TISAX-audit voorbereiden: wat VDA ISA vraagt van uw netwerkbeveiliging — en hoe Zenarmor dat aantoonbaar invult

Een TISAX-audit is een assessment door een door ENX erkende auditprovider tegen de VDA ISA-catalogus; slaagt u, dan krijgt u TISAX-labels die u via het ENX-portaal deelt met uw automotive-klanten. Netwerkbeveiliging is het onderdeel waar veel toeleveranciers punten verliezen: een plat netwerk waarin kantoor, productie en testomgevingen elkaar zien, externe toegang zonder sterke authenticatie, en logs die wel bestaan maar nooit worden beoordeeld. In dit artikel leest u wat de VDA ISA concreet vraagt, welk bewijs een assessor wil zien en hoe Zenarmor — met Secrotec als officiële Zenarmor-partner in Nederland — dat bewijs helpt leveren.

Secrotec is een onafhankelijk ISO 27001 Lead Auditor-bureau én implementeert Zenarmor. Wij zijn geen ENX-erkende TISAX-auditprovider en geven geen labels af. Onze rol is voorbereiding: readiness, implementatie van maatregelen en bewijsvoering, zodat het officiële assessment soepel verloopt.

In het kort

• TISAX levert labels, geen certificaat. Labels zijn drie jaar geldig, zonder jaarlijkse surveillance-audits.
• Assessments die vóór 1 januari 2027 worden besteld, lopen nog op VDA ISA 6; daarna geldt ISA2027.
• De netwerkcontroles die er het meest toe doen: 5.2.7 netwerkbeheer, 5.2.3 malwarebescherming, 5.2.4 logging, 5.1.2 informatie-uitwisseling, 2.1.4 werken op afstand, 4.1.2 authenticatie, 5.3.2 netwerkdiensten en 1.3.3/1.3.4 goedgekeurde diensten en software.
• Een firewall maakt u niet compliant. Hij levert wel het technische bewijs — mits de processen eromheen volwassenheidsniveau 3 halen.

Wat is TISAX®?

TISAX® staat voor Trusted Information Security Assessment Exchange. Het mechanisme wordt beheerd door de ENX Association; de inhoudelijke eisen komen uit de VDA ISA (Information Security Assessment) van de Duitse automobielbrancheorganisatie VDA. Het principe: u laat zich één keer beoordelen en deelt het resultaat met al uw klanten in de keten, in plaats van per OEM een eigen vragenlijst of audit te doorlopen.

Belangrijk voor de terminologie: het resultaat is geen certificaat maar een set TISAX-labels, die u in het ENX-portaal met specifieke partners deelt. Volgens het TISAX Participant Handbook (v2.8) van ENX zijn labels in principe drie jaar geldig; daarna doorloopt u het proces opnieuw. Jaarlijkse surveillance-audits zoals bij ISO 27001 kent TISAX niet.

Wie vraagt om TISAX?

TISAX wordt gevraagd door autofabrikanten (OEM's) en grote toeleveranciers aan iedereen die gevoelige informatie, prototypes of persoonsgegevens van hen verwerkt. Dat raakt ook Nederlandse en Belgische bedrijven: metaal- en kunststofbewerkers, engineeringbureaus, softwarehuizen, testfaciliteiten, fotostudio's en logistieke dienstverleners die voor Duitse OEM's of Tier-1-leveranciers werken.

Een concreet voorbeeld: Daimler Truck vraagt sinds 2025 van alle leveranciers van productiemateriaal een TISAX-label op assessment level 3; bij een nieuw contract of verlenging kan een redelijke overgangstermijn worden afgesproken (Daimler Truck Supplier Portal). Krijgt u zo'n verzoek, dan staat in de klantvraag doorgaans precies welke labels en welk niveau nodig zijn.

VDA ISA 6 en de overstap naar ISA2027

Op dit moment geldt VDA ISA 6 voor assessments die sinds 1 april 2024 zijn besteld. De catalogus bestaat uit drie modules: Informatiebeveiliging, Prototypebescherming en Gegevensbescherming. Elke controle wordt beoordeeld op een volwassenheidsniveau van 0 tot 5; het doelniveau is 3 ("established": een vastgesteld, gedocumenteerd en organisatiebreed toegepast proces waarvan de werking wordt bewaakt).

De VDA heeft op 1 juli 2026 ISA2027 gepubliceerd. Volgens ENX geldt ISA2027 voor alle TISAX-assessments die vanaf 1 januari 2027 worden besteld. Bestaande labels blijven hun volledige looptijd geldig. Nieuw is een jaarlijkse releasecyclus met versienamen naar het jaar waarin ze verplicht worden. De grootste herindeling zit in prototypebescherming: vijf controlegroepen zijn samengevoegd tot twee domeinen (organisatorische eisen en fysieke beveiliging).

Praktisch gevolg: de controlenummers in dit artikel komen uit ISA 6 en kunnen in ISA2027 verschuiven. Koppel uw bewijs daarom aan de inhoud van een controle (netwerkbeheer, logging, authenticatie), niet alleen aan het nummer. Bestelt u uw assessment nog in 2026, dan wordt u op ISA 6 beoordeeld.

Assessment levels, labels, kosten en doorlooptijd

TISAX kent drie assessment levels. AL1 is een zelfbeoordeling zonder vertrouwenswaarde en wordt in TISAX niet gebruikt. Bij AL2 doet de auditor een plausibiliteitscheck van uw self-assessment en bewijs, meestal op afstand. Bij AL3 verifieert de auditor alles grondig, inclusief bezoek op locatie, interviews en observatie. Welk niveau u nodig heeft, volgt uit de labels die uw klant vraagt:

Label (assessment objective)	Module	Assessment level
Confidential	Informatiebeveiliging	AL2
Strictly confidential	Informatiebeveiliging	AL3
High availability	Informatiebeveiliging	AL2
Very high availability	Informatiebeveiliging	AL3
Proto parts / Proto vehicles	Prototypebescherming	AL3
Test vehicles / Proto events	Prototypebescherming	AL2 (sinds 1 januari 2025)
Data	Gegevensbescherming	AL2
Special data	Gegevensbescherming	AL3

Een hoger niveau dekt automatisch het lagere. ENX merkt in het handboek op dat de totale inspanning voor AL3 niet per se hoger is: bij AL2 moet uw documentatie vaak preciezer zijn, omdat de auditor niet ter plaatse kijkt.

Wat kost TISAX?

De kosten bestaan uit drie delen. Alle bedragen zijn indicatief en exclusief btw:

Kostenpost	Indicatie	Bron / toelichting
ENX-registratie	€405 per locatie per scope, eenmalig	ENX-prijslijst; staffelkorting vanaf vijf locaties, geen terugkerende kosten tijdens de geldigheid
Assessment AL2	ca. €3.500 – €15.000	Afhankelijk van omvang, locaties en provider (Secjur, Docusnap)
Assessment AL3	ca. €6.500 – €35.000 plus reiskosten	Dezelfde bronnen; meerdere locaties drijven de prijs op
Voorbereiding en maatregelen	Sterk wisselend	Interne uren, externe ondersteuning, technische maatregelen (zoals firewall, segmentatie, logging). Secjur schat het totale traject voor een mkb-bedrijf met één locatie op circa €28.000 – €51.000.

Doorlooptijd: organisaties met een werkend ISMS (bijvoorbeeld ISO 27001) zijn vaak binnen enkele maanden klaar voor het assessment; zonder ISMS is zes tot twaalf maanden realistischer. Houd daarnaast rekening met de agenda van de auditprovider en met maximaal negen maanden voor het correctieplan. Dit zijn vuistregels; uw uitgangssituatie bepaalt het tempo.

TISAX vs ISO 27001 vs NIS2 en de Cyberbeveiligingswet

Veel toeleveranciers krijgen te maken met alle drie. Ze overlappen sterk, maar zijn niet hetzelfde:

	TISAX	ISO 27001	NIS2 / Cyberbeveiligingswet
Aard	Assessment- en uitwisselingsmechanisme van de automotive-sector	Internationale, certificeerbare norm voor een ISMS	EU-richtlijn, in Nederland omgezet in de Cyberbeveiligingswet (van kracht sinds 15 augustus 2026)
Wie vraagt erom	OEM's en toeleveranciers in de automotive-keten	Klanten, aanbestedingen, alle sectoren	De wet, voor essentiële en belangrijke entiteiten
Criteria	VDA ISA (volwassenheidsniveaus 0–5, doel 3), incl. prototypebescherming	Hoofdstuk 4–10 plus 93 Annex A-maatregelen	Zorgplicht (art. 21) en meldplicht (art. 23)
Wie beoordeelt	ENX-erkende auditprovider	Geaccrediteerde certificerende instelling	Toezichthouder
Resultaat	Labels in het ENX-portaal, drie jaar geldig	Certificaat, drie jaar geldig met jaarlijkse surveillance-audits	Geen certificaat; toezicht en handhaving

De fabricage van motorvoertuigen, aanhangwagens en opleggers (NACE C29) staat in bijlage II van de NIS2-richtlijn. Middelgrote en grote automotive-bedrijven kunnen dus ook wettelijk verplicht zijn. ENX concludeerde in een analyse van juli 2025 dat TISAX op basis van ISA 6 alle relevante NIS2-eisen adresseert. De nationale meldplichten aan autoriteiten en CSIRT's moet u wél apart regelen. Lees ook wat de Cyberbeveiligingswet is, check of uw organisatie eronder valt, of bekijk de verschillen tussen ISO 27001 en NIS2.

Netwerkbeveiliging in VDA ISA: wat de assessor wil zien en hoe u het bewijst

Dit is de kern. Onderstaande tabel koppelt de netwerkgerelateerde ISA 6-controles aan wat een assessor in de praktijk wil zien, wat Zenarmor technisch bijdraagt en welk bewijs u kunt tonen. Zenarmor draait als next-generation-firewall-laag op onder meer OPNsense, met optionele endpoint-agents, ZTNA en centraal beheer via Zenconsole.

ISA 6-controle	Wat de assessor wil zien	Hoe Zenarmor ondersteunt	Bewijs dat u kunt tonen
5.2.7 Netwerkbeheer	Segmentatie op basis van beschermingsbehoefte (kantoor, productie, test/ontwikkeling, gasten, IoT), gecontroleerd en bewaakt verkeer tussen zones, detectie van laterale beweging en datalekken	Policies per interface, VLAN, apparaat, gebruiker, groep en tijdschema; applicatie- en securityregels tussen zones; apparaatidentificatie	Netwerkplan met zonemodel, geëxporteerde policyconfiguratie, rapport van toegestaan en geblokkeerd verkeer tussen segmenten, reviewverslag
5.2.3 Malwarebescherming	Bescherming op gateway én endpoint, ook voor versleuteld verkeer waar het risico dat vraagt; actuele signaturen; afhandeling van detecties	Security rules (malware, phishing, botnet-C&C, nieuw geregistreerde domeinen), cloud threat intelligence, IPS, TLS-inspectie met onderbouwde bypasslijst	Configuratie van securityregels, dreigingsrapporten, TLS-inspectiebeleid met motivatie van uitzonderingen, incidenttickets
5.2.4 Logmanagement	Welke gebeurtenissen worden gelogd, hoe lang, hoe beschermd, en wie ze periodiek beoordeelt	Rapportage lokaal (Elasticsearch/SQLite) of in de cloud met regio Nederland of Duitsland; streaming naar SIEM/syslog; audit trail van beheerwijzigingen in Zenconsole	Loggingconcept met bewaartermijnen, SIEM-dashboards, geplande rapporten, notulen van logreviews, export van de audit trail
5.1.2 Informatie-uitwisseling	Regels voor het uitwisselen van informatie per classificatie; alleen goedgekeurde kanalen	CASB-regels (SSE en hoger) die uploaden, delen of downloaden naar niet-goedgekeurde clouddiensten blokkeren; webcategorieën voor filesharing en webmail. Let op: geen inhoudsbewuste DLP	Beleid "goedgekeurde uitwisselkanalen", screenshot van CASB-regels, rapport van geblokkeerde uploads
2.1.4 Werken op afstand	Beveiligde toegang buiten kantoor met sterke authenticatie; hetzelfde beschermingsniveau als op locatie	Endpoint-agents (Windows, macOS, Linux, iOS, Android) die het beleid ook onderweg afdwingen; ZTNA-mesh met device-posturechecks	Thuiswerkbeleid, uitrolrapport van agents (bijv. via Intune), ZTNA-toegangsbeleid, configuratie van posturechecks
4.1.2 Authenticatie	Gebruikerstoegang tot netwerkdiensten en systemen veilig ingericht; MFA bij kritieke toegang; rechten op basis van identiteit	Gebruikers- en groepsbeleid via Entra ID, Google Workspace, Okta of SAML 2.0, LDAP-groepen en captive portal; MFA wordt afgedwongen in uw identity provider	Conditional-access-beleid met MFA, gebruikersgebonden Zenarmor-policies, rapportage per gebruiker
5.3.2 Netwerkdiensten	Gedefinieerde eisen aan netwerkdiensten (beschikbaarheid, beveiliging, SLA), redundantie voor kritieke verbindingen	High availability op OPNsense, centraal beheer, configuratieback-ups	Document met eisen aan netwerkdiensten, HA-configuratie, verslag van een failovertest, SLA met provider
1.3.3 / 1.3.4 Goedgekeurde externe diensten en software	Alleen beoordeelde en goedgekeurde IT-diensten en software in gebruik; zicht op shadow IT	Applicatiecontrole met een database van 5.000+ applicaties, rapporten van gebruikte cloud-apps, blokkeren van niet-goedgekeurde categorieën	Lijst van goedgekeurde diensten, app-gebruiksrapport, beleid voor geblokkeerde apps, periodieke review

Meer achtergrond per onderwerp: netwerksegmentatie voor NIS2 en ISO 27001, logging en rapportage als auditbewijs, applicatiecontrole en shadow IT, TLS-inspectie (inclusief AVG en ondernemingsraad) en CASB tegen ongewenste uploads.

Tools ondersteunen, processen scoren

Een veelgemaakte denkfout: "we hebben een next-generation firewall, dus 5.2.7 is groen." Een assessor beoordeelt het volwassenheidsniveau, en niveau 3 betekent dat het proces is vastgelegd, organisatiebreed wordt toegepast en dat de werking wordt bewaakt. Voor netwerkbeveiliging betekent dat onder meer:

• een eigenaar per firewallregel en per zone, met een vastgelegde reden;
• wijzigingen via change management, herleidbaar in de audit trail;
• periodieke reviews van regels, uitzonderingen (zoals de TLS-bypasslijst) en logs, met verslag;
• een koppeling naar uw risicoanalyse: waarom deze segmentatie, waarom deze bewaartermijn.

Zenarmor levert de technische maatregel en het bewijs. Het proces eromheen richt u zelf in, eventueel met ondersteuning van Secrotec.

Prototypebescherming en OT-/productienetwerken

Werkt u met prototypes, testvoertuigen of vertrouwelijke ontwerpdata, dan komt de module prototypebescherming erbij. Die gaat grotendeels over fysieke beveiliging en organisatie (zones, toegang, fotografieverbod, afscherming). Het netwerk speelt toch een rol:

• Scheiding van productie- en testnetwerken. ISA 6 noemt expliciet de scheiding van netwerken met verschillende doelen, zoals test- en ontwikkelnetwerken, kantoornetwerk en productienetwerken. Een testbank met CAD-data hoort niet in hetzelfde segment als de gastenwifi.
• Apparaatidentificatie. Productienetwerken bevatten vaak onbekende IoT- en OT-apparaten. Zenarmor herkent apparaten en apparaatcategorieën, zodat u policies per apparaattype kunt toepassen en een actuele inventaris kunt aantonen.
• Toegang op afstand voor engineers en machinebouwers. Vervang permanente VPN's en losse remote-desktoptools door identiteitsgebonden toegang (ZTNA) met MFA via uw identity provider, tijdsgebonden policies en logging van elke sessie.

Wees wel realistisch: Zenarmor bewaakt vooral de grens tussen IT- en OT-zones. Het is geen gespecialiseerde OT-monitoringoplossing voor diepe analyse van industriële protocollen; daarvoor kunnen aanvullende tools nodig zijn.

Hoe bereidt u zich voor? Een praktisch 90-dagenplan

Eerst een belangrijke nuance. ENX raadt in het Participant Handbook af om bij een auditprovider een "pre-assessment" of "gap-analyse" te bestellen. In bijna alle gevallen is het zinvoller om direct met het echte assessment te starten. Een auditprovider die u adviseert, mag u bovendien niet meer beoordelen. Voorbereiding is uw eigen werk, eventueel met een onafhankelijke adviseur. Ons plan is daarom geen schaduw-assessment: we werken vanuit de verplichte self-assessment naar aantoonbare maatregelen.

Rol van Secrotec: voorbereiding en implementatie, geen assessment

Het officiële TISAX-assessment wordt uitsluitend uitgevoerd door een ENX-erkende auditprovider. Secrotec helpt u daarvóór en daarna:

Secrotec doet wel	Secrotec doet niet
Gap review van uw self-assessment tegen de VDA ISA (zie onze gap-analyse-aanpak)	Het TISAX-assessment uitvoeren
Ondersteuning bij de self-assessment en het bewijsdossier	TISAX-labels afgeven of beloven
Inrichten van ISMS-processen en maatregelen	Een "pre-assessment" namens een auditprovider
Zenarmor ontwerpen, implementeren en zo configureren dat het auditbewijs oplevert	Garanties geven over de uitkomst van het assessment
Onafhankelijke interne audit en ondersteuning bij het correctieplan (corrigerende maatregelen)	Adviseren én beoordelen tegelijk

Ons onderscheidend vermogen is de combinatie van auditor en implementer. Als ISO 27001 Lead Auditor weten we welk bewijs een assessor zoekt; als officiële Zenarmor-partner in Nederland (vermeld op de Zenarmor-partnerpagina) richten we de techniek zo in dat dat bewijs er vanzelf is. Heeft u al een ISMS of loopt er een NIS2-traject? Dan sluiten we daarop aan via onze NIS2- en compliance-ondersteuning.

Waarom Zenarmor voor TISAX-toeleveranciers?

Veel automotive-toeleveranciers zijn mkb-bedrijven met één tot enkele locaties. Voor hen is een enterprise-securitystack vaak overkill in prijs en beheer. Zenarmor past beter, om vier redenen:

• Kosteneffectief. Unified Secure begint bij een lijstprijs van $5,00 per gebruiker per maand (10–49 gebruikers; Zenarmor-plannen, status oktober 2026, excl. btw, onder voorbehoud). Via Secrotec krijgt u daarbovenop partnerkorting en is de prijs in Zenarmor-projecten altijd bespreekbaar. Zie onze prijsvergelijking met Fortinet, Sophos en anderen.
• Geen hardware-lock-in. Zenarmor draait op OPNsense, op bestaande x86-hardware of als VM (Proxmox, Hyper-V, VMware). U investeert in beleid en bewijs, niet in nieuwe dozen.
• EU-dataresidentie. Cloudrapportage kan in de regio Nederland of Duitsland worden opgeslagen, wat helpt bij AVG en bij de module gegevensbescherming.
• Eén beleid, alle locaties en gebruikers. Zenconsole beheert gateways, agents en ZTNA centraal, met audit trail. Zie de Firewall & Networks-diensten en het overzicht van SSE, ZTNA en CASB.

Secrotec levert Zenarmor-licenties en -projecten in heel Europa en heeft tevreden Zenarmor-klanten in de hele Europese Unie. Bekijk de Zenarmor-partnerpagina met partnerkorting of start met een gratis proefperiode van 15 dagen.