El cumplimiento de TISAX consiste en superar una evaluación de seguridad de la información contra el catálogo VDA ISA, hecha por un proveedor de auditoría aprobado por la ENX Association, y compartir el resultado con los clientes de la industria automotriz que te lo piden. El resultado son unas etiquetas que tienen validez de tres años. Si un fabricante o un proveedor de primer nivel te ha escrito «necesitamos TISAX», esto es lo que te está pidiendo.
Qué es TISAX y quién está detrás
TISAX (Trusted Information Security Assessment Exchange) nació para que la industria automotriz tuviera una forma común de evaluar la seguridad de la información de sus socios. Lo gobierna la ENX Association, que aprueba a los proveedores de auditoría y vigila la calidad de las evaluaciones, según las preguntas frecuentes de ENX. El catálogo de requisitos, el VDA ISA (Information Security Assessment), lo publica la VDA, la asociación alemana de la industria del automóvil.
La versión vigente del catálogo es la 6.0, aplicable desde el 1 de abril de 2024, según la página de la VDA. El 1 de julio de 2026 se publicó ISA2027, y el anuncio de ENX dice que se aplica a todas las evaluaciones encargadas a partir del 1 de enero de 2027. Desde ahora habrá catálogo nuevo cada verano, con efecto el 1 de enero siguiente, y la versión se nombrará por el año en que pasa a ser obligatoria. Una de las novedades de ISA2027: la protección de prototipos, que tenía cinco grupos de controles, queda en dos dominios, requisitos organizativos y seguridad física y del entorno.
Lo que se evalúa se agrupa en tres familias: seguridad de la información, protección de prototipos y protección de datos. Cada control se valora con una escala de madurez de 0 a 5 (incompleto, realizado, gestionado, establecido, previsible y optimizado), y el manual del participante de ENX fija un nivel de madurez objetivo de 3 para cada pregunta. Dicho de otro modo: tener el control hecho no basta, tiene que estar establecido como proceso.
Una evaluación, aunque todos digan «certificación TISAX»
En compras y en los contratos verás «certificación TISAX» y «certificado TISAX». Técnicamente no lo es. El manual de ENX lo dice sin rodeos: si te preguntas si hay un certificado para colgar en la pared, no lo hay, porque el resultado se intercambia de forma estandarizada. Lo que recibes es un informe de evaluación y unas etiquetas, y solo las ve quien tú autorices en el portal de ENX.
Las etiquetas son lo que de verdad te piden. Confidential, Strictly confidential, High availability, Proto parts o Data son algunas, y cada una lleva fijado su nivel de evaluación: AL2, con revisión normalmente por videoconferencia, o AL3, con el auditor en tus instalaciones. Si en un documento aparece «Info high» o «Info very high», son nombres antiguos que ya no se pueden elegir. La tabla completa y cómo elegir está en nuestro artículo sobre etiquetas TISAX y niveles de evaluación.
Quién lo necesita
Según ENX, el catálogo lo usan proveedores y prestadores de servicios de la cadena de suministro automotriz, y algunos participantes lo han convertido en requisito obligatorio para muchos de sus proveedores. No es una obligación legal: llega por contrato, porque tu cliente lo exige para compartir contigo información sensible, piezas en desarrollo o datos personales.
En TISAX todo el que se registra es «participante». El activo es el que se evalúa y comparte el resultado; el pasivo, el que lo pide y lo recibe. Una misma empresa puede tener los dos papeles: un proveedor de primer nivel se evalúa para su fabricante y, a la vez, exige TISAX a sus propios proveedores. Por eso la petición baja por la cadena, y el requisito viaja con el cliente, no con el país. Lo que cambia al hacerlo desde una planta mexicana lo contamos en certificación TISAX en México.
Los pasos, del registro al intercambio
ENX resume el proceso en registro, evaluación e intercambio. En la práctica, dentro de esos tres pasos hay unos cuantos más:
- Registro en el portal de ENX. Das de alta a tu empresa como participante y al menos un alcance de evaluación. La tarifa de registro se calcula por las ubicaciones incluidas y va aparte de lo que te cobre el auditor.
- Alcance. Decides qué ubicaciones entran. El alcance estándar de ENX es el recomendado y el que aceptan todos los participantes.
- Autoevaluación. Rellenas el catálogo VDA ISA control a control, con su nivel de madurez y la evidencia que lo respalda. Es la base sobre la que trabaja el auditor.
- Elección del proveedor de auditoría. Solo valen los de la lista oficial de ENX. Puedes pedir oferta a todos.
- Evaluación. En AL2, el auditor revisa la plausibilidad de tu autoevaluación, pide evidencias y entrevista a los responsables. En AL3 hace una verificación completa en tus ubicaciones.
- Acciones correctivas. Si hay desviaciones, presentas un plan. Ninguna acción puede pasar de nueve meses, y con un resultado de no conformidad menor recibes etiquetas temporales mientras tanto.
- Informe y etiquetas. El proveedor de auditoría te entrega el informe oficial y, si superas la evaluación, las etiquetas.
- Intercambio. Compartes el resultado desde el portal de ENX con los socios que tú elijas.
TISAX e ISO 27001
Se parecen, pero no son lo mismo. Según ENX, el VDA ISA mantiene la alineación con ISO/IEC 27001, e ISA2027 revisa las correspondencias con la versión de 2022 y elimina las referencias a la de 2013. Si ya tienes un sistema de gestión según ISO 27001, buena parte de las políticas, el análisis de riesgos y los controles te sirven.
La diferencia más práctica está en el alcance. El manual de ENX lo explica así: en ISO 27001 el alcance de la auditoría tiene que coincidir con el de tu sistema de gestión, y tú lo defines con bastante libertad. En TISAX el alcance de la evaluación viene dado y puede ser más pequeño que el de tu sistema de gestión, pero siempre dentro de él. Y un certificado ISO 27001 no te da etiquetas: las etiquetas solo salen de una evaluación TISAX hecha por un proveedor de auditoría aprobado por ENX.
En nuestra lectura, quien llega desde ISO 27001 tiene hecha la parte de seguridad de la información y se encuentra el trabajo nuevo en dos sitios: el nivel de madurez 3 control a control y, si el cliente las pide, las etiquetas de prototipos, que no tienen equivalente en la norma ISO.
Renovación cada tres años
Las etiquetas definitivas tienen validez de tres años, o menos si cambia algo importante del alcance, como el traslado de una ubicación. No se prorrogan: para seguir teniéndolas vuelves a pasar por el proceso, con un alcance nuevo. El manual aconseja empezar la renovación al menos un año antes de que caduquen. Para tu siguiente evaluación te tocará el catálogo vigente cuando la encargues, y desde 2027 ese catálogo cambia cada año. Las etiquetas ya emitidas conservan toda su validez.
Por dónde empezaríamos
Lo primero, pedir al cliente por escrito qué etiquetas necesita y para cuándo. Sin eso no sabes si vas a AL2 o AL3, y una sola etiqueta de AL3 lleva toda la evaluación a AL3, con el auditor en planta. No añadas etiquetas «por si acaso».
Lo segundo, la autoevaluación honesta antes de llamar a ningún auditor, y con el catálogo que te vaya a tocar: si vas a encargar la evaluación en 2027, hazla directamente con ISA2027, porque hacerla con la versión 6 y repetirla en enero es trabajo tirado. Cada control por debajo de 3 o sin evidencia es una tarea con responsable y fecha.
Para esa parte está el módulo de TISAX de GlobalSuite®: la autoevaluación VDA ISA con la madurez de cada control frente al objetivo, el alcance con las etiquetas que pide cada cliente por ubicación, el plan de medidas con responsables y fechas, y las evidencias de protección de prototipos separadas del resto. Si ya trabajas ISO 27001 en GlobalSuite®, los activos, los riesgos y los controles se comparten. Si quieres verlo con tu caso, escríbenos.
Fuentes oficiales: TISAX en el sitio de ENX, manual del participante TISAX (versión 2.8), preguntas frecuentes de TISAX, proveedores de auditoría aprobados, anuncio de VDA ISA2027 y VDA, seguridad de la información. Contenido revisado en octubre de 2026.
