TISAX Zertifizierung – Anforderungen, Level u. Kosten

Aus diesem Grund hat der Verband der Automobilindustrie (VDA) mit TISAX einen Standard für Informations- und Cybersicherheit geschaffen, der speziell an die Anforderungen der Automobilbranche angepasst ist. Wir schauen uns an, was TISAX von ISO 27001 als zugrundeliegender Norm unterscheidet und welche Anforderungen Unternehmen erfüllen müssen, um die TISAX-Zertifizierung zu erhalten.

Natürlich haben Hersteller von ihren Zulieferern und anderen beteiligten Dienstleistern schon vor TISAX regelmäßig den Nachweis darüber verlangt, dass die ihnen zur Verfügung gestellten Daten durch ein geeignetes ISMS (Information Security Management System) geschützt werden. Entsprechende Prüfungen wurden schon damals auf der Grundlage des Anforderungskataloges Information Security Assessment (ISA) durchgeführt, den der Verband der Automobilindustrie (VDA) in Zusammenarbeit mit der ENX Association entwickelt hat.

Das Problem: Der Hersteller musste jeden Dienstleister einzeln überprüfen. Und Lieferanten mussten jedem Auftraggeber die Prüfung gestatten, wenn sie weiterhin Aufträge erhalten wollten. Was fehlte, waren ein standardisierter Prozess sowie ein transparenter und unternehmensübergreifender Austausch der Prüfungsergebnisse.

Beides wurde Anfang 2017 mit TISAX, dem Trusted Information Security Assessment Exchange, etabliert. Die ENX Association agiert in diesem System als Governance-Organisation. Seither verlangen viele Automobilhersteller und Zulieferer der deutschen Automobilindustrie von ihren Geschäftspartnern eine bestehende TISAX-Zertifizierung.

TISAX bietet der Automobilbranche deutlich mehr als “nur” Maßnahmenempfehlungen bezüglich Informationssicherheit. Registrierte Teilnehmer können über eine eigens entwickelte Online-Plattform namens TISAX Exchange Prüfungsergebnisse austauschen und der definierte Standard sorgt für eine gemeinsame Anerkennung dieser Ergebnisse zwischen allen Teilnehmern.

Indem Sie Ihre Ergebnisse auf der Plattform freischalten, teilen Sie nicht nur Ihren direkten Geschäftspartnern, sondern sämtlichen teilnehmenden Unternehmen mit, dass ihre Informationssicherheit TISAX-konform ist.

Zwischen der TISAX-Zertifizierung und ISO 27001 gibt es noch andere Unterschiede als den Branchenfokus. Adobe Stock, (c) chokniti

Der Anforderungskatalog für die TISAX-Zertifizierung (VDA ISA) ist von der internationalen Norm für Informationssicherheit ISO 27001 abgeleitet. Der VDA und die ENX Association haben die Anforderungen jedoch um zusätzliche Bereiche erweitert, die speziell für die Automobilbranche wichtig sind.

Diese Bereiche umfassen u.a. die Einbindung von Partnern in die eigene IT-Infrastruktur, Datenschutz und Prototypenschutz. Weitere Unterschiede bestehen hinsichtlich des definierten Geltungsbereichs (Scope), des Prüfprozesses und der Qualifizierung der empfohlenen Maßnahmen.

Der Geltungsbereich, auch Scope genannt, legt fest, für welche Bereiche eines Unternehmens Sicherheitsrichtlinien gelten. Entsprechend bestimmt der Geltungsbereich, welche IT-Systeme und Unternehmensbereiche im Zuge der Zertifizierung überprüft werden. Während Unternehmen diesen Scope bei der Zertifizierung gemäß ISO 27001 weitgehend selbst bestimmen können, gibt die ENX Association einen Standard-Scope vor.

Dieser gilt als Grundlage für eine TISAX-Prüfung und wird von allen Teilnehmern akzeptiert. Unter bestimmten Umständen kann der Umfang der Prüfung angepasst werden (z.B. wenn der Erstausrüster einen erweiterten Geltungsbereich verlangt). Unternehmen, die sich nach TISAX zertifizieren lassen möchten, müssen sämtliche Mitarbeiter, die mit sensiblen Informationen aus der jeweiligen Automobilbranche in Berührung kommen, in den Prüf-Scope aufnehmen.

Sowohl die TISAX- als auch die ISO-27001-Zertifizierung startet mit einer Selbsteinschätzung, bevor die Einhaltung der Vorgaben von einem externen Prüfer durch Interviews bzw. Audits kontrolliert wird.

Der Unterschied liegt darin, dass das beantragende Unternehmen bei TISAX zwischen mehreren Levels der Zertifizierung wählen kann, während der Ablauf bei ISO 27001 fest vorgegeben ist. Zudem müssen im TISAX-Prüfprozess sämtliche Schwachstellen noch während des Prüfprozesses behoben werden, damit das Unternehmen das TISAX Label bzw. Zertifikat erhält.

Der TISAX-Prüfkatalog greift auf die in der ISO 27001 festgelegten Maßnahmen (Controls) zurück. Für eine erfolgreiche TISAX-Zertifizierung muss ein Unternehmen in der Umsetzung dieser Maßnahmen sowie den Prozessen dahinter jedoch einen bestimmten “Reifegrad” (Maturity Level) erreichen.

Die in TISAX definierten Reifegrade reichen von 0 (unvollständig) bis 5 (optimierend). Um die Zertifizierung zu bestehen, muss ein Zielreifegrad von 3 erreicht werden. Höhere Werte bei einzelnen Anforderungen gleichen ein niedrigeres Ergebnis nicht aus, sondern werden auf 3 abgerundet.

Die Zertifizierung nach TISAX wird auf der Grundlage des VDA Information Security Assessment (VDA ISA) durchgeführt. Der VDA ISA wird bereits von 2.500 Unternehmen in 40 Ländern als gemeinsame Prüfungsgrundlage genutzt. Für die Prüfung haben Unternehmen die Wahl zwischen drei verschiedenen Assessment-Levels.

Mit der Durchführung der Prüfung beauftragen Sie einen von der ENX-Association genehmigten unabhängigen Prüfungsdienstleister. Die ENX-Association überwacht die Qualität der Durchführung sowie der Prüfergebnisse und stellt die Einhaltung der Audit Provider Criteria and Assessment Requirements (TISAX ACAR) im Sinne aller Teilnehmer sicher.

Um eine TISAX-Zertifizierung zu erhalten, müssen Unternehmen die Anforderungen erfüllen, die im VDA-ISA-Prüfungskatalog festgelegt sind. Die Umsetzung der Anforderungen wird nach einem Reifegradmodell bewertet, wobei 3 als Ziel-Reifegrad gilt. Der Anforderungskatalog für TISAX besteht aus drei Modulen:

Abhängig davon, welche dieser Bereiche ein Unternehmen als relevant betrachtet, lässt sich TISAX in insgesamt 8 verschiedene Prüfziele mit unterschiedlichen Kriterien unterteilen. Mindestanforderung für die TISAX-Zertifizierung ist das Prüfziel Umgang mit Informationen mit hohem Schutzbedarf, welches in allen weiteren Prüfzielen enthalten ist. Je nach gewähltem Ziel ist zudem ein bestimmter Assessment Level (AL) vorgeschrieben.

Unternehmen, die ein Prüfziel erfolgreich nachweisen, erhalten nach abgeschlossener Zertifizierung das zugehörige TISAX-Label. Die Begriffe Prüfziel und Label werden daher oft synonym verwendet. Je nach Art der Zusammenarbeit und geteilten Daten verlangen Hersteller unterschiedliche TISAX-Labels von Zulieferern.

Der Prüfdienstleister reicht das Ergebnis der letzten Überprüfung bei der ENX Association ein. Sofern noch geringe Abweichungen von den Kriterien bestehen (sog. Nebenabweichungen), erhält das Unternehmen nur ein vorläufiges TISAX-Label. Dieses ist zwar (zeitlich begrenzt) gültig, aber die dauerhafte Zertifizierung erfolgt erst, wenn die Abweichungen behoben wurden. Bei Hauptabweichungen wird die TISAX-Zertifizierung erst an dem Tag gültig, an dem die Abweichung nachweisbar behoben ist.

Welches Assessment-Level Ihr Unternehmen benötigt, hängt davon ab, welcher Schutzbedarf in Ihrem spezifischen Umfeld besteht (normal, hoch oder sehr hoch). Welchem Assessment-Level Sie Ihre Prozesse unterziehen möchten, entscheiden Sie grundsätzlich selbst. Die meisten Hersteller setzen für die Zusammenarbeit mit Zulieferern allerdings eine Zertifizierung auf einem bestimmten Level bzw. ein bestimmtes TISAX-Label voraus.

Von der Erstprüfung (erfolgt nach der Selbsteinschätzung) bis zum TISAX-konformen Prüfergebnis dürfen nicht mehr als neun Monate vergehen. Sämtliche Abweichungen und Schwachstellen, die während des Prüfprozesses identifiziert werden, müssen innerhalb dieser Zeit vom Unternehmen behoben werden. Wurden alle erforderlichen VDA-ISA-Anforderungen erfüllt, erhält das Unternehmen die TISAX-Zertifizierung. Diese ist drei Jahre lang gültig und es finden keine jährlichen Überwachungsaudits statt.

Mit welchen Kosten ein Unternehmen für die Zertifikation nach TISAX rechnen muss, ist von Fall zu Fall unterschiedlich. Fixkosten, die für jedes Unternehmen anfallen, sind u.a. die Kosten für den Prüfungsdienstleister sowie die Teilnahme am ENX-Netzwerk. Hier ist eine Preisliste auf der Website der Association verfügbar.

Darüber hinaus können durch notwendige Verbesserungen der Informationssicherheit Kosten entstehen. Betriebe, die bereits andere Zertifizierungen wie den BSI IT-Grundschutz oder das NIST Cybersecurity Framework abgeschlossen haben, sind hier deutlich im Vorteil. Insgesamt müssen Firmen für die TISAX-Zertifizierung selbst im einfachsten Fall mit Kosten von mehreren tausend Euro rechnen.

Je nach Sicherheitsbedarf kann es für die TISAX-Zertifizierung z.B. notwendig sein, die Zutrittskontrollen zu optimieren. Adobe Stock, (c) zephyr_p

Trotz der Investitionen, die für die Zertifizierung nach TISAX erforderlich sind, hat die Standardisierung der Anforderungen dafür gesorgt, dass die Kosten sich in einem gut kalkulierbaren Rahmen bewegen. Während ein Unternehmen sich vor der Einführung des Branchenstandards in der Regel mehreren Überprüfungen durch mehrere Auftraggeber unterziehen und den abweichenden Anforderungen entsprechende Investitionen tätigen musste, ist heute nur noch eine einzige Zertifizierung notwendig.

Bei der TISAX-Zertifizierung geht es in erster Linie darum, zu beweisen, dass die Ihnen anvertrauten sensiblen Informationen sicher verwaltet werden. Sie müssen also sicherstellen, dass die Daten zuverlässig sowohl vor unbefugten externen Zugriffen, als auch vor Insider Threats wie beispielsweise Datendiebstahl durch Mitarbeiter geschützt werden. Der einfachste Weg, das zu garantieren, liegt in der Einführung einer Software für die automatische Berechtigungsverwaltung.

In den meisten Unternehmen, die bislang ohne Berechtigungsmanagement- oder IAM-Software arbeiten, herrscht eine unklare Berechtigungssituation. Niemand weiß genau, welcher Mitarbeiter auf welche Daten Zugriff hat, und noch weniger Menschen wissen, wer ihm oder ihr diese Zugriffe wann erteilt hat. Das Problem an diesem Chaos? Mangelnde Übersicht führt mit der Zeit zu Privilege Creep, der Ansammlung nicht benötigter Zugriffsrechte durch Mitarbeiter. Diese wiederum gefährden sensible Daten, wenn z.B. ein Konto infolge eines Phishing-Angriffs kompromittiert wird.

tenfold bringt Ordnung ins Chaos, indem die Software Prozesse, die bisher manuell abliefen, standardisiert und automatisiert. Durch das Festlegen von Standardrechten und die sogenannte rollenbasierte Berechtigungsvergabe erhält jeder User automatisch genau die Rechte, die er für seine Funktion benötigt. Das entlastet nicht nur Admins und erleichtert die Benutzerverwaltung im Unternehmen, sondern verhindert auch die Ansammlung überflüssiger Rechte und verwaister Konten.

Damit die transparente und sparsame Vergabe von IT-Berechtigungen – Experten sprechen von Least Privilege Access – langfristig gewährt bleibt, unterstützt tenfold Administratoren durch eine zentrales Reporting von Berechtigungen sowie die automatische Rezertifizierung von Rechten. So ist sichergestellt, dass es im gesamten Unternehmen keine veralteten und/oder falschen Berechtigungen mehr gibt.

Selbstverständlich reicht es für eine umfassende TISAX-Vorbereitung nicht aus, eine Software für Berechtigungsmanagement zu implementieren. Sie schaffen hiermit jedoch eine stabile Basis, auf der sie aufbauen können.

tenfold schließt vor allem jene Sicherheitslücken, die durch die manuelle Berechtigungsvergabe und durch die Arbeit mit verschiedenen, nicht zentralisierten Systemen, Programmen und Anwendungen entstehen. Im Folgenden schauen wir uns an, welche Anforderungen aus dem TISAX-Fragenkatalog tenfold konkret erfüllt.

Im VDA-ISA-Katalog gibt es einen eigenen Abschnitt für den Bereich Identity und Access Management. Bei den durch tenfold abgedeckten Vorgaben handelt es sich im Wesentlichen um die Abschnitte 4.1 und 4.2 des Bausteins Identity und Access Management: