Assement Level Kategorien

Bei der Zertifizierung nach TISAX gibt es verschiedene Assement Level nach denen geprüft wird. Die Prüfstufen/Assessments (Abgekürzt: AL1-3) definieren sich wie folgt:
TISAX Assessment – Level 1 (Normal)
Bestehend aus einer Selbstauskunft anhand eines Fragenkatalogs hat Level 1 eine geringe Aussagekraft und wird selten angewandt oder von Partnern gefordert.
TISAX Assessment – Level 2 (hoch)
Level 2 wird durch ein Telefoninterview sowie einen Plausibilitäts-Check durch ein akkreditiertes beauftragtes Prüfungs-Unternehmen erreicht. Wenn zusätzlich als Prüf-Ziel die „Anbindung Dritter“ definiert ist, ist eine Vor-Ort-Prüfung zwingend notwendig.
TISAX Assessment – Level 3 (sehr hoch)
Um das Level 3 zu erreichen, muss eine Vor-Ort-Prüfung direkt im Unternehmen und die Dokumentenprüfungen durch die Experten eines beauftragten akkreditierten Prüfunternehmens bestanden werden.

Es empfiehlt sich bei der ersten Zertifizierung nach TISAX das Anstreben des Level 3, um auf künftige Anforderungen vorbereitet zu sein, ohne Doppelarbeit zu verursachen.

Allgemeine Überlegungen / Informationen zum Assessment Level

• Informationsklassifizierung und Schutzbedarf.
  Die Zuordnung von Informationsklassifizierung (wie vertraulich, geheim) zu Schutzbedarf kann für verschiedene Partner unterschiedlich sein. Es ist wichtig, sich einen Überblick über die Partneranforderungen für den jeweiligen Standort zu verschaffen.
• Höhere Beurteilungsstufen schließen immer niedrigere Assessment-Level ein. Wenn die Beurteilung z. B. auf AL, kann sie automatisch alle Anforderungen der AL 2 erfüllen.
• Wenn Sie ein Assessmentlevel (und damit implizit eine entsprechende Beurteilungsstufe) nach eigenem Ermessen auswählen müssen, empfehlen wir, Assessment-Level zu wählen, die ein Assessment-Level 3 implizieren. Gerade an Standorten, die mit mehreren Partnern zu tun haben, ist zu berücksichtigen, dass die Anforderungen von Partner zu Partner unterschiedlich sein können. Mit Assessment-Level 3 ist man für alle zukünftigen Anforderungen gerüstet und muss sich nicht mit verschiedenen Assessment-Levels herumschlagen.
• Der Aufwand für TISAX-Assessments in Assessment-Level 3 ist nicht generell höher als in Assessment-Level 2. Während die Kosten für ein Assessment in Assessment-Level 2 geringer sind, kann der interne Aufwand höher sein. Dies liegt daran, dass eine Beurteilung in der Assessment-Level 2 in der Regel eine umfassendere Selbstbeurteilung und eine bessere interne Dokumentation erfordert. Bei Beurteilungen in der Assessment-Level 3 reicht dem Auditor oft das Zeigen von Dingen zusammen mit einer einfachen Dokumentation als Nachweis aus. Aber ohne eine Vor-Ort-Begehung wird der Auditor eine genaue Dokumentation verlangen. Daher ist es nicht unüblich, Assessment- Level 3 gegenüber Assessment-Level 2 zu wählen.

1. Ihr Kunde fordert ein TISAX Assessment

Der TISAX-Prozess beginnt in der Regel damit, dass einer Ihrer Kunden Sie auffordert, ein Informationssicherheitsmanagements gemäß den Anforderungen des „VDA Information Security Assessment“ (ISA) nachzuweisen. Häufig ist aber nicht klar, welches Niveau Sie erreichen müssen. (hierzu lesen Sie bitte unsere Ausführungen zu den einzelnen TISAX Assessment Level).

2. Registrierung

Zugang zum TISAX-Portal, das den Austausch der Assessment-Daten erleichtert, erhalten Unternehmen durch eine Teilnehmer-Registrierung. Diese gilt als Voraussetzung, um einen Prüfdienstleister mit einem Assessment zu beauftragen.

Als Ergebnis einer erfolgreichen Registrierung wird für jeden registrierten Scope ein sogenanntes „TISAX SCOPE REGISTRATION EXCERPT“ verfügbar, das als PDF-Datei entweder in deutscher oder englischer Sprache aus der TISAX-Datenbank erzeugt wird. Mehrere Standorte können zu einem Scope zusammengefasst werden. Das vollständig ausgefüllte „Excerpt“ ist die Basis einer Kalkulation des Assessment-Aufwands, ergänzt durch zusätzliche Informationen, die ebenfalls abzufragen sind.

3. Aufbau des ISMS gemäß den TISAX Anforderungen

Der nächste Schritt ist der Aufbau eines Informationssicherheits-Managementsystems und die Umsetzung der TISAX Anforderungen. Hierbei unterstützt Trigonum Sie vom begleitenden Coaching bis hin zur Übernahme des externen Informationssicherheits-Managementbeauftragten.

4. Beauftragung eines Prüfdienstleisters

Wenn Ihr ISMS einen Reifegrad erreicht hat, so dass eine externe Zertifizierung erfolgreich erreicht werden kann, wird ein Prüfdienstleister ausgewählt. Trigonum verfügt über Zertifizierungserfahrungen mit unterschiedlichen Dienstleistern in Europa, Amerika und Asien und kann Sie hier kompetent unterstützen.

5. Dokumenten Prüfung und/oder vor Ort Prüfung

Um für eine TISAX-Prüfung bereit zu sein, muss in erster Linie Ihr Informationssicherheitsmanagementsystem (ISMS) in Bestform sein. Um herauszufinden, ob Ihr ISMS dem erwarteten Reifegrad entspricht, müssen Sie eine Selbsteinschätzung auf Basis des ISA durchführen. Der ISA („Information Security Assessment“) ist ein vom „Verband der Automobilindustrie e.V.“ (VDA) herausgegebener Kriterienkatalog. Es ist der Branchenstandard der Automobilindustrie für Informationssicherheits-Assessments. Die vorhandenen Dokumente werden den Controls zugeordnet und dem Prüfdienstleister wird der ausgefüllte Kriterienkatalog übersendet.

In Abhängigkeit des Assessmentlevel reicht eine Remote Dokumentenprüfung und ein telefonisches Interview, bei einem Assessment Level 3 und dem Umgang mit Prototypen muss eine vor Ort Prüfung erfolgen.

6. Eventuell Umsetzung von Korrekturmaßnahmen

Abhängig vom Prüfergebnis müssen ggf. Korrekturmaßnahmen umgesetzt werden.

7. Auditbericht und Austausch der Auditergebnisse

Der „TISAX-Bericht“:

• wird nach jeder TISAX-Prüfung aktualisiert und ausgestellt.
• dokumentiert die Feststellungen Ihres Prüfdienstleisters.
• enthält das Gesamtprüfergebnis (Konform, Nebenabweichend, Hauptabweichend).
• enthält alle weiteren Informationen zu Ihrer TISAX-Prüfung (z. B. Prüfziel, Scope, beteiligte Personen und Standorte).

Es ist eines der Hauptmerkmale von TISAX, dass Sie selbst entscheiden können, welche Teile des TISAX-Berichts Sie mit Ihrem Partner oder jedem anderen Teilnehmer teilen möchten. Die Struktur des TISAX-Berichts ist so konzipiert, dass sie diese Art des selektiven Teilens ermöglicht. Jeder Abschnitt erweitert den Detaillierungsgrad.

TISAX und Cybersecurity Managementsystem (CSMS) – Wie hängt es zusammen?

Die Wirtschaftskommission für Europa der Vereinten Nationen (UNECE) hat auf die zunehmenden Cybersecurity-Herausforderungen reagiert und die Task Force on Cyber Security and Over-the-Air issues ins Leben gerufen. Die UNECE fordert eine Auditierung des Cybersecurity-Managementsystems (CSMS) der OEMs und ein Assessment bezüglich Cybersecurity im Rahmen der Typgenehmigung. Ein Automotive Cybersecurity-Managementsystem-Audit ist ein Vorgehen zur unabhängigen Analyse und Beurteilung eines Automotive CSMS, d.h. eines systematischen risikobasierenden Managementsystems, das organisatorische Prozesse, Verantwortlichkeiten und Methoden definiert, um Bedrohungen einzudämmen und Fahrzeuge vor Cyberangriffen zu schützen.

Im Gegensatz zum Informationssicherheits-Managementsystem (ISMS), das in der Automobilbranche durch TISAX zertifiziert wird, zielt das Automotive CSMS explizit auf den Schutz der Verkehrsteilnehmer bzw. Bevölkerung im Kontext zunehmender Vernetzung und Automatisierung von Fahrzeugen ab. Ein ISMS hingegen betrachetet primär Informationssicherheit innerhalb der Organisation und prüft somit eine gesicherte Zusammenarbeit in der Lieferkette.

Es ist davon auszugehen, dass Unternehmen die für Komponenten ein CSMS umsetzen müssen auch zusätzlich immer eine TISAX Zertifizierung benötigen, denn nur so kann der Rahmen für eine sichere Produktentwicklung, Fertigung und einen sicheren Betrieb von Anwendungen und Systemen gewährleistet werden.

Für den Aufbau und Betrieb eines professionellen Informationssicherheits-Managementsystems haben wir unser innovatives Tool für integrierte Managementsysteme „TRIGovernance“ entwickelt. Die enge Verzahnung der Lösungsbausteine Dokumentenmanagement und Dokumentenlenkung, Informationsklassifizierung, Asset- und Risikomanagement, Verarbeitungsbeschreibungen sowie Audit- und Aufgabenmanagement machen „TRIGovernance“ zu einer leistungsfähigen Zusammenarbeitsplattform für integrierte Managementsysteme. Somit haben Unternehmen alle Informationen und Lösungsbausteine zentral an einem Ort, vereinfachen die Prozesse und nutzen Synergien für die Abbildung der unterschiedlichen Managementsysteme.