Informationssicherheit in der Automobilindustrie: TISAX, VDA ISA und NIS2 im Überblick

 

Kaum eine Branche tauscht so früh so sensible Daten aus wie die Automobilindustrie. Konstruktionsstände, Steuergeräte-Software und Stückzahlplanungen wandern zwischen OEM, Systemlieferant, Teilefertiger und Prüflabor, oft Jahre vor dem Serienstart. Deshalb ist Informationssicherheit in der Automobilindustrie längst keine reine IT-Frage mehr, sondern eine Bedingung für die Zusammenarbeit: Wer den geforderten Nachweis nicht vorlegt, wird in Ausschreibungen nicht berücksichtigt oder erhält die Daten schlicht nicht.

Für mittelständische Zulieferer ist das eine spürbare Verschiebung. Die Anforderung kommt vom Kunden, sie kommt kurzfristig und sie ist konkret: ein gültiges TISAX-Label mit einem bestimmten Prüfziel, für einen bestimmten Standort, bis zu einem bestimmten Datum. Dieser Leitfaden ordnet die Rahmenwerke ein, erklärt die Logik hinter VDA ISA und TISAX, grenzt beides von der ISO 27001 ab und benennt die Lücken, die den Zeitplan sprengen.

 

Warum Informationssicherheit in der Automobilindustrie den Marktzugang bestimmt

Ein einzelnes Fahrzeugprojekt bindet mehrere hundert Partner ein, und jeder davon ist ein möglicher Zugangsweg zu den Daten des Herstellers. Da ein OEM sie nicht alle selbst auditieren kann, verlagert er die Nachweispflicht: Der Lieferant belegt sein Sicherheitsniveau in einer Form, die der Hersteller ohne eigenen Prüfaufwand anerkennt.

Vier Treiber machen das Thema hier besonders scharf:

• Vorserien- und Entwicklungsdaten: CAD-Modelle, Lastenhefte und Erprobungsergebnisse sind vor der Markteinführung hochsensibel.
• Prototypenschutz: Bauteile, Erprobungsfahrzeuge und Fotoshootings verlangen physische Maßnahmen von der Zutrittskontrolle bis zum Fotografierverbot. Dafür gibt es im VDA ISA ein eigenes Modul.
• Fertigung und OT: Produktionsanlagen laufen Jahrzehnte, oft mit Steuerungen ohne Sicherheitsupdates. Ein Stillstand trifft sofort die Bänder des Kunden.
• Vernetzte Fahrzeuge: Software wird über die Luft aktualisiert, Fahrzeugdaten fließen in Backends. Damit wird der Update-Prozess selbst zum regulierten Gegenstand.

Betroffen sind deshalb nicht nur Teilefertiger, sondern ebenso Ingenieur- und IT-Dienstleister, Prüflabore, Logistiker, Werkzeugbauer und Agenturen. Entscheidend ist nicht die Branche, sondern der Zugriff auf schützenswerte Informationen des Auftraggebers.

 

VDA ISA und TISAX: der Branchenrahmen

Hinter dem Nachweis stehen zwei Bausteine, die oft verwechselt werden. Der VDA ISA (Information Security Assessment) ist der Prüfkatalog des Verbands der Automobilindustrie, gegliedert in die Module Informationssicherheit, Prototypenschutz und Datenschutz. TISAX (Trusted Information Security Assessment Exchange) ist das Prüf- und Austauschverfahren der ENX Association: Es regelt, wer prüfen darf, wie geprüft wird und wie das Ergebnis mit Geschäftspartnern geteilt wird.

Für die Planung wichtig ist der Versionswechsel. Gültige Katalogfassung ist die Version 6.0.3, maßgeblich für alle seit dem 1. April 2024 beauftragten Assessments. Am 1. Juli 2026 haben VDA und ENX den Nachfolger ISA2027 veröffentlicht, der für alle ab dem 1. Januar 2027 beauftragten Assessments gilt. Er bringt aktualisierte Zuordnungen zur ISO/IEC 27001:2022 und zum NIST Cybersecurity Framework 2.0, erweiterte Anforderungen an die Lieferkettensicherheit sowie ein neu strukturiertes Prototypenschutz-Modul mit Vorgaben zur Rückverfolgbarkeit geschützter Bauteile. Bereits erteilte Labels behalten ihre volle Laufzeit. Welche Anforderungen dahinterstehen, zeigen die TISAX-Anforderungen im Überblick.

Assessment Level: Schutzbedarf bestimmt die Prüftiefe

Wie tief geprüft wird, hängt nicht vom Wunsch des Unternehmens ab, sondern vom Schutzbedarf der verarbeiteten Informationen. Höhere Level schließen die niedrigeren mit ein.

Assessment Level	Schutzbedarf	Prüfmethodik
AL 1	intern	Reine Selbsteinschätzung, der Prüfer kontrolliert nur die Vollständigkeit. Wegen geringer Aussagekraft im TISAX-Verfahren nicht genutzt.
AL 2	hoch	Selbsteinschätzung, Prüfung eingereichter Nachweise und Interview mit den Verantwortlichen, in der Regel als Webkonferenz.
AL 3	sehr hoch	Zusätzlich Vor-Ort-Prüfung: Begehung, Beobachtung laufender Prozesse sowie geplante und ungeplante Interviews mit Prozessbeteiligten.

Der Sprung von Stufe 2 auf Stufe 3 ist der aufwendigste Schritt, weil dort gelebte Praxis statt Dokumenten geprüft wird. Was das für einen Standort bedeutet, zeigt der Beitrag zu den Anforderungen an TISAX Level 3.

Labels, Reifegrad und Gültigkeit

Am Ende steht kein Zertifikat, sondern ein Prüfbericht mit Labels, die sich immer auf einen definierten Scope aus Standorten und Prüfzielen beziehen. Das Teilnehmerhandbuch führt derzeit zwölf Labels in drei Bereichen: Informationssicherheit, unterschieden nach Vertraulichkeit (Confidential, Strictly confidential) und Verfügbarkeit (High availability, Very high availability), Prototypenschutz (Proto parts, Proto vehicles, Test vehicles, Proto events) sowie Datenschutz (Data, Special data). Die älteren Labels „Info high“ und „Info very high“ bleiben gültig, solange ihre Laufzeit reicht.

Das Prüfergebnis ist drei Jahre gültig. Jährliche Überwachungsaudits gibt es nicht, die Verlängerung erfolgt über ein erneutes Assessment. Bei Abweichungen folgt ein Maßnahmenplan mit Nachprüfung, teils begleitet von einem temporären Label. Bewertet wird jedes Prüfziel über ein Reifegradmodell von 0 bis 5, Zielwert ist Reifegrad 3: ein etablierter, standardisiert angewendeter Prozess. Dokumentation allein genügt nicht.

 

 

TISAX und ISO 27001: Abgrenzung und Zusammenspiel

Viele Zulieferer sind bereits nach ISO/IEC 27001 zertifiziert und fragen zu Recht, ob damit nicht alles erledigt ist. Die Norm ist eine gute Grundlage, ersetzt das TISAX-Verfahren aber nicht. Der VDA ISA ist eng an sie angelehnt, geht in branchenspezifischen Punkten darüber hinaus und prüft zusätzlich die Verankerung im Alltag.

Kriterium	ISO/IEC 27001	TISAX
Geltungsbereich	Branchenübergreifend	Automobilindustrie und ihre Lieferkette
Ergebnis	Zertifikat einer akkreditierten Stelle, frei vorzeigbar	Prüfbericht und Labels, Freigabe gezielt über das ENX-Portal
Prüfmaßstab	Erfüllung der Normanforderungen und ausgewählten Maßnahmen	Reifegrad je Prüfziel, Zielwert 3 (etabliert)
Laufzeit	Drei Jahre mit jährlichen Überwachungsaudits	Drei Jahre ohne Überwachungsaudits, danach erneutes Assessment
Zusatzthemen	Keine branchenspezifischen Module	Eigene Module für Prototypenschutz und Datenschutz

In der Praxis ist die Kombination der Regelfall: Die ISO 27001 liefert Struktur, Risikoprozess, Rollen und Dokumentenlenkung, TISAX setzt die branchenspezifischen Anforderungen obendrauf. Eine ausführliche Gegenüberstellung bietet der Beitrag zum Unterschied zwischen TISAX und ISO 27001. Prüfen Sie parallel Ihr Lieferantenmanagement nach ISO 27001, denn dieselbe Nachweislogik reichen OEM und Systemlieferanten in die zweite und dritte Lieferantenebene weiter.

 

UNECE R155/R156, ISO/SAE 21434 und NIS2 richtig einordnen

Neben TISAX kursieren weitere Kürzel mit unterschiedlichen Adressaten. Die Unterscheidung erspart unnötige Projekte.

Fahrzeug-Cybersicherheit: R155, R156 und ISO/SAE 21434

Die UN-Regelungen R155 und R156 richten sich an die Typgenehmigung von Fahrzeugen. R155 verlangt ein Cyber Security Management System (CSMS) über den gesamten Fahrzeuglebenszyklus, R156 ein Software Update Management System (SUMS) für Aktualisierungen im Feld. Beide traten im Januar 2021 in Kraft, sind seit Juli 2022 für neue Fahrzeugtypen verbindlich und gelten seit dem 7. Juli 2024 für alle neu zugelassenen Fahrzeuge in der EU. Die ISO/SAE 21434 liefert dazu den technischen Umsetzungsrahmen für die Entwicklung.

Adressat ist der Hersteller. Für Zulieferer entsteht die Pflicht mittelbar: Wer Steuergeräte, Software oder sicherheitsrelevante Komponenten liefert, muss belegen, dass die eigene Entwicklung den CSMS-Nachweis des OEM trägt. Ohne Elektronik- oder Softwareanteil im Produkt bleibt TISAX das maßgebliche Thema.

NIS2: seit Dezember 2025 geltendes Recht

Anders als die kundengetriebenen Anforderungen ist NIS2 eine gesetzliche Pflicht. Das deutsche NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und ist seit dem 6. Dezember 2025 in Kraft, ohne allgemeine Übergangsfrist. Das BSI schätzt den Kreis der erfassten Einrichtungen auf rund 29.500. Für die Branche entscheidend: Anlage 2 des BSIG führt unter Nummer 5.5 die Herstellung von Kraftwagen und Kraftwagenteilen nach NACE Rev. 2, Abteilung 29 als Sektor wichtiger Einrichtungen. Erfasst sind Unternehmen ab 50 Beschäftigten beziehungsweise mit mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme.

Daraus folgen die Registrierung beim BSI über dessen Melde- und Informationsportal, das am 6. Januar 2026 geöffnet wurde, Risikomanagementmaßnahmen einschließlich Lieferkettensicherheit sowie eine gestufte Meldepflicht: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Hinzu kommt die ausdrückliche Verantwortung der Geschäftsleitung. Ein funktionierendes Managementsystem deckt einen erheblichen Teil dieser Pflichten ab, Registrierung und Meldeprozesse müssen aber gesondert aufgesetzt werden.

 

Produktion und OT: die zweite Baustelle

Wer Informationssicherheit nur als Büro-IT denkt, übersieht bei Zulieferern den wirtschaftlich kritischsten Teil. In der Fertigung stehen Steuerungen aus einer Zeit, in der Netzwerkanbindung die Ausnahme war. Sie lassen sich nicht patchen, weil Herstellerfreigaben fehlen oder die Anlage stillstehen müsste.

Bewährt haben sich Maßnahmen, die den Betrieb nicht anfassen, aber die Angriffsfläche verkleinern: Trennung von Office- und Produktionsnetz, Zonen und Übergänge nach dem Vorbild der Normenreihe IEC 62443, kontrollierte und protokollierte Fernwartungszugänge statt dauerhaft offener Verbindungen, ein vollständiges Anlageninventar samt Firmware-Ständen sowie getestete Wiederanlaufpläne. Letztere zahlen auf die Verfügbarkeits-Labels ein und liefern das Argument, das in der Geschäftsführung am schnellsten verfängt: Nicht der Datenabfluss, sondern der Bandstillstand beim Kunden ist das teuerste Szenario.

 

 

Typische Lücken bei Zulieferern

Über Assessments hinweg wiederholen sich dieselben Befunde:

1. Unvollständiges Informations- und Asset-Inventar:
Ohne Übersicht über Systeme und die darauf verarbeiteten Kundendaten lässt sich weder ein Schutzbedarf begründen noch ein Scope abgrenzen.

2. Prototypenschutz nur auf dem Papier:
Zutrittsregelungen, Besucherbegleitung, Fotoverbote und die Absicherung von Transport und Entsorgung werden vor Ort geprüft, nicht in einer Richtlinie.

3. Zugriffsrechte ohne Nachweis:
Berechtigungen wachsen mit jeder Versetzung. Ohne dokumentierte Vergabe, regelmäßige Prüfung und sauberen Austrittsprozess ist der Befund sicher.

4. Ungeregelte Weitergabe an Unterauftragnehmer:
Kundendaten landen bei Konstruktionsbüros oder Cloud-Diensten, ohne dass Anforderungen vertraglich weitergereicht und überprüft werden.

5. Ungetestete Notfallplanung:
Ein Wiederanlaufplan, der nie geprobt wurde, ist im Ernstfall wertlos.

 

Der Weg zum Nachweis in sechs Schritten

• Anforderung klären: Prüfziel, Assessment Level, Standorte und Frist mit dem Kunden abstimmen.
• Registrieren: Als Teilnehmer bei der ENX Association anmelden und den Prüf-Scope festlegen.
• Selbsteinschätzung: Den VDA ISA durcharbeiten und je Prüfziel den Ist-Reifegrad ehrlich bewerten. Das ist die eigentliche Gap-Analyse.
• Lücken schließen: Maßnahmen mit Verantwortlichen und Terminen umsetzen, zuerst dort, wo der Zielreifegrad verfehlt wird.
• Assessment: Einen von der ENX zugelassenen Prüfdienstleister beauftragen; bei Abweichungen folgt der Maßnahmenplan mit Nachprüfung.
• Freigeben und betreiben: Das Label im ENX-Portal für die anfragenden Partner freigeben und das Managementsystem im Regelbetrieb halten.

Am häufigsten unterschätzt wird der vierte Schritt. Zwischen der ersten realistischen Selbsteinschätzung und einem prüffähigen Stand liegen typischerweise mehrere Monate, in denen Richtlinien nicht nur geschrieben, sondern eingeführt, geschult und angewendet werden. Wer diese Zeit wegen einer Kundenfrist nicht hat, holt sich Unterstützung: Die TISAX-Beratung von TrustSpace begleitet Scope-Definition, Gap-Analyse und Umsetzung bis zum Assessment.

 

Fazit: Ein Managementsystem, mehrere Nachweise

Informationssicherheit in der Automobilindustrie ist eine Marktzugangsfrage: Der Nachweis wird vom Kunden verlangt und entscheidet darüber, ob ein Zulieferer im Projekt bleibt. Der Rahmen ist klar abgesteckt: Der VDA ISA definiert die Anforderungen, TISAX organisiert Prüfung und Austausch, der Schutzbedarf bestimmt die Prüftiefe, der Reifegrad entscheidet über das Bestehen.

Wer die Aufgabe strategisch angeht, baut nicht drei Projekte parallel, sondern ein Managementsystem, aus dem sich mehrere Nachweise bedienen lassen: die ISO 27001 als Struktur, TISAX als branchenspezifische Ergänzung, NIS2 als gesetzliche Pflicht mit eigenen Melde- und Registrierungsauflagen. Der Wechsel auf ISA2027 zum Jahresbeginn 2027 ist ein guter Anlass, den eigenen Stand zu prüfen, vor allem bei den erweiterten Anforderungen an die Lieferkette.

 

Häufige Fragen (FAQ)

Braucht jeder Automobilzulieferer ein TISAX-Label?

Nein. Die Anforderung entsteht durch den Kunden, nicht durch ein Gesetz. Sie trifft alle Unternehmen, die auf schützenswerte Informationen, Prototypen oder personenbezogene Daten eines Herstellers oder Systemlieferanten zugreifen. Mit welchem Prüfziel ein Label gefordert wird, steht in der Anfrage oder im Vertrag des Auftraggebers.

Ersetzt eine ISO-27001-Zertifizierung das TISAX-Assessment?

Nein. Der VDA ISA ist eng an die ISO/IEC 27001 angelehnt, prüft aber zusätzlich branchenspezifische Themen wie Prototypenschutz sowie den Reifegrad der Prozesse. Ein bestehendes ISO-27001-Managementsystem verkürzt die Vorbereitung jedoch spürbar.

Wie lange ist ein TISAX-Label gültig?

Das Prüfergebnis ist drei Jahre gültig. Jährliche Überwachungsaudits wie bei der ISO 27001 gibt es nicht, die Verlängerung erfolgt über ein erneutes Assessment. Planen Sie den Wiederholungstermin ohne Lücke in der Gültigkeit.

Was ändert sich mit ISA2027?

ISA2027 wurde am 1. Juli 2026 veröffentlicht und gilt für alle Assessments, die ab dem 1. Januar 2027 beauftragt werden. Er löst die Version 6.0.3 ab, aktualisiert die Zuordnungen zur ISO/IEC 27001:2022 und zum NIST Cybersecurity Framework 2.0, erweitert die Lieferkettenanforderungen und strukturiert den Prototypenschutz neu. Bereits erteilte Labels behalten ihre Laufzeit.

Betrifft NIS2 auch Automobilzulieferer?

Ja, sofern sie unter die im BSIG genannten Sektoren fallen. Anlage 2 führt unter Nummer 5.5 die Herstellung von Kraftwagen und Kraftwagenteilen nach NACE Rev. 2, Abteilung 29 als Sektor wichtiger Einrichtungen auf. Hinzu kommen die Größenkriterien ab 50 Beschäftigten beziehungsweise mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Dienstleister ohne Fertigung sollten ihre Betroffenheit einzeln prüfen.