Préparer un audit TISAX : ce que le VDA ISA exige de votre sécurité réseau — et comment Zenarmor fournit les preuves

Un audit TISAX est une évaluation réalisée par un prestataire d'audit agréé par ENX, sur la base du catalogue VDA ISA. Si vous la réussissez, vous obtenez des labels TISAX, que vous partagez avec vos clients automobiles via le portail ENX. La sécurité réseau est l'un des domaines où de nombreux fournisseurs perdent des points. Les cas typiques sont un réseau « à plat » où bureaux, production et bancs d'essai communiquent librement, des accès à distance sans authentification forte, et des journaux qui existent mais ne sont jamais analysés. Ce guide explique ce que le VDA ISA exige concrètement et quelles preuves un auditeur attend. Il montre aussi comment Zenarmor vous aide à produire ces preuves, avec Secrotec comme partenaire officiel Zenarmor aux Pays-Bas.

Secrotec est un cabinet indépendant de Lead Auditor ISO 27001 et met également en œuvre Zenarmor. Nous ne sommes pas un prestataire d'audit TISAX agréé par ENX et nous ne délivrons aucun label. Notre rôle est la préparation : mise en conformité, déploiement des mesures et organisation des preuves, pour que l'évaluation officielle se déroule sans accroc.

L'essentiel en bref

• TISAX aboutit à des labels, pas à un certificat. Ils sont valables trois ans, sans audit de surveillance annuel.
• Les évaluations commandées avant le 1^er janvier 2027 suivent encore le VDA ISA 6. À partir de cette date, c'est l'ISA2027 qui s'applique.
• Les contrôles réseau les plus importants sont 5.2.7 gestion du réseau, 5.2.3 protection contre les logiciels malveillants, 5.2.4 journalisation, 5.1.2 transfert d'informations, 2.1.4 travail à distance, 4.1.2 authentification, 5.3.2 services réseau et 1.3.3/1.3.4 services et logiciels approuvés.
• Un pare-feu ne vous rend pas conforme. Il fournit en revanche les preuves techniques, à condition que les processus qui l'entourent atteignent le niveau de maturité 3.

Qu'est-ce que TISAX® ?

TISAX® signifie Trusted Information Security Assessment Exchange. Le dispositif est géré par l'ENX Association, une association de droit français dont les exigences de fond proviennent du catalogue VDA ISA (Information Security Assessment) de la fédération allemande de l'industrie automobile (VDA). Le principe : vous êtes évalué une seule fois et vous partagez le résultat avec tous vos clients de la chaîne d'approvisionnement. Sans TISAX, il faudrait répondre à un questionnaire ou accueillir un audit distinct pour chaque constructeur.

La terminologie compte. On parle souvent, à tort, de « certification TISAX », alors que le résultat est un ensemble de labels TISAX et non un certificat. Vous partagez ces labels avec des partenaires choisis dans le portail ENX. Selon le TISAX Participant Handbook (version 2.8) d'ENX, les labels sont en principe valables trois ans, après quoi vous refaites le processus. Contrairement à l'ISO 27001, TISAX ne prévoit pas d'audits de surveillance annuels.

Qui exige TISAX ?

Les constructeurs (OEM) et les grands équipementiers de rang 1 exigent TISAX de tous les partenaires qui traitent leurs informations sensibles, leurs prototypes ou leurs données personnelles. Sont concernés les fournisseurs de pièces, mais aussi les bureaux d'études, éditeurs de logiciels, laboratoires d'essais, studios photo et prestataires logistiques. Beaucoup d'entreprises belges, luxembourgeoises et néerlandaises en font partie, parce qu'elles travaillent pour des constructeurs allemands ou leurs fournisseurs.

Un exemple concret : depuis 2025, Daimler Truck exige de tous ses fournisseurs de matériel de production un label TISAX de niveau d'évaluation 3. Un délai de transition raisonnable peut être convenu lors d'un nouveau contrat ou d'une prolongation (Daimler Truck Supplier Portal). Si vous recevez une telle demande, elle précise en général les labels et le niveau requis.

VDA ISA 6 et le passage à l'ISA2027

Le VDA ISA 6 s'applique aux évaluations commandées depuis le 1^er avril 2024. Le catalogue comprend trois modules : Sécurité de l'information, Protection des prototypes et Protection des données. Chaque contrôle est noté selon un niveau de maturité de 0 à 5. Le niveau cible est 3 (« établi ») : le processus est défini, documenté, appliqué dans toute l'organisation et son efficacité est surveillée.

Le VDA a publié l'ISA2027 le 1^er juillet 2026. Selon ENX, l'ISA2027 s'applique à toutes les évaluations TISAX commandées à partir du 1^er janvier 2027. Les labels existants restent valables pendant toute leur durée. L'ISA2027 inaugure aussi un cycle de publication annuel, chaque version portant le nom de l'année où elle devient obligatoire. La principale restructuration concerne la protection des prototypes : cinq groupes de contrôles ont été fusionnés en deux domaines, les exigences organisationnelles d'une part et la sécurité physique et environnementale d'autre part.

Conséquence pratique : les numéros de contrôle cités dans cet article sont ceux de l'ISA 6 et peuvent changer dans l'ISA2027. Organisez donc vos preuves selon le contenu du contrôle (gestion du réseau, journalisation, authentification), et pas seulement selon son numéro. Si vous commandez votre évaluation en 2026, vous serez évalué sur l'ISA 6.

Niveaux d'évaluation, labels, coûts et calendrier

TISAX distingue trois niveaux d'évaluation (assessment levels). L'AL1 est une simple auto-évaluation à faible niveau de confiance ; il n'est pas utilisé dans TISAX. En AL2, l'auditeur vérifie la plausibilité de votre auto-évaluation et de vos preuves, généralement à distance. En AL3, l'auditeur vérifie tout en profondeur, avec visite sur site, entretiens et observation des processus. Le niveau dont vous avez besoin dépend des labels demandés par votre client :

Label (objectif d'évaluation)	Module	Niveau d'évaluation
Confidential	Sécurité de l'information	AL2
Strictly confidential	Sécurité de l'information	AL3
High availability	Sécurité de l'information	AL2
Very high availability	Sécurité de l'information	AL3
Proto parts / Proto vehicles	Protection des prototypes	AL3
Test vehicles / Proto events	Protection des prototypes	AL2 (depuis le 1er janvier 2025)
Data	Protection des données	AL2
Special data	Protection des données	AL3

Un niveau supérieur couvre automatiquement le niveau inférieur. ENX souligne dans son manuel que l'effort total pour un AL3 n'est pas forcément plus élevé que pour un AL2. Comme l'auditeur ne se déplace pas en AL2, votre documentation doit souvent être plus précise.

Combien coûte TISAX ?

Le coût se compose de trois éléments. Tous les montants sont indicatifs et hors TVA :

Poste de coût	Ordre de grandeur	Source / remarque
Inscription ENX	405 € par site et par périmètre, une seule fois	Grille tarifaire ENX. Tarif dégressif à partir de cinq sites, aucun frais récurrent pendant la validité
Évaluation AL2	env. 3 500 – 15 000 €	Selon la taille, le nombre de sites et le prestataire (Secjur, Docusnap)
Évaluation AL3	env. 6 500 – 35 000 € plus frais de déplacement	Mêmes sources ; plusieurs sites font monter le prix
Préparation et mesures	Très variable	Heures internes, accompagnement externe et mesures techniques (pare-feu, segmentation, journalisation). Secjur estime le projet complet d'une PME mono-site à environ 28 000 – 51 000 €.

Calendrier : une organisation disposant d'un SMSI opérationnel (par exemple ISO 27001) est souvent prête pour l'évaluation en quelques mois. Sans SMSI, six à douze mois sont plus réalistes. Il faut aussi tenir compte de la disponibilité du prestataire d'audit et de jusqu'à neuf mois pour les actions correctives. Ce sont des ordres de grandeur ; votre point de départ détermine le rythme.

TISAX, ISO 27001 et NIS2 : quelles différences ?

De nombreux fournisseurs sont concernés par les trois. Ils se recoupent largement, mais ne sont pas équivalents :

	TISAX	ISO 27001	NIS2
Nature	Mécanisme d'évaluation et d'échange propre à l'automobile	Norme internationale certifiable pour un SMSI	Directive européenne transposée en droit national (p. ex. loi NIS2 en Belgique depuis le 18 octobre 2024, Cyberbeveiligingswet aux Pays-Bas depuis le 15 août 2026)
Qui l'exige	Constructeurs et fournisseurs de la chaîne automobile	Clients et appels d'offres, tous secteurs	La loi, pour les entités essentielles et importantes
Critères	VDA ISA (maturité 0–5, cible 3), y compris la protection des prototypes	Chapitres 4 à 10 et 93 mesures de l'annexe A	Mesures de gestion des risques (art. 21) et notification des incidents (art. 23)
Qui évalue	Prestataire d'audit agréé par ENX	Organisme de certification accrédité	Autorité nationale de contrôle
Résultat	Labels dans le portail ENX, valables trois ans	Certificat valable trois ans, avec audits de surveillance annuels	Pas de certificat ; contrôle et sanctions

La construction de véhicules automobiles, remorques et semi-remorques (NACE C29) figure à l'annexe II de la directive NIS2. Les moyennes et grandes entreprises du secteur peuvent donc aussi être soumises à des obligations légales. Dans une analyse publiée en juillet 2025, ENX conclut que TISAX, sur la base de l'ISA 6, couvre toutes les exigences pertinentes de NIS2. Les obligations nationales de notification aux autorités et aux CSIRT doivent toutefois être traitées séparément. Pour aller plus loin, consultez ISO 27001 et NIS2 et notre accompagnement NIS2 et conformité.

Exigences réseau du VDA ISA : ce que l'auditeur veut voir et comment le prouver

C'est le cœur de cet article. Le tableau ci-dessous relie les contrôles réseau de l'ISA 6 à ce qu'un auditeur attend en pratique, à l'apport technique de Zenarmor et aux preuves que vous pouvez présenter. Zenarmor fonctionne comme une couche de pare-feu nouvelle génération, notamment sur OPNsense. Les agents pour postes, le ZTNA et la gestion centralisée via Zenconsole sont des extensions optionnelles.

Contrôle ISA 6	Ce que l'auditeur veut voir	Apport de Zenarmor	Preuves à présenter
5.2.7 Gestion du réseau	Segmentation selon le besoin de protection (bureaux, production, essais/développement, invités, IoT) ; flux entre zones contrôlés et surveillés ; détection des mouvements latéraux et des fuites de données	Politiques par interface, VLAN, équipement, utilisateur, groupe et plage horaire ; règles applicatives et de sécurité entre zones ; identification des équipements	Schéma réseau avec modèle de zones, export de la configuration des politiques, rapport des flux autorisés et bloqués entre segments, compte rendu de revue
5.2.3 Protection contre les logiciels malveillants	Protection en passerelle et sur les postes, y compris pour le trafic chiffré lorsque le risque le justifie ; signatures à jour ; traitement des détections	Règles de sécurité (malware, hameçonnage, C&C de botnets, domaines récemment enregistrés), threat intelligence cloud, IPS, inspection TLS avec liste d'exclusions justifiée	Configuration des règles de sécurité, rapports de menaces, politique d'inspection TLS avec exceptions documentées, tickets d'incident
5.2.4 Journalisation	Quels événements sont journalisés, pendant combien de temps, comment ils sont protégés et qui les analyse régulièrement	Rapports en local (Elasticsearch/SQLite) ou dans le cloud avec hébergement aux Pays-Bas ou en Allemagne ; envoi vers un SIEM/syslog ; piste d'audit des modifications d'administration dans Zenconsole	Politique de journalisation avec durées de conservation, tableaux de bord SIEM, rapports planifiés, comptes rendus de revue des journaux, export de la piste d'audit
5.1.2 Transfert d'informations	Règles de transfert selon la classification ; canaux approuvés uniquement	Règles CASB (à partir de SSE) bloquant l'envoi, le partage ou le téléchargement vers des services cloud non approuvés ; catégories web pour le partage de fichiers et le webmail. À noter : pas de DLP fondée sur le contenu	Politique « canaux de transfert approuvés », capture des règles CASB, rapport des envois bloqués
2.1.4 Travail à distance	Accès sécurisé hors des locaux avec authentification forte ; même niveau de protection que sur site	Agents (Windows, macOS, Linux, iOS, Android) appliquant la politique hors des locaux ; maillage ZTNA avec contrôles de conformité des équipements (device posture)	Politique de télétravail, rapport de déploiement des agents (p. ex. via Intune), politique d'accès ZTNA, configuration des contrôles de conformité
4.1.2 Authentification	Accès des utilisateurs aux services réseau et aux systèmes sécurisé ; MFA pour les accès critiques ; droits fondés sur l'identité	Politiques par utilisateur et groupe via Entra ID, Google Workspace, Okta ou SAML 2.0, groupes LDAP et portail captif ; la MFA est imposée dans votre fournisseur d'identité	Politique d'accès conditionnel avec MFA, politiques Zenarmor par utilisateur, rapports par utilisateur
5.3.2 Services réseau	Exigences définies pour les services réseau (disponibilité, sécurité, SLA) ; redondance des liaisons critiques	Haute disponibilité sur OPNsense, gestion centralisée, sauvegardes de configuration	Document d'exigences des services réseau, configuration HA, compte rendu d'un test de bascule, SLA de l'opérateur
1.3.3 / 1.3.4 Services externes et logiciels approuvés	Seuls des services informatiques et logiciels évalués et approuvés sont utilisés ; visibilité sur le shadow IT	Contrôle applicatif avec une base de plus de 5 000 applications, rapports des applications cloud utilisées, blocage des catégories non approuvées	Liste des services approuvés, rapport d'usage des applications, politique de blocage, revue périodique

Pour approfondir : segmentation réseau pour NIS2 et ISO 27001, journalisation et rapports comme preuves d'audit, contrôle applicatif et shadow IT, inspection TLS (RGPD et consultation du CSE) et CASB contre les envois non souhaités.

Les outils aident, les processus font la note

Une erreur fréquente consiste à se dire : « Nous avons un pare-feu nouvelle génération, donc le 5.2.7 est au vert. » Or l'auditeur évalue la maturité, et le niveau 3 signifie que le processus est défini, appliqué dans toute l'organisation et que son efficacité est surveillée. Pour la sécurité réseau, cela implique notamment :

• un responsable pour chaque règle de pare-feu et chaque zone, avec une justification documentée ;
• des modifications passant par la gestion des changements et traçables dans la piste d'audit ;
• des revues périodiques des règles, des exceptions (comme la liste d'exclusions TLS) et des journaux, avec un compte rendu écrit ;
• un lien clair avec votre analyse de risques, qui explique le choix de cette segmentation et de cette durée de conservation.

Zenarmor fournit la mesure technique et les preuves. Le processus qui l'entoure, c'est à vous de le définir, si vous le souhaitez avec l'appui de Secrotec.

Protection des prototypes et réseaux OT/de production

Si vous manipulez des prototypes, des véhicules d'essai ou des données de conception confidentielles, le module de protection des prototypes s'ajoute. Il porte surtout sur la sécurité physique et organisationnelle, comme les zones de sécurité, le contrôle d'accès, l'interdiction de photographier et la protection contre les regards. Le réseau joue malgré tout un rôle :

• Séparer les réseaux de production et d'essai. L'ISA 6 mentionne explicitement la séparation des réseaux ayant des usages différents, comme les réseaux d'essai et de développement, le réseau bureautique et les réseaux de fabrication. Un banc d'essai contenant des données CAO n'a rien à faire dans le même segment que le Wi-Fi invités.
• Identification des équipements. Les réseaux de production contiennent souvent des équipements IoT et OT que personne n'a documentés. Zenarmor reconnaît les équipements et leurs catégories, ce qui permet d'appliquer des politiques par type d'équipement et de présenter un inventaire à jour.
• Accès à distance des techniciens et constructeurs de machines. Remplacez les VPN permanents et les outils de prise en main installés au coup par coup par un accès fondé sur l'identité (ZTNA), une MFA via votre fournisseur d'identité, des politiques limitées dans le temps et la journalisation de chaque session.

Restez toutefois réaliste. Zenarmor protège avant tout la frontière entre les zones IT et OT. Ce n'est pas une solution spécialisée de supervision OT pour l'analyse approfondie des protocoles industriels ; des outils complémentaires peuvent être nécessaires pour cela.

Comment se préparer : un plan pratique sur 90 jours

Une précision importante d'abord. Dans son Participant Handbook, ENX déconseille de commander une « pré-évaluation » ou une « analyse d'écarts » auprès d'un prestataire d'audit. Dans presque tous les cas, selon ENX, il est plus pertinent de lancer directement l'évaluation officielle. Un prestataire qui vous a conseillé ne peut d'ailleurs plus vous évaluer. La préparation est donc votre affaire, éventuellement avec un conseiller indépendant. Notre plan n'est pas une évaluation fantôme. Nous partons de l'auto-évaluation obligatoire pour arriver à des mesures démontrables.

Le rôle de Secrotec : préparation et mise en œuvre, pas d'évaluation

L'évaluation TISAX officielle ne peut être réalisée que par un prestataire d'audit agréé par ENX. Secrotec vous accompagne avant et après :

Ce que fait Secrotec	Ce que Secrotec ne fait pas
Revue des écarts de votre auto-évaluation par rapport au VDA ISA (voir notre approche d'analyse d'écart)	Réaliser l'évaluation TISAX
Accompagnement de l'auto-évaluation et du dossier de preuves	Délivrer ou promettre des labels TISAX
Mise en place des processus du SMSI et des mesures	Une « pré-évaluation » au nom d'un prestataire d'audit
Conception et déploiement de Zenarmor, configuré pour produire des preuves d'audit	Garantir le résultat de l'évaluation
Audit interne indépendant et appui au plan d'actions correctives	Conseiller et évaluer à la fois

Notre différence : nous sommes à la fois auditeur et intégrateur. En tant que Lead Auditor ISO 27001, nous savons quelles preuves un auditeur recherche. En tant que partenaire officiel Zenarmor aux Pays-Bas (référencé sur la page partenaires de Zenarmor), nous configurons la technique pour que ces preuves soient produites naturellement. Si vous avez déjà un SMSI ou un projet NIS2 en cours, nous nous appuyons dessus.

Pourquoi Zenarmor pour les fournisseurs soumis à TISAX ?

Beaucoup de fournisseurs automobiles sont des PME avec un ou quelques sites. Pour elles, une pile de sécurité « grand compte » est souvent surdimensionnée, tant en prix qu'en charge d'exploitation. Zenarmor convient mieux, pour quatre raisons :

• Économique. L'offre Unified Secure démarre à un prix catalogue de 5,00 $ par utilisateur et par mois pour 10 à 49 utilisateurs (offres Zenarmor, octobre 2026, hors TVA, sous réserve). Via Secrotec, vous bénéficiez en plus d'une remise partenaire, et le prix reste toujours négociable dans les projets Zenarmor. Voir notre comparatif de prix avec Fortinet, Sophos et d'autres.
• Pas de dépendance matérielle. Zenarmor fonctionne sur OPNsense, sur du matériel x86 existant ou en machine virtuelle (Proxmox, Hyper-V, VMware). Vous investissez dans les politiques et les preuves plutôt que dans de nouveaux boîtiers.
• Hébergement des données dans l'UE. Les données de reporting cloud peuvent être stockées aux Pays-Bas ou en Allemagne, ce qui aide pour le RGPD et pour le module de protection des données.
• Une seule politique pour tous les sites et utilisateurs. Zenconsole gère passerelles, agents et ZTNA de manière centralisée, avec piste d'audit. Voir nos services Pare-feu & réseaux et la présentation de SSE, ZTNA et CASB.

Secrotec fournit des licences et des projets Zenarmor dans toute l'Europe et compte des clients Zenarmor satisfaits dans toute l'Union européenne. Consultez la page partenaire Zenarmor avec remise partenaire ou commencez par un essai gratuit de 15 jours.