TISAX ist das Prüf- und Austauschverfahren der Automobilindustrie, betrieben von der ENX Association auf Basis des VDA-ISA-Katalogs; geprüft wird ausschließlich durch ENX-zugelassene Prüfdienstleister. ISO 27001 ist die internationale Norm für Informationssicherheit. Ein ISO-27001-Zertifikat ersetzt kein TISAX-Label und umgekehrt. Verlangt Ihr Automotive-Kunde TISAX, führt am ENX-Verfahren kein Weg vorbei – ISO 27001 ist dafür die beste inhaltliche Vorbereitung.
Die E-Mail vom Einkauf eines Automobilherstellers oder Systemlieferanten ist kurz: Man benötige einen Nachweis über Informationssicherheit, bitte innerhalb von zwölf Wochen. Jetzt beginnt für viele Zulieferer die Verwirrung: Reicht die ISO-27001-Zertifizierung, die ohnehin geplant war? Oder muss es TISAX sein – und was ist das überhaupt genau?
Dieser Artikel klärt die Begriffe, vergleicht beide Verfahren nüchtern und beantwortet die entscheidende Frage vorab: Die beiden Nachweise sind nicht austauschbar. Wer TISAX gefordert bekommt, braucht TISAX. Wie beide Verfahren zusammenhängen, was sie kosten und in welcher Reihenfolge Zulieferer sinnvoll vorgehen, lesen Sie hier.
Erste Frage: Was fordert Ihr Kunde wörtlich?
Bevor Sie Angebote einholen, lohnt ein genauer Blick in die Kundenanforderung. Drei Formulierungen kommen in der Praxis vor und bedeuten Unterschiedliches:
- „TISAX-Label erforderlich“ – hier ist das Verfahren eindeutig festgelegt. Meist nennt der Kunde auch das geforderte Assessment Level und die Label-Art, etwa Informationssicherheit mit hohem Schutzbedarf. Ein ISO-Zertifikat erfüllt diese Forderung nicht.
- „Zertifizierung nach ISO 27001“ – hier zählt das ISO-Zertifikat einer Zertifizierungsstelle. Achten Sie auf den Zusatz „akkreditiert“: Verlangt der Kunde ein Zertifikat einer akkreditierten Stelle, scheidet eine nicht akkreditierte Zertifizierung wie die von KCERT aus.
- „Angemessenes Informationssicherheitsniveau nachweisen“ – hier haben Sie Spielraum. Häufig genügt ein Selbstauskunftsfragebogen, ein ISO-Zertifikat oder ein Auszug aus Ihrem Sicherheitskonzept.
Faustregel aus der Praxis: Je näher Ihr Kunde an der Automobil-Wertschöpfung sitzt – Hersteller, Tier-1, Entwicklungsdienstleister – desto wahrscheinlicher lautet die Forderung TISAX. Kunden außerhalb der Automobilbranche verlangen dagegen fast immer ISO 27001. Fragen Sie im Zweifel schriftlich nach, bevor Sie Geld in das falsche Verfahren investieren.
Was ist TISAX? Das Prüfverfahren der Automobilindustrie
TISAX steht für Trusted Information Security Assessment Exchange. Es ist kein ISO-Standard, sondern ein Prüf- und Austauschmechanismus der Automobilindustrie, den die ENX Association im Auftrag des Verbands der Automobilindustrie (VDA) betreibt. Prüfgrundlage ist der VDA-ISA-Katalog, ein Fragenkatalog, der inhaltlich auf ISO 27001 und ISO 27002 aufbaut und um automobilspezifische Themen wie Prototypenschutz erweitert wurde.
Das Verfahren läuft so ab: Das Unternehmen registriert sich als Teilnehmer bei ENX, führt eine Selbstbewertung nach VDA ISA durch und beauftragt dann einen von ENX zugelassenen Prüfdienstleister. Es gibt drei Assessment Level: AL1 ist eine reine Selbstauskunft ohne Prüfung und spielt im Markt kaum eine Rolle. AL2 ist eine Plausibilitätsprüfung der Selbstbewertung, überwiegend remote. AL3 ist die umfassende Prüfung mit Vor-Ort-Begehung – gefordert bei sehr hohem Schutzbedarf, etwa bei Prototypen.
Das Ergebnis ist kein öffentliches Zertifikat, sondern ein TISAX-Label, das drei Jahre gilt und über die ENX-Plattform gezielt mit Geschäftspartnern geteilt wird. Genau dieser Austauschmechanismus ist der Sinn des Systems: einmal prüfen lassen, vielen Kunden zeigen – statt für jeden Hersteller ein eigenes Audit zu durchlaufen.
Was ist ISO 27001? Die internationale Basis
ISO 27001 ist die weltweit anerkannte Norm für Informationssicherheits-Managementsysteme (ISMS). Sie verlangt, dass ein Unternehmen seine Informationswerte kennt, Risiken systematisch bewertet und behandelt, Verantwortlichkeiten festlegt und das System jährlich überprüft und verbessert. Der Anhang A der Fassung 2022 umfasst 93 Maßnahmen aus den Bereichen Organisation, Personal, physische Sicherheit und Technik.
Zertifiziert wird durch Zertifizierungsstellen – akkreditiert über nationale Akkreditierungsstellen wie die DAkkS oder transparent gekennzeichnet im nicht akkreditierten Bereich, wie es KCERT anbietet. Das Zertifikat gilt drei Jahre mit jährlichen Überwachungsaudits und ist branchenübergreifend einsetzbar: IT-Dienstleister, Maschinenbauer, Logistiker und Gesundheitsdienstleister weisen damit gleichermaßen ihre Informationssicherheit nach.
Für Automobilzulieferer ist wichtig zu wissen: Der VDA-ISA-Katalog wurde aus der ISO-Welt heraus entwickelt. Wer ein funktionierendes ISMS nach ISO 27001 betreibt, hat den größten Teil der TISAX-Anforderungen inhaltlich bereits erfüllt – es fehlen dann vor allem die automobilspezifischen Ergänzungen und das formale ENX-Verfahren.
Der direkte Vergleich: TISAX und ISO 27001 nebeneinander
| Kriterium | ISO 27001 | TISAX |
|---|---|---|
| Träger | Internationale Normungsorganisation ISO | ENX Association im Auftrag des VDA |
| Prüfgrundlage | Norm ISO 27001 mit Anhang A (93 Controls) | VDA-ISA-Katalog, aufbauend auf ISO 27001/27002 |
| Branche | Alle Branchen, weltweit | Automobilindustrie und deren Lieferkette |
| Prüfer | Zertifizierungsstellen (akkreditiert oder nicht akkreditiert) | Ausschließlich von ENX zugelassene Prüfdienstleister |
| Ergebnis | Zertifikat | Label auf der ENX-Plattform, geteilt mit Partnern |
| Gültigkeit | 3 Jahre, jährliche Überwachungsaudits | 3 Jahre, ohne zwischenzeitliche Überwachungsprüfung |
| Schwerpunkte | ISMS, risikobasierte Maßnahmenauswahl | Informationssicherheit plus Prototypenschutz und Datenschutz |
| Typische Kosten (bis ca. 25 Mitarbeitende) | Nicht akkreditiert ab rund 2.000–3.000 € pro Jahr, akkreditiert häufig 10.000–20.000 € über 3 Jahre | Registrierung bei ENX plus Assessment; je nach Level und Standorten häufig 10.000–30.000 € je Zyklus |
Die Zahlen sind ehrliche Marktspannen, keine Festpreise – der tatsächliche Aufwand hängt von Standortzahl, Schutzbedarf und Reifegrad des bestehenden Sicherheitsniveaus ab.
Ersetzt das eine das andere? Die ehrliche Antwort: Nein
Hier gibt es nichts schönzureden. Ein ISO-27001-Zertifikat ersetzt kein TISAX-Label – das gilt für akkreditierte Zertifikate und erst recht für nicht akkreditierte wie die von KCERT. Die Automobilhersteller haben sich auf TISAX als gemeinsames Verfahren geeinigt; ihre Einkaufssysteme prüfen das Label auf der ENX-Plattform, nicht Ihr Zertifikats-PDF. Auch eine Zertifizierungsstelle kann kein TISAX-Assessment durchführen, sofern sie nicht selbst als Prüfdienstleister von ENX zugelassen ist. KCERT ist das nicht und bietet TISAX deshalb nicht an.
Umgekehrt gilt dasselbe: Ein TISAX-Label ist kein ISO-27001-Zertifikat. Wenn Ihr Kunde außerhalb der Automobilbranche formal ein ISO-Zertifikat verlangt – etwa in einer Ausschreibung oder Einkaufsrichtlinie –, erfüllt das Label diese Anforderung streng genommen nicht, auch wenn die Inhalte weitgehend deckungsgleich sind. Manche Auftraggeber akzeptieren TISAX als gleichwertig; verlassen sollten Sie sich darauf nicht.
Wer beide Kundengruppen bedient – Automotive und Nicht-Automotive –, braucht unter Umständen tatsächlich beides. Die gute Nachricht: Das zugrunde liegende Managementsystem müssen Sie nur einmal aufbauen.
Die sinnvolle Strategie für Zulieferer
Aus der Beratungspraxis hat sich für Zulieferer mit Automotive-Anteil folgende Reihenfolge bewährt:
- Anforderung präzisieren: Lassen Sie sich vom Kunden schriftlich bestätigen, welches Verfahren, welches Assessment Level und welche Label-Art gefordert sind – und bis wann. Die Frist entscheidet über alles Weitere.
- ISMS als Fundament aufbauen: Risikoanalyse, Richtlinien, Zugriffskonzepte, Notfallvorsorge und Schulungen brauchen Sie für beide Verfahren. Wer hier sauber arbeitet, bedient später VDA ISA und ISO 27001 aus denselben Strukturen.
- Selbstbewertung nach VDA ISA durchführen: Der Katalog ist frei verfügbar. Die Selbstbewertung zeigt Lücken auf, bevor der Prüfdienstleister sie findet – und ist ohnehin Pflichtbestandteil des TISAX-Verfahrens.
- Verfahren beauftragen: Bei TISAX-Pflicht: ENX-Registrierung und ein zugelassener Prüfdienstleister. Ohne TISAX-Pflicht: ISO-27001-Zertifizierung – je nach Kundenanforderung akkreditiert oder im nicht akkreditierten Bereich.
Ein Wort zur Zeitplanung: Zwischen Projektstart und TISAX-Label vergehen bei durchschnittlichem Reifegrad meist sechs bis zwölf Monate. Wenn der Kunde eine kürzere Frist setzt, sprechen Sie offen mit ihm – häufig akzeptieren Einkaufsabteilungen einen dokumentierten Projektplan mit Zwischenständen als Übergangsnachweis.
Kosten und Aufwand: Womit Sie realistisch rechnen müssen
Für ein Unternehmen mit 10 bis 50 Mitarbeitenden und einem Standort sind folgende Größenordnungen realistisch. Der Aufbau des Managementsystems kostet intern je nach Ausgangslage 20 bis 60 Personentage, mit externer Begleitung zusätzlich häufig 10.000 bis 25.000 Euro Beratungshonorar. Diese Basis brauchen Sie für beide Verfahren.
Beim TISAX-Verfahren kommen die ENX-Teilnahmegebühr sowie die Kosten des Prüfdienstleisters hinzu – für ein AL2-Assessment an einem Standort bewegen sich Marktangebote häufig im niedrigen bis mittleren fünfstelligen Bereich je Drei-Jahres-Zyklus. AL3 mit Vor-Ort-Prüfung liegt darüber. Bei der ISO-27001-Zertifizierung reichen die Spannen von rund 2.000 bis 3.000 Euro pro Jahr im nicht akkreditierten Bereich (bei KCERT: 1.950 Euro netto bis 5 Mitarbeitende, 2.950 Euro bis 25 Mitarbeitende, jeweils pro Jahr inklusive Überwachungsaudits) bis zu 10.000 bis 20.000 Euro über drei Jahre bei akkreditierten Stellen.
Wichtig für die Budgetplanung: Der größte Kostenblock ist in beiden Verfahren nicht die Prüfung, sondern die Umsetzung der Maßnahmen – von der Mehrfaktor-Authentifizierung über Backup-Konzepte bis zur physischen Sicherung von Entwicklungsbereichen. Wer nur die Auditkosten vergleicht, unterschätzt das Projekt.
Kalkulieren Sie außerdem laufende Kosten ein: Ein ISMS lebt von jährlichen internen Audits, Schulungen und der Pflege der Dokumentation. Realistisch sind dafür im Kleinunternehmen zwei bis fünf Personentage pro Jahr – unabhängig davon, ob am Ende ein TISAX-Label oder ein ISO-Zertifikat steht.
Häufige Fragen
Gesetzlich nicht – TISAX ist eine privatwirtschaftliche Anforderung der Automobilindustrie. Faktisch führt aber kein Weg daran vorbei, wenn Hersteller oder Tier-1-Kunden das Label zur Voraussetzung für Aufträge machen, insbesondere bei vertraulichen Entwicklungsdaten oder Prototypen. Ob Sie betroffen sind, entscheidet allein Ihr Kunde; verlangen Sie die Anforderung inklusive Assessment Level schriftlich.
Nein. TISAX-Assessments dürfen ausschließlich Prüfdienstleister durchführen, die von der ENX Association zugelassen sind. KCERT ist kein ENX-Prüfdienstleister und bietet TISAX nicht an. KCERT zertifiziert ISO 27001 im nicht akkreditierten Bereich – das ist als inhaltliche Vorbereitung auf TISAX nützlich, ersetzt das Label aber nicht. Seriöse Anbieter benennen diese Grenze offen.
Drei Jahre ab Abschluss des Assessments. Anders als bei der ISO-27001-Zertifizierung gibt es keine jährlichen Überwachungsaudits; nach Ablauf ist ein vollständiges neues Assessment nötig. Planen Sie die Erneuerung rechtzeitig, denn zwischen Beauftragung des Prüfdienstleisters und neuem Label können mehrere Monate liegen – ein abgelaufenes Label kann laufende Lieferbeziehungen stören.
Verlässliche Festpreise gibt es nicht, weil Standortzahl, Schutzbedarf und Assessment Level den Aufwand bestimmen. Als ehrliche Marktspanne gilt: Für ein AL2-Assessment an einem Standort liegen Angebote der Prüfdienstleister häufig im niedrigen bis mittleren fünfstelligen Bereich je Drei-Jahres-Zyklus, zuzüglich ENX-Teilnahmegebühr und interner Umsetzungskosten. AL3 mit Vor-Ort-Prüfung ist teurer.
Nur, wenn Ihre Kundenstruktur beides verlangt: Automotive-Kunden fordern TISAX, Kunden anderer Branchen oder Ausschreibungen fordern ein ISO-27001-Zertifikat. In diesem Fall bauen Sie ein gemeinsames ISMS auf und lassen es zweifach prüfen. Die Doppelprüfung verursacht Zusatzkosten, aber keinen doppelten Systemaufbau – die Anforderungen überschneiden sich zu einem großen Teil.
Ja, erheblich. Der VDA-ISA-Katalog baut auf ISO 27001 und ISO 27002 auf; ein gelebtes ISMS deckt den Großteil der Prüffragen bereits ab. Es verbleiben vor allem automobilspezifische Themen wie Prototypenschutz sowie das formale ENX-Verfahren. Unternehmen mit bestehendem ISO-27001-System berichten regelmäßig von deutlich kürzeren TISAX-Projekten – das Label selbst ersetzt die Zertifizierung trotzdem nicht.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT