TISAX® vs. ISO 27001: Was ist der Unterschied?
Beide beschäftigen sich mit Informationssicherheit, verfolgen aber unterschiedliche Prüf- und Nachweislogiken.
ISO/IEC 27001 ist eine internationale Norm mit Anforderungen an ein Informationssicherheitsmanagementsystem. TISAX® ist ein von der ENX Association betriebenes Prüf- und Austauschverfahren für die Automobilindustrie, dessen Assessment auf dem ISA beziehungsweise VDA ISA basiert. Beides überschneidet sich, ist aber nicht dasselbe.
- ISO/IEC 27001 beschreibt Anforderungen an ein ISMS
- TISAX® nutzt den ISA als Assessment-Grundlage
- Ziel, Prüfmechanik und Nachweis unterscheiden sich
ISO 27001
ISO 27001 ist ein internationaler Standard für Informationssicherheitsmanagementsysteme. Im Mittelpunkt steht ein systematisches Management von Informationssicherheitsrisiken und die kontinuierliche Verbesserung des ISMS.
TISAX®
TISAX® basiert auf dem VDA ISA und ist besonders in der Automobilindustrie relevant. Je nach Anforderungen spielen neben Informationssicherheit auch Themen wie Prototypenschutz oder Datenschutz eine Rolle.
ISO 27001 und TISAX® im direkten Vergleich
Die Themen überschneiden sich. Aber die Frage ist eine andere: Ist das Managementsystem nach ISO/IEC 27001 zertifiziert oder wurden die für einen Geschäftspartner relevanten TISAX®-Prüfziele bewertet?
| Frage | ISO/IEC 27001 | TISAX® |
|---|---|---|
| Worauf basiert die Prüfung? | Auf den Anforderungen an ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001. | Auf dem VDA ISA, dem Assessment-Katalog für Informationssicherheit in der Automobilindustrie. |
| Wofür ist der Nachweis gedacht? | Für den Nachweis eines normkonformen ISMS innerhalb eines definierten Zertifizierungsgeltungsbereichs. | Für die Bewertung vereinbarter Prüfziele und den Austausch der Ergebnisse mit berechtigten Geschäftspartnern. |
| Wer prüft? | Eine unabhängige Zertifizierungsstelle. Bei akkreditierten Zertifizierungen gelten zusätzlich die einschlägigen Akkreditierungsanforderungen. | Ein für TISAX zugelassener Prüfdienstleister im Verfahren der ENX Association. |
| Was erhält das Unternehmen? | Bei erfolgreichem Audit ein ISO-27001-Zertifikat mit ausgewiesenem Geltungsbereich. | Ein Assessment-Ergebnis und, bei erfüllten Voraussetzungen, TISAX-Labels, die über das ENX-Portal geteilt werden können. |
| Was bestimmt den Umfang? | Kontext, Prozesse, Informationswerte und der definierte ISMS-Scope. | Prüfziele, Schutzbedarf, Assessment-Level und der vereinbarte Assessment-Scope. |
| Ersetzt der Nachweis den anderen? | Nein. Ein ISO-27001-Zertifikat ist kein TISAX-Ergebnis. | Nein. Ein TISAX-Label ist kein ISO-27001-Zertifikat. |
Geltungsbereiche und Nachweise müssen zur tatsächlichen Kundenanforderung passen. Gleiche Themen bedeuten nicht automatisch gleichwertige Prüfungsergebnisse.
ISA 2027: Welche Version gilt bei einem TISAX-Assessment?
Der VDA ISA wird weiterentwickelt. Für 2026 ist der ISA 6-Katalog relevant. Die ENX Association hat bereits ISA2027 veröffentlicht: Für ab 2027 beauftragte Assessments ist die neue Version vorgesehen. Bei vorher beauftragten Assessments kann unter den von ENX beschriebenen Übergangsregeln noch ISA 6 gelten. Darum gehört die Katalogversion schon bei der Vorbereitung auf den Tisch.
Die Registrierung des Assessment-Scopes entscheidet nicht über die ISA-Version. Maßgeblich ist, wann das TISAX-Assessment beauftragt wurde. ENX nennt den März 2027 als letzten Termin, um ein Initial Assessment nach ISA 6 zu eröffnen. Bestehende TISAX-Labels behalten ihre vorgesehene Gültigkeitsdauer. Eine jährliche Aktualisierung des ISA-Katalogs bedeutet deshalb nicht automatisch ein jährliches Re-Assessment.
Prüfe vor der Planung die aktuelle ISA-Version und die offiziellen ENX-Informationen zur Umstellung. Welche Anforderungen für euren Auftrag gelten, hängt vom Beauftragungsdatum und dem vereinbarten Prüfziel ab.
Was braucht mein Unternehmen?
Die Antwort ergibt sich aus Kundenanforderungen, Markt, Vertragsbeziehungen und strategischem Ziel. In manchen Organisationen existieren beide Anforderungen parallel. Dann sollte möglichst viel gemeinsame Managementsystem-Logik genutzt werden.
Wenn beide Themen auf euch zukommen, beginnt die Arbeit mit dem Geltungsbereich, einer Risikobewertung und klaren Verantwortlichkeiten. Eine ISO 27001 GAP-Analyse zeigt, welche Voraussetzungen bereits stehen. Wie wir den anschließenden ISMS-Aufbau begleiten, erklären wir auf unserer Leistungsseite.
Unterschiedliche Nachweislogik
ISO 27001 ist eine international anerkannte Managementsystemnorm. TISAX® basiert auf dem VDA ISA und adressiert Anforderungen der Automobilindustrie über ein eigenes Assessment und Austauschmodell.
Der Geschäftskontext entscheidet
Welche Anforderung relevant ist, hängt oft von Kunden, Lieferketten und vertraglichen Erwartungen ab. Ein pauschales besser oder schlechter greift zu kurz.
Gemeinsamkeiten sinnvoll nutzen
Viele organisatorische und technische Grundlagen überschneiden sich. Wer beide Anforderungen betrachtet, sollte deshalb ein gemeinsames Sicherheitsmanagement aufbauen statt zwei getrennte Welten zu pflegen.
FCTH-Prinzip: Informationssicherheit wird nicht besser, weil mehr Dokumente entstehen. Sie wird besser, wenn Menschen Risiken verstehen und daraus belastbare Entscheidungen und Maßnahmen machen können.
Vom Wissen in die Praxis.
Wenn das Thema gerade konkret bei euch auf dem Tisch liegt, findest du hier den passenden Einstieg.
Managementsysteme ansehen