Por ocasião dos dez anos de existência do TISAX, a ENX Association publicou em 1º de julho de 2026 o novo catálogo de avaliação VDA ISA2027. Ele vale de forma vinculante para todas as avaliações TISAX solicitadas a partir de 1º de janeiro de 2027. Para fornecedores da indústria automotiva – e deles há especialmente muitos na Renânia do Norte-Vestfália (NRW), com suas regiões de ferramentaria, plásticos e tecnologia de fechaduras – coloca-se, com isso, uma pergunta bem concreta: quando solicito minha próxima avaliação e para qual catálogo me preparo?
A resposta curta de antemão: não há motivo para pressa, mas há bons motivos para uma decisão de timing consciente ainda neste ano.
Brevemente enquadrado: o que o TISAX exige – e o que não
O TISAX é o mecanismo de avaliação e intercâmbio da indústria automotiva para segurança da informação. A base é o catálogo VDA ISA, que se orienta em termos de conteúdo pela ISO/IEC 27001. Duas delimitações são importantes:
- Um label TISAX não é um certificado ISO 27001 – e, ao contrário, um certificado ISO não substitui um label TISAX.
- O TISAX não é uma obrigação legal. A exigência vem contratualmente das OEMs e dos grandes clientes Tier-1, que exigem de seus fornecedores um label válido.
O procedimento é padronizado: registro junto à ENX Association, autoavaliação com base no catálogo ISA, avaliação por um prestador de avaliação homologado pela ENX e, em seguida, intercâmbio do resultado por meio da plataforma ENX. Para o registro incide uma taxa única da ENX de 405 euros líquidos por local e escopo de avaliação, com descontos para empresas com muitos locais. Os custos da avaliação propriamente dita somam-se a isso e dependem do escopo da avaliação.
Quanto às profundidades de avaliação, vale: o Assessment-Level AL2 (avaliação à distância) cobre necessidades de proteção como “alta” ou “confidencial” e alta disponibilidade, o AL3 (avaliação no local) os níveis “muito alta” ou “estritamente confidencial”. Uma autoavaliação pura (AL1) não conduz a nenhum label.
A nova lógica de versões: número do ano em vez de número de versão
Com o ISA2027, a ENX passa a uma versionamento baseado no ano, com releases anuais. A regra de transição é claramente definida:
- Avaliações solicitadas até 31 de dezembro de 2026 seguem ainda segundo o VDA ISA 6 (atualmente na revisão 6.0.3) – o catálogo que é vinculante para todas as avaliações solicitadas desde 1º de abril de 2024.
- Avaliações solicitadas a partir de 1º de janeiro de 2027 seguem segundo o ISA2027.
- Avaliações de follow-up e ampliações de escopo permanecem na versão da avaliação original.
Importante para a segurança de planejamento: um resultado TISAX permanece válido por três anos, e os releases anuais do catálogo nada mudam nisso – ninguém precisará futuramente avaliar-se com mais frequência apenas porque anualmente surge um novo catálogo. A nova versão só entra em vigor na próxima avaliação solicitada regularmente.
O que muda em termos de conteúdo com o ISA2027
Três blocos de mudança se destacam:
- Cadeia de fornecimento: os requisitos para a gestão dos próprios subfornecedores são reforçados. Espera-se documentar e monitorar a compliance de segurança da informação dos fornecedores – entre outros, por meio da comprovação de labels TISAX. Quem até agora só tem uma cláusula de confidencialidade no contrato de compras terá de fazer complementações aqui.
- Proteção de protótipos: o bloco temático é reestruturado e dividido em dois domínios.
- Mappings: o ISA2027 traz consigo mapeamentos para o NIST CSF 2.0 e a ISO/IEC 27001:2022 – úteis para todos que mantêm o TISAX e uma certificação ISO em paralelo e querem evitar trabalho duplicado.
O consagrado modelo de nível de maturidade é preservado nisso. Quem hoje está solidamente posicionado no ISA 6 não começa, portanto, do zero – mas precisa, em especial, espelhar honestamente o bloco de gestão de fornecedores contra as novas expectativas.
A questão do timing: solicitar em 2026 ou preparar-se para 2027?
Para fornecedores cujo label expira em 2027 ou cujo cliente OEM exige um label pela primeira vez, resultam duas estratégias sensatas:
Variante A: solicitar a avaliação ainda em 2026
Quem solicita sua avaliação até o final de 2026 será avaliado segundo o ISA 6.0.3 – terreno conhecido, autoavaliação já rodada, resultado calculável. O resultado subsequente é válido por três anos. Esta variante se recomenda quando o label de qualquer forma precisará ser renovado em um prazo previsível e a organização está bem preparada no catálogo atual.
Variante B: preparar-se de forma direcionada para o ISA2027
Quem só se avaliará mais tarde ou de qualquer forma precisa fechar lacunas deveria conduzir a análise de lacunas diretamente contra o ISA2027 – com foco na gestão de fornecedores: quais subfornecedores processam informações dignas de proteção? Como é documentada e monitorada a compliance deles? Existem labels TISAX dos parceiros relevantes? Essas perguntas precisam de antecedência, porque as respostas dependem de terceiros.
Em ambos os casos vale: comece com a análise de lacunas antes que chegue a carta do cliente OEM com fixação de prazo. Um projeto TISAX sob pressão de prazo de um cliente é mais caro em nervos do que o mesmo projeto com um cronograma escolhido por si próprio.
Nota à margem: TISAX e NIS-2
Para fornecedores que adicionalmente estão sujeitos à NIS-2, vale a pena um olhar sobre o documento da ENX “Fulfillment of NIS2 through TISAX” de 29 de junho de 2025. Ele descreve como as comprovações TISAX e os requisitos da NIS-2 se relacionam entre si – um ponto de partida útil para agrupar ambos os temas em uma estratégia de segurança comum, em vez de conduzir dois projetos de compliance separados.
Conclusão
O ISA2027 não é uma ruptura, mas uma evolução planejável com data-chave clara: determinante é a data de solicitação da avaliação, não a data da avaliação. O trabalho propriamente dito reside, para a maioria dos fornecedores, no novo peso da gestão de fornecedores. Quem toma agora, de forma consciente, a decisão de timing – ISA 6 ainda em 2026 ou preparação direcionada para o ISA2027 – transforma uma exigência de cliente em um projeto ordenado com cronograma próprio.
Como a sector7 apoia
Como empresa de gestão própria, acompanhamos fornecedores da NRW da análise de lacunas, passando pela autoavaliação, até a preparação para a avaliação – com consultoria de compliance em TISAX, ISO 27001, NIS-2 e DORA de uma só fonte. As medidas técnicas por trás disso implementamos nós mesmos: da engenharia certificada de rede e segurança (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), passando pelo monitoramento 24/7 do NOC, até a prática de backup Veeam vivenciada. Se desejado, por uma mensalidade fixa previsível, para que a preparação para o TISAX permaneça orçável.
Este artigo é um enquadramento técnico e não substitui aconselhamento jurídico no caso concreto.