Certyfikacja TISAX: przygotujemy firmę do oceny, zanim klient zapyta o etykietę

TISAX (Trusted Information Security Assessment Exchange) to standard oceny bezpieczeństwa informacji w branży motoryzacyjnej. Prowadzi go ENX Association, a wymagania opisuje katalog VDA ISA. Firma przechodzi ocenę u audytora zatwierdzonego przez ENX i udostępnia wynik swoim klientom w portalu ENX, zamiast przechodzić osobny audyt u każdego z nich.

Formalnie nie. Potocznie mówi się o certyfikacji TISAX, ale wynikiem pozytywnej oceny jest etykieta TISAX, ważna trzy lata. ENX nie wydaje certyfikatu do powieszenia na ścianie. Klienci sprawdzają etykietę w portalu ENX, gdzie firma sama decyduje, komu i w jakim zakresie udostępnia wynik.

Firmy, od których wymaga tego klient z branży motoryzacyjnej: producent samochodów albo większy dostawca. Najczęściej dotyczy to dostawców części, biur konstrukcyjnych, firm IT, logistyki i agencji, które mają dostęp do poufnych informacji klienta, prototypów lub danych osobowych. Przepis prawa nie nakłada TISAX na nikogo, obowiązek wynika z umowy.

ENX nie podaje jednego czasu, bo zależy on od wielkości firmy, wymaganych etykiet i dojrzałości tego, co już działa. Audytorzy podają, że większość firm przechodzi pierwszy cykl w kilka miesięcy. Trzeba też pamiętać, że poziom dojrzałości 3 wymaga dowodów stosowania procesów przez dłuższy czas, więc przygotowania nie da się skrócić do kilku dni przed oceną. Realny termin podajemy po analizie luk.

Na koszt składają się trzy części: opłata rejestracyjna ENX, wynagrodzenie audytora za ocenę oraz praca wewnątrz firmy i ewentualne wsparcie zewnętrzne. Opłatę ENX pobiera niezależnie od wyniku oceny. Cena oceny zależy od poziomu (AL2 lub AL3), liczby lokalizacji i zakresu. Naszą cenę za przygotowanie podajemy po rozmowie, gdy znamy wymagane etykiety i stan firmy.

Przy AL2 audytor sprawdza wiarygodność samooceny, przegląda dowody i rozmawia z osobą odpowiedzialną za bezpieczeństwo informacji, zwykle zdalnie. Przy AL3 weryfikuje wszystko szczegółowo i przyjeżdża na miejsce. AL3 jest wymagany między innymi przy etykietach Strictly confidential, Very high availability, Special data i przy przechowywaniu prototypów na miejscu.

Tak, bo katalog VDA ISA opiera się na tych samych zasadach co ISO/IEC 27001, a działający system zarządzania bezpieczeństwem informacji to duża część pracy. TISAX ma jednak inaczej określany zakres oceny i dodatkowe wymagania branżowe, na przykład ochronę prototypów. Zaczynamy wtedy od porównania i uzupełniamy tylko różnice.

Ocenę przeprowadza niezależny audytor zatwierdzony przez ENX Association, tak wymagają zasady TISAX. Mageek prowadzi firmę przez całe przygotowanie, pomaga wybrać audytora i porównać oferty, jest obok w trakcie oceny i domyka z firmą działania korygujące.

Firma przygotowuje plan działań korygujących i ma maksymalnie dziewięć miesięcy od zakończenia oceny wstępnej, żeby je usunąć. Przy niewielkich niezgodnościach i zatwierdzonym planie można dostać etykiety tymczasowe, które klient zwykle akceptuje na czas poprawek. Przy poważnych niezgodnościach trzeba je najpierw usunąć.

ISA2027 dotyczy ocen zamówionych od 1 stycznia 2027 roku. Upraszcza ochronę prototypów do dwóch etykiet, doprecyzowuje wymagania bezpieczeństwa informacji, zaostrza wymagania wobec dostawców przy wysokim poziomie ochrony i aktualizuje odwołania do ISO/IEC 27001:2022. Ważne etykiety pozostają ważne do końca swojego terminu.

Analizę luk, wdrożenie dostępów, dokumenty i samoocenę prowadzimy głównie zdalnie, a na miejscu jesteśmy wtedy, gdy wymaga tego zakres. Przy ocenie AL3 i ochronie prototypów zabezpieczenia fizyczne wdrażamy z wyspecjalizowanymi partnerami.