TISAX für Zulieferer: Was die Prüfung verlangt — und warum es keine Zertifizierung ist

TISAX ist keine Zertifizierung. Die ENX Association nennt es einen Prüf- und Austauschmechanismus für Informationssicherheit: Sie lassen sich einmal nach dem Katalog VDA ISA prüfen und geben das Ergebnis anschließend gezielt an Ihre Auftraggeber frei. Wer besteht, erhält Labels im ENX-Portal — ein Zertifikat zum Aufhängen stellt ENX ausdrücklich nicht aus. Die Anforderung ist vertraglich, nicht gesetzlich (Stand: 5. September 2026).

Stand am 5. September 2026. Maßgeblich ist das TISAX-Teilnehmerhandbuch in Version 2.8. Prüfgrundlage für heute beauftragte Assessments ist der VDA ISA 6 in der Fassung 6.0.3. Der Nachfolgekatalog ISA2027 ist seit dem 1. Juli 2026 veröffentlicht und gilt „to all TISAX Assessments ordered from January 1st, 2027 onwards"; ein Initial-Assessment nach ISA 6 lässt sich laut ENX letztmals im März 2027 eröffnen. Wer sein Assessment für 2027 plant, plant es also bereits gegen den neuen Katalog. (Quellen: ENX — VDA ISA2027 Released und ENX Downloads, beide abgerufen am 5. September 2026 — öffnen in einem neuen Tab.)

Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Maßgeblich sind allein die jeweils geltenden Unterlagen der ENX Association, die Anforderungen Ihres Auftraggebers und der Vertrag mit Ihrem Prüfdienstleister. Alle Angaben ohne Gewähr, Stand: 5. September 2026.

1. Warum es keine TISAX-Zertifizierung gibt

Fast jeder, der zum ersten Mal mit dem Thema zu tun hat, sucht nach „TISAX-Zertifizierung". Der Begriff hat allein in Deutschland ein monatliches Suchvolumen im vierstelligen Bereich, er steht in Angeboten, in Lieferantenfragebögen und in den Ergebnissen, die Google oben ausspielt. Er ist trotzdem falsch — und das ist keine Wortklauberei, sondern hat praktische Folgen.

Die ENX Association, die TISAX betreibt, beschreibt es auf ihrer deutschen Seite so: „TISAX ist ein Prüf- und Austauschmechanismus für die Informationssicherheit von Unternehmen und ermöglicht eine gemeinsame Anerkennung von Prüfergebnissen zwischen den Teilnehmern." Kein Wort von Zertifizierung. Deutlicher wird das Teilnehmerhandbuch, das die Frage vorwegnimmt: Falls Sie sich fragen, ob es ein Zertifikat gibt, das Sie sich an die Wand hängen können — wegen des standardisierten Austauschprozesses stelle ENX ein solches Zertifikat nicht bereit. Im englischen Original: „we don't provide such a certificate".

Der Grund dafür steckt im Wort „Exchange". TISAX ist als Austauschsystem gebaut, nicht als Nachweisurkunde. Ihr Prüfergebnis liegt im ENX-Portal, und es bewegt sich erst dann, wenn Sie es bewegen: Der Austausch erfolgt laut ENX „erst nach ausdrücklicher Freigabe der Ergebnisse durch das geprüfte Unternehmen für ein anfragendes Unternehmen". Ein Zertifikat, das man herumzeigt, würde diese Logik unterlaufen. Konsequent verbietet ENX auch die öffentliche Werbung mit dem Ergebnis: Über das Prüfergebnis dürfen Sie nicht öffentlich schreiben, erwähnen dürfen Sie lediglich Ihre Bemühungen um TISAX.

Praktisch heißt das dreierlei. Erstens: Wenn ein Kunde ein „TISAX-Zertifikat" per E-Mail anfordert, geht das nicht — er muss sich als Teilnehmer registrieren und Sie geben ihm das Ergebnis im Portal frei. Zweitens: Ein Anbieter, der Ihnen eine „TISAX-Zertifizierung" verkauft, benutzt zumindest die falschen Begriffe. Drittens: Auf Ihre Website gehört das Ergebnis nicht. Die folgende Übersicht ordnet die gängigen Formulierungen.

Ein Wort zur Fairness: In Ausschreibungen und Lieferantenportalen steht regelmäßig „Zertifizierung". Wer dort etwas ausfüllt, muss das nicht korrigieren. Für die eigene Planung lohnt der genaue Begriff trotzdem — er sagt Ihnen, dass Sie kein Dokument einkaufen, sondern ein geprüftes Managementsystem aufbauen und dessen Ergebnis anschließend selbst verwalten.

2. Wer TISAX braucht — und warum es kein Gesetz verlangt

Der TISAX-Prozess beginnt laut Handbuch in aller Regel damit, dass einer Ihrer Partner den Nachweis eines definierten Niveaus an Informationssicherheit verlangt. Das ist die ganze Mechanik: TISAX ist eine Anforderung Ihrer Auftraggeber, keine gesetzliche Pflicht. ENX sagt das an anderer Stelle noch direkter — ISA und TISAX seien nicht darauf ausgelegt, die Einhaltung von Gesetzen oder Vorschriften unmittelbar durchzusetzen; sie sollen Organisationen helfen, ihre regulatorischen Anforderungen mit weniger Aufwand zu erfüllen.

Betroffen sind deshalb nicht Sektoren, sondern Vertragsbeziehungen. In der Praxis trifft es Zulieferer und Dienstleister, die für Hersteller oder größere Zulieferer arbeiten: Fertigungsbetriebe mit Konstruktionsdaten, Ingenieurbüros, Werkzeugbauer, Logistiker, aber auch Werbeagenturen mit Bildmaterial unveröffentlichter Modelle und IT-Dienstleister mit Systemzugang. Ob Sie TISAX brauchen, steht nicht im Gesetz, sondern in der Anfrage Ihres Kunden — und dort meist auch, welches Prüfziel gefordert ist.

Diese Unterscheidung ist wichtig genug, um sie neben die gesetzliche Seite zu stellen. Über die NIS2-Pflichten und die Frage, welche Unternehmen überhaupt in den Anwendungsbereich fallen, haben wir gesondert geschrieben; hier steht nur, worin sich beide Anforderungen strukturell unterscheiden. Wer beides gleichzeitig auf dem Tisch hat, sollte wissen: Die inhaltliche Überschneidung ist erheblich — ENX veröffentlicht dazu sogar eine eigene Analyse mit dem Titel „Fulfillment NIS2 through TISAX" —, aber das eine ersetzt das andere nicht.

Für die Planung ergibt sich daraus eine unbequeme Konsequenz: Weil TISAX vertraglich ist, gibt es keine gesetzliche Frist, auf die Sie sich stützen könnten. Es gibt nur den Termin, zu dem Ihr Kunde den Nachweis sehen will — und der ist oft der Nominierungstermin für einen Auftrag. Wer erst dann anfängt, hat das Problem, dass sich das Assessment zwar beauftragen lässt, die Vorarbeit im eigenen Haus aber Monate braucht. Genau darum geht es in Abschnitt 8.

3. Was geprüft wird: der VDA ISA und seine drei Module

Geprüft wird nicht gegen TISAX, sondern gegen den VDA ISA — das Information Security Assessment. ENX beschreibt ihn als Anforderungskatalog zur Informationssicherheit, „der sich auf wesentliche Aspekte der internationalen Norm ISO/IEC 27001 stützt". Wichtig für die Einordnung: Der Katalog war das einmal, ist es aber längst nicht mehr nur. Mit Version 5, so ENX, habe er sich zu einem eigenständigen Branchenstandard entwickelt und sei nicht mehr bloß eine branchenspezifische Auslegung bestehender Rahmenwerke.

Der Katalog besteht aus drei Kriterienkatalogen, die ENX auch Module nennt. Welche für Sie gelten, hängt allein vom Prüfziel ab, das Ihr Kunde verlangt.

Die letzte Zeile enthält eine Falle, die regelmäßig unterschätzt wird. Wer als Auftragsverarbeiter das Prüfziel „Data" braucht, denkt an Datenschutz und plant entsprechend. Das Handbuch stellt aber klar: Wer „Data Protection" wählt, muss die Fragen der Kataloge „Information Security" und „Data Protection" beantworten. Das Datenschutzmodul kommt nie allein; die Informationssicherheit ist immer dabei.

Beim Katalogstand lohnt ein Blick auf den Kalender. Die geltende Fassung ist ISA 6 (Dateistand 6.0.3), veröffentlicht im Oktober 2023 und wirksam für alle Assessments, die ab dem 1. April 2024 beauftragt wurden. Am 1. Juli 2026 hat der VDA den Nachfolger ISA2027 veröffentlicht. Er gilt für alle Assessments, die ab dem 1. Januar 2027 beauftragt werden; vorher beauftragte dürfen weiter nach ISA 6 laufen, und ein Initial-Assessment nach ISA 6 lässt sich laut ENX letztmals im März 2027 eröffnen. Gleichzeitig ändert sich die Zählweise: Statt fortlaufender Versionsnummern trägt der Katalog künftig „the year in which they become mandatory" — also das Jahr seiner Verbindlichkeit, mit jährlichem Rhythmus. Die Konsequenz für Ihre Planung ist schlicht: Wer sein Assessment für 2027 einplant, sollte die Vorbereitung gegen ISA2027 fahren, nicht gegen die Fassung, die auf den meisten Ratgeberseiten steht.

4. Assessment Level und Labels: der aktuelle Stand

Hier stehen die beiden Angaben, bei denen die Suchergebnisse am zuverlässigsten daneben liegen. Beginnen wir mit dem Verhältnis von Prüfziel und Label, denn das ist einfach: Sie starten den Prozess mit einem Prüfziel (assessment objective) und erhalten bei bestandener Prüfung das dazugehörige Label. Eingangs- und Ausgangsgröße tragen denselben Namen.

Es gibt zwölf Prüfziele. Zwei davon, „Info high" und „Info very high", stehen zwar weiterhin in der Tabelle des Handbuchs, sind aber seit dem 1. April 2024 nicht mehr wählbar. An ihre Stelle sind „Confidential" und „Strictly confidential" getreten. Wenn Ihnen in einem Lieferantenportal noch „Info high" begegnet, ist das Portal nicht aktuell — gemeint ist „Confidential".

Und nun der Punkt, an dem sogar die von Google vorangestellte KI-Zusammenfassung falsch liegt: Sie beschreibt drei Prüflevel und nennt „Level 1: Reine Selbsteinschätzung". Das Handbuch beschreibt zwar tatsächlich drei Assessment Level, aber es ordnet keinem einzigen der zwölf Prüfziele Level 1 zu und hält über AL 1 ausdrücklich fest: Ergebnisse aus Assessments in Level 1 hätten ein niedriges Vertrauensniveau und würden deshalb „not used in TISAX". In der Praxis gibt es also nur zwei Level.

Welches Level für Sie gilt, entscheiden Sie nicht selbst — es ergibt sich aus dem Prüfziel. Die folgende Zuordnung stammt aus Tabelle 5 des Handbuchs und ist auf dem Stand vom 5. September 2026; die Änderungshistorie der Version 2.8 vermerkt, dass „Test vehicles" und „Proto events" seit dem 1. Januar 2025 in AL 2 statt in AL 3 geprüft werden.

Zur Gültigkeit: Labels sind „generally valid for three years", gerechnet ab dem Ende des Prüfprozesses — also bereits vor Ausstellung des Berichts. Das Wort „in der Regel" steht dort nicht zufällig: Ändert sich etwas Wesentliches am Prüfumfang, etwa durch einen Umzug oder einen neuen Standort, kann die Gültigkeit kürzer ausfallen. Für die Verlängerung durchlaufen Sie den Prozess erneut, inklusive der Registrierung eines neuen Scopes — ein Punkt, den man besser einplant, bevor der Kunde nach dem gültigen Label fragt. Gibt es Abweichungen mit Maßnahmenplan, sind zunächst temporäre Labels möglich; sie können bis zu neun Monate nach dem Abschlussgespräch gelten und sind ansonsten gleichwertig.

5. Der Ablauf in fünf Schritten

ENX beschreibt den Prozess offiziell in drei Schritten — Registrierung, Assessment, Austausch. Für die Planung ist eine feinere Aufteilung praktischer, weil zwei der Teilschritte den meisten Aufwand tragen. Ein Hinweis vorweg: Wie lange das Ganze dauert, sagt ENX bewusst nicht. Der Zeitbedarf hänge von zu vielen Faktoren ab, um ihn verlässlich zu prognostizieren. Wer Ihnen eine Regeldauer nennt, schätzt.

1. Registrierung bei ENX. Sie legen im ENX-Portal Ihr Unternehmen als Teilnehmer an und registrieren mindestens einen Prüfumfang (Scope) mit Standorten, Ansprechpartnern und dem gewählten Prüfziel. Die Registrierung ist gebührenpflichtig und Voraussetzung für alle weiteren Schritte — ohne die vergebene Scope-ID kann kein Prüfdienstleister beginnen.
2. Self-Assessment nach VDA ISA. Sie beantworten den Katalog selbst: für jede Kontrollfrage der erreichte Reifegrad, dazu die Nachweise. Das ist der Teil, den Sie nicht delegieren können und der den größten internen Aufwand verursacht. Er lohnt sich, weil das Ergebnis Ihnen zeigt, wo Sie vor der Prüfung nachbessern müssen.
3. Prüfdienstleister auswählen und beauftragen. Sie holen Angebote bei den von ENX gelisteten Anbietern ein und beauftragen einen davon. Diese Liste ist keine Empfehlung, sondern eine Zulassungsvoraussetzung: Anbieter, die nicht darin stehen, dürfen keine TISAX-Assessments durchführen.
4. Assessment durchlaufen. Je nach Level folgt eine Plausibilitätsprüfung mit Interview (AL 2) oder ein umfassendes Audit vor Ort (AL 3). Bleiben Abweichungen offen, erstellen Sie einen Maßnahmenplan; nach dessen Umsetzung folgt ein Nachprüf-Termin. Erst danach — oder mit temporären Labels früher — steht das Ergebnis.
5. Ergebnis freigeben. Der letzte Schritt wird am häufigsten vergessen. Ihr Label liegt im ENX-Portal, und Ihr Kunde sieht es erst, wenn Sie ihm die Ergebnisse ausdrücklich freigeben. Veröffentlichen allein genügt nicht: Der Austausch erfolgt „erst nach ausdrücklicher Freigabe der Ergebnisse durch das geprüfte Unternehmen für ein anfragendes Unternehmen".

Wer den fünften Schritt übersieht, hat alles bezahlt und trotzdem einen Kunden, der auf den Nachweis wartet. Es lohnt sich, die Freigabe direkt nach dem Abschluss zu erledigen und die Liste der freigegebenen Partner bei jeder neuen Kundenbeziehung zu pflegen.

6. Was TISAX kostet — und was sich nicht beziffern lässt

Zur Kostenfrage kursieren viele Zahlen, und die meisten sind nicht belegbar. Deshalb hier die Trennung zwischen dem, was öffentlich dokumentiert ist, und dem, was es nicht ist.

Belegt ist die Gebühr an ENX. Die TISAX-Preisliste nennt im Standardmodell 405,00 Euro je Standort in einem Prüfumfang, zuzüglich deutscher Umsatzsteuer. Ab fünf Standorten in einem Scope gibt es 10 Prozent Rabatt je Standort, ab zehn Standorten 20 Prozent. Die Gebühr fällt einmalig an; für die Gültigkeitsdauer Ihres Assessments entstehen keine wiederkehrenden Kosten. Alternativ gibt es ein jahresbasiertes Modell für 5.000,00 Euro pro Jahr, das sich nur für Unternehmen mit vielen Standorten oder Scopes lohnt und nicht im Portal, sondern nur über ENX direkt gewählt werden kann.

Wichtige Einschränkung: Dieses Preisblatt trägt in der Fußzeile den Stand 19. August 2020. ENX verlinkt es weiterhin als die offizielle Preisliste, und die 405 Euro sind damit die einzige öffentlich belegbare Zahl — ob die Beträge im Jahr 2026 unverändert gelten, lässt sich aus dem Dokument aber nicht ableiten. Holen Sie die Gebühr vor der Kalkulation im Portal ab, statt sich auf diesen Wert zu verlassen.

Nicht belegbar sind die Honorare der Prüfdienstleister — und zwar nicht, weil wir sie nicht gefunden hätten, sondern weil ENX ihre Veröffentlichung ausdrücklich ablehnt. Im Handbuch heißt es sinngemäß: Man bitte um Verständnis, dass diese Information nicht bereitgestellt werden könne; die Kosten hingen von zu vielen Faktoren ab, und die Prüfdienstleister seien in ihrer kaufmännischen Kalkulation frei. Wir geben deshalb keine der Euro-Beträge wieder, die auf Vergleichsportalen kursieren. Sie wären geraten.

Was ENX stattdessen nennt, ist eine Aufwandsgröße — und die ist für die Angebotsprüfung nützlicher als eine Preisspanne. Für ein durchschnittliches kleines Unternehmen mit einem Standort sollten Sie mit dreieinhalb bis vier Personentagen für ein Assessment in AL 2 und fünf bis sechs Personentagen für AL 3 rechnen. Damit lässt sich ein Angebot beurteilen: Weicht die kalkulierte Anzahl der Prüftage deutlich nach oben ab, fragen Sie nach dem Grund; weicht sie deutlich nach unten ab, ebenfalls.

Der größte Posten steht in keiner dieser Zahlen. Es ist der interne Aufwand für das Self-Assessment und für die Beseitigung dessen, was dabei auffällt. Diesen Teil trägt Ihr eigenes Team — und er entscheidet darüber, ob die Prüfung glattgeht oder ob ein Maßnahmenplan mit Nachprüf-Termin folgt.

7. TISAX gegen ISO 27001

Die Frage kommt in jedem zweiten Gespräch: Wir sind nach ISO 27001 zertifiziert — reicht das? Die ehrliche Antwort lautet nein, und sie hat einen präzisen Grund, der nichts mit Bürokratie zu tun hat.

Der ISA-Katalog stützt sich auf wesentliche Aspekte der ISO/IEC 27001. Eine bestehende Zertifizierung ist deshalb eine sehr gute Ausgangsbasis: Ihr Managementsystem existiert, Richtlinien und Nachweise liegen vor, die Denkweise ist eingeübt. Einen Anrechnungsmechanismus beschreiben die ENX-Unterlagen jedoch nicht — weder im Handbuch noch in der Preisliste noch in den Meldungen. Wo Sie im Netz lesen, ein ISO-Zertifikat werde auf TISAX angerechnet oder spare einen bestimmten Anteil des Audits, fehlt dafür die Quelle. Das Assessment müssen Sie in jedem Fall durchlaufen.

Der praktisch größte Unterschied liegt beim Geltungsbereich. Bei der ISO-Zertifizierung gestalten Sie den Prüfumfang frei, indem Sie den Umfang Ihres Managementsystems definieren — und der Prüfumfang ist mit ihm identisch. Bei TISAX ist der Prüfumfang vorgegeben. Er darf kleiner sein als Ihr Managementsystem, muss aber innerhalb davon liegen. Wer sein ISMS eng um die IT-Abteilung gezogen hat, stellt beim TISAX-Scoping fest, dass der geforderte Umfang darüber hinausreicht — Produktion, Warenannahme, Besprechungsräume inklusive.

Die letzte Zeile der Tabelle erklärt nebenbei, warum TISAX in der Öffentlichkeit so wenig sichtbar ist, obwohl es Zehntausende Unternehmen betrifft: Niemand darf damit werben. Wer nach Referenzen sucht, findet deshalb vor allem Prüfdienstleister und Beratungshäuser — die dürfen über ihr Angebot schreiben, nur eben nicht über fremde Prüfergebnisse.

Seit Ende 2023 kommt ein dritter Nachweis dazu, der in Lieferantenfragebögen auftaucht: ISO/IEC 42001 für den Umgang mit künstlicher Intelligenz. Bei TISAX täuscht das Wort Zertifizierung, weil gar kein Zertifikat ausgestellt wird. Bei ISO/IEC 42001 stimmt das Wort — dort täuscht die Erwartung, was das Zertifikat rechtlich bewirkt. Die Abgrenzung samt Fristenlage der KI-Verordnung steht im Beitrag zu ISO 42001 als KI-Managementsystem.

8. Vorbereitung für kleine Betriebe: sechs Baustellen

Bis hierher ging es um das Verfahren. Jetzt geht es um den Teil, der wirklich Zeit kostet — und der in fast jedem Betrieb an denselben sechs Stellen hakt. Die Auswahl stammt aus unserer Projektarbeit und ist an den Themenfeldern des ISA-Katalogs ausgerichtet; sie ersetzt keine Prüfung, sortiert aber vor, bevor Sie das Self-Assessment aufschlagen.

Zwei dieser Baustellen hängen enger zusammen, als es aussieht. Berechtigungen und Geräteverwaltung lassen sich in kleinen Betrieben selten getrennt lösen, weil beides an derselben Identität hängt — und weil ohne einen zentralen Verzeichnisdienst weder die eine noch die andere Frage belegbar ist. Wer bereits mit Microsoft 365 arbeitet, hat die Werkzeuge dafür meist im Abonnement, ohne sie eingerichtet zu haben; wie sich Konten, Rollen und Geräte dort sauber ordnen lassen, beschreibt unser Beitrag zu Single Sign-On im Mittelstand. Die grundlegenden Schutzmaßnahmen unterhalb jedes Assessments — von der Sicherung bis zur Vorfallsbehandlung — haben wir in unserem Überblick zur IT-Sicherheit im Mittelstand zusammengestellt.

Eine Beobachtung noch, die Fertigungsbetriebe betrifft: Der ISA-Katalog fragt nicht nur nach Büro-IT. Sobald Maschinen vernetzt sind, Terminals in der Halle stehen oder Konstruktionsdaten den Weg zur Steuerung finden, gehört diese Ebene in den Prüfumfang. Wer gerade erst dabei ist, seine Fertigung anzubinden, sollte Informationssicherheit von Anfang an mitplanen statt nachträglich aufzusetzen — welche Einstiegsprojekte sich dabei lohnen und welche nicht, haben wir im Beitrag zu Industrie 4.0 im Mittelstand ausgeführt.

Der praktische Rat für die Reihenfolge: Machen Sie das Self-Assessment früh und bewusst schonungslos, bevor irgendein Angebot eingeholt wird. Es ist kostenlos, es dauert ein paar Tage, und sein Ergebnis ist eine Aufgabenliste mit Prioritäten. Alles, was Sie dort ehrlich mit einem niedrigen Reifegrad bewerten, ist Arbeit, die ohnehin ansteht — nur eben zu einem Zeitpunkt, an dem noch kein Prüftermin steht.

9. Unsere Rolle — und was wir ausdrücklich nicht tun

Damit hier keine falsche Erwartung entsteht: Yagemi ist kein TISAX-Prüfdienstleister und kein Auditor. Wir sind nicht bei der ENX Association gelistet, führen keine Assessments durch und stellen keine Labels aus. Das dürfen ausschließlich die gelisteten Prüfdienstleister — das Handbuch ist an der Stelle unmissverständlich. Wer eine Prüfung braucht, holt Angebote bei diesen Anbietern ein.

Was wir tun, ist die Ebene davor: die IT so herzurichten, dass die Fragen des Katalogs überhaupt beantwortbar sind. Konkret heißt das Berechtigungen ordnen und dokumentieren, Konten und Geräte in eine zentrale Verwaltung überführen, Sicherung und Wiederanlauf so aufsetzen, dass eine Wiederherstellung nachweislich funktioniert, und die Datenwege zwischen Büro-IT und Fertigung sauber trennen. Für die Microsoft-Seite läuft das über unsere Beratung zu Microsoft 365, Migration und Lizenzen; für Betriebe mit vernetzter Fertigung über die Digitalisierung in der Produktion.

Was wir ebenfalls nicht tun: Wir sagen Ihnen nicht zu, dass Sie das Assessment bestehen. Über das Ergebnis entscheidet der Prüfdienstleister anhand Ihrer Nachweise. Was wir zusagen können, ist eine ehrliche Einschätzung, wie weit Ihre IT von den Anforderungen entfernt ist und in welcher Reihenfolge sich die Lücken schließen lassen.

10. Fazit

TISAX ist kein Dokument, das man kauft, sondern ein Prüfergebnis, das man erarbeitet und anschließend selbst verwaltet. Wer den Begriff „Zertifizierung" ablegt, versteht das System sofort besser: Es gibt keine Urkunde, es gibt Labels im Portal — und die sieht nur, wem Sie sie freigeben.

Für die Planung zählen vier Dinge. Erstens: Das geforderte Prüfziel bestimmt Level, Module und Aufwand, und es steht in der Anfrage Ihres Kunden. Zweitens: In der Praxis gibt es nur AL 2 und AL 3 — wer eine Seite liest, die von einem „Level 1" spricht, sollte auch dem Rest misstrauen. Drittens: Die einzige öffentlich belegte Kostenposition ist die ENX-Gebühr, und deren Preisblatt trägt den Stand 2020; alles Weitere kalkuliert Ihr Prüfdienstleister. Viertens: Ab dem 1. Januar 2027 gilt ISA2027 — wer für nächstes Jahr plant, bereitet sich gegen den neuen Katalog vor.

Und der Teil, der am längsten dauert, ist ohnehin unabhängig von jedem Prüfziel: Berechtigungen, Geräte, Sicherung, Klassifizierung, Schulung, Lieferanten. Diese sechs Baustellen lohnen sich auch dann, wenn nie ein Kunde nach TISAX fragt.

Hinweis: Dieser Artikel ist allgemeine Information und ersetzt keine Rechtsberatung. Alle Angaben, Termine, Gebühren und Gültigkeiten entsprechen dem Stand vom 5. September 2026 und wurden am TISAX-Teilnehmerhandbuch in Version 2.8, an den Portalseiten der ENX Association sowie an der TISAX-Preisliste geprüft; sie können sich jederzeit ändern. Maßgeblich ist die jeweils geltende Fassung. Yagemi ist kein TISAX-Prüfdienstleister und kein Auditor, nicht bei der ENX Association gelistet, führt keine Assessments durch und stellt keine Labels aus. Über das Prüfergebnis entscheidet allein der von Ihnen beauftragte, bei ENX gelistete Prüfdienstleister. Angaben ohne Gewähr.

11. Häufige Fragen zu TISAX

Was ist TISAX?

TISAX steht für Trusted Information Security Assessment Exchange. Die ENX Association beschreibt es als Prüf- und Austauschmechanismus für die Informationssicherheit von Unternehmen. Zulieferer lassen ihre Informationssicherheit einmal nach dem Katalog VDA ISA prüfen und geben das Ergebnis anschließend an ihre Auftraggeber frei, statt jede Kundenanfrage einzeln zu beantworten.

Ist TISAX eine Zertifizierung?

Nein. Der Begriff ist verbreitet, aber falsch. Das TISAX-Teilnehmerhandbuch beantwortet die Frage nach einem Zertifikat zum Aufhängen ausdrücklich mit Nein: Wegen des standardisierten Austauschprozesses stellt ENX ein solches Zertifikat nicht bereit. Wer die Prüfung besteht, erhält stattdessen Labels im ENX-Portal. Stand: 5. September 2026.

Ist TISAX gesetzlich vorgeschrieben?

Nein. Kein Gesetz verlangt TISAX. Der Prozess beginnt laut Handbuch in aller Regel damit, dass ein Geschäftspartner den Nachweis fordert — die Anforderung ist also vertraglich. Das unterscheidet TISAX von NIS2, das als Gesetz unabhängig davon gilt, was in Ihren Verträgen steht.

Welche Assessment Level gibt es bei TISAX?

In der Praxis nur zwei. Das Handbuch beschreibt zwar drei Level, ordnet aber keinem der zwölf Prüfziele Level 1 zu und hält fest, dass Ergebnisse aus Level 1 in TISAX nicht verwendet werden. Maßgeblich sind AL 2, eine Plausibilitätsprüfung meist per Webkonferenz, und AL 3, ein umfassendes Audit vor Ort.

Wie lange gilt ein TISAX-Label?

In der Regel drei Jahre, gerechnet ab dem Ende des Prüfprozesses. Das Handbuch schränkt ein: Ändert sich etwas Wesentliches am Prüfumfang, etwa durch einen Umzug oder neue Standorte, kann die Gültigkeit kürzer sein. Für die Verlängerung durchlaufen Sie den gesamten Prozess erneut, inklusive neuer Registrierung eines Scopes.

Was kostet TISAX?

Belastbar öffentlich ist nur die ENX-Gebühr: 405 Euro netto je Standort in einem Scope, laut Preisliste mit Stand vom 19. August 2020. Die Honorare der Prüfdienstleister veröffentlicht ENX ausdrücklich nicht, weil diese frei kalkulieren. Als grobe Größe nennt das Handbuch dreieinhalb bis vier Personentage für AL 2.

Was ist der Unterschied zwischen TISAX und ISO 27001?

ISO/IEC 27001 ist eine Norm mit echtem Zertifikat und frei wählbarem Geltungsbereich. TISAX ist ein Branchenmechanismus mit Labels, dessen Prüfumfang vorgegeben ist und innerhalb des eigenen Managementsystems liegen muss. Der ISA-Katalog stützt sich auf wesentliche Aspekte der Norm, ist seit Version 5 aber ein eigenständiger Branchenstandard.

Ersetzt eine ISO-27001-Zertifizierung das TISAX-Assessment?

Nein. Eine bestehende Zertifizierung ist eine gute Ausgangsbasis, weil der ISA-Katalog auf wesentlichen Aspekten derselben Norm aufsetzt und viele Nachweise bereits vorliegen. Einen Anrechnungsmechanismus beschreiben die ENX-Unterlagen jedoch nicht. Das Assessment müssen Sie in jedem Fall vollständig durchlaufen, auch wenn die Vorbereitung mit einem gelebten Managementsystem spürbar kürzer ausfällt.

Welcher VDA-ISA-Katalog gilt aktuell?

Für heute beauftragte Assessments gilt ISA 6 in der Fassung 6.0.3. Der Nachfolger ISA2027 ist seit dem 1. Juli 2026 veröffentlicht und gilt für alle Assessments, die ab dem 1. Januar 2027 beauftragt werden. Das letzte Initial-Assessment nach ISA 6 kann laut ENX im März 2027 eröffnet werden.

12. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich ausschließlich auf Primärquellen der ENX Association. Alle wurden am 5. September 2026 abgerufen und im Volltext gegengelesen — das Teilnehmerhandbuch und die Preisliste vollständig, nicht als Zusammenfassung. Externe Quellen öffnen in einem neuen Tab.

• ENX Association — TISAX Participant Handbook, Version 2.8 (Online-Fassung) — Die maßgebliche Primärquelle, im Volltext gelesen. Trägt die Aussage, dass ENX kein Zertifikat bereitstellt (6.8.2), die Assessment Level samt der Feststellung, dass AL-1-Ergebnisse in TISAX nicht verwendet werden (4.3.3.5), die Tabellen der zwölf Prüfziele und ihrer Level, die drei Kriterienkataloge (4.3.3.2), die Gültigkeit der Labels (5.4.14.2), die Aussage zu den nicht veröffentlichten Auditkosten samt Personentagen (5.3.4) und den Scope-Unterschied zur ISO/IEC 27001 (4.3.2).
• ENX Portal — Willkommen zu TISAX (deutsche Fassung) — Die deutsche Definition „Prüf- und Austauschmechanismus", der Vier-Schritte-Ablauf, die Aussage, dass der Austausch erst nach ausdrücklicher Freigabe durch das geprüfte Unternehmen erfolgt, und die Einordnung des ISA als Anforderungskatalog, der sich auf wesentliche Aspekte der ISO/IEC 27001 stützt.
• ENX Portal — 10 Years of TISAX: VDA ISA2027 Released (1. Juli 2026) — Belegt, dass ISA 6 seit dem 1. April 2024 für beauftragte Assessments gilt, dass ISA2027 für alle ab dem 1. Januar 2027 beauftragten Assessments gilt, das neue Versionsschema nach Jahreszahl mit jährlichem Rhythmus sowie die Einordnung des ISA als eigenständiger Branchenstandard seit Version 5.
• ENX Association — TISAX Downloads (ISA 6.0.3, ISA2027) — Trägt den aktuellen Katalogstand ISA 6.0.3 vom 25. April 2024, den Hinweis, dass vor dem 1. Januar 2027 beauftragte Assessments weiter nach ISA 6 laufen dürfen, und den Termin, bis zu dem ein Initial-Assessment nach ISA 6 eröffnet werden kann: März 2027. Dort steht auch die Analyse „Fulfillment NIS2 through TISAX" der ENX-Arbeitsgruppe ISA.
• ENX Association — TISAX Participation Price List (PDF, Stand 19. August 2020) — Die einzige öffentliche Preisangabe: 405,00 Euro je Standort in einem Scope im ABC-Modell, Staffelrabatte von 10 und 20 Prozent, alternativ 5.000,00 Euro jährlich im PBC-Modell, keine wiederkehrenden Gebühren während der Gültigkeit, zuzüglich Umsatzsteuer. Das Dokument trägt in der Fußzeile den Stand 19. August 2020.
• ENX Association — ISA Version 6 Now Available — Enthält die für die rechtliche Einordnung entscheidende Aussage, dass ISA und TISAX nicht dazu bestimmt sind, die Einhaltung von Gesetzen oder Vorschriften unmittelbar durchzusetzen, sondern Organisationen dabei helfen sollen, ihre regulatorischen Anforderungen mit weniger Aufwand zu erfüllen.

Zwei Dinge haben wir bewusst nicht übernommen. Erstens die Euro-Beträge für Auditkosten, die auf Vergleichsportalen kursieren: ENX schließt deren Veröffentlichung ausdrücklich aus, weil die Prüfdienstleister frei kalkulieren — jede konkrete Zahl wäre geraten. Zweitens die Angabe „zehn Prüfziele", die in der ENX-FAQ noch steht: Das Teilnehmerhandbuch nennt zwölf, und im Zweifel folgen wir dem Handbuch.