VDA ISA 6: TISAX-Fragebögen prüfbar statt nur schnell vorbereiten

Was VDA ISA 6 und TISAX tatsächlich voneinander unterscheidet

Die Information Security Assessment (ISA) ist der von der ENX Association bereitgestellte Anforderungskatalog. Unternehmen können ihn für eine Selbstbewertung nutzen; im TISAX-Verfahren bildet er die fachliche Grundlage der Bewertung.

TISAX ist dagegen der standardisierte Mechanismus, mit dem Unternehmen einen Assessment Scope registrieren, sich durch einen zugelassenen Audit Provider bewerten lassen und Ergebnisse gezielt mit Geschäftspartnern teilen. TrustRespond führt weder eine TISAX-Prüfung durch noch vergibt es TISAX-Labels.

ISA 6 ist für neue TISAX-Assessments verpflichtend, die seit dem 1. April 2024 beauftragt werden. Wer heute einen neuen Scope vorbereitet, sollte daher nicht mehr mit ISA 5.1 als Zielbild planen.

Warum das Ausfüllen des Fragebogens nicht der schwierigste Teil ist

Die eigentliche Arbeit beginnt vor der Formulierung einer Antwort. Eine Frage kann gleichzeitig Richtlinie, Prozess, technische Umsetzung und Verantwortlichkeit berühren. Ein positives Ja ist nur dann belastbar, wenn die zugrunde liegende Praxis im betrachteten Scope tatsächlich gilt.

Bei Automotive-Zulieferern liegen relevante Nachweise oft verteilt: ISMS-Richtlinien, Berechtigungskonzepte, Incident-Response-Prozesse, Lieferantenbewertungen, Schulungsnachweise, Protokolle und alte Kundenfragebögen. Ohne kontrollierte Zuordnung entstehen Widersprüche oder Aussagen, die stärker klingen als die vorhandene Evidenz.

• Eine Antwort beschreibt den aktuellen Zustand, nicht den geplanten Soll-Zustand.
• Der Nachweis muss zum konkreten Assessment Scope und Standort passen.
• Ähnliche Fragen dürfen nicht automatisch als identisch behandelt werden.
• Fehlende Evidenz ist ein Arbeitsauftrag, kein Freiraum für plausible Formulierungen.

Ein belastbarer Workflow in sechs Schritten

1. 1. Scope und Assessment-Ziele fixieren

   Klären Sie Standorte, Prozesse, Schutzobjekte und die angeforderten TISAX-Labels, bevor Dokumente gesammelt werden. Sonst wird Evidenz bewertet, die außerhalb des Scopes liegt.

2. 2. ISA-Struktur als Arbeitsmodell übernehmen

   Ordnen Sie Fragen nach Controls, Eigentümern und Nachweistypen. Die Excel-Datei bleibt das Austauschformat; die operative Arbeit braucht zusätzlich klare Zuständigkeiten.

3. 3. Quellenregister aufbauen

   Erfassen Sie Dokument, Version, Gültigkeitsbereich, Owner und relevante Fundstelle. Veraltete Richtlinien und nicht freigegebene Entwürfe dürfen nicht stillschweigend als Nachweis dienen.

4. 4. Antwort und Evidenz gemeinsam entwerfen

   Jeder Entwurf sollte die konkrete Aussage, die tragende Quelle und offene Unsicherheiten zeigen. So prüft der Reviewer nicht nur Sprache, sondern auch Belegbarkeit.

5. 5. Lücken bewusst eskalieren

   Wenn ein Dokument nur einen Teil der Frage trägt, bleibt der Rest offen. Die Lücke geht an den fachlichen Owner statt durch eine generische KI-Antwort verdeckt zu werden.

6. 6. Menschlich freigeben und versionieren

   Informationssicherheit, IT, Datenschutz oder Management genehmigen die finale externe Aussage. Freigabestand und verwendete Quellen werden für spätere Kundenanfragen nachvollziehbar gespeichert.

Welche Nachweise typischerweise belastbarer sind

Eine Richtlinie zeigt eine Vorgabe. Sie beweist nicht automatisch, dass der Prozess wirksam ausgeführt wird. Für eine prüfbare Antwort ist deshalb oft eine Kombination aus normativer Dokumentation und operativer Evidenz nötig.

• Freigegebene Richtlinie plus dokumentierter Owner und Review-Zyklus
• Prozessbeschreibung plus Ticket-, Protokoll- oder Stichprobennachweis
• Berechtigungskonzept plus aktueller Access Review
• Incident-Response-Plan plus Übungs- oder Lessons-Learned-Nachweis
• Lieferantenprozess plus dokumentierte Risikobewertung
• Schulungsvorgabe plus aktuelle Teilnahme- oder Wirksamkeitsnachweise

Wo KI hilft – und wo sie stoppen muss

KI kann Fragen gruppieren, relevante Dokumentstellen finden, frühere freigegebene Antworten vorschlagen und einen ersten Entwurf erzeugen. Der wirtschaftliche Nutzen entsteht vor allem dadurch, dass Experten weniger Zeit mit Suchen und Wiederholen verbringen.

Sie darf jedoch keine fehlende Umsetzung erfinden, einen Assessment Scope bestimmen oder eine TISAX-Konformität behaupten. Auch ein hoher Ähnlichkeitswert ersetzt nicht die fachliche Prüfung, ob die Quelle die konkrete Aussage wirklich trägt.

Ein sicherer Workflow zeigt deshalb Quellen, Confidence und Missing Evidence nebeneinander. Die stärkste Funktion ist nicht das automatische Ja, sondern das frühe, sichtbare Nein beziehungsweise Noch nicht belegt.

Die häufigsten Fehler vor dem Audit

• Alte Kundenantworten werden kopiert, obwohl sich Systeme oder Provider geändert haben.
• Eine Konzernrichtlinie wird auf einen Standort übertragen, ohne die lokale Umsetzung zu prüfen.
• Geplante Maßnahmen werden im Präsens als bestehende Kontrolle beschrieben.
• Dokumente werden gesammelt, aber Fundstellen und Verantwortliche fehlen.
• Excel-Zellen sind ausgefüllt, offene fachliche Entscheidungen aber nicht eskaliert.
• Ein Tool wird als Zertifizierungsersatz verstanden, obwohl nur ein Audit Provider bewerten kann.

Praktische Definition of Done

Eine Frage ist erst dann review-ready, wenn ein Dritter nachvollziehen kann, was behauptet wird, wodurch die Aussage gestützt wird, für welchen Scope sie gilt und wer sie freigegeben hat.

• Antwort ist präzise und vermeidet unbelegte Absolutheit.
• Quelle und konkrete Fundstelle sind angegeben.
• Dokumentversion und Gültigkeitsbereich sind aktuell.
• Abweichungen oder Teilabdeckungen sind sichtbar.
• Fachlicher Owner und Freigabestatus sind dokumentiert.
• Export verändert die Struktur der Originaldatei nicht unbeabsichtigt.