TISAX für Automotive-Zulieferer: AL 2 und AL 3 in 6-9 Monaten

Einordnung

Abschnitt 01

Assessment-Level: welches ist gefordert

TISAX hat 3 Assessment-Level mit progressiv strengeren Anforderungen. AL 1: Selbst-Einschätzung ohne externes Audit, gültig 3 Jahre. Reicht für Lieferanten, die nur unkritische Informationen verarbeiten. AL 2: externes Audit (typisch 2-3 Tage vor Ort), für Lieferanten mit Standard-Vertraulichkeit. Die meisten OEM-Anforderungen liegen bei AL 2 für Standard-Zulieferer. AL 3: erweitertes externes Audit mit besonderem Fokus auf Prototypenschutz, für Lieferanten mit Zugang zu hochvertraulichen Informationen (z.B. Entwicklungs-Daten zukünftiger Modelle). Die OEM gibt das geforderte Level vor. Wichtig: das einmal erreichte Level lässt sich nicht "auf Vorrat" senken — Sie müssen das aktuelle Level nachweisen können.

Abschnitt 02

VDA ISA Kataloge: was ist drin

TISAX basiert auf dem VDA ISA-Katalog (Information Security Assessment), aktuelle Version 6.0. Der Katalog enthält 41 Kontrollziele im Basis-Set, plus zusätzliche Module: Prototypenschutz (bei AL 3 verpflichtend, sonst optional), Anschluss Dritter (für IT-Dienstleister an OEM-Netze), Datenschutz (DSGVO-Konformität als Mindest-Anforderung). Die Kontrollziele decken die typischen ISO-27001-Bereiche ab: Asset-Management, Zugriffskontrolle, Kryptografie, physische Sicherheit, Betriebssicherheit, Kommunikations-Sicherheit, Lieferanten-Beziehungen, Vorfalls-Management, Business Continuity, Compliance. Plus automotive-spezifische Erweiterungen.

Abschnitt 03

Die 5 am schwierigsten erfüllbaren Kontrollziele

Aus 6 begleiteten TISAX-Projekten die häufigsten Stolpersteine: (1) Mobile Device Management mit Crypto-Container für Außendienst-Mitarbeiter — verlangt eine zentrale MDM-Lösung mit Container-Trennung von Geschäfts- und Privat-Daten. (2) Physische Sicherheit der Entwicklungs-Bereiche mit dokumentierter Zonen-Trennung — viele KMU haben offene Büro-Layouts, die ein Layout-Re-Design erzwingen. (3) Sicherheits-Awareness-Schulung mit individueller Dokumentation pro Mitarbeiter und jährlicher Wiederholung. (4) Kryptografische Schlüssel-Management mit zentraler Lifecycle-Verwaltung — Excel-Listen reichen nicht. (5) Lieferanten-Audit für eigene Sub-Lieferanten, einschließlich Cloud-Anbietern.

Abschnitt 04

Setup-Roadmap 9 Monate

Phase 1 (Monat 1): Scope-Workshop mit Geschäftsleitung + IT-Leitung, Festlegung der zu zertifizierenden Standorte und Datenklassen. Phase 2 (Monat 2-3): Asset-Inventory + Risk-Assessment nach ISO 27005, Lücken-Analyse gegen VDA ISA 6.0. Phase 3 (Monat 4-6): Maßnahmen-Umsetzung. Hier liegt der größte Aufwand (typisch 65% der Gesamt-Kosten). Phase 4 (Monat 7): Internes Audit + Mock-Audit zur Vorbereitung des externen Audits. Phase 5 (Monat 8-9): Externes Audit (2-3 Tage AL 2, 4-5 Tage AL 3), Behebung von Findings, finale Zertifizierungs-Erteilung. Die Roadmap ist ambitioniert aber realistisch. 12 Monate sind komfortabler.

Abschnitt 05

Kosten für 60-MA-Zulieferer

Beratung und ISMS-Aufbau: typisch 25-32k €. Audit-Kosten AL 2: 8-12k € (alle 3 Jahre). Tooling-Investitionen: 12-18k € einmalig + 8-15k € jährlich. Hardware-Investitionen (z.B. MDM, Crypto-Container): 8-15k € einmalig. Schulungs-Kosten: 4-6k € jährlich. Interne Personal-Bindung über 9 Monate: typisch 0.3 FTE für 9 Monate = rund 25k €. Gesamt erstes Jahr: 80-110k €. Ab Jahr 2 jährliche Kosten: 30-45k €.

Abschnitt 06

Mock-Audit: der wichtigste Schritt

In 5 von 6 begleiteten Projekten war das Mock-Audit (interne Probe-Auditierung etwa 4-6 Wochen vor dem echten Audit) der wichtigste Erfolgsfaktor. Im Mock-Audit werden alle Kontrollziele mit einem externen Auditor durchgespielt, der NICHT der echte Auditor ist (aus Unabhängigkeits-Gründen). Findings im Mock-Audit können vor dem echten Audit behoben werden, ohne dass sie offizielle Nicht-Konformitäten werden. Aus der Erfahrung: ein Mock-Audit findet typisch 12-20 Findings, davon 3-7 kritisch. Diese behoben zu haben, macht den Unterschied zwischen einer glatten Zertifizierung und einer mit Major-Non-Conformities.

Abschnitt 07

Was DripBack als Begleiter abdeckt

DripBack bietet eine TISAX-Vorbereitungs-Begleitung mit folgendem Leistungs-Umfang: DSGVO-/ISMS-Audit-Suite als Tooling-Grundlage. Klassische ISMS-Beratung als Tagessatz-Leistung. Penetration-Test über zertifizierten Partner. AVV-Templates für die häufigen Cloud-Anbieter. Mitarbeiter-Awareness-Schulungen als Standard-Paket. Mock-Audit-Vorbereitung mit Standard-Checkliste. Wichtig: DripBack ist NICHT TISAX-Auditor (das wäre ein Interessenkonflikt). Wir empfehlen für das echte Audit qualifizierte Auditoren wie TÜV, DEKRA oder DQS. Eine Liste eigenständiger Auditoren stellen wir Customer auf Anfrage bereit.

Abschnitt 08

Re-Audit-Zyklus und Überwachung

TISAX-Zertifikate sind 3 Jahre gültig. In dieser Zeit gibt es KEINE Surveillance-Audits, anders als bei ISO 27001. Aber: bei wesentlichen Änderungen (z.B. neuer Standort, neue Datenklasse, größerer Sicherheitsvorfall) muss die Zertifizierungsstelle informiert werden, und ein Re-Audit kann erforderlich werden. Praktisch heißt das: kontinuierliche ISMS-Pflege ist erforderlich, auch wenn keine jährliche Prüfung stattfindet. Wir empfehlen quartalsweise interne Audits durch das ISMS-Team plus jährliche externe Status-Reviews durch einen Berater. Der Re-Zertifizierungs-Aufwand nach 3 Jahren ist typisch 60-70% des Erst-Zertifizierungs-Aufwands.

Abschnitt 09

Was im OEM-Audit konkret geprüft wird

OEMs (besonders BMW und Daimler) führen zusätzlich zu TISAX eigene Lieferanten-Audits durch, typisch alle 2-3 Jahre. Im OEM-Audit wird über TISAX hinaus geprüft: (a) Praktische Anwendung der Sicherheits-Maßnahmen, nicht nur Dokumentation. (b) Lieferanten-Konzentrations-Risiken (überlappend mit DORA-Anforderungen). (c) Notfall-Übungen mit nachweisbarer Durchführung. (d) Mitarbeiter-Interviews zu Awareness-Themen. (e) Stichproben-Tests an Schutz-Maßnahmen wie Crypto-Container, MDM-Konfiguration, Netzwerk-Segmentierung. Wer TISAX hat, besteht typisch auch OEM-Audits — wer TISAX-Findings hat, sollte mit OEM-Findings rechnen.

Abschnitt 10

Förderung kombiniert TISAX-Aufbau

Für Innovation-bezogene Aspekte kommt die ZIM-Förderung in Betracht (komplex zu beantragen, aber für FuE-intensive Zulieferer relevant). Wichtig: alle Förderungen müssen VOR Beginn der jeweiligen Maßnahmen beantragt werden. Wer schon angefangen hat, ist raus.