VDA ISA 6.0: TISAX-Assessment in der Praxis vorbereiten

VDA ISA 6.0: TISAX-Assessment in der Praxis vorbereiten

Wenn ein OEM oder Tier-1-Kunde für 2026 einen aktuellen TISAX-Nachweis verlangt, beginnt die Arbeit nicht mit dem Assessment-Termin. Entscheidend ist eine belastbare Vorbereitung nach dem vda isa 6.0 tisax assessment vorbereitung pruefkatalog: Scope festlegen, Anforderungen bewerten, Nachweise ordnen und offene Punkte nachweisbar schließen.

1. Anlass, Scope und Assessment-Ziel zuerst klären

Starten Sie mit der Anfrage des Kunden, nicht mit einzelnen Fragen aus dem Katalog. Prüfen Sie, welche Informationswerte betroffen sind: Entwicklungsdaten, Produktionsunterlagen, Prototypen, personenbezogene Daten oder vertrauliche Informationen des Auftraggebers. Daraus ergibt sich, welche TISAX-Assessment-Ziele und welcher Schutzbedarf relevant sind.

Legen Sie anschließend den organisatorischen und räumlichen Scope fest. Zum Scope gehören unter anderem betroffene Gesellschaften, Standorte, Netzsegmente, Rechenzentren, Entwicklungsbereiche und externe Dienstleister. Ein Standort darf nicht einfach pauschal ausgenommen werden, wenn dort tatsächlich schutzbedürftige Fahrzeug- oder Kundendaten verarbeitet werden.

Dokumentieren Sie außerdem die gewünschte Reifegradstufe. Für besonders schutzbedürftige Informationen ist regelmäßig eine höhere Nachweistiefe erforderlich; bei Prototypenschutz kommen zusätzlich physische und organisatorische Schutzmaßnahmen hinzu. Der Assessment-Dienstleister bewertet später den vereinbarten Scope – nicht automatisch das gesamte Unternehmen.

2. Den VDA-ISA-Katalog in eine belastbare Gap-Analyse überführen

Für die vda isa 6.0 tisax assessment vorbereitung pruefkatalog-Arbeit empfiehlt sich eine Tabelle mit vier Spalten: Anforderung, Ist-Zustand, objektiver Nachweis und Verantwortlicher. Ergänzen Sie eine fünfte Spalte für die geplante Fertigstellung. So wird aus einer Selbsteinschätzung ein steuerbarer Maßnahmenplan.

Ordnen Sie die Anforderungen zunächst den Hauptbereichen des Informationssicherheitsmanagements zu. Die ISO/IEC 27001:2022 liefert dafür eine sinnvolle Struktur: Die Abschnitte 4 bis 10 behandeln Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. VDA ISA geht im Automotive-Kontext darüber hinaus und macht branchenspezifische Nachweise etwa zu Lieferanten, mobilen Arbeitsplätzen, physischen Bereichen und Incident Management relevant.

Bewerten Sie nicht nur, ob eine Richtlinie existiert. Fragen Sie für jede Maßnahme:

1. Ist sie im Scope verbindlich geregelt?
2. Wird sie tatsächlich umgesetzt und regelmäßig überprüft?
3. Kann eine unabhängige Person die Umsetzung anhand eines Datums, Tickets, Protokolls oder Berichts nachvollziehen?
4. Ist der Nachweis für den gesamten Betrachtungszeitraum verfügbar?

Typische Nachweise sind das genehmigte Informationssicherheitsleitbild, Rollen- und Berechtigungsmatrizen, Risikoanalysen, Schulungsnachweise, Protokolle von Zugangsprüfungen, Backup-Wiederherstellungstests, Lieferantenbewertungen und Übungen zum Umgang mit Sicherheitsvorfällen. Screenshots ohne Kontext oder eine lose Sammlung von Richtlinien reichen in der Praxis selten aus.

3. Verantwortlichkeiten, Risiken und Nachweise schließen

Benennen Sie für jedes Themenfeld einen fachlich verantwortlichen Owner. Die Informationssicherheitsbeauftragte oder der CISO kann die Gesamtkoordination übernehmen, sollte aber nicht zum alleinigen Nachweislieferanten werden. Für Personal, Einkauf, Facility Management, Entwicklung, IT-Betrieb und Datenschutz brauchen Sie jeweils belastbare Ansprechpartner.

Erstellen Sie eine Risikobehandlung nach dem eigenen Verfahren und verknüpfen Sie jedes relevante Risiko mit einer Entscheidung: vermindern, vermeiden, übertragen oder akzeptieren. Die Akzeptanz muss von einer dafür befugten Stelle stammen und darf nicht nur im Maßnahmenplan stehen. Beziehen Sie bei personenbezogenen Daten den Datenschutzbeauftragten ein; die DSGVO verlangt in Artikel 32 angemessene technische und organisatorische Maßnahmen, nennt aber keinen pauschalen Sicherheitsstandard für alle Unternehmen.

Prüfen Sie besonders die Schnittstellen zu Dienstleistern. Ein Vertrag allein belegt keine wirksame Steuerung. Bewahren Sie Auswahlkriterien, Sicherheitsanforderungen, regelmäßige Bewertungen und gegebenenfalls Nachweise zu Unterauftragnehmern auf. Bei Cloud-Diensten gehören außerdem Verantwortungsabgrenzung, Protokollierung, Wiederanlauf und Löschkonzept in die Bewertung.

Die vda isa 6.0 aenderungen ggvs 2024 umsetzung sollte nicht als isoliertes IT-Projekt behandelt werden. Änderungen in Geschäftsprozessen, Verantwortlichkeiten, Lieferketten oder Gebäuden können den Scope und die Risikobewertung verändern. Führen Sie deshalb eine dokumentierte Änderungsprüfung durch und aktualisieren Sie bei Bedarf Risikoanalyse, Verfahrensanweisungen und Schulungsinhalte.

4. Interne Prüfung und Interviewprobe durchführen

Planen Sie vor dem externen Assessment eine interne Prüfung mit Personen, die nicht für die tägliche Umsetzung der jeweiligen Maßnahme verantwortlich sind. Die Prüfung muss nicht den Namen „internes Audit“ tragen, sollte aber Kriterien, Stichprobe, Feststellungen, Verantwortliche und Fristen dokumentieren. Für das Managementsystem ist Abschnitt 9.2 der ISO/IEC 27001:2022 ein guter Referenzpunkt.

Simulieren Sie anschließend Interviews. Mitarbeitende sollten erklären können, wie sie einen Sicherheitsvorfall melden, wer Zugriffsrechte genehmigt, wann Berechtigungen entzogen werden und wo aktuelle Arbeitsanweisungen liegen. Die Antworten müssen nicht auswendig gelernt sein; sie müssen zur dokumentierten Praxis passen.

Ein häufiger Fehler ist die Nachweissammlung unmittelbar vor dem Assessment. Besser ist eine chronologische Ablage mit eindeutiger Versionierung. Legen Sie fest, welche Dokumente als gelenkte Information gelten, wer sie freigibt und wie veraltete Fassungen gesperrt werden. Abschnitt 7.5 der ISO/IEC 27001:2022 ist hierfür die passende Referenz.

5. Assessment-Termin, Feststellungen und Nacharbeit

Vor der Beauftragung vergleichen Sie Scope, Assessment-Ziel, Sprache, Standorte und geplante Interviewgruppen mit dem Angebot des zugelassenen Anbieters. Halten Sie fest, welche Nachweise vorab bereitgestellt werden und welche Informationen nur im Interview oder vor Ort gezeigt werden.

Bereiten Sie für den Termin einen Nachweisindex vor. Jeder Eintrag sollte Dokumentname, Version, Freigabedatum, Eigentümer und Bezug zur Anforderung enthalten. Sensible Inhalte dürfen Sie angemessen maskieren, müssen aber sicherstellen, dass die prüfende Stelle die Wirksamkeit der Maßnahme beurteilen kann.

Bei einer Feststellung gilt: Ursache analysieren, Sofortmaßnahme dokumentieren, dauerhafte Korrektur festlegen und Wirksamkeit prüfen. Ein nachträglich erstelltes Dokument heilt keine fehlende Umsetzung. Wenn beispielsweise Berechtigungsreviews nicht stattgefunden haben, genügt es nicht, ein Review-Formular nachträglich auszufüllen; Sie brauchen eine nachvollziehbare Prüfung, Verantwortlichkeit und einen Termin für die nächste Wiederholung.

Wer den tisax label 2026 reifegrad stufe 3 nachweis anstrebt, sollte die Evidenz über mehrere Prüfzyklen konsistent führen. Ein einzelner aktueller Screenshot ersetzt keine wiederholte Wirksamkeitskontrolle. Bei Abweichungen sollten Sie die Ursache im Risikoregister und im Verbesserungsprozess nachführen.

Häufige Fehler und ein praktikabler Rettungsplan

Die häufigsten Probleme sind ein zu weit oder zu eng definierter Scope, widersprüchliche Versionsstände, fehlende Dienstleisterkontrollen und Maßnahmen ohne Wirksamkeitsnachweis. Ebenfalls kritisch: Mitarbeitende kennen die Richtlinie nicht, obwohl sie formal freigegeben ist.

Wenn der Termin bereits feststeht, priorisieren Sie in dieser Reihenfolge: erst Scope und Assessment-Ziel bestätigen, dann kritische Risiken und fehlende Verantwortlichkeiten schließen, anschließend Nachweise für wiederkehrende Kontrollen ordnen. Offene Punkte werden transparent als Risiken und Maßnahmen geführt – nicht durch rückdatierte Protokolle kaschiert.

Der vda isa audit fragenkatalog informationssicherheit automotive ist damit kein Dokument zum einmaligen Abhaken. Er dient als Arbeitsgrundlage für ein dauerhaftes ISMS, das Geschäftsführung, IT, Fachbereiche, Einkauf und Facility Management gemeinsam tragen.

Fazit: Vorbereitung als wiederholbaren Prozess aufsetzen

Eine erfolgreiche TISAX-Vorbereitung entsteht durch klare Grenzen, nachvollziehbare Entscheidungen und gelebte Kontrollen. Wer den Scope früh festlegt, VDA ISA 6.0 mit den eigenen Prozessen verknüpft und Nachweise über den gesamten Zyklus pflegt, reduziert Überraschungen im Assessment deutlich. Planen Sie die nächste interne Prüfung bereits nach Abschluss des aktuellen Assessments ein – dann wird aus dem Prüfziel ein belastbarer Verbesserungsprozess.