TISAX Audit Vorbereitung: Was VDA ISA von Ihrer Netzwerksicherheit verlangt – und wie Zenarmor die Nachweise liefert

Ein TISAX-Audit ist ein Assessment durch einen von ENX zugelassenen Prüfdienstleister auf Basis des VDA ISA-Katalogs. Wenn Sie bestehen, erhalten Sie TISAX-Labels und teilen diese über das ENX-Portal mit Ihren Kunden aus der Automobilindustrie. Gerade bei der Netzwerksicherheit verlieren viele Zulieferer Punkte. Typisch sind ein flaches Netz, in dem Büro, Produktion und Prüfstände sich gegenseitig erreichen, Fernzugriffe ohne starke Authentisierung und Protokolle, die zwar anfallen, aber nie ausgewertet werden. Dieser Leitfaden zeigt, was die VDA ISA konkret fordert und welche Nachweise ein Auditor sehen will. Außerdem erfahren Sie, wie Zenarmor diese Nachweise liefert, umgesetzt von Secrotec als offiziellem Zenarmor-Partner in den Niederlanden.

Secrotec ist als unabhängiger ISO 27001 Lead Auditor tätig und implementiert zugleich Zenarmor. Wir sind kein von ENX zugelassener TISAX-Prüfdienstleister und vergeben keine Labels. Unsere Aufgabe ist die Vorbereitung: Readiness, Umsetzung von Maßnahmen und eine saubere Nachweisführung, damit das offizielle Assessment reibungslos läuft.

Das Wichtigste in Kürze

• TISAX führt zu Labels, nicht zu einem Zertifikat. Die Labels gelten drei Jahre, jährliche Überwachungsaudits gibt es nicht.
• Assessments, die bis zum 31. Dezember 2026 beauftragt werden, laufen noch nach VDA ISA 6. Ab dem 1. Januar 2027 gilt ISA2027.
• Die wichtigsten netzwerkbezogenen Controls sind 5.2.7 Netzwerkmanagement, 5.2.3 Schutz vor Schadsoftware, 5.2.4 Protokollierung, 5.1.2 Informationsübertragung, 2.1.4 mobiles Arbeiten, 4.1.2 Authentisierung, 5.3.2 Netzwerkdienste und 1.3.3/1.3.4 freigegebene externe Dienste und Software.
• Eine Firewall macht Sie nicht konform. Sie liefert aber die technischen Nachweise, sofern die Prozesse dahinter Reifegrad 3 erreichen.

Was ist TISAX®?

TISAX® steht für Trusted Information Security Assessment Exchange. Betrieben wird das Verfahren von der ENX Association, die inhaltlichen Anforderungen stammen aus dem Fragenkatalog VDA ISA (Information Security Assessment) des Verbands der Automobilindustrie. Das Prinzip: Sie lassen sich einmal prüfen und stellen das Ergebnis allen Kunden in der Lieferkette zur Verfügung. Ohne TISAX müssten Sie für jeden OEM einen eigenen Fragebogen beantworten oder ein eigenes Audit durchlaufen.

Bei der Begrifflichkeit lohnt sich Genauigkeit. Umgangssprachlich ist oft von einer „TISAX-Zertifizierung“ die Rede, das Ergebnis ist aber kein Zertifikat, sondern ein Satz von TISAX-Labels. Sie teilen diese Labels im ENX-Portal gezielt mit einzelnen Partnern. Laut dem TISAX Participant Handbook (Version 2.8) von ENX sind Labels grundsätzlich drei Jahre gültig. Danach durchlaufen Sie den Prozess erneut. Jährliche Überwachungsaudits wie bei ISO 27001 kennt TISAX nicht.

Wer verlangt TISAX?

Fahrzeughersteller (OEMs) und große Tier-1-Zulieferer verlangen TISAX von allen Partnern, die ihre vertraulichen Informationen, Prototypen oder personenbezogenen Daten verarbeiten. Das betrifft nicht nur klassische Teilelieferanten, sondern ebenso Engineering-Dienstleister, Softwarehäuser, Prüflabore, Fotostudios und Logistiker. Auch viele niederländische und belgische Unternehmen gehören dazu, weil sie für deutsche OEMs oder deren Zulieferer arbeiten.

Ein konkretes Beispiel: Daimler Truck verlangt seit 2025 von allen Lieferanten von Produktionsmaterial ein TISAX-Label mit Assessment Level 3. Bei einem neuen Vertrag oder einer Vertragsverlängerung kann eine angemessene Übergangsfrist vereinbart werden (Daimler Truck Supplier Portal). Erhalten Sie eine solche Anforderung, steht darin in der Regel genau, welche Labels und welches Level gefordert sind.

VDA ISA 6 und der Wechsel auf ISA2027

Für Assessments, die seit dem 1. April 2024 beauftragt wurden, gilt VDA ISA 6. Der Katalog besteht aus drei Modulen: Informationssicherheit, Prototypenschutz und Datenschutz. Jedes Control wird mit einem Reifegrad von 0 bis 5 bewertet. Der Zielreifegrad ist 3 („etabliert“): Der Prozess ist festgelegt, dokumentiert, wird in der gesamten Organisation angewendet und in seiner Wirksamkeit überwacht.

Der VDA hat am 1. Juli 2026 ISA2027 veröffentlicht. Laut ENX gilt ISA2027 für alle TISAX-Assessments, die ab dem 1. Januar 2027 beauftragt werden. Bestehende Labels bleiben für ihre volle Laufzeit gültig. Neu ist ein jährlicher Release-Zyklus, bei dem jede Version nach dem Jahr benannt wird, in dem sie verbindlich wird. Die größte Umstrukturierung betrifft den Prototypenschutz: Fünf Control-Gruppen wurden zu zwei Domänen zusammengefasst, nämlich organisatorische Anforderungen sowie physische und umgebungsbezogene Sicherheit.

Was das praktisch bedeutet: Die Control-Nummern in diesem Beitrag stammen aus ISA 6 und können sich in ISA2027 verschieben. Ordnen Sie Ihre Nachweise deshalb nach dem Inhalt eines Controls (Netzwerkmanagement, Protokollierung, Authentisierung) und nicht nur nach der Nummer. Wer sein Assessment noch 2026 beauftragt, wird nach ISA 6 geprüft.

Assessment Level, Labels, Kosten und Zeitplan

TISAX unterscheidet drei Assessment Level. AL1 ist eine reine Selbstauskunft mit geringem Vertrauensniveau und wird in TISAX nicht verwendet. Bei AL2 prüft der Auditor Ihre Selbsteinschätzung und Nachweise auf Plausibilität, in der Regel remote. Optional ist eine vollständige Remote-Prüfung möglich, die im Handbuch auch als „AL 2.5“ bezeichnet wird. Bei AL3 verifiziert der Auditor alles gründlich, mit Vor-Ort-Begehung, Interviews und Beobachtung der Prozesse. Welches Level Sie benötigen, ergibt sich aus den Labels, die Ihr Kunde verlangt:

Label (Assessment Objective)	Modul	Assessment Level
Confidential	Informationssicherheit	AL2
Strictly confidential	Informationssicherheit	AL3
High availability	Informationssicherheit	AL2
Very high availability	Informationssicherheit	AL3
Proto parts / Proto vehicles	Prototypenschutz	AL3
Test vehicles / Proto events	Prototypenschutz	AL2 (seit 1. Januar 2025)
Data	Datenschutz	AL2
Special data	Datenschutz	AL3

Ein höheres Level deckt das niedrigere automatisch ab. ENX weist im Handbuch darauf hin, dass der Gesamtaufwand für AL3 nicht zwingend höher ist als für AL2. Weil der Auditor bei AL2 nicht vor Ort ist, muss Ihre Dokumentation oft präziser sein.

Was kostet TISAX?

Die Kosten setzen sich aus drei Teilen zusammen. Alle Angaben sind Richtwerte und verstehen sich ohne Umsatzsteuer:

Kostenblock	Richtwert	Quelle / Hinweis
ENX-Registrierung	405 € je Standort und Scope, einmalig	ENX-Preisliste. Mengenstaffel ab fünf Standorten, keine laufenden Gebühren während der Gültigkeit
Assessment AL2	ca. 3.500 – 15.000 €	Abhängig von Größe, Standorten und Prüfdienstleister (Secjur, Docusnap)
Assessment AL3	ca. 6.500 – 35.000 € zzgl. Reisekosten	Gleiche Quellen; mehrere Standorte erhöhen den Preis
Vorbereitung und Maßnahmen	Stark unterschiedlich	Interne Stunden, externe Unterstützung und technische Maßnahmen (Firewall, Segmentierung, Logging). Secjur schätzt das Gesamtprojekt für ein KMU mit einem Standort auf etwa 28.000 – 51.000 €.

Zeitplan: Unternehmen mit einem gelebten ISMS (etwa nach ISO 27001) sind oft innerhalb weniger Monate bereit für das Assessment. Ohne ISMS sind sechs bis zwölf Monate realistischer. Hinzu kommen die Verfügbarkeit des Prüfdienstleisters und bis zu neun Monate für Korrekturmaßnahmen. Das sind Faustregeln; Ihre Ausgangslage bestimmt das Tempo.

TISAX vs. ISO 27001 vs. NIS2

Viele Zulieferer haben es mit allen drei Rahmenwerken zu tun. Sie überschneiden sich stark, sind aber nicht dasselbe:

	TISAX	ISO 27001	NIS2
Charakter	Prüf- und Austauschverfahren der Automobilindustrie	Internationale, zertifizierbare Norm für ein ISMS	EU-Richtlinie, in Deutschland umgesetzt durch das NIS2UmsuCG (in Kraft seit 6. Dezember 2025), in den Niederlanden durch die Cyberbeveiligingswet (seit 15. August 2026)
Wer fordert es	OEMs und Zulieferer der Automobilkette	Kunden und Ausschreibungen in allen Branchen	Der Gesetzgeber, für wichtige und besonders wichtige Einrichtungen
Kriterien	VDA ISA (Reifegrade 0–5, Ziel 3), inklusive Prototypenschutz	Kapitel 4–10 plus 93 Controls aus Anhang A	Risikomanagementmaßnahmen (Art. 21) und Meldepflichten (Art. 23)
Wer prüft	Von ENX zugelassener Prüfdienstleister	Akkreditierte Zertifizierungsstelle	Nationale Aufsichtsbehörde (in Deutschland das BSI)
Ergebnis	Labels im ENX-Portal, drei Jahre gültig	Zertifikat, drei Jahre gültig mit jährlichen Überwachungsaudits	Kein Zertifikat; Aufsicht und Durchsetzung

Die Herstellung von Kraftwagen und Kraftwagenteilen (NACE C29) ist in Anhang II der NIS2-Richtlinie aufgeführt. Mittlere und große Unternehmen der Automobilbranche können daher auch gesetzlich betroffen sein. ENX kam in einer Analyse vom Juli 2025 zu dem Ergebnis, dass TISAX auf Basis von ISA 6 alle relevanten NIS2-Anforderungen adressiert. Die nationalen Meldepflichten gegenüber Behörden und CSIRTs müssen Sie jedoch gesondert regeln. Mehr zum Zusammenspiel finden Sie unter ISO 27001 und NIS2 und in unserer NIS2- und Compliance-Unterstützung.

TISAX Firewall-Anforderungen: Was die VDA ISA an Netzwerksicherheit fordert und wie Sie es nachweisen

Das ist der Kern dieses Beitrags. Die folgende Tabelle ordnet die netzwerkbezogenen ISA 6-Controls den Erwartungen eines Auditors, dem technischen Beitrag von Zenarmor und den vorzeigbaren Nachweisen zu. Zenarmor arbeitet als Next-Generation-Firewall-Schicht, unter anderem auf OPNsense. Endpoint-Agenten, ZTNA und zentrales Management über Zenconsole sind optionale Erweiterungen.

ISA 6-Control	Was der Auditor sehen will	Wie Zenarmor unterstützt	Nachweise, die Sie vorlegen können
5.2.7 Netzwerkmanagement	Netzwerksegmentierung nach Schutzbedarf (Büro, Produktion, Test/Entwicklung, Gäste, IoT); kontrollierter und überwachter Verkehr zwischen Zonen; Erkennung lateraler Bewegungen und von Datenabfluss	Richtlinien je Interface, VLAN, Gerät, Benutzer, Gruppe und Zeitplan; Anwendungs- und Sicherheitsregeln zwischen Zonen; Geräteerkennung	Netzplan mit Zonenmodell, exportierte Richtlinienkonfiguration, Bericht über erlaubten und blockierten Verkehr zwischen Segmenten, Review-Protokoll
5.2.3 Schutz vor Schadsoftware	Schutz am Gateway und auf Endgeräten, risikobasiert auch für verschlüsselten Verkehr; aktuelle Signaturen; Behandlung von Funden	Security Rules (Malware, Phishing, Botnet-C&C, neu registrierte Domains), Cloud Threat Intelligence, IPS, TLS-Inspektion mit begründeter Bypass-Liste	Konfiguration der Sicherheitsregeln, Bedrohungsberichte, TLS-Richtlinie mit dokumentierten Ausnahmen, Incident-Tickets
5.2.4 Protokollierung	Welche Ereignisse protokolliert werden, wie lange, wie geschützt, und wer sie regelmäßig auswertet	Lokales Reporting (Elasticsearch/SQLite) oder Cloud-Reporting mit Speicherregion Niederlande oder Deutschland; Streaming an SIEM/Syslog; Audit-Trail administrativer Änderungen in Zenconsole	Logging-Konzept mit Aufbewahrungsfristen, SIEM-Dashboards, geplante Berichte, Protokolle der Log-Auswertung, Export des Audit-Trails
5.1.2 Informationsübertragung	Regeln für die Übertragung von Informationen nach Klassifizierung; nur freigegebene Kanäle	CASB-Regeln (ab SSE), die Upload, Teilen oder Download zu nicht freigegebenen Cloud-Diensten blockieren; Webkategorien für Filesharing und Webmail. Hinweis: keine inhaltsbasierte DLP	Richtlinie „freigegebene Übertragungswege“, Screenshot der CASB-Regeln, Bericht über blockierte Uploads
2.1.4 Mobiles Arbeiten	Gesicherter Zugang außerhalb des Firmengeländes mit starker Authentisierung; gleiches Schutzniveau wie vor Ort	Endpoint-Agenten (Windows, macOS, Linux, iOS, Android) setzen die Richtlinie auch unterwegs durch; ZTNA-Mesh mit Device-Posture-Checks	Richtlinie für mobiles Arbeiten, Rollout-Bericht der Agenten (z. B. über Intune), ZTNA-Zugriffsrichtlinie, Konfiguration der Posture-Checks
4.1.2 Authentisierung	Gesicherter Benutzerzugang zu Netzwerkdiensten und Systemen; MFA für kritische Zugriffe; identitätsbasierte Berechtigungen	Benutzer- und Gruppenrichtlinien über Entra ID, Google Workspace, Okta oder SAML 2.0, LDAP-Gruppen und Captive Portal; MFA wird im Identity Provider erzwungen	Conditional-Access-Richtlinie mit MFA, benutzerbezogene Zenarmor-Richtlinien, Auswertung je Benutzer
5.3.2 Netzwerkdienste	Definierte Anforderungen an Netzwerkdienste (Verfügbarkeit, Sicherheit, SLAs); Redundanz für kritische Verbindungen	Hochverfügbarkeit auf OPNsense, zentrales Management, Konfigurationssicherungen	Anforderungsdokument für Netzwerkdienste, HA-Konfiguration, Protokoll eines Failover-Tests, SLA des Providers
1.3.3 / 1.3.4 Freigegebene externe Dienste und Software	Nur bewertete und freigegebene IT-Dienste und Software im Einsatz; Transparenz über Schatten-IT	Anwendungskontrolle mit einer Datenbank von über 5.000 Anwendungen, Berichte über genutzte Cloud-Apps, Sperren nicht freigegebener Kategorien	Liste freigegebener Dienste, App-Nutzungsbericht, Richtlinie für gesperrte Apps, regelmäßiges Review

Vertiefung je Thema: Netzwerksegmentierung für NIS2 und ISO 27001, Logging und Reporting als Audit-Nachweis, Anwendungskontrolle und Schatten-IT, TLS-Inspektion (inklusive DSGVO und Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG) und CASB gegen unerwünschte Uploads.

Tools unterstützen, Prozesse bringen den Reifegrad

Ein verbreiteter Denkfehler lautet: „Wir haben eine Next-Generation-Firewall, also ist 5.2.7 grün.“ Ein Auditor bewertet jedoch den Reifegrad. Reifegrad 3 bedeutet, dass der Prozess festgelegt ist, organisationsweit angewendet und in seiner Wirksamkeit überwacht wird. Für die Netzwerksicherheit heißt das unter anderem:

• ein Verantwortlicher für jede Firewall-Regel und jede Zone, mit dokumentierter Begründung;
• Änderungen laufen über das Change-Management und sind im Audit-Trail nachvollziehbar;
• regelmäßige Reviews von Regeln, Ausnahmen (etwa der TLS-Bypass-Liste) und Protokollen, mit schriftlichem Ergebnis;
• ein klarer Bezug zu Ihrer Risikoanalyse, der begründet, warum Sie diese Segmentierung und diese Aufbewahrungsfrist gewählt haben.

Zenarmor liefert die technische Maßnahme und die Nachweise. Den Prozess darum herum gestalten Sie selbst, auf Wunsch mit Unterstützung von Secrotec.

Prototypenschutz und OT-/Produktionsnetze

Wenn Sie mit Prototypen, Erprobungsfahrzeugen oder vertraulichen Konstruktionsdaten arbeiten, kommt das Modul Prototypenschutz hinzu. Es regelt vor allem physische und organisatorische Sicherheit, etwa Sicherheitszonen, Zutrittskontrolle, Fotografierverbote und Sichtschutz. Das Netzwerk spielt trotzdem eine Rolle:

• Trennung von Produktions- und Testnetzen. ISA 6 nennt ausdrücklich die Trennung von Netzen mit unterschiedlichem Zweck, etwa Test- und Entwicklungsnetze, Büronetz und Produktionsnetze. Ein Prüfstand mit CAD-Daten gehört nicht in dasselbe Segment wie das Gäste-WLAN.
• Geräteerkennung. In Produktionsnetzen finden sich oft IoT- und OT-Geräte, die niemand dokumentiert hat. Zenarmor erkennt Geräte und Gerätekategorien. So können Sie Richtlinien je Gerätetyp anwenden und ein aktuelles Inventar nachweisen.
• Fernzugriff für Techniker und Maschinenbauer. Ersetzen Sie dauerhafte VPN-Tunnel und spontan installierte Fernwartungstools durch identitätsbasierten Zugriff (ZTNA), MFA über Ihren Identity Provider, zeitgesteuerte Richtlinien und eine Protokollierung jeder Sitzung.

Bleiben Sie dabei realistisch. Zenarmor schützt in erster Linie die Grenze zwischen IT- und OT-Zonen. Es ist keine spezialisierte OT-Monitoring-Lösung für die Tiefenanalyse industrieller Protokolle; dafür können zusätzliche Werkzeuge nötig sein.

So bereiten Sie sich vor: ein praxisnaher 90-Tage-Plan

Vorab ein wichtiger Hinweis. ENX rät im Participant Handbook davon ab, bei einem Prüfdienstleister ein „Pre-Assessment“ oder eine „Gap-Analyse“ zu beauftragen. In fast allen Fällen sei es sinnvoller, direkt mit dem eigentlichen Assessment zu beginnen. Ein Prüfdienstleister, der Sie beraten hat, darf Sie zudem nicht mehr prüfen. Die Vorbereitung ist deshalb Ihre eigene Aufgabe, gegebenenfalls mit einem unabhängigen Berater. Unser Plan ist folglich kein Schatten-Assessment. Wir arbeiten von der verpflichtenden Selbsteinschätzung aus auf nachweisbare Maßnahmen hin.

Die Rolle von Secrotec: Vorbereitung und Umsetzung, kein Assessment

Das offizielle TISAX-Assessment darf ausschließlich ein von ENX zugelassener Prüfdienstleister durchführen. Secrotec unterstützt Sie davor und danach:

Secrotec übernimmt	Secrotec übernimmt nicht
Gap-Review Ihrer Selbsteinschätzung gegen die VDA ISA (siehe unser Vorgehen bei der Gap-Analyse)	Die Durchführung des TISAX-Assessments
Unterstützung bei Selbsteinschätzung und Nachweisordner	Die Vergabe oder Zusage von TISAX-Labels
Aufbau von ISMS-Prozessen und Maßnahmen	Ein „Pre-Assessment“ im Namen eines Prüfdienstleisters
Konzeption und Implementierung von Zenarmor, so konfiguriert, dass Audit-Nachweise entstehen	Garantien für das Ergebnis des Assessments
Unabhängiges internes Audit und Unterstützung beim Korrekturmaßnahmenplan	Beratung und Prüfung in einer Hand

Unser Unterschied: Wir sind Auditor und Umsetzer zugleich. Als ISO 27001 Lead Auditor wissen wir, welche Nachweise ein Auditor sucht. Als offizieller Zenarmor-Partner in den Niederlanden (gelistet auf der Zenarmor-Partnerseite) richten wir die Technik so ein, dass diese Nachweise ganz selbstverständlich entstehen. Wenn Sie bereits ein ISMS betreiben oder ein NIS2-Projekt läuft, setzen wir darauf auf.

Warum Zenarmor für TISAX-pflichtige Zulieferer?

Viele Automobilzulieferer sind Mittelständler mit einem oder wenigen Standorten. Für sie ist ein Enterprise-Security-Stack oft überdimensioniert, sowohl beim Preis als auch beim Betriebsaufwand. Zenarmor passt aus vier Gründen besser:

• Kosteneffizient. Unified Secure beginnt bei einem Listenpreis von 5,00 US-Dollar je Benutzer und Monat für 10–49 Benutzer (Zenarmor-Pläne, Stand Oktober 2026, zzgl. USt., ohne Gewähr). Über Secrotec erhalten Sie zusätzlich einen Partnerrabatt, und in Zenarmor-Projekten ist der Preis immer verhandelbar. Siehe unseren Preisvergleich mit Fortinet, Sophos und anderen.
• Kein Hardware-Lock-in. Zenarmor läuft auf OPNsense, auf vorhandener x86-Hardware oder als VM (Proxmox, Hyper-V, VMware). Sie investieren in Richtlinien und Nachweise statt in neue Appliances.
• Datenhaltung in der EU. Cloud-Reporting-Daten lassen sich in der Region Niederlande oder Deutschland speichern. Das hilft bei der DSGVO und beim Modul Datenschutz.
• Eine Richtlinie für alle Standorte und Benutzer. Zenconsole verwaltet Gateways, Agenten und ZTNA zentral, mit Audit-Trail. Siehe unsere Leistungen Firewall & Netzwerke und den Überblick zu SSE, ZTNA und CASB.

Secrotec liefert Zenarmor-Lizenzen und -Projekte in ganz Europa und hat zufriedene Zenarmor-Kunden in der gesamten Europäischen Union. Besuchen Sie die Zenarmor-Partnerseite mit Partnerrabatt oder starten Sie mit einer kostenlosen 15-tägigen Testphase.