Datenschutz und Informationssicherheit werden für Firmen immer wichtiger. In der Automobilbranche bietet die TISAX®-Zertifizierung die Möglichkeit, transparent mit diesen Themen umzugehen. In diesem Artikel erfährst du alles, was du wissen musst. Darunter: Was hat es mit der TISAX®-Zertifizierung auf sich? Für wen kommt sie infrage? Und wie ist der Ablauf bei einem Assessment?
TISAX®: Was ist das?
Das Akronym TISAX® steht für Trusted Information Security Assessment Exchange.
TISAX® ist ein Prüf- und Austauschmechanismus, der vom Verband der Automobilindustrie (VDA) und der ENX Association, einem Zusammenschluss europäischer Automobilhersteller, Zulieferer und Verbände, entwickelt wurde. Er folgt dem branchenspezifischen Standard VDA-ISA.
Hinter der TISAX®-Zertifizierung verbergen sich Pflichtanforderungen an Informationssicherheit-Management-Systeme (ISMS) und datenschutzrechtliche Mindestanforderungen in der Automobilindustrie. Es geht dabei um mehr Sicherheit im Bereich IT und Internet bei Geschäften zwischen Automobilherstellern und ihren Lieferanten oder anderen Dienstleistern. Im Speziellen betrifft TISAX® die sichere Verarbeitung von Informationen von Geschäftspartnern, aber auch den Schutz von Prototypen und Datenschutz im Sinne der DSGVO.
Lieferanten und Dienstleister haben oft Zugang zu vertraulichen, sensiblen Informationen, wenn sie eng in die Produktentwicklung eingebunden sind. Vor diesem Hintergrund ist es wichtig, dass eine möglichst hohe Informationssicherheit und Cybersicherheit gegeben sind. Der Prüf- und Austauschmechanismus TISAX® setzt hier an. Er dient als Nachweis darüber, dass Lieferanten die Anforderungen im Bereich der Informationssicherheit und des Datenschutzes erfüllen. Seit Januar 2023 gibt es das neue TISAX®-Label „Verfügbarkeit“. Wer am TISAX®-Prüf- und Austauschmechanismus teilnimmt, bekommt es automatisch.
So funktioniert TISAX® praktisch
Wie funktioniert TISAX® praktisch? Eine spezielle Online-Plattform ermöglicht einen firmenübergreifenden Austausch von Prüfergebnissen im Bereich Informationssicherheit. Firmen können die Ergebnisse von TISAX®-Assessments auf dem Portal freischalten lassen, damit sie für andere Unternehmen sichtbar werden. Die Kooperationspartner können auf diese Weise nachvollziehen, wie es um die Informationssicherheit und den Datenschutz bei der jeweiligen Firma steht.
Bei TISAX® gibt es verschiedene Assessment-Level. Sie unterscheiden sich durch die Intensität der Prüfung. Welches Level sinnvoll ist, hängt vom Schutzbedarf ab: Level 1 reicht bei einem normalen Schutzbedarf aus, während ein hoher Schutzbedarf Level 2 erfordert und ein sehr hoher Level 3. Das charakterisiert die Stufen:
- Level 1 geht mit einem Self-Assessment einher, das auf einer Selbstauskunft ohne anschließendes TISAX®-Label beruht.
- Bei einer Zertifizierung auf Level 2 kommt ein von der ENX akkreditierter Prüfer hinzu, der die Selbstauskunft beurteilt und eine Plausibilitätsprüfung durchführt.
- Level 3 umfasst eine umfangreiche Prüfung der Informationssicherheit und von Managementprozessen vor Ort.
Grundsätzlich gilt: Je höher das TISAX®-Level, desto höher sind auch der Umfang und Prüfaufwand.
Diese Vorteile bietet TISAX® für Unternehmen
Für Firmen, die in der Automobilindustrie tätig sind, hat eine TISAX®-Zertifizierung viele Vorteile. TISAX® ist ein weltweit anerkannter Prüf- und Austauschmechanismus, der die Zusammenarbeit auf B2B-Ebene erleichtern kann. Zum einen sparen Unternehmen mit TISAX® Aufwand. Doppel- und Mehrfachprüfungen sind nicht nötig. Bei TISAX® ist nur alle drei Jahre eine Nachprüfung erforderlich; die üblichen Lieferanten-Audits mehrmals pro Jahr entfallen. Zum anderen schafft die Zertifizierung Transparenz: Alle Beteiligten wissen, um welche Standards es beim Austausch von Informationen und dem Datenschutz geht.
Eine unternehmensübergreifende Anerkennung von Assessments in der Informationssicherheit spart Zeit und Kosten. Es schafft außerdem Vertrauen in die geprüften Unternehmen, was sich wiederum positiv auf Geschäftsbeziehungen und den Ruf einer Firma auswirken kann. Somit kann ein TISAX®-Assessment einen Wettbewerbsvorteil bieten.
Firmen, die sich nach den TISAX®-Richtlinien zertifizieren lassen, haben außerdem eine gewisse Flexibilität. Sie können zum Beispiel die Prüfstelle frei wählen. Außerdem entscheidet jedes beteiligte Unternehmen selbst, wer die eigenen Prüfergebnisse in welchem Detail einsehen darf. Ein TISAX®-Assessment kann bei Bedarf mit einer weiteren Zertifizierung kombiniert werden, zum Beispiel von Informationssicherheitsmanagementsystemen gemäß ISO 27001.
Für wen kann eine TISAX®-Zertifizierung sinnvoll sein?
Eine TISAX®-Zertifizierung ist keine Pflicht; es gibt keine gesetzliche Vorschrift für Firmen in der Automobilindustrie, ein Assessment durchzuführen. Dennoch ist eine TISAX®-Zertifizierung aufgrund der damit verbundenen Vorteile fast immer empfehlenswert. Dabei spielt es keine Rolle, ob es sich um einen großen Konzern oder einen kleinen Betrieb handelt. Eine TISAX®-Zertifizierung sorgt für Transparenz und schafft Vertrauen. Damit kann sie zum Geschäftserfolg beitragen.
Es kann sein, dass bestimmte Partner und Zulieferer eine TISAX®-Zertifizierung zur Grundbedingung für eine Zusammenarbeit machen. Wenn Unternehmen darauf verzichten, kann das bedeuten, dass ihnen Geschäftschancen entgehen.
TISAX® Certification: Wer führt TISAX®-Assessments durch?
Ein TISAX®-Assessment kann von verschiedenen Anbietern durchgeführt werden, die durch die ENX für eine solche Prüfung zugelassen sind. Das betrifft zum Beispiel den TÜV. Was verursacht eine TISAX®-Zertifizierung für Kosten? Das lässt sich nicht pauschal sagen. Es hängt von verschiedenen Faktoren ab. Es kommt zum Beispiel auf die Größe des Unternehmens an, aber auch darauf, wie komplex die Geschäftsprozesse sind. Entscheidend ist außerdem, ob es bereits Maßnahmen zum Informationsschutz, Datenschutz und dem Schutz von Prototypen gibt. Eine Rolle spielt darüber hinaus die Größe des TISAX®-Teams, das die jeweiligen Ziele verfolgt.
Für eine Kostenschätzung ist eine GAP-Analyse sinnvoll: So kann ein Unternehmen herausfinden, was nötig ist, um eine TISAX®-Zertifizierung zu erhalten. Dadurch können unnötige Kosten vermieden werden. Je nach Gegebenheiten vor Ort und angestrebtem Assessment kann ein TISAX®-Assessment mehrere Tausend Euro kosten, mitunter auch mehrere 10.000 Euro.
Wie läuft ein TISAX®-Assessment ab?
Wie sieht der Weg zu einem TISAX®-Zertifikat aus? Im ersten Schritt muss festgelegt werden, welches Level bei TISAX® notwendig und sinnvoll ist. Das hängt davon ab, welche Informationen zwischen den Firmen ausgetauscht werden sollen und welche TISAX®-Anforderungen somit erfüllt sein müssen. Firmen, die eine TISAX®-Zertifizierung erhalten wollen, registrieren sich bei der ENX für TISAX® und bekommen anschließend eine Scope-ID für ihr Unternehmen zugeteilt.
Nun müssen Firmen sich entscheiden, welchen Prüfdienstleister sie beauftragen wollen. Die jeweilige Prüfstelle führt dann das TISAX®-Assessment durch. Im Fokus stehen dabei Sicherheitsaspekte: Die Informationssicherheit im Unternehmen wird geprüft, ebenso gibt es Prüfungen im Bereich Datenschutz und beim Schutz von Prototypen. Was genau geprüft wird, hängt von der jeweiligen Geschäftstätigkeit und den Leistungen der Firma ab. Um ein TISAX®-Zertifikat erhalten zu können, müssen allgemeine Sicherheitsanforderungen und Standards erfüllt sein.
Nach diesem Assessment bekommt das geprüfte Unternehmen den Prüfbericht. Es hat nun die Gelegenheit, bei möglichen Schwachstellen nachzubessern. Im nächsten Schritt wird das endgültige Ergebnis auf der Online-Plattform geteilt. Es kann vorab auch schon ein temporäres Ergebnis veröffentlicht werden. Das TISAX®-Zertifikat ist anschließend bis zu drei Jahre lang gültig.
TISAX®-Zertifizierung: Das sollten Firmen beachten
Eine TISAX®-Zertifizierung ist für Unternehmen, die in der Automobilbranche tätig sind, grundsätzlich lohnenswert. Firmen, die sich für ein TISAX®-Zertifikat entscheiden, sollten jedoch nicht unvorbereitet in den Assessment-Prozess gehen. Zu Beginn einer solchen Zertifizierung sollten gründliche Überlegungen stehen. Dazu können Fragen gehören wie: Was bringt mir TISAX®? Ist es für mein Unternehmen sinnvoll? Ist es vielleicht sogar unverzichtbar, um bestimmte Geschäfte durchführen zu können?
Wohlüberlegt sein sollte auch das Level des TISAX®-Assessments. Was sinnvoll ist, hängt in erster Linie von möglichen oder geplanten Kooperationen mit anderen Firmen ab. Grundsätzlich lässt sich sagen: Je höher das TISAX®-Level, desto besser ist es für die Chancen eines Unternehmens auf dem Markt.
Verantwortliche in Firmen können Vorarbeit für eine erfolgreiche TISAX®-Zertifizierung leisten. Ein Ansatzpunkt ist der Datenschutz: Es können zum Beispiel Grundsätze zur Verarbeitung von personenbezogenen Daten aufgestellt werden. Eine Datenschutz-Strategie ist sinnvoll; es können auch Handbücher zum Datenschutz veröffentlicht werden.
TISAX®: Bedeutung von externen Beratern für die Erfolgsaussichten
Eine weitere mögliche Maßnahme betrifft die Schaffung von Gremien in der Firma, in denen es um datenschutzrelevante Themen geht. Ebenso sollte sorgfältig dokumentiert werden, wie Verantwortliche mit personenbezogenen Daten umgehen und wie Prozesse gehandhabt werden, die den Datenschutz betreffen. Es braucht zudem geeignete Mechanismen, um die jeweiligen Sicherheitsaspekte überprüfen und evaluieren zu können.
Es ist nicht zwingend erforderlich, aber empfehlenswert, sich bei einer anstehenden TISAX®-Zertifizierung von Fachleuten beraten zu lassen. Ein TISAX®-Zertifikat kann ohne Unterstützung schwer zu bekommen sein. Allgemeine TISAX®-Fragenkataloge sind wenig hilfreich, denn es braucht individuelle Maßnahmen, die zur Tätigkeit der Firma und den internen Abläufen und Strukturen passen. Wer sich hierfür Experten an Bord holt, hat wesentlich bessere Erfolgsaussichten.
Bildnachweis: insta_photos / Shutterstock.com