Os labels TISAX (rótulos) são o resultado da avaliação, e cada um tem o seu nível definido: Confidential, High availability, Test vehicles, Proto events e Data são avaliados no nível 2 (AL2); Strictly confidential, Very high availability, Proto parts, Proto vehicles e Special data, no nível 3 (AL3). Quando um cliente diz apenas «precisamos de TISAX», a primeira coisa é perguntar quais rótulos, porque deles sai o nível e, do nível, se o auditor vai revisar remotamente ou vir até as suas instalações.
Tudo o que vem a seguir sai do manual do participante TISAX da ENX Association, que é quem administra o sistema. Se você precisa da introdução geral ao padrão, ela está no nosso artigo sobre conformidade com o TISAX.
Os rótulos vigentes e o nível que cada um exige
A ENX fala em «objetivos de avaliação» e o seu cliente vai falar em «rótulos» ou «labels». Segundo o próprio site da ENX, são quase a mesma coisa: você escolhe os objetivos no cadastro e, se for aprovado na avaliação, recebe os rótulos correspondentes. Há três famílias: segurança da informação, proteção de protótipos e proteção de dados.
| Rótulo | O que avalia | Nível |
|---|---|---|
| Confidential | Informação com necessidade de proteção alta em confidencialidade | AL2 |
| Strictly confidential | Informação com necessidade de proteção muito alta em confidencialidade | AL3 |
| High availability | Necessidade de proteção alta em disponibilidade | AL2 |
| Very high availability | Necessidade de proteção muito alta em disponibilidade | AL3 |
| Proto parts | Peças e componentes protótipo | AL3 |
| Proto vehicles | Veículos protótipo | AL3 |
| Test vehicles | Testes e manuseio de veículos de teste | AL2 |
| Proto events | Protótipos em eventos, apresentações e sessões de fotos ou filmagens | AL2 |
| Data | Proteção de dados como operador (processor), segundo o artigo 28 do GDPR (RGPD europeu) | AL2 |
| Special data | O mesmo que Data, com categorias especiais de dados pessoais | AL3 |
Dois detalhes que geram muita confusão. O primeiro: se em um contrato ou em um formulário de compras aparece «Info high» ou «Info very high», esses são os nomes antigos. O manual indica que eles só puderam ser escolhidos até 31 de março de 2024; desde 1.º de abril de 2024, escolhem-se Confidential e Strictly confidential. Peça ao cliente que confirme qual dos atuais ele quer.
O segundo: Test vehicles e Proto events são avaliados em AL2 desde a versão 2.8 do manual, de 2025. Antes eram AL3, então documentos e apresentações mais antigos ainda dizem isso.
Por que não basta pedir «o mais baixo»
Os rótulos superiores incluem os inferiores em três casos que o manual cita expressamente: Strictly confidential cobre Confidential, Very high availability cobre High availability e Special data cobre Data. E um nível superior sempre inclui o inferior, de modo que uma avaliação AL3 serve quando outro cliente pede algo de AL2. Para os protótipos, o manual não traz essa relação, então não presuma que Proto vehicles cobre Proto parts.
O que mais pesa na fatura é outra regra: com o escopo padrão, a avaliação é feita no mínimo no nível mais alto de todos os objetivos escolhidos. Se você pede Confidential, Data e um único rótulo de AL3, a avaliação inteira passa a ser AL3.
O que é o AL1 e por que ele não vai ser aceito
O nível 1 é uma autoavaliação para uso interno. O manual da ENX diz que os seus resultados têm um nível de confiança baixo e não são usados no TISAX. Serve para saber onde você está antes de contratar qualquer coisa, mas não gera rótulos que você possa compartilhar com um cliente.
O escopo: padrão quase sempre
O escopo é definido por localidades: você decide quais unidades entram e, com um único escopo, há um único relatório, que só sai positivo se todas as localidades forem aprovadas na avaliação. Se alguma estiver atrasada, o manual permite cadastrar mais de um escopo.
A ENX oferece um escopo padrão (standard scope), predefinido e que não pode ser alterado, que abrange todos os processos, procedimentos e recursos sob responsabilidade da organização avaliada nas localidades listadas. O manual o recomenda com ênfase, diz que é a opção adequada para bem mais de 99 % dos participantes e alerta que os demais participantes só aceitam resultados baseados nele. Existem escopos personalizados («custom extended», que recebe rótulos, e «full custom», que não recebe e que, em geral, ninguém aceita), mas eles não são para um fornecedor que está atendendo ao pedido de um cliente. Para grupos com pelo menos três localidades e um sistema de gestão centralizado, existe ainda uma avaliação de grupo simplificada, que a ENX descreve em um documento à parte.
AL2 ou AL3: o que muda para você
No AL2, o provedor de auditoria verifica a plausibilidade da sua autoavaliação em todas as localidades do escopo, pede evidências e entrevista os responsáveis, geralmente por videoconferência. Existe uma variante opcional, que alguns chamam de «AL 2.5», em que o auditor faz uma avaliação remota completa em vez da verificação de plausibilidade. Formalmente ela conta como AL2, mas é metodologicamente compatível com o AL3: se depois você precisar subir de nível, faltariam apenas as atividades presenciais.
No AL3, o auditor faz uma verificação completa da conformidade e precisa estar nas suas instalações para observar as condições e os processos reais. Se o trabalho presencial for temporariamente impossível, ele pode usar um método remoto com vídeo, mas isso é registrado como não conformidade menor e exige uma avaliação de acompanhamento presencial quando for possível. Se o seu provedor de auditoria não tem auditores no seu país, isso significa viagem, diárias e datas presas à agenda dele; contamos isso com mais detalhes no artigo sobre TISAX no México.
Rótulos temporários, plano de ação e três anos
Se o resultado global for «não conforme menor», você recebe rótulos temporários. Eles valem no máximo até nove meses depois da reunião de encerramento da avaliação inicial, não são renovados e, segundo as perguntas frequentes da ENX, o seu cliente em geral os aceita com a condição de que você obtenha os definitivos depois.
Os desvios são corrigidos com um plano de ações corretivas. Nenhuma ação pode passar de nove meses; se uma passar de três, é preciso justificá-la e, se passar de seis, demonstrar que não dá para fazê-la antes. A avaliação de acompanhamento cabe dentro desses nove meses contados do encerramento da inicial.
Os rótulos definitivos valem três anos, ou menos se mudar algo importante no escopo, como a mudança de endereço de uma localidade. O manual recomenda começar a renovação pelo menos um ano antes do vencimento.
Sobre o catálogo: o auditor usa a versão do VDA ISA vigente no momento em que você contrata a avaliação inicial. Segundo o comunicado da ENX, o ISA2027 se aplica às avaliações contratadas a partir de 1.º de janeiro de 2027, os rótulos já emitidos mantêm a validade integral e os novos catálogos sairão a cada verão europeu. O comunicado não menciona mudanças nos rótulos nem nos níveis.
Por onde nós começaríamos
Peça ao cliente os rótulos por escrito, com os nomes atuais, e não acrescente nenhum «por via das dúvidas». Um único rótulo de AL3 transforma a avaliação inteira em AL3, com o auditor na planta. Se hoje pedem só Confidential e você não espera ter protótipos nem dados de categorias especiais, AL2 é o razoável; se você sabe que em um ano vai precisar de AL3, considere a variante remota completa, porque depois só faltaria a parte presencial.
Antes de contratar qualquer coisa, faça o AL1 por conta própria: uma autoavaliação honesta com o catálogo que vai valer para você, que, se a contratação for em 2027, será o ISA2027. No módulo de TISAX do GlobalSuite®, essa autoavaliação VDA ISA é conduzida controle a controle, junto com as localidades e os rótulos que cada cliente pede, o plano de medidas com responsável e data, e as evidências de proteção de protótipos separadas das demais. Se o seu sistema já está montado sobre a ISO 27001, boa parte dessas evidências você já tem. Se quiser ver isso aplicado ao seu caso, fale com a gente.
Fontes oficiais: manual do participante TISAX, TISAX no site da ENX, perguntas frequentes do TISAX, comunicado do VDA ISA2027 e VDA, segurança da informação. Conteúdo revisado em outubro de 2026.
