Mit der Veröffentlichung des VDA ISA2027 (Verband der Automobilindustrie, Information Security Assessment, 2027) wurde der nächste Entwicklungsschritt des TISAX®-Standards eingeläutet. Neben einem neuen Versionsmodell bringt der überarbeitete Fragenkatalog zahlreiche inhaltliche Anpassungen mit sich, die insbesondere das Lieferantenmanagement, die Verständlichkeit der Anforderungen sowie die Bewertung von Informationssicherheitsmaßnahmen betreffen. Die Änderungen gelten für alle TISAX-Assessments, die ab dem 1. Januar 2027 beauftragt werden. Für Unternehmen bedeutet dies: Wer sich bereits heute mit den Neuerungen auseinandersetzt, kann notwendige Anpassungen frühzeitig planen und die nächste TISAX-Prüfung effizient vorbereiten.
Neues Versionsmodell schafft mehr Transparenz
Eine der sichtbarsten Änderungen betrifft die Versionierung des ISA-Fragenkatalogs. Während bislang fortlaufende Versionsnummern, z. B. ISA 6.0.2, verwendet wurden, orientiert sich die Bezeichnung künftig am Jahr der verpflichtenden Anwendung.
- VDA ISA2027 gilt für Assessments ab dem 01.01.2027
- VDA ISA2028 wird im Sommer 2027 veröffentlicht und ab 2028 verpflichtend
- Zukünftige Versionen folgen diesem jährlichen Veröffentlichungsrhythmus
Wichtig ist dabei: Die Gültigkeit bestehender TISAX-Labels bleibt unverändert bei bis zu drei Jahren. Unternehmen müssen daher nicht jährlich ein neues Assessment durchführen. Vielmehr ermöglicht der neue Veröffentlichungszyklus kleinere und besser planbare Weiterentwicklungen des Katalogs.
Aktualisierte Referenzen auf internationale Standards
Auch die Referenzen auf internationale Standards wurden überarbeitet. ISA2027 berücksichtigt unter anderem: NIST Cybersecurity Framework 2.0, ISO/IEC 27001:2022, ISA/IEC 62443. Gleichzeitig wurden veraltete Referenzen auf ISO/IEC 27001:2013 entfernt. Dadurch bleibt der ISA-Fragenkatalog auf dem aktuellen Stand international anerkannter Informationssicherheitsstandards.
Höhere Klarheit bei den Anforderungen
Ein Schwerpunkt der neuen Version liegt auf einer einheitlicheren Interpretation der Anforderungen. Insbesondere die häufig verwendete Formulierung „The following aspects are considered“ wurde präzisiert. Künftig ist eindeutig festgelegt, dass Unternehmen zu jedem aufgeführten Aspekt eine nachvollziehbare Entscheidung treffen und diese im Assessment erläutern können müssen. Damit verringert der neue Fragenkatalog unterschiedliche Interpretationen zwischen Unternehmen und Prüfdienstleistern. Zusätzlich schärft er verschiedene Definitionen und präzisiert Begriffe. Auch die Rolle von Führungskräften innerhalb von Awareness- und Schulungsmaßnahmen wird deutlicher hervorgehoben.
Lieferkettensicherheit rückt stärker in den Fokus
Ein wesentlicher Schwerpunkt des VDA ISA2027 liegt auf der Informationssicherheit innerhalb der Lieferkette. Unternehmen mit erhöhtem Schutzbedarf müssen künftig umfangreicher dokumentieren und nachweisen, wie sie Sicherheitsanforderungen an Lieferanten weitergeben, deren Umsetzung überprüfen und wie sie Veränderungen innerhalb der Lieferkette bewerten.
Für besonders schutzbedürftige Informationen steigen zudem die Anforderungen an den Nachweis eines angemessenen Sicherheitsniveaus von Lieferanten. Hier werden beispielsweise TISAX-Labels, gleichwertige Assessments oder Lieferantenaudits als geeignete Nachweise genannt. So trägt ISA2027 der zunehmenden Bedrohungslage in globalen Lieferketten Rechnung und stärkt die Resilienz der gesamten automobilen Wertschöpfungskette.
Umfangreiche Überarbeitung des Prototypenschutzes
Auch das Modul Prototype Protection (PTS) wurde grundlegend überarbeitet. Die bisherige Struktur wurde vereinfacht und auf zwei zentrale Bereiche reduziert, in „Organisatorische Anforderungen“ und „Physische und umgebungsbezogene Sicherheit“. Zusätzlich wurden neue Anforderungen aufgenommen, beispielsweise zur vollständigen Nachverfolgbarkeit von Fahrzeugen und Komponenten über ihren gesamten Lebenszyklus sowie zur ordnungsgemäßen Rückgabe oder Entsorgung schutzbedürftiger Prototypen.
Was Unternehmen jetzt tun sollten
Mit ISA2027 entwickelt sich TISAX konsequent weiter. Das neue Versionsmodell sorgt für mehr Transparenz und Planbarkeit, während die inhaltlichen Anpassungen insbesondere die Lieferkettensicherheit, Nachvollziehbarkeit und Klarheit der Anforderungen stärken. Für Unternehmen bietet sich jetzt die Chance, die neuen Anforderungen frühzeitig in das bestehende Informationssicherheitsmanagement zu integrieren und die Weichen für kommende TISAX-Assessments zu stellen.
Auch wenn ISA2027 erst für Assessments ab Januar 2027 verbindlich wird, empfiehlt sich eine frühzeitige Vorbereitung. Sinnvolle Maßnahmen sind unter anderem:
- Durchführung einer GAP-Analyse zwischen ISA 6.0.2 und ISA2027
- Überprüfung bestehender Richtlinien und Prozesse
- Aktualisierung des Lieferantenmanagements
- Anpassung von Schulungs- und Awareness-Konzepten
- Vorbereitung der Nachweisführung für zukünftige Assessments
Eine rechtzeitige Analyse reduziert den späteren Umsetzungsaufwand erheblich und verhindert Überraschungen im nächsten Assessment
Security Assist unterstützt Sie
Wir begleiten Unternehmen bei der Vorbereitung auf TISAX-Assessments, von der GAP-Analyse über die Umsetzung der Anforderungen bis hin zur erfolgreichen Auditvorbereitung. Möchten Sie wissen, welche Auswirkungen VDA ISA2027 auf Ihr Unternehmen hat? Sprechen Sie uns an – wir unterstützen Sie dabei, Ihr Informationssicherheitsmanagement effizient und zukunftssicher auf die neuen Anforderungen auszurichten.
Marco Küsel ist Consultant bei Security Assist und berät als zertifizierter Data Protection Officer (SIHK), Information Security Officer (TÜV) sowie Information Security Officer TISAX (TÜV) unsere Mandanten zum Datenschutz, zur Informationssicherheit und der Digitalisierung ihrer Geschäftsprozesse.