Por ocasião dos dez anos de existência do TISAX, a ENX Association publicou a 1 de julho de 2026 o novo catálogo de avaliação VDA ISA2027. Aplica-se de forma vinculativa a todas as avaliações TISAX solicitadas a partir de 1 de janeiro de 2027. Para os fornecedores da indústria automóvel – e há especialmente muitos na Renânia do Norte-Vestefália (NRW), com as suas regiões de fabrico de ferramentas e moldes, plásticos e tecnologia de fechaduras – coloca-se, com isso, uma pergunta bem concreta: quando solicito a minha próxima avaliação e para que catálogo me preparo?
A resposta curta de antemão: não há motivo para pressa, mas há bons motivos para uma decisão consciente sobre o momento ainda este ano.
Breve enquadramento: o que o TISAX exige – e o que não exige
O TISAX é o mecanismo de avaliação e de intercâmbio da indústria automóvel para a segurança da informação. A base é o catálogo VDA ISA, que se orienta em termos de conteúdo pela ISO/IEC 27001. Duas delimitações são importantes:
- Um label TISAX não é um certificado ISO 27001 – e, inversamente, um certificado ISO não substitui um label TISAX.
- O TISAX não é uma obrigação legal. A exigência vem contratualmente dos OEM e dos grandes clientes Tier-1, que exigem dos seus fornecedores um label válido.
O procedimento é padronizado: registo junto da ENX Association, autoavaliação com base no catálogo ISA, avaliação por um prestador de avaliação homologado pela ENX e, em seguida, intercâmbio do resultado através da plataforma ENX. Pelo registo é cobrada uma taxa única da ENX de 405 euros líquidos por local e âmbito de avaliação, com descontos para empresas com muitos locais. Os custos da avaliação propriamente dita acrescem a isso e dependem do âmbito da avaliação.
Quanto às profundidades de avaliação: o Assessment-Level AL2 (avaliação à distância) cobre necessidades de proteção como «alta» ou «confidencial» e alta disponibilidade, o AL3 (avaliação no local) os níveis «muito alta» ou «estritamente confidencial». Uma autoavaliação pura (AL1) não conduz a nenhum label.
A nova lógica de versões: o ano em vez do número de versão
Com o ISA2027, a ENX passa a um versionamento baseado no ano, com releases anuais. A regra de transição está claramente definida:
- Avaliações solicitadas até 31 de dezembro de 2026 seguem ainda o VDA ISA 6 (atualmente na revisão 6.0.3) – o catálogo que é vinculativo para todas as avaliações solicitadas desde 1 de abril de 2024.
- Avaliações solicitadas a partir de 1 de janeiro de 2027 seguem o ISA2027.
- As avaliações de follow-up e as ampliações de âmbito permanecem na versão da avaliação original.
Importante para a segurança do planeamento: um resultado TISAX permanece válido durante três anos, e os releases anuais do catálogo nada mudam nisso – ninguém terá futuramente de se avaliar com mais frequência só porque surge anualmente um novo catálogo. A nova versão só entra em vigor na próxima avaliação solicitada regularmente.
O que muda em termos de conteúdo com o ISA2027
Destacam-se três blocos de mudança:
- Cadeia de fornecimento: os requisitos para a gestão dos próprios subfornecedores são reforçados. Espera-se documentar e monitorizar a compliance de segurança da informação dos fornecedores – entre outros, através da comprovação de labels TISAX. Quem até agora só tem uma cláusula de confidencialidade no contrato de compras terá de complementar aqui.
- Proteção de protótipos: o bloco temático é reestruturado e dividido em dois domínios.
- Mappings: o ISA2027 traz consigo mapeamentos para o NIST CSF 2.0 e a ISO/IEC 27001:2022 – úteis para todos os que mantêm o TISAX e uma certificação ISO em paralelo e querem evitar trabalho duplicado.
O comprovado modelo de níveis de maturidade mantém-se. Quem hoje está solidamente posicionado no ISA 6 não começa, portanto, do zero – mas tem, em especial, de confrontar honestamente o bloco de gestão de fornecedores com as novas expectativas.
A questão do momento: solicitar em 2026 ou preparar-se para 2027?
Para os fornecedores cujo label expira em 2027 ou cujo cliente OEM exige um label pela primeira vez, resultam duas estratégias sensatas:
Variante A: solicitar a avaliação ainda em 2026
Quem solicita a sua avaliação até ao final de 2026 será avaliado segundo o ISA 6.0.3 – terreno conhecido, autoavaliação já feita, resultado previsível. O resultado obtido é válido durante três anos. Esta variante recomenda-se quando o label terá de ser renovado, de qualquer forma, num prazo previsível e a organização está bem preparada no catálogo atual.
Variante B: preparar-se de forma direcionada para o ISA2027
Quem só se avaliará mais tarde ou tem, de qualquer forma, lacunas a fechar deveria conduzir a análise de lacunas diretamente face ao ISA2027 – com foco na gestão de fornecedores: que subfornecedores processam informações dignas de proteção? Como é documentada e monitorizada a sua compliance? Existem labels TISAX dos parceiros relevantes? Estas perguntas precisam de antecedência, porque as respostas dependem de terceiros.
Em ambos os casos: comece com a análise de lacunas antes que chegue a carta do cliente OEM com um prazo fixado. Um projeto TISAX sob a pressão de prazo de um cliente custa mais nervos do que o mesmo projeto com um calendário escolhido pela própria empresa.
Nota à margem: TISAX e NIS-2
Para os fornecedores que estão adicionalmente sujeitos à NIS-2, vale a pena olhar para o documento da ENX «Fulfillment of NIS2 through TISAX» de 29 de junho de 2025. Descreve como as comprovações TISAX e os requisitos da NIS-2 se relacionam entre si – um ponto de partida útil para agrupar ambos os temas numa estratégia de segurança comum, em vez de conduzir dois projetos de compliance separados.
Conclusão
O ISA2027 não é uma rutura, mas uma evolução planeável com uma data de referência clara: determinante é a data do pedido de avaliação, não a data da avaliação. O trabalho propriamente dito reside, para a maioria dos fornecedores, no novo peso da gestão de fornecedores. Quem toma agora, de forma consciente, a decisão sobre o momento – ISA 6 ainda em 2026 ou preparação direcionada para o ISA2027 – transforma uma exigência de cliente num projeto ordenado com calendário próprio.
Como a sector7 apoia
Como empresa gerida pelo proprietário, acompanhamos fornecedores da NRW desde a análise de lacunas, passando pela autoavaliação, até à preparação para a avaliação – com consultoria de compliance em TISAX, ISO 27001, NIS-2 e DORA num só fornecedor. As medidas técnicas por trás disso implementamo-las nós próprios: da engenharia certificada de rede e segurança (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), passando pela monitorização 24/7 do NOC, até à prática de backup Veeam com experiência real. Se desejado, por uma mensalidade fixa previsível, para que a preparação para o TISAX se mantenha orçamentável.
Este artigo é um enquadramento técnico e não substitui aconselhamento jurídico no caso concreto.