Les labels TISAX sont le résultat de l’évaluation, et chacun est associé à un niveau fixe : Confidential, High availability, Test vehicles, Proto events et Data s’évaluent au niveau 2 (AL2) ; Strictly confidential, Very high availability, Proto parts, Proto vehicles et Special data, au niveau 3 (AL3). Quand un client vous dit simplement « il nous faut TISAX », la première chose à lui demander, ce sont les labels : ils déterminent le niveau, et le niveau détermine si l’auditeur travaille à distance ou se déplace sur vos sites.
Tout ce qui suit provient du manuel du participant TISAX de l’ENX Association, l’organisme qui gère le dispositif. Pour une introduction générale au standard, consultez notre article sur la conformité TISAX.
Les labels en vigueur et le niveau exigé pour chacun
ENX parle d’« objectifs d’évaluation » et votre client parlera de « labels ». D’après le site d’ENX, c’est presque la même chose : vous choisissez des objectifs à l’inscription et, si vous réussissez l’évaluation, vous obtenez les labels correspondants. Il en existe trois familles : sécurité de l’information, protection des prototypes et protection des données.
| Label | Ce qu’il évalue | Niveau |
|---|---|---|
| Confidential | Informations ayant un besoin de protection élevé en confidentialité | AL2 |
| Strictly confidential | Informations ayant un besoin de protection très élevé en confidentialité | AL3 |
| High availability | Besoin de protection élevé en disponibilité | AL2 |
| Very high availability | Besoin de protection très élevé en disponibilité | AL3 |
| Proto parts | Pièces et composants prototypes | AL3 |
| Proto vehicles | Véhicules prototypes | AL3 |
| Test vehicles | Essais et manipulation de véhicules d’essai | AL2 |
| Proto events | Prototypes lors d’événements, de présentations et de séances photo ou de tournage | AL2 |
| Data | Protection des données en tant que sous-traitant, au sens de l’article 28 du RGPD | AL2 |
| Special data | Comme Data, avec des catégories particulières de données personnelles | AL3 |
Deux points prêtent souvent à confusion. Le premier : si un contrat ou un modèle d’achat mentionne « Info high » ou « Info very high », ce sont les anciens noms. Le manuel indique qu’ils ne pouvaient être choisis que jusqu’au 31 mars 2024 ; depuis le 1er avril 2024, on choisit Confidential et Strictly confidential. Demandez au client de vous confirmer lequel des labels actuels il attend.
Le second : Test vehicles et Proto events s’évaluent en AL2 depuis la version 2.8 du manuel, parue en 2025. Ils relevaient auparavant de l’AL3, et des documents et présentations plus anciens l’indiquent encore.
Pourquoi « le plus bas » ne suffit pas
Les labels supérieurs incluent les inférieurs dans trois cas cités expressément par le manuel : Strictly confidential couvre Confidential, Very high availability couvre High availability et Special data couvre Data. Et un niveau supérieur inclut toujours le niveau inférieur : une évaluation AL3 vaut lorsqu’un autre client vous demande de l’AL2. Pour les prototypes, le manuel ne prévoit pas cette relation : ne partez donc pas du principe que Proto vehicles couvre Proto parts.
La règle qui pèse le plus sur la facture est une autre : avec le périmètre standard, l’évaluation se fait au minimum au niveau le plus élevé de tous les objectifs choisis. Si vous demandez Confidential, Data et un seul label AL3, toute l’évaluation passe en AL3.
Ce qu’est l’AL1 et pourquoi il ne sera pas accepté
Le niveau 1 est une auto-évaluation à usage interne. Le manuel d’ENX précise que ses résultats ont un faible niveau de confiance et ne sont pas utilisés dans TISAX. Il permet de savoir où vous en êtes avant de commander quoi que ce soit, mais il ne délivre pas de labels que vous pourriez partager avec un client.
Le périmètre : standard presque toujours
Le périmètre se définit par sites : vous décidez quels établissements en font partie, et un seul périmètre donne un seul rapport, favorable uniquement si tous les sites réussissent l’évaluation. Si l’un d’eux est en retard, le manuel permet d’enregistrer plusieurs périmètres.
ENX propose un périmètre standard, prédéfini et non modifiable, qui couvre l’ensemble des processus, procédures et ressources placés sous la responsabilité de l’organisation évaluée sur les sites listés. Le manuel le recommande fortement, le présente comme l’option adaptée à bien plus de 99 % des participants et prévient que les autres participants n’acceptent que des résultats fondés sur lui. Il existe des périmètres personnalisés (« custom extended », qui donne droit à des labels, et « full custom », qui n’en donne pas et que personne n’accepte en général), mais ils ne conviennent pas à un fournisseur qui répond à la demande d’un client. Pour les groupes comptant au moins trois sites et un système de management centralisé, il existe en outre une évaluation de groupe simplifiée, décrite par ENX dans un document à part.
AL2 ou AL3 : ce qui change pour vous
En AL2, le prestataire d’audit vérifie la plausibilité de votre auto-évaluation sur tous les sites du périmètre, demande des preuves et interroge les responsables, en général par visioconférence. Il existe une variante optionnelle, que certains appellent « AL 2.5 », dans laquelle l’auditeur réalise une évaluation complète à distance au lieu du contrôle de plausibilité. Elle compte formellement comme de l’AL2, mais elle est méthodologiquement compatible avec l’AL3 : si vous devez ensuite monter de niveau, il ne resterait que les activités sur site.
En AL3, l’auditeur procède à une vérification complète de la conformité et doit venir sur vos sites pour observer les conditions et les processus réels. Si le travail sur site est temporairement impossible, il peut utiliser une méthode à distance par vidéo, mais cela est enregistré comme une non-conformité mineure et impose une évaluation de suivi sur site dès que possible. Si votre prestataire d’audit n’a pas d’auditeurs dans votre pays, cela se traduit par des déplacements, des frais de mission et des dates calées sur son agenda ; nous le détaillons dans l’article sur TISAX au Mexique.
Labels temporaires, plan d’action et trois ans
Si le résultat global est « non conforme mineur », vous recevez des labels temporaires. Ils sont valables au maximum neuf mois après la réunion de clôture de l’évaluation initiale, ne sont pas renouvelables et, selon la FAQ d’ENX, votre client les accepte en général à condition que vous obteniez ensuite les labels définitifs.
Les écarts se corrigent au moyen d’un plan d’actions correctives. Aucune action ne peut dépasser neuf mois ; au-delà de trois, il faut la justifier, et au-delà de six, démontrer qu’elle ne peut pas être réalisée plus tôt. L’évaluation de suivi doit tenir dans ces neuf mois à compter de la clôture de l’évaluation initiale.
Les labels définitifs sont valables trois ans, ou moins si un élément important du périmètre change, par exemple un déménagement de site. Le manuel conseille de lancer le renouvellement au moins un an avant leur expiration.
Côté catalogue : l’auditeur utilise la version du VDA ISA en vigueur au moment où vous commandez l’évaluation initiale. Selon l’annonce d’ENX, ISA2027 s’applique aux évaluations commandées à partir du 1er janvier 2027, les labels déjà délivrés restent pleinement valables et les nouveaux catalogues paraîtront chaque été. L’annonce ne mentionne aucun changement des labels ni des niveaux.
Par où nous commencerions
Demandez au client la liste des labels par écrit, avec leurs noms actuels, et n’en ajoutez aucun « au cas où ». Un seul label AL3 fait basculer toute l’évaluation en AL3, avec l’auditeur sur site. Si l’on ne vous demande aujourd’hui que Confidential et que vous ne prévoyez ni prototypes ni données de catégories particulières, l’AL2 est le choix raisonnable ; si vous savez que vous aurez besoin de l’AL3 d’ici un an, envisagez la variante complète à distance, car il ne vous resterait ensuite que la partie sur site.
Avant de commander quoi que ce soit, faites l’AL1 vous-même : une auto-évaluation honnête avec le catalogue qui s’appliquera à vous, soit ISA2027 si vous commandez en 2027. Dans le module TISAX de GlobalSuite®, cette auto-évaluation VDA ISA se mène contrôle par contrôle, avec les sites et les labels demandés par chaque client, le plan de mesures avec responsable et échéance, et les preuves de protection des prototypes séparées du reste. Si votre système repose déjà sur l’ISO 27001, vous disposez d’une bonne partie de ces preuves. Pour en parler sur votre cas, écrivez-nous.
Sources officielles : manuel du participant TISAX, TISAX sur le site d’ENX, FAQ TISAX, annonce du VDA ISA2027 et VDA, sécurité de l’information. Contenu revu en octobre 2026.
