TISAX® vs. ISO 27001: Was ist der Unterschied – und was brauchen Sie?

Ein Automobilzulieferer schickt seinem Kunden stolz sein ISO 27001-Zertifikat. Das Informationssicherheitsmanagementsystem ist geprüft, das Zertifikat gültig und die Freude berechtigt.

Die Antwort aus dem Einkauf kommt trotzdem ziemlich trocken:

„Vielen Dank. Wir benötigen allerdings TISAX®.“

Das Unternehmen ist irritiert. „Aber das ist doch im Grunde dasselbe!“

Im Grunde ist eine Limousine auch ein Auto und ein Transporter ebenfalls. Versuchen Sie trotzdem einmal, mit der Limousine sechs Europaletten auszuliefern. Verwandt ist nicht automatisch austauschbar.

Die kurze Antwort

ISO 27001 und TISAX® behandeln beide Informationssicherheit und bauen auf einem Informationssicherheitsmanagementsystem auf. Viele organisatorische und technische Anforderungen überschneiden sich deshalb erheblich.

Dasselbe sind sie trotzdem nicht:

• ISO 27001 ist eine international anwendbare Norm für Informationssicherheitsmanagementsysteme. Ein Unternehmen kann sich danach durch eine akkreditierte Zertifizierungsstelle zertifizieren lassen.
• TISAX® ist ein von der ENX Association betriebener Assessment- und Austauschmechanismus für Informationssicherheit, insbesondere in der Automobilindustrie. Das Ergebnis sind TISAX®-Labels, die ein Unternehmen gezielt mit anderen Teilnehmern teilt.

Ein ISO 27001-Zertifikat ersetzt daher nicht automatisch das verlangte TISAX®-Ergebnis. Ein TISAX®-Label ersetzt umgekehrt auch kein ausdrücklich gefordertes ISO 27001-Zertifikat.

Die gute Nachricht lautet: Wer eines der beiden Systeme sauber aufgebaut hat, muss für das andere normalerweise nicht noch einmal bei null anfangen.

Was ist ISO 27001?

ISO 27001 ist die international bekannteste Norm für Informationssicherheitsmanagementsysteme, kurz ISMS. Sie kann von Unternehmen jeder Größe und aus jeder Branche angewendet werden.

Die Norm verlangt unter anderem, dass ein Unternehmen:

• seinen Kontext und die relevanten Anforderungen interessierter Parteien versteht;
• den Anwendungsbereich seines ISMS festlegt;
• Rollen und Verantwortlichkeiten bestimmt;
• Informationssicherheitsrisiken systematisch identifiziert, bewertet und behandelt;
• Informationssicherheitsziele festlegt;
• notwendige Ressourcen und Kompetenzen bereitstellt;
• Prozesse steuert und deren Wirksamkeit bewertet;
• Interne Audits und Managementbewertungen durchführt;
• Nichtkonformitäten behandelt und das ISMS fortlaufend verbessert.

Hinzu kommt Anhang A mit 93 möglichen Informationssicherheitsmaßnahmen. Welche Maßnahmen das Unternehmen benötigt, leitet es aus seinen Risiken und Anforderungen ab und dokumentiert die Auswahl in der Anwendbarkeitserklärung. Typischerweise alle.

Die Details dazu erklären wir in unseren Artikeln zum ISO 27001-Risikomanagement und zur Anwendbarkeitserklärung.

Eine unabhängige Zertifizierungsstelle prüft das ISMS. Bei erfolgreicher Zertifizierungsentscheidung erhält das Unternehmen ein ISO 27001-Zertifikat für den festgelegten Anwendungsbereich.

Was ist TISAX®?

TISAX® steht für Trusted Information Security Assessment Exchange. Der Name beschreibt bereits den entscheidenden Gedanken: Informationen über ein Prüfungsergebnis sollen nicht für jeden Kunden erneut durch ein eigenes Lieferantenaudit erhoben werden müssen. Das Unternehmen lässt sich einmal prüfen und kann das Ergebnis anschließend gezielt mit Geschäftspartnern im ENX-Portal teilen.

TISAX® ist deshalb streng genommen keine klassische Zertifizierung. Unternehmen sagen im Alltag trotzdem oft „Wir sind TISAX®-zertifiziert“. Fachlich genauer wäre:

„Wir haben ein TISAX®-Assessment erfolgreich durchlaufen und verfügen über die benötigten TISAX®-Labels.“

Grundlage des Assessments ist der Information Security Assessment-Katalog, kurz ISA. Er wird vom Verband der Automobilindustrie veröffentlicht und greift wesentliche Aspekte der ISO 27001 auf. Darüber hinaus berücksichtigt er die besonderen Anforderungen der Automobilindustrie. Die jeweils aktuellen und kommenden Fassungen stellt ENX im offiziellen Downloadbereich bereit.

Der ISA besteht nicht einfach aus den Kapiteln der ISO 27001 und einer Kopie von Anhang A (auch wenn er streckenweise sehr daran erinnert). Er arbeitet mit Kriterienkatalogen, Kontrollfragen, Anforderungen und Reifegraden. Je nach Assessment Objective können neben der allgemeinen Informationssicherheit auch Anforderungen an Prototypenschutz oder Datenschutz relevant werden.

Was ist bei TISAX® und ISO 27001 gleich?

Wer beide Regelwerke nebeneinanderlegt, erkennt schnell die gemeinsame Managementsystem-DNA.

Beide verlangen ein funktionierendes ISMS

Weder ISO 27001 noch TISAX® lassen sich sinnvoll auf eine Checkliste technischer Einstellungen reduzieren. Es geht nicht nur um Firewalls, Verschlüsselung und Mehrfaktorauthentifizierung.

Beide erwarten, dass Informationssicherheit organisiert wird:

• Verantwortlichkeiten müssen klar sein;
• Risiken müssen verstanden und behandelt werden;
• Richtlinien und Prozesse müssen zum Unternehmen passen;
• Mitarbeiter benötigen Kompetenz und Bewusstsein;
• Lieferanten und externe Leistungen müssen gesteuert werden;
• Sicherheitsvorfälle müssen behandelt werden;
• Maßnahmen müssen nicht nur beschlossen, sondern wirksam umgesetzt werden.

Ein hübsch ausgefüllter Fragebogen rettet kein Unternehmen, wenn im Gespräch niemand erklären kann, wie die angeblichen Regelungen tatsächlich funktionieren.

Viele Maßnahmen überschneiden sich

Bei beiden Themen begegnen Ihnen beispielsweise:

• Zugriffskontrolle und Berechtigungsmanagement;
• sichere Authentisierung;
• Asset Management;
• physische Sicherheit;
• Lieferantenmanagement;
• Backup und Wiederanlauf;
• Schwachstellen- und Patchmanagement;
• Protokollierung und Überwachung;
• Incident Management;
• Business Continuity;
• sichere Entwicklung;
• Dokumentenlenkung und Nachweisführung.

Deshalb kann ein vorhandenes ISO 27001-ISMS sehr viel Vorarbeit für ein TISAX®-Projekt liefern – und umgekehrt.. Richtlinien, Rollen, Risikomethodik, Assetverzeichnis und zahlreiche operative Prozesse müssen nicht ein zweites Mal erfunden werden. Sie müssen allerdings gegen die konkreten Anforderungen des jeweils anderen Regelwerks geprüft und bei Bedarf ergänzt werden.

Die wichtigsten Unterschiede zwischen TISAX® und ISO 27001

Die Gemeinsamkeiten sind groß. Für die Entscheidung eines Kunden sind aber häufig gerade die Unterschiede ausschlaggebend.

Unterschied 1: Weltweiter Standard oder Automotive-Nachweis

ISO 27001 ist branchenübergreifend. Das Zertifikat kann gegenüber Kunden, Behörden, Versicherern, Investoren und Geschäftspartnern aus sehr unterschiedlichen Märkten eingesetzt werden.

TISAX® ist aus dem Bedarf der Automobilindustrie entstanden. Besonders häufig wird es von Fahrzeugherstellern, Zulieferern und Dienstleistern verlangt, die sensible Informationen aus dieser Lieferkette verarbeiten.

Das bedeutet nicht, dass jedes Unternehmen mit einem Automobilkunden automatisch TISAX® benötigt. Entscheidend ist, was der konkrete Geschäftspartner verlangt und welche Informationen oder Leistungen betroffen sind.

Unterschied 2: Zertifikat oder TISAX®-Label

Bei ISO 27001 erhält das Unternehmen nach erfolgreicher Zertifizierungsentscheidung ein Zertifikat. Darauf stehen unter anderem das zertifizierte Unternehmen, der Anwendungsbereich und die zugrunde liegende Normfassung.

Bei TISAX® entstehen nach erfolgreichem Assessment TISAX®-Labels. Diese Labels fassen das Ergebnis für bestimmte Assessment Objectives (Prüfziele) zusammen. Das Unternehmen steuert im ENX-Portal, welchem Teilnehmer es welche Ergebnisinformationen zugänglich macht. Man kann sich das ungefähr so vorstellen, wie wenn Sie beim TÜV aussuchen können, ob bei Ihrem Auto nur die Bremsen, der Antrieb oder die Lampen geprüft werden – und Ihr Auto in Abhängigkeit des Prüfergebnisses bestimmte Freigaben bekommt: für Nachtfahrten, für Fahrten im Gebirge usw. Und: diese Ergebnisse sind nur für potenzielle Auftraggeber sichtbar, nicht für jedermann.

Genau dieser kontrollierte Ergebnisaustausch ist ein Kern des Verfahrens. TISAX® soll verhindern, dass derselbe Lieferant für fünf Automobilkunden fünf weitgehend gleiche Prüfungen über sich ergehen lassen muss.

Unterschied 3: Anhang A und SoA oder ISA und Reifegrade

ISO 27001 verbindet das eigene Risikomanagement mit Anhang A. Das Unternehmen bestimmt seine notwendigen Maßnahmen, vergleicht sie mit den 93 Maßnahmen aus Anhang A und dokumentiert das Ergebnis in der Anwendbarkeitserklärung.

TISAX® verwendet den ISA-Katalog. Das Unternehmen führt zunächst eine Selbsteinschätzung durch und bewertet den eigenen Reifegrad zu den anwendbaren Kontrollfragen. Ziel ist nicht nur, eine Regel vorweisen zu können. Die Regel soll angemessen etabliert, umgesetzt und wirksam sein.

Eine ISO 27001-Anwendbarkeitserklärung und eine TISAX®-Selbsteinschätzung sind deshalb nicht dasselbe Dokument. Beides kann sich gegenseitig hervorragend unterstützen – austauschbar ist es nicht.

Unterschied 4: Der Assessment Scope folgt einer anderen Logik

Bei ISO 27001 legt das Unternehmen den Anwendungsbereich seines ISMS fest. Dieser Scope kann beispielsweise die Herstellung eines Produkts, einen Geschäftsbereich, bestimmte Dienstleistungen oder das gesamte Unternehmen umfassen. Wie wichtig diese Entscheidung ist, erklären wir im Artikel zum Anwendungsbereich der ISO 27001.

Auch für TISAX® braucht das Unternehmen ein ISMS. Der Assessment Scope folgt jedoch einer stärker vorgegebenen TISAX®-Logik und ist häufig standortbezogen. Das Teilnehmerhandbuch unterscheidet ausdrücklich zwischen dem Scope des ISMS und dem Scope des TISAX®-Assessments. Beide müssen nicht identisch sein; der Assessment Scope muss aber innerhalb des ISMS liegen.

Wer bereits ein ISO 27001-Zertifikat hat, sollte deshalb nicht einfach den vorhandenen Zertifikatsscope in das ENX-Portal abschreiben und hoffen, dass schon alles passen wird.

Unterschied 5: Assessment Objectives und Assessment Levels

Bei TISAX® ist zunächst zu klären, welches Assessment Objective (Prüfziele) der Geschäftspartner verlangt. Daraus ergibt sich dann nach hinterlegten Regel, welche Kriterien (umzusetzende Anforderungen) und welche Prüftiefe relevant sind.

Die Assessment Levels beschreiben die Methode und Vertrauensstufe der Prüfung:

• AL 1 ist im Wesentlichen eine Selbsteinschätzung für interne Zwecke. Solche Ergebnisse werden im eigentlichen TISAX®-Austausch nur sehr, sehr selten verwendet.
• AL 2 umfasst eine Plausibilitätsprüfung der Selbsteinschätzung, Nachweise und ein Expertengespräch, typischerweise per Webkonferenz.
• AL 3 ist eine umfassende Verifikation mit Dokumenten- und Nachweisprüfung, Interviews sowie Vor-Ort-Aktivitäten.

Wichtig ist: Der Kunde sollte normalerweise nicht einfach nur irgendein Assessment Level verlangen (manche tun dies jedoch aus Unkenntnis). Relevant ist das benötigte TISAX®-Label, das sich aus den dahinterstehenden Assessment Objectives (Prüfzielen) ableitet.

Unterschied 6: Prototypenschutz und Datenschutz

Der ISA enthält neben dem Kriterienkatalog Informationssicherheit auch eigene Kriterienkataloge für Prototypenschutz und Datenschutz. Quasi als Add-Ons.

Das ist ein sehr praktischer Unterschied. Wer getarnte Versuchsträger bewegt, Prototypenbauteile lagert, Testfahrten organisiert oder unveröffentlichte Fahrzeugdaten verarbeitet, hat Anforderungen, die in dieser Form nicht als eigenes Fachpaket in ISO 27001 vorkommen.

ISO 27001 kann solche Informationen selbstverständlich schützen. Sie liefert aber keinen speziell auf Fahrzeugprototypen zugeschnittenen Kriterienkatalog und kein entsprechendes TISAX®-Label.

Genau so ist es mit dem Spezial-Anforderungskatalog Datenschutz. Wer in der Automobilindustrie bspw. als Auftragsunternehmen für Kundenkommunikation, Eventgestaltung und ähnliche personendatenlastige Tätigkeiten unterwegs ist, muss den darauf zugeschnittenen Anforderungskatalog erfüllen. Auch hier: ISO 27001 bringt eine Standardanforderung (A.5.34) mit, die aber nur sehr generisch ist.

Unterschied 7: Prüfzyklus und Ergebnisaustausch

Eine ISO 27001-Zertifizierung läuft in einem Zertifizierungszyklus mit Erstzertifizierung, Überwachungsaudits und Rezertifizierung. Wie dieser Weg grundsätzlich aussieht, beschreiben wir im Artikel zum Ablauf der ISO 27001-Zertifizierung.

TISAX® verwendet keinen identischen Überwachungszyklus. TISAX®-Labels sind grundsätzlich drei Jahre gültig. Danach wird ein neues Assessment benötigt. Dazwischen gibt es nicht automatisch die jährlichen externen Überwachungsaudits, die man aus der ISO-Zertifizierung kennt.

Das bedeutet selbstverständlich nicht, dass das Unternehmen sein ISMS drei Jahre lang einmotten darf. Sicherheitsanforderungen, Risiken und Prozesse müssen weiterhin wirksam betrieben werden. Größere Änderungen des Assessment Scopes können zudem schon vorher relevant werden.

Ersetzt ISO 27001 ein TISAX®-Assessment?

Nein – jedenfalls nicht, wenn der Kunde ausdrücklich ein bestimmtes TISAX®-Label verlangt.

Ein ISO 27001-Zertifikat ist ein starker Nachweis für ein geprüftes Informationssicherheitsmanagementsystem. Es belegt aber weder das verlangte TISAX®-Assessment Objective noch ein TISAX®-Label im ENX-Portal.

Der Einkauf des Automobilkunden kann daher vollkommen zu Recht sagen:

„Das ISO 27001-Zertifikat ist schön. Unsere Lieferantenanforderung lautet trotzdem TISAX®.“

Das ist keine Aussage darüber, dass ISO 27001 schlechter wäre. Es ist schlicht ein anderer verlangter Nachweis.

Ersetzt TISAX® eine ISO 27001-Zertifizierung?

Ebenfalls nein.

Ein TISAX®-Assessment kann ein hohes Niveau der Informationssicherheit nachweisen. Es führt aber nicht zu einem ISO 27001-Zertifikat. Wenn eine Ausschreibung, ein Rahmenvertrag oder ein internationaler Kunde ausdrücklich eine akkreditierte ISO 27001-Zertifizierung verlangt, reicht der Hinweis auf vorhandene TISAX®-Labels normalerweise nicht aus.

Das gilt besonders außerhalb der Automobilindustrie. Dort ist ISO 27001 häufig bekannter und leichter einzuordnen, während ein TISAX®-Ergebnis möglicherweise gar nicht als geforderter Nachweis vorgesehen ist.

Wie viel lässt sich wiederverwenden?

Sehr viel – sofern das vorhandene System wirklich funktioniert.

Wer ISO 27001 bereits sauber umgesetzt hat, bringt typischerweise mit:

• ein ISMS mit Rollen und Verantwortlichkeiten;
• eine Risikomethodik und dokumentierte Risiken;
• geregelte Richtlinien und Prozesse;
• ein Assetverzeichnis;
• Lieferantensteuerung;
• operative Sicherheitsmaßnahmen;
• Interne Audits und Managementbewertung;
• Korrektur- und Verbesserungsprozesse;
• belastbare Nachweise.

Für TISAX® müssen diese Inhalte gegen den ISA und das konkrete Assessment Objective geprüft werden. Häufig liegen die zusätzlichen Arbeiten in der Reifegradbewertung, in spezifischen Nachweisen, in Scope-Fragen und – je nach Tätigkeit – im Prototypenschutz oder Datenschutz.

Umgekehrt kann ein gut aufgebautes TISAX®-ISMS eine sehr starke Grundlage für ISO 27001 sein. Für die Zertifizierung müssen dann insbesondere die vollständigen Anforderungen der ISO 27001, das formale Risikomanagement, die Anwendbarkeitserklärung und der gewählte Zertifizierungsscope sauber abgedeckt werden.

Und ja: Auch wenn viel wiederverwendet werden kann, brauchen beide Vorhaben intern Zeit. Welche Dokumente für ISO 27001 wirklich nötig sind, hängt nicht am Namen des Nachweises, sondern daran, was Ihr Managementsystem wirksam und prüfbar macht.

Welchen Nachweis braucht Ihr Unternehmen?

Die pragmatische Antwort lautet: zunächst denjenigen, den Ihr Markt verlangt.

ISO 27001 liegt näher, wenn:

• Sie Kunden aus unterschiedlichen Branchen bedienen;
• Ausschreibungen ausdrücklich ein ISO 27001-Zertifikat fordern;
• Sie einen international verständlichen Nachweis benötigen;
• Sie ein unternehmensweites oder produktbezogenes ISMS zertifizieren lassen möchten.

TISAX® liegt näher, wenn:

• ein Automobilhersteller oder Tier-1-Lieferant ein bestimmtes TISAX®-Label verlangt;
• Sie sensible Informationen aus der automobilen Lieferkette verarbeiten;
• Prototypenschutz eine Rolle spielt;
• Ergebnisse kontrolliert mit TISAX®-Teilnehmern ausgetauscht werden sollen.

Beides liegt nahe, wenn:

• Sie sowohl Automotive-Kunden als auch Kunden aus anderen Branchen bedienen;
• unterschiedliche Auftraggeber unterschiedliche Nachweise verlangen;
• Sie die gemeinsame ISMS-Grundlage einmal aufbauen und wirtschaftlich für beide Prüfungen nutzen möchten.

Was will der Prüfer sehen?

Bei beiden Verfahren will der Prüfer kein Dekorations-ISMS sehen. Richtlinien müssen zur Organisation passen, Prozesse müssen tatsächlich funktionieren und Nachweise müssen die behauptete Umsetzung tragen.

Im ISO 27001-Audit wird gegen die Anforderungen der Norm und den festgelegten Scope geprüft. Beim TISAX®-Assessment stehen der ISA, das Assessment Objective, der Assessment Scope und die entsprechende Prüfmethode im Mittelpunkt.

Feststellungen sollten dabei nicht als persönliche Kränkung verstanden werden. Unser Artikel über Nichtkonformitäten und Abweichungen erklärt, warum eine konkrete Anforderung und ein belastbarer Nachweis entscheidend sind – nicht der Geschmack des Prüfers.

Interesse geweckt?

Wenn Ihre Kunden ISO 27001, TISAX® oder beides verlangen, sollten Sie nicht zwei Managementsysteme nebeneinander bauen, die sich gegenseitig mit nahezu identischen Richtlinien bewerfen.

Wir prüfen mit Ihnen, welche Nachweise tatsächlich benötigt werden, wie der Scope sinnvoll geschnitten wird und welche vorhandenen Strukturen wiederverwendet werden können. Auch die Kosten eines TISAX®-Assessments hängen erheblich von Scope, Standorten, Assessment Level und internem Aufwand ab.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.