TISAX-Labels: welches Ihr Kunde verlangt und welches Assessment Level (AL2 oder AL3)

TISAX-Labels sind das Ergebnis des Assessments, und für jedes Label ist das Assessment Level fest vorgegeben: Confidential, High availability, Test vehicles, Proto events und Data werden in Level 2 (AL2) geprüft; Strictly confidential, Very high availability, Proto parts, Proto vehicles und Special data in Level 3 (AL3). Sagt ein Kunde nur „Wir brauchen TISAX“, fragen Sie als Erstes nach den Labels. Aus ihnen ergibt sich das Level, und aus dem Level, ob der Prüfer remote prüft oder zu Ihnen vor Ort kommt.

Alles Folgende stammt aus dem TISAX-Teilnehmerhandbuch der ENX Association, die das System betreibt. Eine allgemeine Einführung in den Standard finden Sie in unserem Beitrag zur TISAX-Compliance.

Die aktuellen Labels und das Level, das jedes verlangt

ENX spricht von „Assessment-Zielen“, Ihr Kunde von „Labels“. Laut ENX ist das fast dasselbe: Bei der Registrierung wählen Sie Ziele aus, und wenn Sie das Assessment bestehen, erhalten Sie die entsprechenden Labels. Es gibt drei Gruppen: Informationssicherheit, Prototypenschutz und Datenschutz.

Zwei Details sorgen oft für Verwirrung. Erstens: Stehen in einem Vertrag oder einer Einkaufsvorlage „Info high“ oder „Info very high“, sind das die alten Bezeichnungen. Laut Handbuch konnten sie nur bis zum 31. März 2024 gewählt werden; seit dem 1. April 2024 wählt man Confidential und Strictly confidential. Lassen Sie sich vom Kunden bestätigen, welches der aktuellen Labels er meint.

Zweitens: Test vehicles und Proto events werden seit Version 2.8 des Handbuchs aus dem Jahr 2025 in AL2 geprüft. Vorher war es AL3, und ältere Dokumente und Präsentationen sagen das noch.

Warum „das niedrigste“ nicht reicht

In drei Fällen, die das Handbuch ausdrücklich nennt, schließen höhere Labels die niedrigeren ein: Strictly confidential deckt Confidential ab, Very high availability deckt High availability ab und Special data deckt Data ab. Ein höheres Level umfasst außerdem immer das niedrigere, ein AL3-Assessment genügt also, wenn ein anderer Kunde etwas auf AL2 verlangt. Für die Prototypen-Labels sieht das Handbuch diese Beziehung nicht vor. Gehen Sie also nicht davon aus, dass Proto vehicles auch Proto parts abdeckt.

Am stärksten auf der Rechnung macht sich eine andere Regel bemerkbar: Beim Standard-Scope wird das Assessment mindestens auf dem höchsten Level aller gewählten Ziele durchgeführt. Wählen Sie Confidential, Data und ein einziges AL3-Label, läuft das gesamte Assessment auf AL3.

Was AL1 ist und warum es nicht akzeptiert wird

Level 1 ist eine Selbsteinschätzung für den internen Gebrauch. Laut ENX-Handbuch haben die Ergebnisse ein geringes Vertrauensniveau und werden in TISAX nicht verwendet. AL1 zeigt Ihnen, wo Sie stehen, bevor Sie etwas beauftragen, erzeugt aber keine Labels, die Sie mit einem Kunden teilen können.

Der Scope: fast immer Standard

Der Scope wird über Standorte definiert: Sie entscheiden, welche Standorte dazugehören. Ein Scope bedeutet ein Ergebnis, und das fällt nur dann positiv aus, wenn alle Standorte das Assessment bestehen. Hinkt ein Standort hinterher, erlaubt das Handbuch die Registrierung mehrerer Scopes.

ENX bietet einen Standard-Scope an, der vordefiniert ist und nicht verändert werden kann. Er umfasst alle Prozesse, Verfahren und Ressourcen in der Verantwortung der geprüften Organisation an den aufgeführten Standorten. Das Handbuch empfiehlt ihn ausdrücklich, nennt ihn die richtige Wahl für weit mehr als 99 % der Teilnehmer und weist darauf hin, dass andere Teilnehmer nur Ergebnisse auf dieser Basis akzeptieren. Es gibt individuelle Scopes („custom extended“, der Labels erhält, und „full custom“, der keine erhält und den in der Regel niemand akzeptiert), aber sie sind nichts für einen Lieferanten, der auf die Anforderung eines Kunden reagiert. Für Gruppen mit mindestens drei Standorten und einem zentral gesteuerten Managementsystem gibt es zusätzlich ein vereinfachtes Gruppen-Assessment, das ENX in einem eigenen Dokument beschreibt.

AL2 oder AL3: was sich für Sie ändert

Bei AL2 prüft der Prüfdienstleister die Plausibilität Ihrer Selbsteinschätzung an allen Standorten im Scope, fordert Nachweise an und führt Interviews mit den Verantwortlichen, in der Regel per Videokonferenz. Es gibt eine optionale Variante, die manche „AL 2.5“ nennen: Der Prüfer führt statt der Plausibilitätsprüfung ein vollständiges Remote-Assessment durch. Formal zählt sie als AL2, methodisch ist sie aber mit AL3 kompatibel. Müssen Sie später auf AL3 wechseln, fehlen nur noch die Aktivitäten vor Ort.

Bei AL3 prüft der Prüfer die Konformität vollständig und muss vor Ort sein, um die tatsächlichen Bedingungen und Abläufe zu beobachten. Ist eine Prüfung vor Ort vorübergehend nicht möglich, kann er eine Remote-Methode per Video nutzen. Das wird aber als geringfügige Abweichung erfasst und erfordert ein Folge-Assessment vor Ort, sobald es möglich ist. Hat Ihr Prüfdienstleister keine Prüfer in Ihrem Land, bedeutet das Reisen, Spesen und Termine nach seinem Kalender; mehr dazu im Beitrag über TISAX in Mexiko.

Vorläufige Labels, Maßnahmenplan und drei Jahre

Lautet das Gesamtergebnis „geringfügig nicht konform“, erhalten Sie vorläufige Labels. Sie gelten höchstens neun Monate ab dem Abschlussgespräch des Erst-Assessments, werden nicht verlängert, und laut den FAQ von ENX akzeptiert Ihr Kunde sie in der Regel unter der Bedingung, dass Sie danach die endgültigen Labels erhalten.

Abweichungen werden mit einem Korrekturmaßnahmenplan behoben. Keine Maßnahme darf länger als neun Monate dauern; bei mehr als drei Monaten ist eine Begründung nötig, bei mehr als sechs der Nachweis, dass es nicht schneller geht. Das Folge-Assessment muss innerhalb dieser neun Monate ab Abschluss des Erst-Assessments stattfinden.

Die endgültigen Labels gelten drei Jahre, oder kürzer, wenn sich am Scope etwas Wesentliches ändert, etwa durch einen Standortwechsel. Das Handbuch rät, mit der Erneuerung mindestens ein Jahr vor Ablauf zu beginnen.

Zum Katalog: Der Prüfer verwendet die VDA-ISA-Version, die gilt, wenn Sie das Erst-Assessment beauftragen. Laut Ankündigung von ENX gilt ISA2027 für Assessments, die ab dem 1. Januar 2027 beauftragt werden; bereits ausgestellte Labels bleiben voll gültig, und neue Kataloge erscheinen künftig jeden Sommer. Änderungen an Labels oder Levels erwähnt die Ankündigung nicht.

Womit wir anfangen würden

Lassen Sie sich die Labels vom Kunden schriftlich geben, mit ihren aktuellen Namen, und fügen Sie keines „sicherheitshalber“ hinzu. Ein einziges AL3-Label macht das gesamte Assessment zu AL3, mit dem Prüfer vor Ort. Verlangt man heute nur Confidential von Ihnen und erwarten Sie weder Prototypen noch besondere Kategorien personenbezogener Daten, ist AL2 vernünftig. Wissen Sie, dass Sie in einem Jahr AL3 brauchen, prüfen Sie die vollständige Remote-Variante, denn dann bleibt später nur noch der Teil vor Ort.

Bevor Sie etwas beauftragen, machen Sie AL1 selbst: eine ehrliche Selbsteinschätzung mit dem Katalog, der für Sie gelten wird, und das ist bei einer Beauftragung im Jahr 2027 ISA2027. Im TISAX-Modul von GlobalSuite® wird diese VDA-ISA-Selbsteinschätzung Kontrolle für Kontrolle geführt, zusammen mit den Standorten und den Labels, die jeder Kunde verlangt, dem Maßnahmenplan mit Verantwortlichen und Terminen und den Nachweisen zum Prototypenschutz getrennt vom Rest. Ist Ihr System bereits auf ISO 27001 aufgebaut, haben Sie einen Großteil dieser Nachweise schon. Wenn Sie das an Ihrem Fall sehen möchten, schreiben Sie uns.

Offizielle Quellen: TISAX-Teilnehmerhandbuch, TISAX auf der Website von ENX, TISAX-FAQ, Ankündigung zu VDA ISA2027 und VDA, Informationssicherheit. Inhalt überarbeitet im Oktober 2026.