TISAX Assessment vorbereiten: Der vollständige Fahrplan für Zulieferer

Ein TISAX-Assessment beginnt nicht mit dem Audit, sondern mit einer klaren Kundenanforderung, einem passenden Assessment Scope und einem belastbaren Informationssicherheitsmanagement. Unternehmen, die nur den ISA-Fragebogen ausfüllen, bemerken oft zu spät, dass Standorte, Schutzobjekte, zentrale Dienste oder Nachweise falsch abgegrenzt wurden. Der Fahrplan muss deshalb Registrierung, Scope, Assessment Objectives, Self-Assessment, Umsetzung und Audit als zusammenhängenden Prozess behandeln.

TISAX ist ein Prüf- und Austauschmechanismus der ENX Association auf Basis des VDA Information Security Assessment. Nach erfolgreichem Assessment kann das Ergebnis gezielt mit Geschäftspartnern geteilt werden. Es handelt sich nicht um ein öffentliches Zertifikat und auch nicht um eine einmalige Fragebogenabgabe.

Aktueller Hinweis zur ISA-Umstellung 2026/2027

ENX weist im Downloadbereich darauf hin, dass ISA2027 veröffentlicht ist und ab 2027 die Grundlage neu beauftragter TISAX-Assessments bildet. Für Assessments, die noch 2026 beauftragt werden, ist der zulässige Katalogstand anhand der offiziellen Übergangsregeln zu prüfen. Der letzte Termin für die Eröffnung eines Initial Assessments unter ISA 6 ist laut ENX für März 2027 vorgesehen.

Unternehmen sollten deshalb nicht selbst zwischen Versionen mischen. Registrierungszeitpunkt, Beauftragung des Audit Providers und geplanter Assessmentverlauf werden gemeinsam betrachtet. Ein Delta-Review zwischen ISA 6 und ISA2027 verhindert, dass kurz vor dem Audit neue Anforderungen ungeplant in Prozesse und Nachweise eingearbeitet werden müssen.

Schritt 1: Die konkrete Kundenanforderung bestätigen

Ausgangspunkt sind die vom Kunden verlangten Assessment Objectives und betroffenen Leistungen beziehungsweise Standorte. Eine allgemeine Aussage wie „wir brauchen TISAX“ ist zu ungenau. Einkauf oder Account Management sollten die Anforderung schriftlich bestätigen lassen und klären, bis wann ein Ergebnis geteilt werden muss.

Auch der Schutzbedarf zählt. Vertrauliche Informationen, besonders schutzbedürftige Informationen, Prototypen, Datenschutz oder hohe Verfügbarkeit können unterschiedliche Objectives und Prüftiefen auslösen. Wer vorsorglich alles auswählt, vergrößert Scope und Aufwand; wer zu wenig auswählt, erfüllt die Kundenerwartung nicht.

Schritt 2: Projektmandat und Verantwortlichkeiten schaffen

Die Geschäftsleitung genehmigt Ziel, Scope-Vorbereitung, Ressourcen und Berichtsweg. Ein Projektleiter koordiniert Termine und Audit Provider, während der ISMS-Verantwortliche Methoden und Nachweise steuert. Standort-, Fach- und Prozessverantwortliche liefern Inhalte und setzen Maßnahmen um.

Eine Rollenmatrix umfasst mindestens Leitung, Informationssicherheit, IT, Personal, Einkauf, Datenschutz, Facility, Entwicklung beziehungsweise Prototypenschutz und betroffene Fachbereiche. Für jede ISA-Anforderung ist erkennbar, wer Auskunft geben, Evidenz liefern und Lücken schließen kann. Das verhindert, dass der Auditor ausschließlich mit dem Security-Team spricht, obwohl Kontrollen dezentral betrieben werden.

Schritt 3: ISMS-Scope und TISAX Assessment Scope trennen

Das ENX-Teilnehmerhandbuch unterscheidet zwischen dem Geltungsbereich des ISMS und dem Assessment Scope. Der TISAX Assessment Scope kann kleiner als der ISMS-Scope sein, muss aber innerhalb des ISMS liegen. Er beschreibt, welche Standorte, Prozesse, Verfahren und Ressourcen für die Schutzobjekte und Assessment Objectives geprüft werden.

Diese Trennung ist wichtig, weil zentrale Prozesse außerhalb eines einzelnen Standorts dennoch relevant sein können. Ein zentrales Identity Management, eine Konzernrichtlinie oder ein externer IT-Betrieb beeinflusst die geprüfte Leistung. Die Assessmentgrenze darf solche Abhängigkeiten nicht durch organisatorische Linien unsichtbar machen.

Der Standard Scope ist in der Regel die richtige Wahl

ENX erklärt, dass der Standard Scope für weit über 99 Prozent der Teilnehmer passend ist und von anderen TISAX-Teilnehmern akzeptiert wird. Seine Beschreibung ist vorgegeben und kann nicht frei angepasst werden. Custom Scopes sind Sonderfälle und können die Austauschbarkeit des Ergebnisses einschränken.

Unternehmen sollten deshalb nicht versuchen, schwierige Bereiche durch eine individuelle Formulierung auszuschließen. Stattdessen werden die relevanten Standorte korrekt registriert und gemeinsame Ressourcen transparent beschrieben. Vor der Registrierung lohnt ein Scoping-Workshop mit Prozess-, IT- und Kundenverantwortlichen.

Schritt 4: Standorte und zentrale Leistungen abbilden

Für jeden Standort wird geklärt, welche Kundeninformationen oder Prototypen dort verarbeitet werden. Hinzu kommen zentrale Leistungen wie Identitäten, Netzbetrieb, Cloudplattformen, Personalprozesse, Einkauf und physische Sicherheit. Ausgelagerte Dienste bleiben über Verantwortungs- und Leistungsgrenzen in der Betrachtung.

Mehrere Standorte können in einem Assessment Scope zusammengefasst werden. Das kann gemeinsame Prozesse nur einmal prüfen lassen und zu einem Ergebnis mit einem Ablaufdatum führen. Unterschiedliche Reife, Technologien oder Kundenanforderungen können jedoch für getrennte Scopes sprechen.

Eine Scope-Matrix für die Entscheidung

Die Matrix verbindet jede Scope-Entscheidung mit einem Beleg. Widersprüche werden vor der Registrierung geklärt. Das verbessert zugleich die Vergleichbarkeit von Angeboten der Audit Provider.

Schritt 5: Bei ENX registrieren

Die Registrierung umfasst den Teilnehmer und mindestens einen Assessment Scope. Benötigt werden Unternehmens- und Standortdaten, Ansprechpartner, Scope-Typ und Assessment Objectives. Nach Abschluss erhält der Scope eine eindeutige Scope ID.

Registrierung ist nicht gleich Assessmentauftrag. Danach wählt das Unternehmen einen zugelassenen Audit Provider und beauftragt das Initial Assessment. Interne Freigaben für Teilnahmebedingungen, Gebühren und Ergebnisfreigabe sollten vorab geklärt sein.

Schritt 6: Assessment Objectives und Assessment Level verstehen

Assessment Objectives leiten sich aus den Schutzanforderungen des Partners ab. Sie bestimmen, welche Teile des ISA-Katalogs relevant sind und auf welchem Assessment Level geprüft wird. Der höchste für die ausgewählten Objectives erforderliche Level prägt die Prüfmethodik des Scopes.

AL 2 und AL 3 unterscheiden sich nicht einfach in der Zahl geforderter Richtlinien. Die Prüftiefe und Verifikation sind unterschiedlich. Das Projekt sollte deshalb den tatsächlich erwarteten Level einplanen, statt ein AL-2-Self-Assessment als Vorbereitung auf AL 3 unverändert zu übernehmen.

Schritt 7: Den richtigen ISA-Katalog verbindlich festlegen

Der ISA-Katalog enthält die für das Assessment maßgeblichen Kriterien. Die Projektleitung dokumentiert offizielle Version, Bezugsquelle und Stichtag. Lokale Kopien werden gegen den ENX- beziehungsweise VDA-Stand kontrolliert.

Bei der Umstellung auf ISA2027 entsteht zusätzlich ein Transition-Register. Geänderte Anforderungen erhalten Eigentümer, Auswirkungsbewertung und Umsetzungsfrist. Alte und neue Reifegradbewertungen dürfen nicht ohne Kennzeichnung zusammengeführt werden.

Schritt 8: Self-Assessment evidenzbasiert durchführen

Das Self-Assessment ist mehr als eine Selbsteinschätzung des Informationssicherheitsbeauftragten. Jede Anforderung wird mit den zuständigen Prozessverantwortlichen bewertet. Implementierungsstatus, Reifegrad und Begründung beziehen sich auf den registrierten Scope.

Zu jeder positiven Bewertung wird Evidenz referenziert. Richtlinien zeigen Vorgaben, Tickets und Protokolle die Durchführung, Konfigurationsauszüge den technischen Zustand und Tests die Wirksamkeit. Ein Dokument ohne betriebliche Anwendung rechtfertigt keinen hohen Reifegrad.

Reifegradbewertungen kalibrieren

Uneinheitliche Bewertungen sind ein häufiges Problem. Ein Workshop mit Beispielen legt fest, was im Unternehmen als vollständig definiert, umgesetzt, gemessen und verbessert gilt. Stichproben durch eine zweite Person prüfen besonders hohe Bewertungen.

Eine Kontrolle kann zentral reif, an einem Standort aber nur teilweise umgesetzt sein. Der Scope-Status muss diese Abweichung abbilden. Mittelwerte dürfen wesentliche lokale Lücken nicht verdecken.

Schritt 9: Gap-Analyse nach Risiko und Auditwirkung priorisieren

Die Lückenliste wird nicht nach Reihenfolge des Fragebogens abgearbeitet. Vorrang erhalten grundlegende Governance-, Scope- und Asset-Lücken, weil sie viele weitere Anforderungen beeinflussen. Danach folgen Kontrollen mit hohem Schutzbezug, großer Ausbreitungswirkung oder langer Umsetzungszeit.

Jede Lücke erhält Zielzustand, Maßnahme, Eigentümer, Termin, benötigte Ressourcen und Abnahmekriterium. Abhängigkeiten werden sichtbar. Eine neue Zugriffskontrolle benötigt beispielsweise Rollenmodell, technische Umsetzung, Rezertifizierung und Nachweisprozess.

Die zehn häufigsten TISAX-Arbeitspakete

1. ISMS-Governance und Managementreview etablieren.
2. Assets, Schutzobjekte und Verantwortliche vollständig erfassen.
3. Risiken einheitlich bewerten und behandeln.
4. Zugriffe, Privilegien und regelmäßige Rezertifizierung nachweisen.
5. Lieferanten sicher auswählen, vertraglich steuern und überwachen.
6. Vorfälle erkennen, melden, bearbeiten und auswerten.
7. Backup, Wiederherstellung und Notfallvorsorge testen.
8. Änderungen, Schwachstellen und Patches nachvollziehbar steuern.
9. Physische Zonen, Zutritt und Besucherprozesse konsistent betreiben.
10. Schulungen zielgruppengerecht durchführen und Erfolg messen.

Welche Pakete tatsächlich nötig sind, entscheidet die Gap-Analyse. Ein fertiges Vorlagenpaket darf den realen Scope nicht ersetzen. Jede Maßnahme wird für Standorte, Systeme und Verantwortlichkeiten konkretisiert.

Schritt 10: Informationssicherheitsrisiken konsistent steuern

Das Risikomanagement verbindet Schutzobjekte, Bedrohungen, Auswirkungen, bestehende Kontrollen und Behandlung. Bewertungskriterien werden vor der Einzelanalyse festgelegt. Die Leitung genehmigt Akzeptanzgrenzen und wesentliche Restrisiken.

Ein gutes Risikoregister enthält keine austauschbaren Allgemeinplätze. Das Szenario nennt betroffene Leistung, Ursache und konkrete Folge. Maßnahmen werden mit ISA-Anforderungen und Nachweisen verknüpft, damit Auditor und Management denselben Sachverhalt nachvollziehen können.

Schritt 11: Prototypen- und Datenschutzanforderungen integrieren

Wer entsprechende Assessment Objectives gewählt hat, benötigt zusätzliche Kontrollen für Prototypen oder personenbezogene Daten. Prototypenschutz umfasst nicht nur physische Tarnung, sondern auch Informationskennzeichnung, Foto- und Aufnahmeverbote, Transport, Werkstätten, Veranstaltungen und Dienstleister. Verantwortlichkeiten reichen in Entwicklung, Facility und Logistik.

Datenschutzanforderungen werden mit bestehenden Prozessen für Verzeichnis, Rechtsgrundlage, Betroffenenrechte, Löschung, Auftragsverarbeitung und Vorfälle verbunden. TISAX ersetzt keine rechtliche Datenschutzprüfung. Doppelte Register und widersprüchliche Meldewege werden vermieden.

Schritt 12: Lieferanten und Cloudservices auditfähig machen

Verträge, Zertifikate und Auditberichte sind wichtige Nachweise, aber nicht die gesamte Lieferantensteuerung. Das Unternehmen muss Auswahl, Sicherheitsanforderungen, Freigabe, Leistungsüberwachung, Vorfälle, Änderungen und Exit beherrschen. Kritische Unterauftragnehmer werden angemessen berücksichtigt.

Für Cloudservices wird die gemeinsame Verantwortung konkret aufgeteilt. Eigene Mandantenkonfiguration, Identitäten, Protokollierung und Datenlebenszyklus bleiben prüfbar. Pauschale Aussagen wie „ist beim Provider zertifiziert“ reichen nicht.

Schritt 13: Evidenzregister statt Auditordner aufbauen

Ein Evidenzregister verweist pro Anforderung auf aktuelle Nachweise, Eigentümer, Geltungsbereich und Erstellungsrhythmus. Es verhindert, dass kurz vor dem Audit veraltete Screenshots und unfreigegebene Dokumente gesammelt werden. Sensible Nachweise erhalten angemessene Zugriffsrechte.

Nachweise sollten aus dem normalen Betrieb entstehen. Beispiele sind genehmigte Reviews, Zugriffsauswertungen, Patchreports, Restore-Tests, Vorfalltickets, Lieferantenbewertungen und Schulungsergebnisse. Der Auditor kann dadurch sowohl Gestaltung als auch Anwendung der Kontrolle prüfen.

Schritt 14: Audit Provider strukturiert auswählen

Teilnehmer können einen von ENX zugelassenen Audit Provider frei wählen. Ein vergleichbares Angebot benötigt Scope ID, Standorte, Objectives, erwartetes Level, Sprache, Zeitfenster und besondere Rahmenbedingungen. Preis allein ist kein ausreichendes Kriterium.

Zusätzlich werden Verfügbarkeit, Branchen- und Technologierfahrung, internationale Abdeckung und Arbeitsweise betrachtet. Beratung und unabhängige Prüfung müssen sauber getrennt bleiben. Frühzeitige Auswahl reserviert Termine, ohne ein unrealistisches Auditdatum festzuschreiben.

Schritt 15: Internes Readiness-Assessment durchführen

Vor dem Initial Assessment prüft ein unabhängiges internes Team eine repräsentative Stichprobe. Es betrachtet Self-Assessment, Scope, Evidenz und Wirksamkeit. Interviews werden mit technischen Prüfungen und Standortbegehungen kombiniert.

Besondere Aufmerksamkeit erhalten neue Prozesse, hohe Reifegrade und zentrale Kontrollen mit mehreren Standorten. Feststellungen werden wie externe Findings behandelt. Erst wenn kritische Lücken geschlossen und Nachweise stabil sind, bestätigt die Leitung die Auditbereitschaft.

Schritt 16: Interviewpartner vorbereiten

Interviewpartner müssen keine Antworten auswendig lernen. Sie sollten ihre Rolle, den geltenden Prozess, typische Nachweise und bekannte Abweichungen erklären können. Kurze Rollensessions sind wirksamer als allgemeine Auditschulungen.

Ein Probelauf prüft, ob Aussagen und Evidenz zusammenpassen. Widersprüche werden sachlich bereinigt. Verschleierte Lücken erzeugen im Audit meist größere Probleme als transparent gesteuerte Maßnahmen.

Schritt 17: Initial Assessment und Feststellungen steuern

Der Audit Provider prüft Self-Assessment und ISMS im registrierten Scope. Das Unternehmen stellt koordinierte Ansprechpartner, Nachweise und Zugänge bereit. Offene Fragen werden zentral protokolliert, damit Antworten konsistent und fristgerecht erfolgen.

Wird das Ergebnis nicht unmittelbar konform bewertet, folgt ein geregelter Korrekturprozess. ENX beschreibt Corrective Action Plan Assessment und gegebenenfalls Follow-up. Feststellungen werden nach Ursache behandelt, nicht nur durch nachgereichte Dokumente geschlossen.

Schritt 18: Corrective Action Plan belastbar formulieren

Der Plan nennt Finding, Ursache, Sofortmaßnahme, dauerhafte Korrektur, Eigentümer, Termin und Wirksamkeitsnachweis. Eine vage Aussage wie „Richtlinie wird aktualisiert“ reicht nicht. Der Auditor muss erkennen können, wie die Abweichung im gesamten betroffenen Scope geschlossen wird.

Die im Teilnehmerhandbuch beschriebenen Fristen werden in die Projektsteuerung übernommen. Abhängigkeiten und Eskalationen sind früh sichtbar. Nach Umsetzung prüft ein interner Verantwortlicher die Evidenz, bevor sie zum Follow-up eingereicht wird.

Schritt 19: Ergebnis gezielt teilen

Nach erfolgreichem Abschluss stellt der Audit Provider den Assessment Report bereit und das Ergebnis erhält die entsprechenden TISAX Labels. Der Teilnehmer entscheidet, mit welchen registrierten Partnern er Informationen teilt und bis zu welcher Berichtsebene Zugriff gewährt wird. Die Freigabe erfolgt über den TISAX-Austauschmechanismus.

Die Kommunikation sollte präzise bleiben. TISAX Labels sind kein öffentliches Zertifikatssiegel für beliebige Marketingnutzung. Vertrieb und Kommunikation erhalten klare Vorgaben, wie Status und Scope gegenüber Kunden beschrieben werden dürfen.

Schritt 20: Die dreijährige Laufzeit aktiv nutzen

ENX beschreibt eine regelmäßige Gültigkeit der Assessment-Ergebnisse von drei Jahren. Das ISMS muss in dieser Zeit weiterarbeiten: Risiken, Änderungen, Vorfälle, Lieferanten, interne Audits und Managementreviews laufen fort. Ein eingefrorener Auditordner verliert schnell den Bezug zur Realität.

Spätestens im zweiten Jahr beginnt die Planung der nächsten Assessmentrunde. Neue Standorte, Kundenanforderungen und Katalogversionen werden berücksichtigt. So wird die Reassessment-Vorbereitung Teil des normalen Betriebs statt eines erneuten Sonderprojekts.

Beispielzeitplan für neun Monate

Monat eins klärt Kundenanforderung, Projektmandat und Scope. In Monat zwei folgen Registrierung, ISA-Version und detailliertes Self-Assessment. Monat drei bis fünf schließen grundlegende Lücken und bauen Evidenzprozesse auf.

Monat sechs testet Kontrollen und führt das interne Readiness-Assessment durch. Monat sieben bereitet Interviews und Nachweise vor. Monat acht bis neun sind für Initial Assessment und gegebenenfalls erste Korrekturen vorgesehen; der tatsächliche Zeitbedarf hängt von Reife, Scope und Verfügbarkeit des Audit Providers ab.

Die wichtigsten Managementkennzahlen

• Anteil bewerteter ISA-Anforderungen mit referenzierter Evidenz
• offene Lücken nach Kritikalität, Standort und Eigentümer
• überfällige Maßnahmen und durchschnittliche Durchlaufzeit
• Kontrollen mit erfolgreich bestandener Wirksamkeitsstichprobe
• Scope-Objekte ohne benannte Verantwortliche
• Risiken oberhalb der Akzeptanzgrenze
• Status der Auditvorbereitung und reservierte Termine

Ein pauschaler Reifegradmittelwert reicht nicht. Die Leitung muss Blocker und Konzentrationsrisiken erkennen. Ampeln werden deshalb mit konkreten Entscheidungen und Eskalationen verbunden.

Typische Fehler in der Vorbereitung

• Assessment Objectives werden ohne schriftliche Kundenbestätigung gewählt.
• Standorte werden registriert, bevor zentrale Dienste und Datenflüsse verstanden sind.
• Ein alter ISA-Katalog wird weiterverwendet, obwohl die Beauftragung in die Übergangsphase fällt.
• Self-Assessment und Reifegrad stammen allein vom Security-Team.
• Richtlinien gelten als Nachweis, obwohl ihre Anwendung nicht belegt ist.
• Lieferanten und Cloudanbieter werden vollständig aus dem Scope herausgedacht.
• Das Initial Assessment wird gebucht, bevor interne Stichproben kritische Kontrollen bestätigt haben.
• TISAX Labels werden wie ein frei verwendbares öffentliches Zertifikat kommuniziert.

Die Korrektur beginnt meist bei Scope und Governance. Sind diese Grundlagen stabil, lassen sich ISA-Anforderungen gezielt umsetzen und prüfen. Zusätzliche Dokumente ohne klaren Prozess lösen das Problem nicht.

Fazit: TISAX ist ein gesteuerter Assessmentprozess

Eine erfolgreiche Vorbereitung verbindet Kundenanforderung, Standard Scope, aktuelle ISA-Version, realistisches Self-Assessment und wirksame Kontrollen. Audit Provider, Korrekturplan und Ergebnisaustausch sind Teil desselben Prozesses. Die Umstellung auf ISA2027 verlangt 2026 besondere Aufmerksamkeit für Version und Beauftragungszeitpunkt.

BlackMount unterstützt bei der TISAX-Vorbereitung: von Anforderungs- und Scope-Klärung über ISA-Self-Assessment, Gap-Analyse und Maßnahmensteuerung bis zu Readiness-Prüfung, Auditbegleitung und Korrekturmanagement. Ziel ist ein belastbares ISMS, das auch nach dem Assessment weiterwirkt.

Verwendete Primärquellen

• ENX Association: TISAX Participant Handbook
• ENX Association: TISAX – Prozess und Teilnahme
• ENX Association: TISAX Download Center mit ISA-Versionen und Übergangshinweisen
• ENX Association: TISAX Frequently Asked Questions