La conformité TISAX consiste à réussir une évaluation de la sécurité de l’information sur la base du catalogue VDA ISA, menée par un prestataire d’audit agréé par l’ENX Association, puis à partager le résultat avec les clients de l’industrie automobile qui vous le demandent. Ce résultat prend la forme de labels valables trois ans. Si un constructeur ou un équipementier de rang 1 vous a écrit « nous avons besoin de TISAX », c’est cela qu’il vous demande.
Ce qu’est TISAX et qui est derrière
TISAX (Trusted Information Security Assessment Exchange) a été créé pour donner à l’industrie automobile une manière commune d’évaluer la sécurité de l’information de ses partenaires. Il est piloté par l’ENX Association, qui agrée les prestataires d’audit et veille à la qualité des évaluations, d’après la foire aux questions d’ENX. Le catalogue d’exigences, le VDA ISA (Information Security Assessment), est publié par la VDA, l’association allemande de l’industrie automobile.
La version en vigueur du catalogue est la 6.0, applicable depuis le 1er avril 2024, d’après la page de la VDA. ISA2027 a été publié le 1er juillet 2026, et l’annonce d’ENX indique qu’il s’applique à toutes les évaluations commandées à partir du 1er janvier 2027. Désormais, un nouveau catalogue paraîtra chaque été, avec effet au 1er janvier suivant, et chaque version portera le nom de l’année où elle devient obligatoire. L’une des nouveautés d’ISA2027 : la protection des prototypes, qui comptait cinq groupes de contrôles, passe à deux domaines, les exigences organisationnelles et la sécurité physique et environnementale.
Ce qui est évalué se répartit en trois familles : sécurité de l’information, protection des prototypes et protection des données. Chaque contrôle est noté sur une échelle de maturité de 0 à 5 (incomplet, réalisé, géré, établi, prévisible et optimisé), et le manuel du participant d’ENX fixe un niveau de maturité cible de 3 pour chaque question. Autrement dit : avoir mis le contrôle en place ne suffit pas, il doit être établi comme un processus.
Une évaluation, même si tout le monde parle de « certification TISAX »
Dans les achats et les contrats, vous verrez « certification TISAX » et « certificat TISAX ». Techniquement, ce n’est ni l’un ni l’autre. Le manuel d’ENX le dit sans détour : si vous vous demandez s’il existe un certificat à accrocher au mur, la réponse est non, car le résultat s’échange de façon standardisée. Ce que vous recevez, c’est un rapport d’évaluation et des labels, et seuls ceux que vous autorisez sur le portail d’ENX peuvent les voir.
Ce sont les labels que l’on vous demande vraiment. Confidential, Strictly confidential, High availability, Proto parts ou Data en font partie, et chacun est associé à un niveau d’évaluation fixe : AL2, avec une revue le plus souvent en visioconférence, ou AL3, avec l’auditeur dans vos locaux. Si un document mentionne « Info high » ou « Info very high », ce sont d’anciens noms qu’on ne peut plus choisir.
Qui en a besoin
Selon ENX, le catalogue est utilisé par les fournisseurs et prestataires de services de la chaîne d’approvisionnement automobile, et certains participants en ont fait une exigence obligatoire pour une grande partie de leurs fournisseurs. Ce n’est pas une obligation légale : elle arrive par le contrat, parce que votre client l’exige avant de vous confier des informations sensibles, des pièces en développement ou des données personnelles.
Dans TISAX, toute entité inscrite est un « participant ». Le participant actif est celui qui est évalué et partage son résultat ; le passif, celui qui le demande et le reçoit. Une même entreprise peut jouer les deux rôles : un équipementier de rang 1 est évalué pour son constructeur et, en même temps, exige TISAX de ses propres fournisseurs. C’est pour cela que la demande descend la chaîne, et que l’exigence suit le client, pas le pays.
Les étapes, de l’inscription à l’échange
ENX résume le processus en trois temps : inscription, évaluation et échange. Dans la pratique, ces trois étapes en contiennent quelques autres :
- Inscription sur le portail d’ENX. Vous enregistrez votre entreprise comme participant, avec au moins un périmètre d’évaluation. Les frais d’inscription dépendent des sites inclus et s’ajoutent à ce que vous facture l’auditeur.
- Périmètre. Vous choisissez les sites concernés. Le périmètre standard d’ENX est celui qui est recommandé et celui qu’acceptent tous les participants.
- Autoévaluation. Vous remplissez le catalogue VDA ISA contrôle par contrôle, avec le niveau de maturité et les preuves qui l’étayent. C’est la base sur laquelle travaille l’auditeur.
- Choix du prestataire d’audit. Seuls ceux de la liste officielle d’ENX sont valables. Vous pouvez demander un devis à chacun.
- Évaluation. En AL2, l’auditeur vérifie la plausibilité de votre autoévaluation, demande des preuves et s’entretient avec les responsables. En AL3, il procède à une vérification complète sur vos sites.
- Actions correctives. En cas d’écarts, vous présentez un plan. Aucune action ne peut dépasser neuf mois, et avec un résultat de non-conformité mineure vous recevez des labels temporaires en attendant.
- Rapport et labels. Le prestataire d’audit vous remet le rapport officiel et, si vous réussissez l’évaluation, les labels.
- Échange. Vous partagez le résultat depuis le portail d’ENX avec les partenaires de votre choix.
TISAX et ISO 27001
Ils se ressemblent, mais ce n’est pas la même chose. Selon ENX, le VDA ISA reste aligné sur l’ISO/IEC 27001, et ISA2027 révise les correspondances avec la version 2022 et supprime les références à celle de 2013. Si vous avez déjà un système de management selon l’ISO 27001, une bonne partie des politiques, de l’analyse des risques et des contrôles vous servira.
La différence la plus concrète tient au périmètre. Le manuel d’ENX l’explique ainsi : dans l’ISO 27001, le périmètre de l’audit doit correspondre à celui de votre système de management, et vous le définissez assez librement. Dans TISAX, le périmètre de l’évaluation est imposé et peut être plus restreint que celui de votre système de management, mais toujours à l’intérieur de celui-ci. Et un certificat ISO 27001 ne vous donne pas de labels : les labels ne s’obtiennent qu’à l’issue d’une évaluation TISAX menée par un prestataire d’audit agréé par ENX.
À notre avis, qui arrive de l’ISO 27001 a déjà fait la partie sécurité de l’information et trouve le travail nouveau à deux endroits : le niveau de maturité 3 contrôle par contrôle et, si le client les demande, les labels prototypes, qui n’ont pas d’équivalent dans la norme ISO.
Un renouvellement tous les trois ans
Les labels définitifs sont valables trois ans, ou moins si un élément important du périmètre change, comme le déménagement d’un site. Ils ne se prolongent pas : pour les conserver, vous repassez par le processus, avec un nouveau périmètre. Le manuel conseille de lancer le renouvellement au moins un an avant leur expiration. Pour votre prochaine évaluation, c’est le catalogue en vigueur au moment de la commande qui s’appliquera, et à partir de 2027 ce catalogue change chaque année. Les labels déjà délivrés gardent toute leur validité.
Par où nous commencerions
D’abord, demander au client par écrit quels labels il lui faut et pour quand. Sans cela, vous ne savez pas si vous visez AL2 ou AL3, et un seul label AL3 fait passer toute l’évaluation en AL3, avec l’auditeur sur site. N’ajoutez pas de labels « au cas où ».
Ensuite, une autoévaluation honnête avant d’appeler le moindre auditeur, et avec le catalogue qui vous concernera : si vous commandez l’évaluation en 2027, faites-la directement avec ISA2027, car la faire avec la version 6 puis la refaire en janvier, c’est du travail perdu. Chaque contrôle en dessous de 3 ou sans preuve devient une tâche avec un responsable et une date.
C’est à cela que sert le module TISAX de GlobalSuite® : l’autoévaluation VDA ISA avec la maturité de chaque contrôle face à la cible, le périmètre avec les labels que demande chaque client par site, le plan d’actions avec responsables et dates, et les preuves de protection des prototypes séparées du reste. Si vous gérez déjà l’ISO 27001 dans GlobalSuite®, les actifs, les risques et les contrôles sont partagés. Si vous voulez le voir sur votre cas, écrivez-nous.
Sources officielles : TISAX sur le site d’ENX, manuel du participant TISAX (version 2.8), foire aux questions TISAX, prestataires d’audit agréés, annonce du VDA ISA2027 et VDA, sécurité de l’information. Contenu révisé en octobre 2026.
