestellt haben und wie Sie deren Einhaltung prüfen.
Und die Terminlage: Prüfdienstleister sind nicht beliebig verfügbar, freie Assessment-Termine liegen oft mehrere Wochen oder Monate in der Zukunft. Warten Sie mit der Anfrage deshalb nicht, bis Ihre Vorbereitung vollständig abgeschlossen ist. Sobald feststeht, bis wann der Kunde das Label erwartet, sollten Sie den Prüftermin anfragen und die Vorbereitung parallel darauf ausrichten. So vermeiden Sie, dass am Ende alles fertig ist, das Assessment aber erst Monate später stattfinden kann.
Häufige Fragen zu TISAX
Brauchen wir zuerst ISO 27001?
Nein, TISAX setzt keine ISO-27001-Zertifizierung voraus. Ein vorhandenes ISMS verkürzt die Vorbereitung aber deutlich, weil der VDA ISA auf denselben Themen aufsetzt.
Gilt das Label für das ganze Unternehmen?
Es gilt für den geprüften Standort und den festgelegten Umfang. Arbeiten mehrere Standorte am Kundenprojekt mit, gehört das in die Festlegung vor dem Assessment, nicht danach.
Wie lange ist ein TISAX-Label gültig?
Die Gültigkeit ist zeitlich begrenzt und wird über ein erneutes Assessment verlängert. Den genauen Rahmen legt die ENX Association fest; er gehört zu den Punkten, die Sie vor dem Projekt mit dem Prüfdienstleister klären.
Fazit
Wenn ein Automobilkunde ein TISAX-Label verlangt, wirkt das für Startups zunächst wie eine große, schwer greifbare Hürde. Bei genauerem Hinsehen ist TISAX aber ein klar strukturiertes Verfahren mit festen Schritten. Wie viel Aufwand es bedeutet, entscheidet sich vor allem an zwei Stellen: am Prüfziel und am Assessment Level. Beides legt in der Regel der Kunde fest, nicht Sie selbst.
Wer bereits ein ISMS nach ISO 27001 betreibt oder aufbaut, hat einen großen Teil der Arbeit schon erledigt und muss vor allem die Lücken zum VDA ISA schließen. Die Selbstauskunft zeigt dabei früh, wo diese Lücken liegen. Und wer den Prüftermin rechtzeitig anfragt, verhindert, dass das Projekt am Ende an der Terminlage hängt.
Der erste Schritt ist deshalb einfach: Lassen Sie sich vom Kunden schriftlich bestätigen, welches Prüfziel und welches Assessment Level er erwartet. Damit wird aus einer unklaren Anforderung ein planbares Projekt.
