TISAX ist nicht optional für Automobilzulieferer — es ist mittlerweile de facto Pflicht. Jeder Zulieferer, der mit OEMs (Originalherstellern wie BMW, Mercedes, VW, Audi, Porsche) zusammenarbeitet, muss eine TISAX-Bewertung nachweisen können.

Der Prozess ist komplex, langwierig und dokumentenlastig. Aber mit der richtigen Vorbereitung ist er machbar.

Was ist TISAX?

TISAX steht für Trusted Information Security Assessment Exchange. Es ist ein Sicherheitsbewertungs-Standard speziell für die Automobilindustrie — entwickelt vom VDA (Verband der Automobilindustrie).

Die Idee: OEMs wollen sicherstellen, dass ihre Zulieferer hohe Sicherheitsstandards haben (Datenschutz, Cybersecurity, Geheimschutz). Statt dass jeder OEM jeden Zulieferer einzeln auditiert, gibt es TISAX: Ein standardisiertes Audit, das von unabhängigen Prüfern durchgeführt wird. Das Ergebnis wird geteilt mit den OEMs.

Für wen ist TISAX Pflicht?

TISAX ist relevant für:

  • Tier-1 Zulieferer (direkt an OEMs liefernd)
  • Tier-2/3 Zulieferer (indirekt, falls vom Tier-1 gefordert)
  • IT-Dienstleister für Automobilbranche
  • Logistik- und Service-Partner

Faustregel: Wenn Sie mit Automobilherstellern oder deren Zulieferern arbeiten und Zugang zu sensiblen Daten haben, brauchen Sie TISAX.

Die TISAX-Bewertungs-Level

TISAX hat mehrere Bewertungs-Level, je nach Sensibilität der Daten:

  • Level 1: Grundlagen (selten gefordert)
  • Level 2: Standard (häufigster Level)
  • Level 3: Erweitert (für kritische Daten, Produktentwicklung)
  • Level 4: Höchst (nur für kritische, klassifizierte Daten)

Die meisten Zulieferer starten mit Level 2. Das ist der Standard, den die meisten OEMs fordern.

Die TISAX-Anforderungen (Überblick)

TISAX basiert auf dem ISM (Information Security Measures) Katalog des VDA. Das sind rund 100 Maßnahmen in den Bereichen:

1. Organisatorische Maßnahmen (ca. 30 Maßnahmen)

  • Information Security Policy
  • Rollen & Verantwortlichkeiten (CISO, Data Protection Officer, etc.)
  • Sicherheitskultur & Training
  • Incidentmanagement & Notfallplanung
  • Lieferanten-Management (Sub-contractor Security)

2. Personelle Maßnahmen (ca. 15 Maßnahmen)

  • Sicherheits-Awareness für Mitarbeiter
  • Hintergrund-Checks bei kritischen Positionen
  • NDA (Verschwiegenheitsverpflichtung) für alle
  • Abmeldungsprozess (wenn Mitarbeiter gehen)

3. Physikalische Maßnahmen (ca. 15 Maßnahmen)

  • Zutrittsschutz (Zugang zu Räumen mit sensiblen Daten)
  • Videoüberwachung (gefordert in Zutrittsbereichen)
  • Schrank- und Dokumenten-Verwaltung
  • Entsorgung & Vernichtung von sensiblen Medien

4. Technische Maßnahmen (ca. 40 Maßnahmen)

Das ist der größte Block:

  • IT-Sicherheit (Firewall, Antivirus, etc.)
  • Authentifizierung & Autorisierung (Passwort-Policy, 2FA, etc.)
  • Netzwerk-Segmentierung
  • Verschlüsselung (Daten in Transit und at Rest)
  • Logging & Monitoring
  • Malware-Schutz
  • Incident Response & Forensik
  • Backup & Business Continuity

Die TISAX-Bewertung: Ablauf und Timeline

Phase 1: Vorbereitung (2—3 Monate)

✓ Was Sie tun:

  • Gap-Analyse: Welche der 100 Maßnahmen fehlen noch?
  • Dokumentation: Alle Richtlinien schreiben/aktualisieren (Security Policy, Incident Plan, etc.)
  • Technische Maßnahmen: Fehlende Sicherheits-Controls implementieren (Firewall, Logging, Verschlüsselung).
  • Audit-Vorbereitung: Alle Nachweise sammeln (Prozessdokumente, Konfigurationen, Trainings-Records, etc.)

Phase 2: Audit (2—4 Wochen)

Ein TISAX-Auditor (zertifiziert vom VDA) führt vor Ort ein Audit durch:

  • Dokumenten-Review (sind alle Richtlinien vorhanden?)
  • Interviews (mit CISO, IT-Leiter, Geschäftsführung)
  • Technische Tests (Netzwerk-Scan, Firewall-Review, Logging-Check, etc.)
  • Site Inspection (Zutrittsschutz, Videoüberwachung, physikalische Sicherheit)

Dauer: Abhängig von Unternehmensgröße. Kleine Unternehmen: 5—10 Tage. Große: bis zu 20 Tage.

Phase 3: Befunde & Nachbesserung (2—8 Wochen)

Der Auditor gibt Befunde:

  • Korrekte Befunde: Maßnahme ist vollständig umgesetzt. ✓
  • Abweichungen (Minor): Kleinere Lücken (z.B. Dokumentation unvollständig, aber Prozess ist da). Müssen in 1—2 Wochen behoben werden.
  • Abweichungen (Major): Kritische Lücken (z.B. keine Firewall, kein Backup, keine Verschlüsselung). Müssen in 4—8 Wochen behoben werden.

Sie beheben die Abweichungen, dokumentieren die Fixes, Auditor verifies und schließt Punkte ab.

Phase 4: TISAX-Zertifikat (1 Woche)

Sobald alle Abweichungen behoben sind, erhalten Sie das TISAX-Zertifikat. Dieses ist 3 Jahre gültig.

Danach: Überwachungsaudits (jährlich), bevor das Zertifikat erneuert wird.

Typische Herausforderungen im Mittelstand

Herausforderung 1: Dokumentation

Viele Mittelständler haben ihre Prozesse, aber nicht dokumentiert. TISAX verlangt Schriftliches.

Lösung: Eine Information Security Policy schreiben, die klar macht: Wer ist für Security zuständig? Welche Prozesse haben wir? Was machen wir bei einem Sicherheits-Incident?

Herausforderung 2: Technische Lücken

Viele Unternehmen haben keine Verschlüsselung, kein Monitoring, keine Segmentierung. Das kostet Geld und Zeit.

Lösung: Priorisieren. Nicht alles auf einmal implementieren. Fokus: Die Top-5 kritischen Maßnahmen (Firewall, Backup, Antivirus, Logging, Zugriffsschutz).

Herausforderung 3: Kosten

TISAX ist teuer:

  • Audit: 5.000—20.000 EUR (abhängig von Größe und Komplexität)
  • Implementierung von Maßnahmen: 20.000—100.000 EUR+ (technische Investitionen)
  • Beratung/Support: 500—3000 EUR/Monat (während der Vorbereitung)

Aber: Ohne TISAX verlieren Sie OEM-Kunden. Das ist teurer.

Schritt-für-Schritt Vorbereitung

Monat 1: Assessment

  • ☐ TISAX-Auditor/Berater engagieren (z.B. CamData).
  • ☐ Gap-Analyse durchführen: Welche Maßnahmen haben wir? Welche fehlen?
  • ☐ Dokumentation-Audit: Welche Richtlinien fehlen?

Monat 2—3: Quick Wins

  • ☐ Information Security Policy schreiben.
  • ☐ Incident Response Plan erstellen.
  • ☐ Mitarbeiter-Trainings durchführen (alle).
  • ☐ NDA-Verträge aktualisieren.

Monat 4—5: Technische Maßnahmen

  • ☐ Firewall konfigurieren / upgraden.
  • ☐ Backup-Strategie implementieren.
  • ☐ Logging & Monitoring enablen.
  • ☐ Netzwerk-Segmentierung planen.
  • ☐ Verschlüsselung für kritische Daten.

Monat 6: Audit-Vorbereitung

  • ☐ Alle Dokumentationen finalisieren.
  • ☐ Nachweise sammeln (Richtlinien, Konfigurationen, Logs, etc.).
  • ☐ Final-Check mit Berater durchführen.
  • ☐ Audit-Termin buchen.

Monat 7—8: Audit & Nachbesserung

  • ☐ TISAX-Audit durchführen.
  • ☐ Abweichungen identifizieren.
  • ☐ Remediation-Plan erstellen.
  • ☐ Minor- und Major-Befunde beheben.

Monat 9: Zertifikat

  • ☐ TISAX-Zertifikat erhalten.
  • ☐ Zertifikat an OEM-Kunden kommunizieren.
  • ☐ Jahres-Überwachungspläne starten.

Fazit

TISAX ist aufwändig, aber nicht unmöglich für den Mittelstand. Der Schlüssel: Früh anfangen (nicht erst, wenn ein OEM es fordert), priorisieren (fokus auf kritische Maßnahmen), und mit erfahrenen Beratern arbeiten.

Die gute Nachricht: Wenn Sie TISAX implementieren, verbessert sich auch Ihre gesamte IT-Sicherheit. Es ist nicht nur eine Compliance-Box zum Abhaken — es ist ein echter Sicherheits-Plus für Ihr Unternehmen.

Sind Sie TISAX-ready?
Wir führen eine kostenlose TISAX-Readiness-Analyse durch und zeigen Ihnen den Weg zum Zertifikat.
TISAX-Analyse anfragen →