TISAX® ist ein Prüfstandard für Informationssicherheitsmanagementsysteme, der auf ISO 27001 aufbaut und den Austausch von Prüfergebnissen zwischen den Teilnehmern vereinfacht. Konkrete Anforderungen der Automobilbranche wurden zusätzlich zur Norm ergänzt. Ziel der Automobilhersteller ist es, für eine hohe Verfügbarkeit bei Ihren Zulieferern und die damit verbundene Planungssicherheit in der Produktion zu sorgen. Begründet ist dies durch eine sehr hohe Abhängigkeit der Automobilbranche von der optimalen Funktionalität der “just-in-time” oder sogar “just-in-sequence”-Prozessen.

Zudem möchten sie sich dadurch auch im Wettbewerb schützen, da in der Regel auch die Produktion von neuen Prototypen vom Kleinteil bis zu größeren Baugruppen bei den Lieferanten gefertigt werden. Da neue Technologien bzw. Prototypen nicht vor Marktreife bekannt werden sollen, wollen sich der Automobiler, wie jedes anderes Unternehmen, vor Spionage und Know-How Diebstahl schützen. Bei TISAX® handelt es sich um eine Marke der ENX Association.

TISAX ist also ein Standard für ein Information Security Management System (ISMS), der in der Version 1 aus dem Jahr 2017 aus der Norm ISO/IEC 27001 abgeleitet wurde, sich aber seitdem auseinanderentwickelt hat. TISAX® ist ein gemeinsames Prüf- und Austauschverfahren für den Automobilbereich. Es basiert auf einem vom VDA-Arbeitskreis „Informationssicherheit“ entwickelten Fragebogen zur Informationssicherheit (ISA – Information Security Assessment), der zuerst von Mitgliedsunternehmen des Verbands der Automobilindustrie (VDA) für Prüfungen bei Lieferanten und Dienstleistern verwendet wurde, in deren Unternehmen sensible Informationen verarbeitet werden.

Mit TISAX wird ein einheitliches Niveau an Informationssicherheit in der Automobilindustrie geschaffen. Die Bewertungsergebnisse finden unter allen TISAX Teilnehmern unternehmensübergreifende Anerkennung, was zu einem größeren Vertrauen in geprüfte Unternehmen führt. Unnötige Doppel und Mehrfachüberprüfungen werden durch die gegenseitige Anerkennung im TISAX Netzwerk vermieden. Das Assessment zur TISAX Zertifizierung erfolgt nur alle drei Jahre, was Zeit und Kosten spart.

Dies hängt von einer Vielzahl von Faktoren ab, aber im Allgemeinen benötigen kleinere Organisationen 6 Monate, Organisationen mit bis zu 500 Mitarbeitern 8 bis 12 Monate und größere Organisationen 12 Monate oder mehr.

Das hängt auch von den folgenden Fragen ab:

• Haben Sie einen Mitarbeiter, der dieses Projekt koordinieren und leiten wird?
• Haben Sie bereits einen anderen Standard wie ITIL, ISO 9001 oder ähnliches eingeführt?
• Haben Sie mehrere Standorte?

Auf jeden Fall! Einige Teile von TISAX und ISO 9001 sind praktisch identisch – z. B. Dokumentationsmanagement, interne Audits, Managementbewertung und Korrekturmaßnahmen. Wenn die genannten Verfahren bereits für ISO 9001 verwendet werden, können sie mit nur geringfügigen Änderungen auch für TISAX eingesetzt werden. Mit anderen Worten: Organisationen, die bereits ISO 9001 eingeführt haben, werden es leichter haben, TISAX einzuführen (und umgekehrt).

Nein. IT-Sicherheit ist Teil der Informationssicherheit – IT-Sicherheit umfasst z. B. Backup-Verfahren oder den Einsatz einer Firewall, während Informationssicherheit auch die Definition von Sicherheitsrollen und -verantwortlichkeiten, Betriebsverfahren, Schulung und Sensibilisierung, rechtliche Beziehungen zu Mitarbeitern und Lieferanten, physische Sicherheit usw. umfasst. Die IT-Sicherheit macht in der Regel 50 % der Informationssicherheit aus.

Es ist fast unmöglich, die Kosten zu kalkulieren, bevor die GAP-Analyse, die Risikobewertung und die Erklärung zur Anwendbarkeit abgeschlossen sind. Der größte Teil der Kosten entfällt in der Regel nicht auf Hardware oder Software, sondern auf die Entwicklung von Verfahren und deren Einführung, die Sensibilisierung und Schulung der Mitarbeiter, die Zertifizierung usw. Die Kosten hängen auch von der Größe des Unternehmens ab, aber es ist gut zu wissen, dass nicht alle Sicherheitskontrollen sofort implementiert werden müssen, und dass die Implementierung einiger von ihnen verschoben werden kann.