Las etiquetas TISAX son el resultado de la evaluación, y cada una lleva fijado su nivel: Confidential, High availability, Test vehicles, Proto events y Data se evalúan en nivel 2 (AL2); Strictly confidential, Very high availability, Proto parts, Proto vehicles y Special data, en nivel 3 (AL3). Cuando un cliente te dice «necesitamos TISAX» sin más, lo primero es preguntarle qué etiquetas, porque de ellas sale el nivel, y del nivel, si el auditor revisa en remoto o viene a tus instalaciones.
Todo lo que sigue sale del manual del participante TISAX de la ENX Association, que es quien gestiona el sistema. Si necesitas la introducción general al estándar, la tienes en nuestro artículo sobre cumplimiento de TISAX.
Las etiquetas vigentes y el nivel que exige cada una
ENX habla de «objetivos de evaluación» y tu cliente hablará de «etiquetas». Según el propio sitio de ENX, son casi lo mismo: eliges objetivos al registrarte y, si superas la evaluación, recibes las etiquetas correspondientes. Hay tres familias: seguridad de la información, protección de prototipos y protección de datos.
| Etiqueta | Qué evalúa | Nivel |
|---|---|---|
| Confidential | Información con necesidad de protección alta en confidencialidad | AL2 |
| Strictly confidential | Información con necesidad de protección muy alta en confidencialidad | AL3 |
| High availability | Necesidad de protección alta en disponibilidad | AL2 |
| Very high availability | Necesidad de protección muy alta en disponibilidad | AL3 |
| Proto parts | Piezas y componentes prototipo | AL3 |
| Proto vehicles | Vehículos prototipo | AL3 |
| Test vehicles | Pruebas y manejo de vehículos de prueba | AL2 |
| Proto events | Prototipos en eventos, presentaciones y sesiones de foto o rodaje | AL2 |
| Data | Protección de datos como encargado, según el artículo 28 del RGPD | AL2 |
| Special data | Lo mismo que Data, con categorías especiales de datos personales | AL3 |
Dos detalles que confunden mucho. El primero: si en un contrato o en una plantilla de compras aparece «Info high» o «Info very high», son los nombres antiguos. El manual indica que solo se pudieron elegir hasta el 31 de marzo de 2024; desde el 1 de abril de 2024 se eligen Confidential y Strictly confidential. Pide al cliente que te confirme cuál de las actuales quiere.
El segundo: Test vehicles y Proto events se evalúan en AL2 desde la versión 2.8 del manual, de 2025. Antes iban en AL3, así que documentos y presentaciones anteriores todavía lo dicen.
Por qué no basta con «la más baja»
Las etiquetas superiores incluyen a las inferiores en tres casos que el manual cita expresamente: Strictly confidential cubre Confidential, Very high availability cubre High availability y Special data cubre Data. Y un nivel superior siempre incluye al inferior, de modo que una evaluación AL3 sirve cuando otro cliente te pide algo de AL2. Para los prototipos el manual no recoge esa relación, así que no des por hecho que Proto vehicles te cubre Proto parts.
Lo que más se nota en la factura es otra regla: con el alcance estándar, la evaluación se hace como mínimo en el nivel más alto de todos los objetivos que hayas elegido. Si pides Confidential, Data y una sola etiqueta de AL3, toda la evaluación pasa a AL3.
Qué es el AL1 y por qué no te lo van a aceptar
El nivel 1 es una autoevaluación para uso interno. El manual de ENX dice que sus resultados tienen un nivel de confianza bajo y no se usan en TISAX. Sirve para saber dónde estás antes de encargar nada, pero no produce etiquetas que puedas compartir con un cliente.
El alcance: estándar casi siempre
El alcance se define por ubicaciones: decides qué centros entran, y con un solo alcance hay un solo informe, que solo sale bien si todas las ubicaciones superan la evaluación. Si alguna va retrasada, el manual permite registrar más de un alcance.
ENX ofrece un alcance estándar, predefinido y que no se puede modificar, que cubre todos los procesos, procedimientos y recursos bajo responsabilidad de la organización evaluada en las ubicaciones listadas. El manual lo recomienda con fuerza, dice que es la opción adecuada para bastante más del 99 % de los participantes y advierte que los demás participantes solo aceptan resultados basados en él. Existen alcances personalizados («custom extended», que sí recibe etiquetas, y «full custom», que no las recibe y que en general nadie acepta), pero no son para un proveedor que responde a la petición de un cliente. Para grupos con al menos tres ubicaciones y un sistema de gestión centralizado hay además una evaluación de grupo simplificada, que ENX describe en un documento aparte.
AL2 o AL3: qué cambia para ti
En AL2 el proveedor de auditoría comprueba la plausibilidad de tu autoevaluación en todas las ubicaciones del alcance, pide evidencias y entrevista a los responsables, por lo general por videoconferencia. Existe una variante opcional, que algunos llaman «AL 2.5», en la que el auditor hace una evaluación remota completa en lugar de la comprobación de plausibilidad. Formalmente cuenta como AL2, pero es metodológicamente compatible con AL3: si luego necesitas subir de nivel, solo faltarían las actividades en sitio.
En AL3 el auditor hace una verificación completa del cumplimiento y tiene que estar en tus instalaciones para observar las condiciones y los procesos reales. Si el trabajo en sitio es temporalmente imposible, puede usar un método remoto con vídeo, pero se registra como no conformidad menor y exige una evaluación de seguimiento en sitio cuando se pueda. Si tu proveedor de auditoría no tiene auditores en tu país, eso se traduce en viaje, viáticos y fechas atadas a su agenda; lo contamos con más detalle en el artículo sobre TISAX en México.
Etiquetas temporales, plan de acción y tres años
Si el resultado global es «no conforme menor», recibes etiquetas temporales. Valen como máximo hasta nueve meses después de la reunión de cierre de la evaluación inicial, no se renuevan, y según las preguntas frecuentes de ENX tu cliente las acepta en general a condición de que después obtengas las definitivas.
Las desviaciones se corrigen con un plan de acciones correctivas. Ninguna acción puede pasar de nueve meses; si una supera los tres hay que justificarla, y si supera los seis, demostrar que no se puede hacer antes. La evaluación de seguimiento cabe dentro de esos nueve meses desde el cierre de la inicial.
Las etiquetas definitivas valen tres años, o menos si cambia algo importante del alcance, como un traslado de ubicación. El manual aconseja empezar la renovación al menos un año antes de que caduquen.
Sobre el catálogo: el auditor usa la versión de VDA ISA vigente cuando encargas la evaluación inicial. Según el anuncio de ENX, ISA2027 se aplica a las evaluaciones encargadas desde el 1 de enero de 2027, las etiquetas ya emitidas conservan su validez completa y los nuevos catálogos saldrán cada verano. El anuncio no menciona cambios en las etiquetas ni en los niveles.
Por dónde empezaríamos
Pide al cliente las etiquetas por escrito, con sus nombres actuales, y no añadas ninguna «por si acaso». Una sola etiqueta de AL3 convierte toda la evaluación en AL3, con el auditor en planta. Si hoy solo te piden Confidential y no esperas tener prototipos ni datos de categorías especiales, AL2 es lo razonable; si sabes que en un año vas a necesitar AL3, valora la variante remota completa, porque luego solo te quedaría la parte en sitio.
Antes de encargar nada, haz el AL1 por tu cuenta: una autoevaluación honesta con el catálogo que te vaya a tocar, que si encargas en 2027 será ISA2027. En el módulo de TISAX de GlobalSuite® esa autoevaluación VDA ISA se lleva control a control, junto con las ubicaciones y las etiquetas que pide cada cliente, el plan de medidas con responsable y fecha, y las evidencias de protección de prototipos separadas del resto. Si tu sistema ya está montado sobre ISO 27001, buena parte de esa evidencia ya la tienes. Si quieres verlo con tu caso, escríbenos.
Fuentes oficiales: manual del participante TISAX, TISAX en el sitio de ENX, preguntas frecuentes de TISAX, anuncio de VDA ISA2027 y VDA, seguridad de la información. Contenido revisado en octubre de 2026.
