A conformidade TISAX consiste em passar por uma avaliação de segurança da informação com base no catálogo VDA ISA, feita por um provedor de auditoria aprovado pela ENX Association, e compartilhar o resultado com os clientes da indústria automotiva que o pedem. O resultado são etiquetas com validade de três anos. Se uma montadora ou um fornecedor tier 1 escreveu para você dizendo “precisamos de TISAX”, é isso que estão pedindo.
O que é TISAX e quem está por trás
O TISAX (Trusted Information Security Assessment Exchange) nasceu para que a indústria automotiva tivesse uma forma comum de avaliar a segurança da informação de seus parceiros. Quem o governa é a ENX Association, que aprova os provedores de auditoria e zela pela qualidade das avaliações, segundo as perguntas frequentes da ENX. O catálogo de requisitos, o VDA ISA (Information Security Assessment), é publicado pela VDA, a associação alemã da indústria automotiva.
A versão vigente do catálogo é a 6.0, aplicável desde 1º de abril de 2024, segundo a página da VDA. Em 1º de julho de 2026 foi publicado o ISA2027, e o comunicado da ENX diz que ele se aplica a todas as avaliações contratadas a partir de 1º de janeiro de 2027. De agora em diante haverá um catálogo novo a cada verão europeu, com efeito no 1º de janeiro seguinte, e cada versão levará o nome do ano em que passa a ser obrigatória. Uma das novidades do ISA2027: a proteção de protótipos, que tinha cinco grupos de controles, passa a ter dois domínios, requisitos organizacionais e segurança física e do ambiente.
O que se avalia se divide em três blocos: segurança da informação, proteção de protótipos e proteção de dados. Cada controle é medido numa escala de maturidade de 0 a 5 (incompleto, realizado, gerenciado, estabelecido, previsível e otimizado), e o manual do participante da ENX fixa um nível de maturidade alvo de 3 para cada pergunta. Em outras palavras: ter o controle implementado não basta, ele precisa estar estabelecido como processo.
Uma avaliação, mesmo que todos digam “certificação TISAX”
Em compras e nos contratos você vai ver “certificação TISAX” e “certificado TISAX”. Tecnicamente, não é nenhum dos dois. O manual da ENX é direto: se você está se perguntando se existe um certificado para pendurar na parede, não existe, porque o resultado é trocado de forma padronizada. O que você recebe é um relatório de avaliação e etiquetas, e só quem você autorizar no portal da ENX consegue vê-los.
As etiquetas são o que de fato pedem a você. Confidential, Strictly confidential, High availability, Proto parts e Data são algumas delas, e cada uma tem um nível de avaliação fixo: AL2, com revisão normalmente por videoconferência, ou AL3, com o auditor nas suas instalações. Se aparecer “Info high” ou “Info very high” em algum documento, são nomes antigos que não podem mais ser escolhidos.
Quem precisa
Segundo a ENX, o catálogo é usado por fornecedores e prestadores de serviços da cadeia de suprimentos automotiva, e alguns participantes o transformaram em requisito obrigatório para muitos de seus fornecedores. Não é uma obrigação legal: chega por contrato, porque o seu cliente exige isso para compartilhar com você informações sensíveis, peças em desenvolvimento ou dados pessoais.
No TISAX, todo mundo que se registra é “participante”. O ativo é quem é avaliado e compartilha o resultado; o passivo, quem pede e recebe. Uma mesma empresa pode ter os dois papéis: um fornecedor tier 1 é avaliado para a montadora e, ao mesmo tempo, exige TISAX dos seus próprios fornecedores. Por isso o pedido desce pela cadeia, e o requisito viaja com o cliente, não com o país.
Os passos, do registro ao intercâmbio
A ENX resume o processo em registro, avaliação e intercâmbio. Na prática, dentro desses três passos há vários outros:
- Registro no portal da ENX. Você cadastra a sua empresa como participante e pelo menos um escopo de avaliação. A taxa de registro é calculada pelas localidades incluídas e é separada do que o auditor cobra.
- Escopo. Você decide quais localidades entram. O escopo padrão da ENX é o recomendado e o que todos os participantes aceitam.
- Autoavaliação. Você preenche o catálogo VDA ISA controle por controle, com o nível de maturidade e a evidência que o sustenta. É a base sobre a qual o auditor trabalha.
- Escolha do provedor de auditoria. Só valem os da lista oficial da ENX. Você pode pedir proposta a todos.
- Avaliação. No AL2, o auditor verifica a plausibilidade da sua autoavaliação, pede evidências e entrevista os responsáveis. No AL3, faz uma verificação completa nas suas localidades.
- Ações corretivas. Se houver desvios, você apresenta um plano. Nenhuma ação pode passar de nove meses, e com um resultado de não conformidade menor você recebe etiquetas temporárias enquanto isso.
- Relatório e etiquetas. O provedor de auditoria entrega o relatório oficial e, se você for aprovado na avaliação, as etiquetas.
- Intercâmbio. Você compartilha o resultado pelo portal da ENX com os parceiros que escolher.
TISAX e ISO 27001
São parecidos, mas não são a mesma coisa. Segundo a ENX, o VDA ISA se mantém alinhado com a ISO/IEC 27001, e o ISA2027 revisa as correspondências com a versão de 2022 e elimina as referências à de 2013. Se você já tem um sistema de gestão segundo a ISO 27001, boa parte das políticas, da análise de riscos e dos controles vai servir.
A diferença mais prática está no escopo. O manual da ENX explica assim: na ISO 27001 o escopo da auditoria tem que coincidir com o do seu sistema de gestão, e você o define com bastante liberdade. No TISAX o escopo da avaliação já vem definido e pode ser menor que o do seu sistema de gestão, mas sempre dentro dele. E um certificado ISO 27001 não dá etiquetas: as etiquetas só saem de uma avaliação TISAX feita por um provedor de auditoria aprovado pela ENX.
Na nossa leitura, quem chega da ISO 27001 já tem a parte de segurança da informação feita e encontra o trabalho novo em dois lugares: o nível de maturidade 3 controle por controle e, se o cliente pedir, as etiquetas de protótipos, que não têm equivalente na norma ISO.
Renovação a cada três anos
As etiquetas definitivas valem por três anos, ou menos se mudar algo importante no escopo, como a transferência de uma localidade. Não são prorrogadas: para continuar com elas, você passa de novo pelo processo, com um escopo novo. O manual recomenda começar a renovação pelo menos um ano antes do vencimento. Na sua próxima avaliação vai valer o catálogo vigente no momento da contratação, e a partir de 2027 esse catálogo muda todo ano. As etiquetas já emitidas mantêm toda a sua validade.
Por onde começaríamos
Primeiro, pedir ao cliente por escrito quais etiquetas ele precisa e para quando. Sem isso você não sabe se vai para AL2 ou AL3, e uma única etiqueta de AL3 leva a avaliação inteira para AL3, com o auditor na planta. Não acrescente etiquetas “por via das dúvidas”.
Segundo, uma autoavaliação honesta antes de chamar qualquer auditor, e com o catálogo que vai valer para você: se você vai contratar a avaliação em 2027, faça direto com o ISA2027, porque fazer com a versão 6 e repetir em janeiro é trabalho jogado fora. Cada controle abaixo de 3 ou sem evidência é uma tarefa com responsável e prazo.
Para essa parte existe o módulo de TISAX do GlobalSuite®: a autoavaliação VDA ISA com a maturidade de cada controle frente ao alvo, o escopo com as etiquetas que cada cliente pede por localidade, o plano de ação com responsáveis e prazos, e as evidências de proteção de protótipos separadas do resto. Se você já trabalha a ISO 27001 no GlobalSuite®, os ativos, os riscos e os controles são compartilhados. Se quiser ver isso aplicado ao seu caso, fale com a gente.
Fontes oficiais: TISAX no site da ENX, manual do participante TISAX (versão 2.8), perguntas frequentes sobre TISAX, provedores de auditoria aprovados, comunicado do VDA ISA2027 e VDA, segurança da informação. Conteúdo revisado em outubro de 2026.
