Od czego zależy powodzenie certyfikacji TISAX? Powodzenie certyfikacji TISAX zależy przede wszystkim od poprawnego ustalenia na starcie, jakich labeli i jakiego poziomu oceny (Assessment Level) wymaga Twój klient – bo to kontrakt, a nie własna preferencja, determinuje zakres i głębokość audytu. Błąd na tym etapie jest najkosztowniejszy: prowadzi do audytu, który nie spełnia oczekiwań odbiorcy.
Definicja kanoniczna: TISAX (Trusted Information Security Assessment Exchange) to prowadzony przez ENX Association mechanizm oceny i wymiany wyników bezpieczeństwa informacji w branży motoryzacyjnej, oparty na katalogu wymagań VDA ISA, w którym firma przechodzi ocenę raz i dzieli wynik z partnerami zamiast poddawać się wielu osobnym audytom.
Ten artykuł destyluje przygotowanie do TISAX w dwie listy: pięciu rzeczy, które trzeba zrobić w pierwszej kolejności, i pięciu błędów, które najczęściej kosztują czas i pieniądze.
Certyfikacja TISAX top 5 – w skrócie:
- TISAX prowadzi ENX Association, a ocena odbywa się względem katalogu VDA ISA – aktualnie w wersji 6.0 (obowiązującej od 1 kwietnia 2024).
- Poziom oceny (Assessment Level: AL1, AL2, AL3) wynika z potrzeb ochrony informacji i wymogu klienta, a nie z własnego wyboru firmy – to kontrakt decyduje.
- Aby uzyskać label, każdy istotny wymóg MUST musi osiągnąć poziom dojrzałości 3 lub wyższy, poparty realnym dowodem, nie samym dokumentem.
- Proces przebiega w trzech krokach na platformie ENX: rejestracja, ocena (samoocena plus audyt), wymiana wyników z wybranymi partnerami.
- Labele TISAX są ważne 3 lata; wybór właściwego labelu i poziomu na starcie decyduje o tym, czy wynik będzie użyteczny dla klienta.
- Patronusec wspiera firmy motoryzacyjne w przygotowaniu do TISAX – od ustalenia zakresu i poziomu po gotowość do audytu.
Spis treści
Czym jest TISAX i co decyduje o zakresie oceny?
TISAX to mechanizm branży motoryzacyjnej, w którym firma przechodzi ocenę bezpieczeństwa informacji raz i dzieli jej wynik z partnerami biznesowymi, zamiast poddawać się powtarzalnym, indywidualnym audytom każdego klienta. O zakresie oceny decyduje nie firma, lecz wymóg jej klienta – konkretne labele i poziom oceny zapisane w kontrakcie.
TISAX (Trusted Information Security Assessment Exchange) prowadzi ENX Association, a wszystkie oceny są punktowane względem katalogu VDA ISA (Information Security Assessment) – obecnie w wersji 6.0, obowiązującej od 1 kwietnia 2024. To ten katalog jest wiążącym punktem odniesienia każdej oceny: firma wykazuje dojrzałość swoich praktyk bezpieczeństwa informacji względem jego wymagań.
Dwa wymiary definiują zakres oceny i oba wynikają z kontraktu z klientem:
- Label (cel oceny). Określa, jaki cel ochrony trzeba wykazać. Od VDA ISA 6.0 istnieją cztery labele bezpieczeństwa informacji: „Confidential”, „Strictly Confidential”, „High Availability”, „Very High Availability”, a dodatkowo dostępne są opcjonalne moduły ochrony danych i ochrony prototypów.
- Assessment Level (głębokość oceny). Określa, jak dokładnie audyt jest przeprowadzany: AL1 (samoocena bez zewnętrznej weryfikacji), AL2 (zdalna weryfikacja wiarygodności samooceny przez akredytowanego audytora), AL3 (ocena na miejscu z inspekcją i wywiadami).
Kluczowe: poziom oceny wynika z potrzeb ochrony informacji i wymogu klienta, a nie z własnej preferencji firmy. Klient (najczęściej producent lub dostawca wyższego rzędu) wskazuje w kontrakcie lub przez platformę ENX, jakiego labelu i poziomu oczekuje.
W TISAX najważniejsza decyzja zapada, zanim zaczniesz cokolwiek wdrażać: to nie Ty wybierasz, jak głęboki ma być audyt – wybiera to Twój klient, a Twoim zadaniem jest poprawnie odczytać ten wymóg i dopasować do niego przygotowania.
Top 5 rzeczy, które trzeba zrobić w pierwszej kolejności
Pięć zadań poniżej wyznacza właściwą kolejność przygotowania do TISAX. Wspólny mianownik: najpierw ustal, czego dokładnie wymaga klient, a dopiero potem buduj – odwrotna kolejność prowadzi do audytu, który nie spełnia oczekiwań.
- Ustal z klientem wymagane labele i poziom oceny. To pierwszy i najważniejszy krok. Zapytaj klienta wprost, jakiego labelu i jakiego Assessment Level oczekuje – wymóg zwykle jest w kontrakcie lub komunikowany przez platformę ENX. Bez tego cała reszta przygotowań może okazać się niedopasowana.
- Zdefiniuj poprawnie zakres oceny. Ustal, które lokalizacje, procesy i systemy obejmuje ocena. Zakres wpisujesz przy rejestracji na platformie ENX – warto zrobić to precyzyjnie, choć drobne korekty audytor zwykle jest w stanie uwzględnić.
- Przeprowadź samoocenę względem VDA ISA i zidentyfikuj luki. Wypełnij kwestionariusz VDA ISA (wersja 6.0) i porównaj obecny stan z wymaganym poziomem dojrzałości. To pokazuje, gdzie jesteś i ile pracy dzieli Cię od gotowości.
- Podnieś dojrzałość do wymaganego poziomu z realnym dowodem. Dla każdego istotnego wymogu MUST celuj w poziom dojrzałości 3 lub wyższy – poparty dowodem, że praktyka jest realnie stosowana, nie tylko opisana w polityce. Sam dokument bez dowodu wdrożenia nie wystarczy.
- Zarejestruj się na platformie ENX i wybierz akredytowanego dostawcę audytu. Proces przebiega przez platformę ENX w trzech krokach (rejestracja, ocena, wymiana). Wybierz akredytowanego dostawcę audytu odpowiedniego do wymaganego poziomu i zaplanuj harmonogram z zapasem na remediację.
Top 5 rzeczy, których należy unikać
Poniższe pięć błędów najczęściej kosztuje firmy czas i pieniądze w drodze do TISAX. Wspólny mianownik: traktowanie certyfikacji jako czysto formalnego ćwiczenia zamiast realnego wykazania dojrzałości względem wymogu klienta.
❌ Wybór poziomu oceny „na oko”. Założenie „weźmiemy AL2, to powinno wystarczyć” jest ryzykowne. Jeśli klient oczekuje AL3, a przedstawisz AL2, Twój label jest dla niego bezwartościowy. Poziom wynika z wymogu klienta i potrzeb ochrony, nie z wygody – sprawdź kontrakt, zanim zdecydujesz.
❌ Mylenie zmiany poziomu z drobną korektą. Jeśli zaczniesz od AL2, a później okaże się, że potrzebujesz AL3, w praktyce płacisz podwójnie – to zasadniczo inna głębokość audytu, nie drobna zmiana. Ustal poziom poprawnie na starcie.
❌ Traktowanie polityki jako dowodu. Sam dokument polityki, bez dowodu, że jest realnie stosowana, nie przejdzie. TISAX wymaga poziomu dojrzałości 3 na wymogach MUST popartego realnym dowodem wdrożenia – audytor sprawdza praktykę, nie tylko papier.
❌ Zakładanie, że AL1 wystarczy do relacji z klientem. AL1 to czysta samoocena bez weryfikacji treści przez zewnętrznego audytora; jej wynik nie jest używany w TISAX i nie prowadzi do labelu użytecznego w relacji z klientem. Żaden producent nie akceptuje AL1 jako dowodu.
❌ Nieostrożne udostępnianie wyników w kroku wymiany. W kroku „Exchange” decydujesz, którzy partnerzy widzą Twój wynik i w jakim zakresie. Po nadaniu partnerowi dostępu nie możesz go cofnąć – wybieraj świadomie, komu i co udostępniasz.
Patronusec Insight: Z naszego doświadczenia projektowego wynika, że najkosztowniejszy błąd w TISAX popełnia się na samym początku – przy ustalaniu poziomu oceny. Firmy, które wybierają poziom „na oko” lub zakładają, że niższy wystarczy, często odkrywają rozbieżność dopiero po audycie, gdy klient nie akceptuje wyniku. Wtedy trzeba powtórzyć ocenę na wyższym poziomie, płacąc drugi raz. Rekomendujemy zacząć od jednej rozmowy: z klientem, o dokładnym wymogu labelu i poziomu, i z doradcą, o tym, co ten wymóg oznacza w praktyce. Ta rozmowa oszczędza najwięcej.
Jak wygląda proces oceny i utrzymanie labelu?
Proces TISAX przebiega w trzech krokach na platformie ENX – rejestracja, ocena, wymiana – a uzyskany label jest ważny 3 lata. Ocena obejmuje samoocenę względem VDA ISA oraz audyt na poziomie wymaganym przez klienta, którego głębokość zależy od Assessment Level.
Trzy kroki procesu:
- Rejestracja. Zakładasz konto na platformie ENX, podajesz dane firmy i definiujesz cele oceny (labele) wymagane przez klienta. Ten krok jest samoobsługowy.
- Ocena (samoocena i audyt). Wybierasz akredytowanego dostawcę audytu, wypełniasz samoocenę VDA ISA, a następnie przechodzisz audyt. Dostawca weryfikuje odpowiedzi na poziomie wymaganym przez klienta (AL2 zdalnie, AL3 na miejscu), po czym wgrywa raport i wynikowy label.
- Wymiana (Exchange). Decydujesz, którzy partnerzy biznesowi mogą zobaczyć Twój wynik i z jaką szczegółowością. Pamiętaj: po nadaniu dostępu nie da się go cofnąć.
Głębokość audytu zależy od poziomu. AL2 to weryfikacja wiarygodności samooceny na podstawie dowodów i wywiadów, zwykle zdalnie – dla celów o wysokich potrzebach ochrony. AL3 to kompleksowa ocena na miejscu z inspekcją dokumentów i wywiadami – dla celów o bardzo wysokich potrzebach ochrony, na przykład labelu „Strictly Confidential”.
Utrzymanie: label jest ważny 3 lata, po czym ocenę trzeba odnowić. Warto traktować bezpieczeństwo informacji jako proces ciągły, nie jednorazowy projekt – między ocenami praktyki muszą realnie działać, a nie tylko istnieć na papierze. To podejście ułatwia też kolejne odnowienie, bo dojrzałość jest utrzymywana, a nie odbudowywana od zera.
Patronusec prowadzi firmy motoryzacyjne przez ten proces w ramach usługi TISAX – od ustalenia zakresu i poziomu, przez analizę luk względem VDA ISA, po przygotowanie do audytu i utrzymanie dojrzałości.
FAQ – Certyfikacja TISAX
Czy mogę sam wybrać poziom oceny TISAX?
Nie w pełni. Poziom oceny (Assessment Level) wynika z potrzeb ochrony informacji i wymogu Twojego klienta, a nie z własnej preferencji. Klient wskazuje wymagany label i poziom w kontrakcie lub przez platformę ENX. Wybór poziomu „na oko” jest ryzykowny – jeśli klient oczekuje AL3, label AL2 będzie dla niego bezwartościowy.
Jaka jest aktualna wersja katalogu VDA ISA?
Aktualnie obowiązuje VDA ISA w wersji 6.0, effective od 1 kwietnia 2024. To wiążący katalog wymagań, względem którego punktowana jest każda ocena TISAX. Wersja 6.0 wprowadziła cztery labele bezpieczeństwa informacji („Confidential”, „Strictly Confidential”, „High Availability”, „Very High Availability”), zastępując wcześniejsze oznaczenia.
Czym różnią się poziomy AL1, AL2 i AL3?
AL1 to czysta samoocena bez zewnętrznej weryfikacji, której wynik nie prowadzi do użytecznego labelu. AL2 to zdalna weryfikacja wiarygodności samooceny przez akredytowanego audytora, dla wysokich potrzeb ochrony. AL3 to ocena na miejscu z inspekcją i wywiadami, dla bardzo wysokich potrzeb ochrony. AL2 i AL3 są punktowane względem tego samego katalogu VDA ISA – różni je głębokość weryfikacji.
Jaki poziom dojrzałości jest wymagany, by uzyskać label?
Aby uzyskać label, każdy istotny wymóg MUST musi osiągnąć poziom dojrzałości 3 lub wyższy, poparty realnym dowodem. Sam dokument polityki nie wystarczy – audytor sprawdza, czy praktyka jest rzeczywiście stosowana. To rozróżnienie między „opisane” a „realnie działające” jest częstą przyczyną niepowodzeń w firmach traktujących TISAX formalnie.
Jak długo ważny jest label TISAX?
Label TISAX jest ważny 3 lata, po czym ocenę trzeba odnowić. Warto utrzymywać dojrzałość praktyk bezpieczeństwa informacji przez cały ten okres, nie tylko na potrzeby audytu – to nie tylko wymóg, ale też ułatwienie kolejnego odnowienia, bo dojrzałość jest podtrzymywana zamiast odbudowywana od zera.
Jak Patronusec pomaga w przygotowaniu do TISAX?
Zaczynamy od ustalenia z Tobą wymaganego labelu i poziomu oceny (na podstawie wymogu Twojego klienta) oraz poprawnego zdefiniowania zakresu. Następnie prowadzimy analizę luk względem VDA ISA 6.0, wspieramy podniesienie dojrzałości z realnym dowodem i przygotowanie do audytu. Po bezpłatnej rozmowie scope-assessment przedstawiamy stałą wycenę.
Warto przeczytać
Ścieżka lektury dla tematu TISAX i bezpieczeństwa informacji w automotive:
- TISAX – jak zacząć przygodę z bezpieczeństwem informacji w automotive (checklista 10 kroków) – pierwszy krok dla firm bez polityki bezpieczeństwa.
- NIS2 – zarządzanie ryzykiem cyberbezpieczeństwa – pokrewny reżim, który może obejmować dostawców motoryzacyjnych.
- DORA – operacyjna odporność cyfrowa – dla firm działających także w łańcuchu finansowym.
Certyfikacja TISAX – bezpłatna konsultacja
Patronusec wspiera firmy motoryzacyjne w przygotowaniu do TISAX – od ustalenia wymaganego labelu i poziomu, przez analizę luk względem VDA ISA, po gotowość do audytu. Umów bezpłatną konsultację, aby poprawnie ustalić zakres i poziom oceny dla Twojej firmy.
