Als Faustregel sollten Sie je nach Ausgangslage mit drei bis neun Monaten rechnen. Unternehmen mit einem bestehenden, gelebten ISMS oder einer ISO-27001-Basis sind schneller; wer bei null startet, braucht länger. Entscheidend ist weniger die Technik als die Zeit, die gelebte Prozesse zum Einschwingen brauchen – Reifegrad 3 lässt sich nicht über Nacht herstellen.

Beide prüfen dieselben Controls des VDA ISA, unterscheiden sich aber in der Prüftiefe. AL 2 wird überwiegend remote durchgeführt und beruht stärker auf einer Plausibilitätsprüfung der Nachweise. AL 3 umfasst ein Vor-Ort-Audit mit Systemprüfung und Stichproben und wird für sehr hohen Schutzbedarf verlangt – etwa bei besonders sensiblen Konstruktions- oder Prototypendaten. Welches Level Sie benötigen, gibt in der Regel Ihr Auftraggeber vor.

Eine ISO-27001-Zertifizierung ist eine hervorragende Basis, ersetzt TISAX aber nicht automatisch. Rund drei Viertel der Controls überschneiden sich, sodass ein integrierter Ansatz 30 bis 50 Prozent des Aufwands gegenüber einer getrennten Umsetzung sparen kann. Es bleiben jedoch automobilspezifische Anforderungen – etwa zum Prototypenschutz –, die ISO 27001 nicht abdeckt und die im TISAX Assessment eigens nachzuweisen sind.

Der VDA ISA bewertet jede Anforderung auf einer Reifegradskala. Für ein TISAX-Label ist durchgängig Reifegrad 3 erforderlich – das bedeutet: Der Prozess ist definiert, dokumentiert und wird nachweisbar gelebt. Eine Richtlinie, die zwar existiert, aber im Alltag niemand anwendet, erreicht diesen Reifegrad nicht. Genau hier trennt sich im Audit die Vorbereitung von der Formalität.

Der VDA ISA ist der Fragen- und Prüfkatalog, der jedem TISAX Assessment zugrunde liegt. Verbindlich ist seit dem 1. April 2024 die Version 6. Inzwischen ist die nachfolgende Katalogversion veröffentlicht, die für Assessments gilt, die ab 2027 beauftragt werden. Bei laufenden oder kurzfristig geplanten Projekten sollten Sie diesen Übergang in die Terminplanung einbeziehen; wir behalten den aktuellen Stand für Sie im Blick.

Ein TISAX-Label ist drei Jahre gültig. Danach ist ein Folgeassessment erforderlich. Zusätzlich verlangt die ENX Association eine jährliche Selbstauskunft. Auftraggeber können jederzeit über das ENX-Portal prüfen, ob ein Label aktiv ist – ein abgelaufenes Label bedeutet in der Praxis ein Risiko für die Auftragsbeziehung.

Formal vergibt TISAX kein Zertifikat, sondern Labels. Das erfolgreiche Assessment wird im ENX-Portal hinterlegt, und Sie entscheiden, welche Partner die Ergebnisse einsehen dürfen. Für die Praxis ist der Effekt derselbe wie bei einer Zertifizierung: Ihr Auftraggeber erhält den geforderten Nachweis, dass Ihr Standort die TISAX Anforderungen erfüllt.

TISAX ist kein reines IT-Projekt. Neben der IT-Leitung braucht es die Geschäftsführung für die Governance-Ebene, das Qualitäts- oder Sicherheitsmanagement für Prozesse und Dokumentation sowie Fachbereiche, in denen schützenswerte Informationen verarbeitet werden. Erfolgreiche Projekte haben in der Regel eine benannte, verantwortliche Person, die das Vorhaben intern koordiniert.

Feststellungen sind nicht das Ende, sondern Teil des Verfahrens. Werden Abweichungen festgestellt, dokumentiert der Prüfer sie in einem Maßnahmenplan, den Sie innerhalb einer definierten Frist abarbeiten. Erst danach wird das Label vergeben. Eine gründliche Vorbereitung – insbesondere ein ehrlicher interner Probelauf – reduziert die Zahl solcher Feststellungen deutlich.

Grundsätzlich ja – mit ausreichend eigenem Know-how und freien Kapazitäten. In der Praxis fehlt beides oft, wenn TISAX unter Fristdruck auf ein ohnehin ausgelastetes Team trifft. Eine Beratung lohnt sich vor allem dann, wenn Sie zum ersten Mal ein Assessment durchlaufen, wenn die Frist knapp ist oder wenn Sie Beratung und technische Umsetzung aus einer Hand wünschen.