Viele Zulieferer und Dienstleister der Automobilindustrie haben vor zwei bis drei Jahren ihr erstes TISAX-Label nach dem VDA-ISA-Katalog in der Version 5.1 erreicht. Die zugehörige Dokumentation liegt im Aktenschrank, das Self-Assessment ist ausgefüllt, der Reifegrad war geprüft. Jetzt läuft das Zertifikat aus, und das nächste Assessment wird nach der Version 6 durchgeführt. Damit stellt sich für diese Unternehmen eine sehr konkrete Frage, die über das allgemeine „Was ist neu?“ hinausgeht: Was muss ich an meiner bestehenden Dokumentation tatsächlich anfassen, welche Fragen sind hinzugekommen, und welche Nachweise fehlen mir jetzt noch?
Dieser Beitrag beantwortet das aus der Perspektive eines Unternehmens, das den Umstieg von 5.1 auf 6 vor sich hat. Er zeigt zuerst, was sich am Prüfrahmen ändert, geht dann Control für Control durch die fünf neuen Anforderungen samt der jeweils nötigen Dokumente und schließt mit einem Fahrplan für das Re-Assessment.
Was bleibt, und was sich ändert
Die gute Nachricht zuerst: Der Katalog wurde nicht von Grund auf neu geordnet. Wer nach 5.1 ein funktionierendes Informationssicherheits-Managementsystem aufgebaut hat, behält dessen Grundgerüst. Die meisten Controls bestehen fort, viele sind nur sprachlich präzisiert. Es gibt keine vollständige Umnummerierung wie beim Wechsel der ISO/IEC 27001 auf die Fassung von 2022. Der Aufwand des Umstiegs konzentriert sich auf einige klar benennbare Stellen.
Die wesentliche Nachricht aber ist: Version 6 verschiebt den Schwerpunkt. In allen früheren Versionen stand die Vertraulichkeit von Informationen im Mittelpunkt. Version 6 stellt die Verfügbarkeit gleichberechtigt daneben, zieht damit die Produktionstechnik in den Prüfumfang und ergänzt fünf neue Controls, die in einer 5.1-Dokumentation schlicht nicht vorkamen. Genau dort entsteht die Arbeit.
VDA ISA, TISAX und ENX in einem Satz
Der VDA-ISA-Katalog ist der Anforderungskatalog für Informationssicherheit in der Automobilbranche, TISAX das darauf aufbauende Prüf- und Austauschverfahren, über das ein Ergebnis mit mehreren Geschäftspartnern geteilt wird, und die ENX Association betreibt das Verfahren und entwickelt über die ENX Working Group ISA den Katalog. Inhaltlich lehnt sich der Katalog eng an die ISO/IEC 27001 an.
Termine: bis wann der Umstieg fällig ist
Version 6 wurde im Oktober 2023 veröffentlicht und ist seit dem 1. April 2024 maßgeblich. Bestehende Labels nach 5.1 bleiben bis zu ihrem regulären Ablauf gültig, es gibt keinen Grund zur vorzeitigen Neuprüfung. Da TISAX-Labels in der Regel drei Jahre tragen, fällt das Re-Assessment nach Version 6 für die meisten Unternehmen ohnehin mit dem turnusmäßigen Ablauf zusammen, also überwiegend im Lauf des Jahres 2027.
Oktober 2023: Veröffentlichung
Die ENX Working Group ISA veröffentlicht den Katalog in Version 6 in englischer Sprache. Englisch ist die führende Sprache; im Zweifel ist die englische Fassung maßgeblich.
1. April 2024: verbindlicher Stichtag
Neue Assessments werden nach Version 6 geprüft. Nur bis Ende März 2024 beauftragte Prüfungen durften noch nach 5.1 ablaufen; für laufende Verfahren gab es eine kurze Übergangsfrist bis September 2024.
Bis 2027: Ihr Re-Assessment
Mit dem Auslaufen der dreijährigen Labels steht für die meisten 5.1-zertifizierten Unternehmen das Re-Assessment nach Version 6 an. Spätestens dann muss die Dokumentation den neuen Stand abbilden.
Ihr bestehendes Label wird automatisch übersetzt
Die sichtbarste Änderung betrifft das Label-System. In Version 5.1 gab es ein Label „Informationssicherheit“ mit den Stufen „hoch“ und „sehr hoch“. Version 6 ersetzt es durch zwei eigenständige Schutzziele, Vertraulichkeit und Verfügbarkeit. In der TISAX-Datenbank wird Ihr bestehendes Label automatisch auf die neue Logik abgebildet, ohne dass Sie etwas tun müssen.
Version 5.1
Informationssicherheit hoch
Version 6
Vertraulichkeit hoch
Version 6
Verfügbarkeit hoch
Version 5.1
Informationssicherheit sehr hoch
Version 6
Vertraulichkeit strikt
Version 6
Verfügbarkeit sehr hoch
Die automatische Übersetzung in der Datenbank ist allerdings nur die Verwaltungsseite. Inhaltlich bedeutet das neue Verfügbarkeits-Label, dass beim nächsten Assessment ein Themenfeld geprüft wird, das in Ihrer 5.1-Dokumentation kaum vorkam: die Ausfallsicherheit Ihrer Systeme, und bei produzierenden Unternehmen ausdrücklich auch die der Betriebstechnik. Welches der beiden Label Sie künftig brauchen, hängt von Ihrer Rolle in der Lieferkette und den Vorgaben Ihrer Auftraggeber ab. Wer sensible Informationen verarbeitet, braucht Vertraulichkeit; wer eine schwer ersetzbare Stelle in der Lieferkette einnimmt, weist über Verfügbarkeit seine Lieferfähigkeit nach. Beide Label teilen sich denselben Sockel an Basisanforderungen.
Die fünf neuen Controls und die Dokumente dahinter
Das Kernstück des Umstiegs sind fünf Controls, die in 5.1 so nicht existierten. Sie kreisen alle um dasselbe Thema: die Widerstandsfähigkeit gegen Ausfälle und den geordneten Umgang mit Vorfällen. Für jedes dieser Controls braucht das Assessment einen Nachweis, und für jedes lässt sich vorab benennen, welches Dokument oder welcher Prozess in Ihrer Ablage neu entstehen oder deutlich ausgebaut werden muss.
Inwieweit wird sichergestellt, dass nur evaluierte und zugelassene Software zur Verarbeitung der Informationswerte verwendet wird?
Software muss vor Installation und Nutzung bewertet und freigegeben werden, von Firmware und Betriebssystemen über Anwendungen bis zu Treibern und Bibliotheken. Der Genehmigungsprozess soll bewusst einfach gehalten sein, damit er im Alltag nicht umgangen wird.
Inwieweit werden gemeldete Sicherheitsereignisse verwaltet?
Der bisherige Vorfall-Control aus 5.1 wurde aufgeteilt: 1.6.1 deckt weiterhin die Meldung von Ereignissen ab, das neue 1.6.2 verlangt deren strukturierte Bearbeitung. Gemeldete Ereignisse müssen klassifiziert, einer verantwortlichen Person zugewiesen, fristgerecht bearbeitet und, wo nötig, an Behörden oder Vertragspartner gemeldet werden.
Inwieweit ist die Organisation darauf vorbereitet, Krisensituationen zu bewältigen?
Dieses Control tritt an die Stelle des alten 3.1.2 und ist deutlich anspruchsvoller. Gefordert sind ein benanntes Krisenmanagementteam mit klaren Rollen, Verfahren zur Erkennung und Eskalation von Krisen, definierte strategische Prioritäten sowie eine regelmäßige Überprüfung der Krisenplanung.
Inwieweit ist die Kontinuitätsplanung für IT-Dienste vorhanden?
Kritische IT-Dienste sind zu identifizieren und gegen Ausfallszenarien wie Ransomware, DDoS-Angriffe, Systemausfälle und Naturkatastrophen abzusichern. Gefordert sind Ausweichstrategien für Kommunikation, Speicherung und Stromversorgung, bis hin zum Rückfall auf manuellen Betrieb.
Inwieweit sind Backup und Wiederherstellung von Daten und IT-Diensten gewährleistet?
Für alle relevanten Systeme braucht es ein Backup-Konzept, das Vertraulichkeit, Integrität und Verfügbarkeit der Sicherungen schützt, und ein Wiederherstellungskonzept, das Abhängigkeiten und die Reihenfolge des Wiederanlaufs berücksichtigt. Entscheidend ist, dass Backups regelmäßig durchgeführt und ebenso regelmäßig getestet werden.
Auffällig ist, dass vier der fünf Controls auf das neue Schutzziel Verfügbarkeit einzahlen. Wer in 5.1 vor allem Vertraulichkeit dokumentiert hat, findet hier die größte Lücke. Die Anforderungen ähneln stark dem, was die ISO/IEC 27001:2022 in ihren Controls zum Vorfall- und Kontinuitätsmanagement verlangt; ein nach der 2022er-Fassung gepflegtes Managementsystem deckt vieles bereits ab.
Verfügbarkeit zieht die Produktionstechnik in den Prüfumfang
Für Unternehmen mit eigener Fertigung reicht das Verfügbarkeits-Label über die klassische IT hinaus. Es bezieht die Betriebstechnik ein, also die Operational Technology mit ihren Steuerungs- und Automatisierungssystemen. Diese Systeme folgen anderen Regeln als Büro-IT: lange Laufzeiten, oft veraltete Betriebssysteme, Patches nur mit Vorsicht. Für die methodische Grundlage hat sich die ISA-Arbeitsgruppe an der Normenreihe IEC 62443 orientiert, dem Standard für industrielle Automatisierungssysteme.
Zusätzlicher Dokumentationsbedarf bei Fertigung
Wer das Verfügbarkeits-Label anstrebt und produziert, muss die OT-Systeme künftig ähnlich systematisch behandeln wie die IT: mit einem OT-Asset-Verzeichnis und Risikoanalyse, geregelten Zugängen für Wartungsdienstleister, einer Netzwerksegmentierung zwischen IT und OT, Sicherungs- und Wiederherstellungsplänen sowie regelmäßigen technischen Audits und Härtungsnachweisen. Für viele Betriebe ist das ein neues Kapitel der Dokumentation, das in der 5.1-Ablage gar nicht angelegt war.
Was sich an bestehenden Dokumenten ändert
Neben den neuen Controls lohnt der genaue Blick auf Anforderungen, die zwar bestehen bleiben, aber in der Umsetzung anders ausfallen. Hier wird in der Praxis am leichtesten übersehen, dass die vorhandene Dokumentation nicht mehr genügt.
| Bereich | Was an der Dokumentation anzupassen ist |
|---|---|
| ISMS-Überprüfung (1.5.2) | Die Pflicht zur Überprüfung des Managementsystems wurde auf wesentliche Änderungen eingegrenzt. Die Formulierung im eigenen Verfahren sollte entsprechend nachgezogen werden, sonst dokumentieren Sie mehr, als gefordert ist. |
| Prüfung von IT-Diensten (5.2.6) | Der Anwendungsbereich wurde von IT-Systemen auf IT-Dienste erweitert. Vorhandene Prüf- und Überwachungsnachweise müssen Dienste mit abdecken, nicht nur Systeme. |
| Modul Datenschutz | Der ergänzende Datenschutzkatalog wurde vollständig überarbeitet. Wer das Datenschutz-Prüfziel mitführt, sollte den bestehenden Teil komplett gegen die neue Fassung abgleichen statt ihn fortzuschreiben. |
| Schutzziel-Kennzeichnung (C/I/A) | Anforderungen tragen nun Kürzel für die Schutzziele, auf die sie einzahlen: C für Vertraulichkeit, I für Integrität, A für Verfügbarkeit. So ist je Anforderung erkennbar, ob sie für Ihr gewähltes Label überhaupt gilt. |
| Normverweise | Version 6 verweist auf ISO/IEC 27001:2022, IEC 62443-2 und das NIST Cybersecurity Framework; die Verweise auf die alte ISA-Version 4 sind entfallen. Mappings in Ihrer Dokumentation, die noch auf die 2013er-ISO oder ISA 4 zeigen, sind zu aktualisieren. |
Der Fahrplan für das Re-Assessment
Der Umstieg lässt sich in fünf Schritten ordnen. Wer früh beginnt, vermeidet den häufigsten Fehler, nämlich von der bestehenden 5.1-Konformität auf die Erfüllung der Version 6 zu schließen, ohne die Lücken systematisch zu erheben.
-
1
Katalog sichten und Scope festlegen
Die Änderungen der Version 6 durcharbeiten und festlegen, welche Label und Prüfziele für Ihre Rolle in der Lieferkette gelten. Nicht jedes Prüfziel ist für jedes Label relevant.
-
2
Gap-Analyse gegen den neuen Katalog
Für jedes relevante Control den heutigen Reifegrad ehrlich bewerten und die Nachweise sammeln, also Dokumente, Prozessbeschreibungen, Protokolle. Controls unterhalb des geforderten Reifegrads als Lücke markieren.
-
3
Neue Dokumente erstellen, OT einbeziehen
Die fehlenden Konzepte zu den fünf neuen Controls aufsetzen und, falls das Verfügbarkeits-Label angestrebt wird, die Betriebstechnik in das Managementsystem aufnehmen.
-
4
Internes Audit vor dem Prüftermin
Eine nicht an der Umsetzung beteiligte Person prüft die Wirksamkeit, bevor der Prüfdienstleister kommt. So fallen Lücken intern auf und nicht erst im Assessment.
-
5
Assessment durch den Prüfdienstleister
Das eigentliche Assessment führt ein von der ENX zugelassener Prüfdienstleister durch. Der Zugang läuft über eine Registrierung im ENX-Portal.
Zum Reifegrad ein praktischer Hinweis: TISAX bewertet jede Anforderung auf einer Skala, und für den Umgang mit hohem Schutzbedarf sind die untersten Stufen nicht akzeptabel. Es genügt also nicht, im Durchschnitt ein solides Niveau zu erreichen; einzelne stark unterentwickelte Controls, besonders bei Prototypenschutz und Datenschutz, können das Ergebnis gefährden. Gerade die fünf neuen Controls starten in einer 5.1-Dokumentation faktisch bei null und brauchen deshalb die meiste Aufmerksamkeit.
Unsere Empfehlung: Behandeln Sie das Re-Assessment nicht als Verlängerung, sondern als gezielten Ausbau. Ihr 5.1-Grundgerüst bleibt, doch die fünf neuen Controls rund um Vorfälle, Krisen, IT-Kontinuität und Backup sowie das Verfügbarkeits-Label mit OT-Bezug verlangen neue Dokumente und Nachweise. Wir gleichen Ihre bestehende Dokumentation in einer Gap-Analyse gegen den Katalog der Version 6 ab, erstellen mit Ihnen die fehlenden Konzepte, beziehen die Betriebstechnik ein und führen vor dem Prüftermin ein internes Audit durch, auf Wunsch als externer Informationssicherheitsbeauftragter. Das Assessment selbst führt ein von der ENX zugelassener Prüfdienstleister durch, nicht wir; Beratung und Prüfung bleiben getrennt. Die Verantwortung für Ihr Managementsystem bleibt bei Ihnen.
Häufige Fragen
Müssen wir sofort neu zertifizieren, weil Version 6 gilt?
Nein. Ihr bestehendes Label nach Version 5.1 bleibt bis zum regulären Ablauf gültig, üblicherweise drei Jahre ab Erteilung. Erst das nächste turnusmäßige Re-Assessment wird nach Version 6 durchgeführt. Es gibt keinen Grund und keine Pflicht zur vorzeitigen Neuprüfung.
Können wir unsere 5.1-Dokumentation weiterverwenden?
Zum großen Teil ja. Der Katalog wurde nicht neu geordnet, das Grundgerüst Ihres Managementsystems bleibt bestehen. Anzupassen sind vor allem drei Dinge: die fünf neuen Controls, die neue Dokumente erfordern; einige bestehende Anforderungen, deren Umsetzung sich geändert hat; und beim Verfügbarkeits-Label die Betriebstechnik. Eine Gap-Analyse zeigt, was konkret fehlt.
Welche Dokumente fehlen uns nach einem 5.1-Assessment typischerweise?
Am häufigsten ein dokumentierter Software-Freigabeprozess (1.3.4), ein ausgearbeiteter Incident-Response-Prozess (1.6.2), ein vollwertiger Krisenmanagement-Plan (1.6.3, der das alte 3.1.2 ablöst), ein IT-Service-Kontinuitätskonzept (5.2.8) und ein Backup- und Wiederherstellungskonzept mit dokumentierten Restore-Tests (5.2.9). Bei eigener Fertigung kommt die gesamte OT-Dokumentation hinzu.
Was bedeutet das neue Verfügbarkeits-Label für uns?
Es prüft, ob Sie unter Störungen lieferfähig bleiben. Für reine Dienstleister ohne Produktion betrifft das vor allem die IT-Kontinuität und das Backup. Für produzierende Unternehmen kommt die Betriebstechnik hinzu, die nach dem Vorbild der IEC 62443 zu managen ist. Ob Sie das Label überhaupt brauchen, hängt von Ihrer Rolle in der Lieferkette und den Anforderungen Ihrer Auftraggeber ab.
Hilft uns unsere ISO-27001-Zertifizierung beim Umstieg?
Ja, besonders wenn sie nach der Fassung von 2022 gepflegt wird. Die fünf neuen Controls entsprechen weitgehend dem, was die ISO/IEC 27001 in ihren Controls zum Vorfall- und Kontinuitätsmanagement verlangt. Vieles davon ist dann bereits dokumentiert und muss nur auf die TISAX-Systematik übertragen werden. TISAX verlangt aber eine eigene, teils detailliertere Umsetzung.
Wie lange dauert der Umstieg, und wann sollten wir beginnen?
Das hängt vom Umfang der Lücken ab, vor allem davon, ob das Verfügbarkeits-Label und damit die OT hinzukommen. Da das Re-Assessment ohnehin mit dem Ablauf Ihres Labels zusammenfällt, ist der sinnvolle Startpunkt einige Monate davor: genug Zeit für Gap-Analyse, das Erstellen der fehlenden Konzepte und ein internes Audit, bevor der Prüfdienstleister kommt.
Einordnung
Für ein Unternehmen mit bestehendem 5.1-Zertifikat ist der Umstieg auf Version 6 kein Neuanfang, aber auch keine Formsache. Das Grundgerüst trägt weiter, doch die Verschiebung hin zur Verfügbarkeit, die fünf neuen Controls und der Einbezug der Betriebstechnik schaffen einen konkreten, gut planbaren Arbeitsumfang. Wer ihn früh und mit einer ehrlichen Gap-Analyse angeht, geht ohne Überraschungen in das Re-Assessment und kann die zusätzliche Arbeit zugleich nutzen, um die eigene Widerstandsfähigkeit tatsächlich zu erhöhen, nicht nur das Zertifikat zu erneuern.
