Zum zehnjährigen Bestehen von TISAX hat die ENX Association am 1. Juli 2026 den neuen Prüfkatalog VDA ISA2027 veröffentlicht. Er gilt verbindlich für alle TISAX-Prüfungen, die ab dem 1. Januar 2027 bestellt werden. Für Automobilzulieferer – und davon gibt es in NRW mit seinen Werkzeug-, Kunststoff- und Schließtechnik-Regionen besonders viele – stellt sich damit eine sehr konkrete Frage: Wann bestelle ich meine nächste Prüfung, und gegen welchen Katalog bereite ich mich vor?
Die kurze Antwort vorweg: Es gibt keinen Grund zur Hektik, aber gute Gründe für eine bewusste Timing-Entscheidung noch in diesem Jahr.
Kurz eingeordnet: Was TISAX verlangt – und was nicht
TISAX ist der Prüf- und Austauschmechanismus der Automobilindustrie für Informationssicherheit. Grundlage ist der VDA-ISA-Katalog, der sich inhaltlich an ISO/IEC 27001 orientiert. Zwei Abgrenzungen sind wichtig:
- Ein TISAX-Label ist kein ISO-27001-Zertifikat – und umgekehrt ersetzt ein ISO-Zertifikat kein TISAX-Label.
- TISAX ist keine gesetzliche Pflicht. Die Anforderung kommt vertraglich von den OEMs und großen Tier-1-Kunden, die von ihren Lieferanten ein gültiges Label verlangen.
Der Ablauf ist standardisiert: Registrierung bei der ENX Association, Selbstbewertung anhand des ISA-Katalogs, Prüfung durch einen ENX-zugelassenen Prüfdienstleister, anschließend Austausch des Ergebnisses über die ENX-Plattform. Für die Registrierung fällt eine einmalige ENX-Gebühr von 405 Euro netto pro Standort und Prüfumfang an, mit Rabatten für Unternehmen mit vielen Standorten. Die Kosten der eigentlichen Prüfung kommen hinzu und hängen vom Prüfumfang ab.
Bei den Prüftiefen gilt: Assessment-Level AL2 (Prüfung aus der Ferne) deckt Schutzbedarfe wie „hoch“ bzw. „vertraulich“ und hohe Verfügbarkeit ab, AL3 (Prüfung vor Ort) die Stufen „sehr hoch“ bzw. „streng vertraulich“. Eine reine Selbstbewertung (AL1) führt zu keinem Label.
Die neue Versionslogik: Jahreszahl statt Versionsnummer
Mit ISA2027 stellt die ENX auf eine jahresbasierte Versionierung mit jährlichen Releases um. Die Übergangsregel ist klar geschnitten:
- Prüfungen, die bis zum 31. Dezember 2026 bestellt werden, laufen weiterhin nach VDA ISA 6 (aktuell in Revision 6.0.3) – dem Katalog, der für alle seit dem 1. April 2024 bestellten Prüfungen verbindlich ist.
- Prüfungen, die ab dem 1. Januar 2027 bestellt werden, laufen nach ISA2027.
- Follow-up-Prüfungen und Scope-Erweiterungen bleiben auf der Version der ursprünglichen Prüfung.
Wichtig für die Planungssicherheit: Ein TISAX-Ergebnis bleibt drei Jahre gültig, und die jährlichen Katalog-Releases ändern daran nichts – niemand muss künftig häufiger zur Prüfung, nur weil jährlich ein neuer Katalog erscheint. Die neue Version greift erst bei der nächsten regulär bestellten Prüfung.
Was sich mit ISA2027 inhaltlich ändert
Drei Änderungsblöcke stechen heraus:
- Lieferkette: Die Anforderungen an das Management der eigenen Unterlieferanten werden gestärkt. Erwartet wird, die Informationssicherheits-Compliance der Lieferanten zu dokumentieren und zu überwachen – unter anderem durch den Nachweis über TISAX-Labels. Wer bislang nur eine Vertraulichkeitsklausel im Einkaufsvertrag hat, wird hier nacharbeiten müssen.
- Prototypenschutz: Der Themenblock wird neu strukturiert und in zwei Domänen aufgeteilt.
- Mappings: ISA2027 bringt Zuordnungen zu NIST CSF 2.0 und ISO/IEC 27001:2022 mit – hilfreich für alle, die TISAX und eine ISO-Zertifizierung parallel pflegen und Doppelarbeit vermeiden wollen.
Das bewährte Reifegradmodell bleibt dabei erhalten. Wer heute solide auf ISA 6 aufgestellt ist, beginnt also nicht bei null – muss aber insbesondere den Block Lieferantensteuerung ehrlich gegen die neuen Erwartungen spiegeln.
Die Timing-Frage: bestellen in 2026 oder vorbereiten auf 2027?
Für Zulieferer, deren Label 2027 ausläuft oder deren OEM-Kunde erstmals ein Label verlangt, ergeben sich zwei sinnvolle Strategien:
Variante A: Prüfung noch 2026 bestellen
Wer seine Prüfung bis Ende 2026 bestellt, wird nach ISA 6.0.3 geprüft – bekanntes Terrain, eingespielte Selbstbewertung, kalkulierbares Ergebnis. Das anschließende Ergebnis ist drei Jahre gültig. Diese Variante bietet sich an, wenn das Label ohnehin in absehbarer Zeit erneuert werden muss und die Organisation auf dem aktuellen Katalog gut vorbereitet ist.
Variante B: Gezielt auf ISA2027 vorbereiten
Wer erst später prüfen lässt oder ohnehin Lücken schließen muss, sollte die Gap-Analyse direkt gegen ISA2027 fahren – mit Schwerpunkt auf der Lieferantensteuerung: Welche Unterlieferanten verarbeiten schutzbedürftige Informationen? Wie wird deren Compliance dokumentiert und überwacht? Liegen TISAX-Label der relevanten Partner vor? Diese Fragen brauchen Vorlauf, weil die Antworten von Dritten abhängen.
In beiden Fällen gilt: Beginnen Sie mit der Gap-Analyse, bevor der Brief des OEM-Kunden mit Fristsetzung eintrifft. Ein TISAX-Projekt unter Termindruck eines Kunden ist teurer an Nerven als dasselbe Projekt mit selbstgewähltem Zeitplan.
Randnotiz: TISAX und NIS-2
Für Zulieferer, die zusätzlich unter NIS-2 fallen, lohnt ein Blick auf das ENX-Papier „Fulfillment of NIS2 through TISAX“ vom 29. Juni 2025. Es beschreibt, wie sich TISAX-Nachweise und NIS-2-Anforderungen zueinander verhalten – ein nützlicher Ausgangspunkt, um beide Themen in einer gemeinsamen Sicherheitsstrategie zu bündeln, statt zwei getrennte Compliance-Projekte zu betreiben.
Fazit
ISA2027 ist kein Bruch, sondern eine planbare Weiterentwicklung mit klarem Stichtag: Maßgeblich ist das Bestelldatum der Prüfung, nicht das Prüfungsdatum. Die eigentliche Arbeit steckt für die meisten Zulieferer im neuen Gewicht der Lieferantensteuerung. Wer die Timing-Entscheidung – ISA 6 noch 2026 oder gezielte Vorbereitung auf ISA2027 – jetzt bewusst trifft, verwandelt eine Kundenanforderung in ein geordnetes Projekt mit eigenem Zeitplan.
Wie sector7 unterstützt
Als inhabergeführtes Haus begleiten wir Zulieferer aus NRW von der Gap-Analyse über die Selbstbewertung bis zur Prüfungsvorbereitung – mit Compliance-Beratung zu TISAX, ISO 27001, NIS-2 und DORA aus einer Hand. Die technischen Maßnahmen dahinter setzen wir selbst um: vom zertifizierten Netzwerk- und Security-Engineering (Cisco, Juniper, Fortinet, Palo Alto Networks, F5, HPE) über 24/7-NOC-Monitoring bis zur gelebten Veeam-Backup-Praxis. Auf Wunsch zu planbaren monatlichen Festpreisen, damit die TISAX-Vorbereitung budgetierbar bleibt.
Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.