TISAX: Vorbereitung auf Assessment und Nachweisführung

TISAX macht Informationssicherheit in der Lieferkette vergleichbar

TISAX ist ein Prüf- und Austauschmechanismus für Informationssicherheit in der Automobilindustrie. Unternehmen können damit ihr Sicherheitsniveau nach einheitlichen Kriterien bewerten lassen und die Ergebnisse gezielt mit Kunden oder Geschäftspartnern teilen. Grundlage ist der VDA-ISA-Katalog.

TISAX ist keine klassische Produktzertifizierung. Bewertet wird, ob ein Unternehmen die für seinen Prüfgegenstand relevanten Anforderungen an Informationssicherheit, Prototypenschutz oder Datenschutz angemessen umgesetzt hat.

Das Ergebnis wird in Form von TISAX-Labels zusammengefasst. Diese Labels dienen als standardisierter Nachweis gegenüber anderen Teilnehmern und sind grundsätzlich drei Jahre gültig.

Ein erfolgreiches Assessment beginnt deshalb nicht mit der Suche nach Dokumentvorlagen. Entscheidend ist, dass Geltungsbereich, Anforderungen, Prozesse und Nachweise zusammenpassen.

1. Zunächst den konkreten Kundenbedarf klären

Viele Unternehmen beschäftigen sich mit TISAX, weil ein Kunde oder Auftraggeber einen entsprechenden Nachweis verlangt.

Bevor mit der Vorbereitung begonnen wird, sollte geklärt werden:

• Welcher Kunde fordert den Nachweis?
• Für welche Leistungen oder Projekte gilt die Anforderung?
• Welche Standorte sind betroffen?
• Welche Informationen werden verarbeitet?
• Welche Schutzbedarfe bestehen?
• Welche TISAX-Labels werden erwartet?
• Bis wann soll das Ergebnis vorliegen?

Diese Punkte bestimmen den Umfang des gesamten Vorhabens.

Eine allgemeine Aussage wie „Wir brauchen TISAX“ reicht nicht aus. Unterschiedliche Geschäftsbeziehungen können unterschiedliche Prüfziele und Sicherheitsanforderungen auslösen.

Besonders relevant ist, ob das Unternehmen beispielsweise:

• vertrauliche Informationen verarbeitet,
• besonders schützenswerte Informationen erhält,
• Prototypen entwickelt oder bearbeitet,
• personenbezogene Daten im Auftrag verarbeitet,
• auf kritische Systeme eines Kunden zugreift.

Je präziser die Anforderungen des Auftraggebers verstanden sind, desto zielgerichteter kann das Assessment vorbereitet werden.

2. Den Assessment Scope sorgfältig festlegen

Der Assessment Scope bestimmt, welche organisatorischen und technischen Bereiche geprüft werden.

Nach dem TISAX-Teilnehmerhandbuch umfasst der Scope alle Prozesse, Verfahren und Ressourcen unter Verantwortung der geprüften Organisation, die für die Schutzobjekte und Schutzziele der gewählten Prüfziele relevant sind.

Zum Scope können gehören:

• ein oder mehrere Standorte,
• organisatorische Einheiten,
• Geschäftsprozesse,
• IT-Systeme,
• Produktionsbereiche,
• Entwicklungsumgebungen,
• eingesetzte Cloud-Dienste,
• externe Dienstleister,
• physische Sicherheitsbereiche.

Ein Scope sollte weder künstlich klein noch unnötig groß gewählt werden.

Ein zu enger Scope kann relevante Abhängigkeiten ausblenden. Ein zu großer Scope erhöht dagegen Aufwand und Prüfkomplexität.

Bei der Festlegung sollten unter anderem folgende Fragen beantwortet werden:

• Wo werden die relevanten Informationen verarbeitet?
• Welche Standorte greifen darauf zu?
• Welche Systeme werden benötigt?
• Welche Dienstleister sind eingebunden?
• Welche Prozesse unterstützen die Leistungserbringung?
• Welche Verantwortlichkeiten bestehen zentral und lokal?
• Welche physischen Bereiche müssen berücksichtigt werden?

Die Scope-Definition sollte vollständig dokumentiert und intern abgestimmt sein.

3. Das passende Assessment Objective bestimmen

TISAX kennt verschiedene Prüfziele, die sich aus den Schutzanforderungen ergeben.

Die ENX weist darauf hin, dass derzeit mehrere Assessment Objectives zur Auswahl stehen und mindestens eines ausgewählt werden muss.

Zu den typischen Themen gehören:

• Informationssicherheit,
• Vertraulichkeit,
• Umgang mit besonders schützenswerten Informationen,
• Prototypenschutz,
• Datenschutz,
• Verarbeitung personenbezogener Daten.

Das gewählte Prüfziel bestimmt, welche Anforderungen des VDA ISA im Assessment relevant sind.

Unternehmen sollten die Auswahl nicht allein anhand einer allgemeinen Empfehlung treffen. Maßgeblich sind die tatsächlichen Anforderungen des Kunden und die Art der verarbeiteten Informationen.

Eine zu weit gefasste Auswahl kann unnötigen Aufwand verursachen. Eine zu enge Auswahl kann dazu führen, dass das Ergebnis für den Auftraggeber nicht ausreicht.

4. Den aktuellen VDA-ISA-Katalog verwenden

Die Vorbereitung muss auf der aktuell für Assessments maßgeblichen Fassung des VDA ISA beruhen.

Der VDA ISA ist der zentrale Fragen- und Anforderungskatalog für TISAX-Assessments. Die Version 6 wurde für Assessments ab April 2024 maßgeblich. Der VDA arbeitet zugleich an weiteren Aktualisierungen des Katalogs.

Deshalb sollte vor Beginn geprüft werden:

• Welche ISA-Version gilt für das geplante Assessment?
• Welche Änderungen gab es gegenüber früheren Fassungen?
• Welche Anforderungen wurden neu bewertet?
• Welche Themen wurden zusammengefasst oder erweitert?
• Welche Nachweise werden erwartet?

Veraltete Checklisten oder ältere Beratungsunterlagen können zu Lücken führen.

Der aktuelle Fragenkatalog sollte deshalb direkt von den offiziellen Stellen bezogen und als verbindliche Arbeitsgrundlage verwendet werden.

5. Eine belastbare Gap-Analyse durchführen

Die Gap-Analyse vergleicht die Anforderungen des VDA ISA mit dem tatsächlichen Stand im Unternehmen.

Sie sollte nicht nur beantworten, ob eine Richtlinie vorhanden ist. Entscheidend ist, ob die jeweilige Anforderung wirksam umgesetzt und nachweisbar ist.

Für jede Anforderung sollte dokumentiert werden:

• aktueller Umsetzungsstand,
• vorhandene Maßnahmen,
• bestehende Nachweise,
• erkannte Lücke,
• erforderliche Maßnahme,
• verantwortliche Person,
• Priorität,
• Zieltermin.

Eine sinnvolle Bewertung unterscheidet beispielsweise zwischen:

• vollständig umgesetzt,
• überwiegend umgesetzt,
• teilweise umgesetzt,
• geplant,
• nicht umgesetzt,
• nicht anwendbar.

Die Begründung ist wichtiger als die reine Einstufung.

Typische Schwachstellen sind:

• unklare Verantwortlichkeiten,
• veraltete Richtlinien,
• fehlende Risikobewertungen,
• unvollständige Berechtigungsprüfungen,
• nicht getestete Backups,
• fehlende Lieferantenbewertungen,
• unzureichende Protokollierung,
• nicht dokumentierte Schulungen,
• fehlende Notfallübungen.

6. Informationssicherheit organisatorisch verankern

TISAX erwartet eine strukturierte Sicherheitsorganisation.

Dazu gehören klare Rollen und Zuständigkeiten, etwa für:

• Geschäftsleitung,
• Informationssicherheitsbeauftragte,
• IT-Verantwortliche,
• Prozessverantwortliche,
• Personalwesen,
• Einkauf,
• Datenschutz,
• physische Sicherheit,
• Notfallmanagement.

Die Geschäftsleitung muss Informationssicherheit unterstützen, Entscheidungen treffen und Ressourcen bereitstellen.

Es sollte nachvollziehbar geregelt sein:

• wer Risiken bewertet,
• wer Maßnahmen freigibt,
• wer Sicherheitsvorfälle koordiniert,
• wer Berichte erhält,
• wer Richtlinien genehmigt,
• wie Vertretungen organisiert sind,
• wie Eskalationen erfolgen.

Rollenbeschreibungen müssen zur tatsächlichen Organisation passen. Eine formale Benennung ohne gelebte Verantwortung reicht nicht aus.

7. Risiken nachvollziehbar bewerten

Ein wirksames Risikomanagement gehört zu den zentralen Bausteinen der TISAX-Vorbereitung.

Erfasst werden sollten unter anderem Risiken für:

• Vertraulichkeit,
• Integrität,
• Verfügbarkeit,
• Authentizität,
• physische Schutzobjekte,
• personenbezogene Daten,
• Prototypen.

Typische Risikoszenarien sind:

• unberechtigter Zugriff,
• Verlust mobiler Geräte,
• Fehlkonfigurationen,
• Schadsoftware,
• Ausfall kritischer Systeme,
• unzureichend kontrollierte Dienstleister,
• Offenlegung von Prototypinformationen,
• mangelnde Zutrittskontrolle,
• fehlgeschlagene Wiederherstellung.

Für jedes wesentliche Risiko sollte dokumentiert werden:

• betroffenes Schutzobjekt,
• mögliche Bedrohung,
• vorhandene Schwachstelle,
• Wahrscheinlichkeit,
• Auswirkung,
• bestehende Maßnahme,
• Restrisiko,
• Entscheidung zur Behandlung.

Die Bewertung sollte verständlich, wiederholbar und regelmäßig aktualisiert werden.

8. Nachweise systematisch aufbauen

Im Assessment zählt nicht nur die Aussage, dass eine Maßnahme umgesetzt sei.

Auditoren erwarten belastbare Nachweise.

Dazu können gehören:

• Richtlinien,
• Prozessbeschreibungen,
• Protokolle,
• Freigaben,
• Risikobewertungen,
• Schulungsnachweise,
• Berechtigungslisten,
• technische Screenshots,
• Konfigurationsnachweise,
• Wiederherstellungstests,
• Prüfberichte,
• Lieferantenbewertungen,
• Wartungsnachweise,
• Vorfallprotokolle.

Ein Nachweis sollte eindeutig einer Anforderung zugeordnet werden können.

Praktisch ist eine Nachweismatrix mit folgenden Angaben:

• ISA-Anforderung,
• verantwortlicher Bereich,
• vorhandener Nachweis,
• Ablageort,
• Versionsstand,
• Prüftermin,
• Status.

So wird vermieden, dass Nachweise erst kurz vor dem Assessment zusammengesucht werden müssen.

9. Physische Sicherheit nicht unterschätzen

TISAX betrachtet nicht nur IT-Systeme.

Auch physische Sicherheitsmaßnahmen können eine wichtige Rolle spielen, insbesondere bei:

• Prototypenschutz,
• Entwicklungsbereichen,
• Serverräumen,
• Archiven,
• Besucherzugängen,
• Lieferzonen,
• Produktionsbereichen.

Zu prüfen sind beispielsweise:

• Zutrittsregelungen,
• Besuchermanagement,
• Ausweissysteme,
• Schlüsselverwaltung,
• Raumklassifizierung,
• Videoüberwachung,
• Schutz vor Einsichtnahme,
• Clean-Desk-Regelungen,
• Entsorgung vertraulicher Unterlagen,
• Schutz sensibler Hardware.

Besonders häufig entstehen Lücken an organisatorischen Schnittstellen: externe Reinigungskräfte, Handwerker, Lieferanten oder temporäre Beschäftigte werden nicht ausreichend berücksichtigt.

10. Lieferanten und externe Dienstleister einbeziehen

Viele Prozesse hängen von externen Partnern ab.

Dazu gehören beispielsweise:

• IT-Dienstleister,
• Cloud-Anbieter,
• Hosting-Unternehmen,
• Softwareanbieter,
• Sicherheitsdienste,
• Entwicklungsdienstleister,
• Logistikunternehmen,
• externe Administratoren.

Für kritische Dienstleister sollte nachvollziehbar sein:

• welche Leistungen erbracht werden,
• welche Zugriffe bestehen,
• welche Informationen verarbeitet werden,
• welche Sicherheitsanforderungen vereinbart wurden,
• wie Vorfälle gemeldet werden,
• welche Prüf- oder Kontrollrechte bestehen,
• wie die Leistung regelmäßig bewertet wird.

Eine allgemeine Vertraulichkeitsvereinbarung reicht häufig nicht aus.

Lieferantenmanagement sollte risikobasiert erfolgen. Besonders kritische Partner benötigen stärkere Kontrollen und klarere Nachweise.

11. Mitarbeitende einbeziehen

Informationssicherheit funktioniert nur, wenn Beschäftigte ihre Aufgaben kennen.

Schulungen sollten sich an den tatsächlichen Rollen orientieren.

Typische Inhalte sind:

• Umgang mit vertraulichen Informationen,
• Phishing und Social Engineering,
• Passwort- und Kontosicherheit,
• mobiles Arbeiten,
• Melden von Sicherheitsvorfällen,
• Schutz von Prototypen,
• Besuchermanagement,
• Clean Desk,
• Nutzung externer Datenträger,
• Umgang mit Cloud-Diensten.

Neben allgemeinen Schulungen sind rollenbezogene Unterweisungen sinnvoll, etwa für:

• Administratoren,
• Führungskräfte,
• Personalabteilung,
• Einkauf,
• Entwicklung,
• Empfang,
• Projektleitung.

Die Teilnahme sollte dokumentiert und regelmäßig wiederholt werden.

12. Das Assessment realistisch vorbereiten

Vor dem offiziellen Assessment sollte eine interne Prüfung oder ein Pre-Assessment durchgeführt werden.

Dabei werden nicht nur Dokumente kontrolliert, sondern auch:

• Interviews vorbereitet,
• Stichproben simuliert,
• technische Nachweise geprüft,
• offene Maßnahmen bewertet,
• Verantwortliche eingebunden,
• mögliche Rückfragen durchgespielt.

Besonders wichtig ist, dass Aussagen verschiedener Beteiligter zusammenpassen.

Wenn eine Richtlinie einen Prozess beschreibt, die verantwortlichen Personen diesen aber nicht kennen oder anders umsetzen, entsteht eine erkennbare Abweichung.

Eine gute Vorbereitung konzentriert sich deshalb auf die Übereinstimmung von:Anforderung
→ Dokumentation
→ tatsächlicher Prozess
→ belastbarer Nachweis

13. Mit Abweichungen strukturiert umgehen

Im Assessment können Abweichungen festgestellt werden.

Diese sollten nicht nur formal geschlossen werden. Entscheidend ist die Ursachenanalyse.

Ein belastbarer Prozess umfasst:

1. Feststellung verstehen
2. Ursache ermitteln
3. Sofortmaßnahme umsetzen
4. dauerhafte Korrektur festlegen
5. Verantwortlichkeit bestimmen
6. Termin überwachen
7. Wirksamkeit prüfen

Wird beispielsweise festgestellt, dass Berechtigungen nicht regelmäßig geprüft wurden, sollte nicht nur eine einmalige Kontrolle nachgeholt werden.

Zusätzlich ist zu klären:

• Warum war der Prozess nicht wirksam?
• War die Zuständigkeit unklar?
• Fehlte eine Erinnerung?
• War die Regelung zu aufwendig?
• Sind weitere Bereiche betroffen?

So wird verhindert, dass dieselbe Feststellung erneut auftritt.

14. Ergebnisse gezielt mit Partnern teilen

Ein wesentliches Merkmal von TISAX ist der kontrollierte Austausch von Assessment-Ergebnissen.

Unternehmen entscheiden, mit welchen Teilnehmern sie welche Berichtstiefe teilen. Das ENX-Portal unterstützt diesen Austausch.

Dabei sollte intern geregelt sein:

• wer Ergebnisse freigeben darf,
• welche Kunden Zugriff erhalten,
• welche Berichtsebene geteilt wird,
• wie lange Freigaben gelten,
• wer Änderungen verwaltet.

Die Vertraulichkeit der Ergebnisse ist ein zentraler Bestandteil des TISAX-Verfahrens.

15. TISAX nach dem Assessment weiterführen

Das TISAX-Label ist grundsätzlich drei Jahre gültig. Danach muss der Prozess erneut durchlaufen werden, wenn der Nachweis weiter benötigt wird.

Deshalb sollte Informationssicherheit nach dem Assessment nicht in den Hintergrund treten.

Notwendig bleiben:

• Aktualisierung von Risiken,
• Pflege der Dokumentation,
• Bearbeitung offener Maßnahmen,
• regelmäßige Schulungen,
• Überprüfung von Berechtigungen,
• Lieferantenkontrollen,
• Notfalltests,
• interne Audits,
• Anpassung an organisatorische Änderungen.

Wer das System nach dem Assessment nicht weiter betreibt, muss vor der nächsten Prüfung häufig erneut grundlegende Lücken schließen.

Gute Vorbereitung reduziert Aufwand und Unsicherheit

TISAX wird beherrschbar, wenn das Vorhaben strukturiert aufgebaut wird.

Eine sinnvolle Reihenfolge lautet:

1. Kundenanforderung klären
2. Scope definieren
3. Prüfziele bestimmen
4. aktuelle ISA-Version verwenden
5. Gap-Analyse durchführen
6. Maßnahmen priorisieren
7. Nachweise systematisch aufbauen
8. Pre-Assessment durchführen
9. offizielle Prüfung begleiten
10. System dauerhaft weiterführen

So entsteht kein kurzfristiges Prüfprojekt, sondern eine belastbare Sicherheitsorganisation, die auch nach dem Assessment wirksam bleibt.

Steht bei Ihnen ein TISAX-Assessment an?

ProtectYourIT prüft Scope, VDA-ISA-Anforderungen, vorhandene Nachweise und offene Maßnahmen und entwickelt daraus einen priorisierten Fahrplan für die Assessment-Vorbereitung.

TISAX-Vorbereitung einordnen lassen –>

Hinweis: Dieser Beitrag dient der allgemeinen Orientierung. Maßgeblich sind die aktuellen Vorgaben von ENX und VDA sowie die konkreten Anforderungen des jeweiligen Auftraggebers und Assessment-Providers.