Die VDA ISA2027 wird ab dem 1. Januar 2027 für neu beauftragte TISAX® Assessments relevant. Auch wenn bis dahin noch etwas Zeit bleibt, sollten sich betroffene Unternehmen bereits jetzt mit den Änderungen befassen. Denn die neue Fassung wirkt sich unter anderem auf das Lieferantenmanagement, den Prototypenschutz, die erforderlichen Nachweise und die zukünftige Assessment-Planung aus. Wer frühzeitig prüft, welche Anforderungen für das eigene Unternehmen relevant sind, kann bestehende Lücken gezielt schließen und unnötigen Zeitdruck vor dem nächsten TISAX Assessment vermeiden.
TISAX® steht für „Trusted Information Security Assessment Exchange“ und dient der unternehmensübergreifenden Bewertung und Weitergabe von Informationen über das Sicherheitsniveau eines Unternehmens. Das Verfahren richtet sich insbesondere an Organisationen, die sensible Informationen innerhalb der automobilen Wertschöpfungskette verarbeiten. Dazu gehören neben Automobilherstellern und Zulieferern beispielsweise Entwicklungsdienstleister, Beratungsunternehmen, Logistikunternehmen sowie Anbieter von IT-, Cloud- und Hosting-Dienstleistungen.
Die fachliche Grundlage eines TISAX Assessments bildet der ISA-Katalog. ISA steht für „Information Security Assessment“. Der Katalog enthält Anforderungen und Prüfkriterien, anhand derer Unternehmen ihre Informationssicherheit bewerten und gegenüber Geschäftspartnern nachweisen können. Er orientiert sich an internationalen Standards, berücksichtigt jedoch zusätzlich die besonderen Risiken und Anforderungen der automobilen Lieferkette. Damit bildet er eine zentrale Grundlage für die Informationssicherheit in der Automobilindustrie.
Die VDA ISA2027 stellt keine vollständige Neuausrichtung des bisherigen Verfahrens dar. Sie entwickelt den Anforderungskatalog jedoch an mehreren wichtigen Stellen weiter. Nach Angaben der ENX Association stehen dabei insbesondere eine bessere Verständlichkeit, einheitlichere Bewertungen und die Stärkung der Sicherheitssteuerung innerhalb der automobilen Lieferkette im Mittelpunkt. Insgesamt lassen sich fünf Änderungen hervorheben, mit denen sich Unternehmen frühzeitig beschäftigen sollten.
Die erste wichtige Änderung betrifft das zukünftige Veröffentlichungs- und Versionsmodell. Die Katalogversionen werden nicht mehr ausschließlich durch fortlaufende Versionsnummern bezeichnet. Stattdessen tragen sie künftig das Jahr, in dem sie für neu beauftragte Assessments verbindlich werden. Die Bezeichnung VDA ISA2027 macht somit unmittelbar deutlich, dass diese Fassung für TISAX® Assessments gilt, die ab dem 1. Januar 2027 beauftragt werden.
Gleichzeitig beginnt mit dem neuen Katalog ein jährlicher Veröffentlichungszyklus. Zukünftige Fassungen sollen grundsätzlich im Sommer erscheinen und zum 1. Januar des darauffolgenden Jahres wirksam werden. Dadurch können Anforderungen regelmäßiger und in kleineren Schritten an neue Bedrohungen, technologische Entwicklungen und Erfahrungen aus der Assessment-Praxis angepasst werden.
Für Unternehmen bedeutet das, dass neue Veröffentlichungen künftig kontinuierlich beobachtet und in die eigene TISAX-Planung einbezogen werden sollten. Bestehende TISAX®-Labels verlieren durch den jährlichen Zyklus jedoch nicht automatisch ihre Gültigkeit. Sie bleiben für ihre reguläre Laufzeit gültig, die weiterhin bis zu drei Jahre betragen kann. Der neue Veröffentlichungsrhythmus führt daher nicht zwangsläufig zu häufigeren Assessments. Er macht es aber erforderlich, vor jedem neuen TISAX Assessment zu prüfen, welche Katalogfassung anzuwenden ist.
Die zweite Änderung betrifft die aktualisierten Bezüge zu internationalen Standards und Frameworks. Die Zuordnungen zum NIST Cybersecurity Framework 2.0 wurden aktualisiert, die Verknüpfungen mit der ISO/IEC 27001:2022 überprüft und die Bezüge zur ISA/IEC 62443 präzisiert. Gleichzeitig wurden Verweise auf die ältere ISO/IEC 27001:2013 entfernt.
Das ist insbesondere für Unternehmen relevant, die bereits über ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 verfügen oder Sicherheitsanforderungen für industrielle Automatisierungs- und Steuerungssysteme berücksichtigen. Vorhandene Managementsysteme und Nachweise können weiterhin eine wichtige Grundlage für die Vorbereitung bilden. Dennoch sollte nicht davon ausgegangen werden, dass eine ISO-27001-Zertifizierung automatisch alle Anforderungen eines TISAX Assessments abdeckt. Die Informationssicherheit in der Automobilindustrie umfasst zusätzliche Anforderungen, die sich aus den besonderen Risiken, Kundenanforderungen und Abhängigkeiten innerhalb der automobilen Wertschöpfungskette ergeben.
Als dritte wichtige Änderung wurden zahlreiche Formulierungen, Definitionen und Anforderungsstrukturen überarbeitet. Ziel ist es, die VDA ISA2027 verständlicher und konsistenter anwendbar zu machen. Historisch gewachsene Unklarheiten sollen reduziert werden, damit Unternehmen und Prüfdienstleister die Anforderungen einheitlicher interpretieren können.
Besonders relevant ist die Präzisierung der Formulierung „Die folgenden Aspekte werden berücksichtigt“. Zukünftig muss erkennbar sein, dass sämtliche genannten Aspekte bewusst betrachtet wurden. Im Assessment sollte ein Unternehmen außerdem nachvollziehbar erklären können, warum eine bestimmte Maßnahme umgesetzt oder nach einer begründeten Bewertung nicht umgesetzt wurde.
Für die Praxis bedeutet das, dass ein vorhandenes Dokument allein noch keinen ausreichenden Nachweis darstellt. Entscheidend ist, ob die beschriebenen Prozesse tatsächlich angewendet werden und ob Entscheidungen, Kontrollen und Überprüfungen nachvollziehbar dokumentiert sind. Beispielsweise genügt es nicht, in einer Richtlinie regelmäßige Lieferantenbewertungen vorzusehen, wenn keine aktuellen Bewertungen, Freigaben oder dokumentierten Folgemaßnahmen vorgelegt werden können.
Auch Führungskräfte und andere organisatorische Leitungspersonen werden ausdrücklich als Zielgruppe für Sensibilisierungs- und Schulungsmaßnahmen zur Informationssicherheit benannt. Damit wird verdeutlicht, dass die Verantwortung für die Informationssicherheit in der Automobilindustrie nicht allein bei der IT-Abteilung oder dem Informationssicherheitsbeauftragten liegt. Sie muss auf allen Ebenen des Unternehmens verstanden und in geschäftliche Entscheidungen einbezogen werden.
Die vierte und besonders praxisrelevante Änderung betrifft das Lieferantenmanagement. Organisationen, die Informationen mit hohem Schutzbedarf verarbeiten, müssen künftig stärker dokumentieren, wie sie die Einhaltung von Informationssicherheitsanforderungen durch ihre Lieferanten prüfen und überwachen. Dabei geht es nicht nur um eine einmalige Bewertung vor der Beauftragung. Sicherheitsmaßnahmen und Nachweise sollen regelmäßig sowie bei wesentlichen Veränderungen überprüft werden.
Eine solche Veränderung kann beispielsweise vorliegen, wenn ein neuer Unterauftragnehmer eingebunden, eine Leistung in eine Cloud-Umgebung verlagert oder ein kritischer IT-Dienstleister gewechselt wird. Auch organisatorische Veränderungen beim Lieferanten oder neue Abhängigkeiten innerhalb der Lieferkette können eine erneute Bewertung erforderlich machen.
Bei sehr hohem Schutzbedarf steigen die Erwartungen an das Lieferantenmanagement zusätzlich. Lieferanten sollen ein angemessenes Niveau der Informationssicherheit beispielsweise durch ein geeignetes TISAX®-Label, eine vergleichbare unabhängige Prüfung oder ein angemessenes Lieferantenaudit nachweisen können. Welche Form des Nachweises erforderlich und verhältnismäßig ist, hängt vom Schutzbedarf, von der erbrachten Leistung und von den damit verbundenen Risiken ab.
Ein Entwicklungsdienstleister, der vertrauliche Konstruktionsdaten eines Fahrzeugherstellers verarbeitet und dafür einen externen Hosting-Anbieter nutzt, muss deshalb nicht nur die eigenen Sicherheitsmaßnahmen betrachten. Er muss auch festlegen, welche Anforderungen für den Hosting-Anbieter gelten, wie deren Einhaltung nachgewiesen wird und wie mit Abweichungen oder wesentlichen Veränderungen umzugehen ist.
Ein wirksames Lieferantenmanagement benötigt daher nachvollziehbare Bewertungskriterien, aktuelle Nachweise und eindeutig geregelte Verantwortlichkeiten. Unternehmen sollten außerdem prüfen, ob relevante Informationssicherheitsanforderungen vertraglich vereinbart und bei Bedarf an Unterauftragnehmer weitergegeben werden. Da Verträge, externe Nachweise und Lieferantenbewertungen häufig nicht kurzfristig angepasst werden können, sollte dieser Bereich möglichst frühzeitig betrachtet werden.
Die fünfte zentrale Änderung betrifft den Prototypenschutz. Das entsprechende Modul wurde mit der VDA ISA2027 umfassend neu strukturiert. Die bisherige Aufteilung in fünf Kontrollgruppen wurde in zwei übergeordnete Bereiche zusammengeführt: organisatorische Anforderungen sowie physische und umgebungsbezogene Sicherheit. Dadurch sollen grundlegende organisatorische Maßnahmen klarer von weiterführenden physischen Schutzmaßnahmen abgegrenzt werden.
Zusätzlich wurden neue Kontrollen zur Rückverfolgbarkeit und Begleitung geschützter Fahrzeuge, Komponenten und Bauteile über ihren gesamten Lebenszyklus aufgenommen. Das betrifft auch den Umgang mit Prototypen, Werkzeugen, Komponenten oder relevanten Datenträgern am Ende ihrer Verwendung. Abhängig von den Vorgaben des jeweiligen Kunden müssen diese kontrolliert zurückgegeben, recycelt, entsorgt oder sicher vernichtet werden.
Unternehmen, deren Geltungsbereich den Prototypenschutz umfasst, sollten deshalb nicht nur ihre Richtlinien aktualisieren. Auch die tatsächlichen Abläufe in Entwicklung, Lagerung, Transport, Nutzung, Rückgabe und Entsorgung müssen nachvollziehbar geregelt sein. Verantwortlichkeiten, Übergaben und der Verbleib geschützter Objekte sollten so dokumentiert werden, dass die Rückverfolgbarkeit im TISAX Assessment anhand geeigneter Nachweise belegt werden kann.
Für die Vorbereitung auf die VDA ISA2027 bietet sich eine strukturierte Gap-Analyse an. Dabei werden die bisher umgesetzten Anforderungen mit der neuen Katalogfassung verglichen. Auf diese Weise lässt sich feststellen, welche Maßnahmen weiterhin ausreichen, welche Prozesse angepasst werden müssen und an welchen Stellen zusätzliche oder aussagekräftigere Nachweise erforderlich sind.
Eine solche Analyse sollte sich nicht ausschließlich auf Richtlinien und Prozessbeschreibungen beschränken. Auch Verträge, Lieferantenbewertungen, Schulungsnachweise, technische Konfigurationen, Prüfprotokolle, Freigaben und tatsächlich gelebte Abläufe sollten einbezogen werden. Besonders beim Lieferantenmanagement kann es sinnvoll sein, frühzeitig zu prüfen, ob alle relevanten Dienstleister erfasst, nach ihrem Risiko bewertet und mit angemessenen Sicherheitsanforderungen verpflichtet wurden.
Die fünf Änderungen zeigen, dass sich die Informationssicherheit in der Automobilindustrie zunehmend zu einer kontinuierlichen Managementaufgabe entwickelt. Der neue jährliche Veröffentlichungszyklus, die aktualisierten Standardbezüge, präzisere Nachweisanforderungen, ein stärkeres Lieferantenmanagement und die Neustrukturierung des Prototypenschutzes wirken sich auf unterschiedliche Bereiche eines Unternehmens aus.
Unternehmen sollten daher rechtzeitig klären, wann ihr nächstes TISAX Assessment geplant ist und welche Katalogversion dafür maßgeblich sein wird. Eine frühzeitige Bestandsaufnahme schafft Planungssicherheit und verhindert, dass notwendige Anpassungen erst unmittelbar vor dem Assessment erkannt werden.
Die VDA ISA2027 bietet Unternehmen zugleich die Chance, bestehende Prozesse kritisch zu überprüfen und die Informationssicherheit nachhaltiger in den eigenen Geschäftsabläufen zu verankern. Wer die neuen Anforderungen frühzeitig einordnet, kann mögliche Lücken strukturiert schließen und sich gezielt auf das nächste Assessment vorbereiten.
Wir unterstützen Unternehmen dabei, die Änderungen der VDA ISA2027 zu verstehen, vorhandene Strukturen zu überprüfen und erforderliche Maßnahmen praxisnah umzusetzen. So wird die Vorbereitung auf das nächste TISAX Assessment nicht zu einer kurzfristigen Reaktion, sondern zu einem planbaren Bestandteil des Informationssicherheitsmanagements.
Quelle für die fachlichen Änderungen: ENX Association – VDA ISA2027 Released
TISAX® ist eine eingetragene Marke der ENX Association.
