Tisax Beratung Anbieter – Vergleich

Tisax-Beratung ist die fachliche Begleitung beim Aufbau und der Überprüfung eines Informationssicherheits-Managementsystems nach TISAX (Trusted Information Security Assessment Exchange). Das Prüfkonzept leitet konkrete Anforderungen aus dem VDA ISA-Katalog ab. In der Automobilbranche gilt das Verfahren als Voraussetzung für definierte Datenräume. Vertrauliche Entwicklungsdaten verlangen nach messbaren Regeln: Vertraulichkeit, Integrität und Verfügbarkeit werden entlang der Schnittstellen zwischen Automobilhersteller und Entwicklungsdienstleister bewertet.

Rolle im Wertschöpfungsnetz der Automobilindustrie

Bei Ausschreibungen mit Prototypdaten definiert TISAX ein verbindliches Sicherheitsniveau für den Austausch über Standorte und Dienstleister hinweg. Geprüft werden nicht Absichtserklärungen, sondern wirksame Kontrollen im Managementsystem. Die Verantwortung bleibt intern verankert, und externe Prüfpfade setzen feste Prüfschritte. Beispiel: Für ein Prüfziel mit „Hohem Schutzbedarf“ verlangt der Kriterienkatalog typischerweise eine strengere Zugriffstrennung als bei „Normal“, was den späteren Datenaustausch eindeutig begrenzt.

Kernleistungen: vom Befund bis zur Freischaltung

Am Anfang steht eine strukturierte Bestandsaufnahme von Informationswerten, Prozessen und Schnittstellen. Wo unklare Berechtigungen auftreten, folgt eine belastbare Identifikation schwachstellennaher Ursachen statt einer reinen Symptomliste. Danach leitet das Vorgehensmodell konkrete Schutzmaßnahmen ab und integriert sie in vorhandene Abläufe. Entscheidender Grundsatz: Reifegrad schlägt Bauchgefühl. Schließlich begleitet die Beratung die Beauftragung des Prüfverfahrens und führt die Organisation bis zur Freischaltung im Austauschverfahren.

• Kontextanalyse: Interne Faktoren, externe Erwartungen und die Stellung interessierter Parteien werden gegen ISO/IEC 27001 abgeglichen.
• Risikobewertung: Sicherheitsrisiken werden nach Eintrittswahrscheinlichkeit und Schadenshöhe klassifiziert. BSI-Standard 200-3 liefert dafür eine gängige Bewertungslogik.
• Dokumentation: Verfahrensanweisungen, Arbeitsanweisungen und jedes notwendige Dokument fixieren Verantwortlichkeiten und Eskalationswege.
• Basisprüfung: Vorabchecks prüfen Kontrollen auf Wirksamkeit: technisch, organisatorisch und physisch.

Normen und Richtlinien

• VDA ISA
• ISO/IEC 27001
• BSI-Standard 200-3

Dokumente, Schulungen und Bürokratie im richtigen Maß

Nicht die Papiermenge entscheidet, sondern die Aussage jedes Nachweises gegenüber dem Auditor. Während bei zu großer Bürokratie Richtlinien im Alltag an Akzeptanz verlieren, fehlen bei zu wenig Schriftlichkeit prüffähige Spuren. Deshalb präzisiert die Beratung Zugriffsprozesse für Datenräume mit definiertem Schutzbedarf und koppelt Schulungsinhalte an Rollenprofile. Beispiel: Eine Schulung für Entwicklungsumgebungen kann den Umgang mit „Need-to-know“-Freigaben anhand von mindestens drei Rollentypen differenzieren und so Abweichungen revisionsfest reduzieren.

Dienstleisterauswahl: Kriterien statt Bauchentscheidung

Vor Vertragsstart werden der Leistungsumfang je Prüfungslevel eindeutig festgelegt und die Zuständigkeiten zwischen internen Teams und Beratern abgegrenzt. Wichtig bleibt die Einordnung der Strukturanalyse sowie der Einzelmaßnahmen in den VDA ISA-Fragenkatalog. Nicht Hochglanzfolien zählen, sondern prüfbare Handlungsempfehlungen mit Termin- und Artefaktbezug. Eine Plausibilitätsprüfung deckt Lücken schnell auf: Fehlt ein Plan für interne Audits oder bleibt der Feinschliff der Dokumentation offen, steigt das Risiko von Nacharbeiten unmittelbar vor dem Audit.

Kostenstrukturen und Wirtschaftlichkeit aus technischer Sicht

Kostenstrukturen hängen vom Reifegrad des bestehenden Systems sowie von Tiefe und Breite der geforderten Kontrollen ab. Typische Modelle kalkulieren Tagessätze für Workshops oder Projektpauschalen für definierte Arbeitspakete, und länger laufende Programme werden häufig über Retainer abgerechnet. Der wirtschaftliche Hebel entsteht durch Wiederverwendbarkeit von Prozessbausteinen bei Folgeprüfungen und durch weniger Nacharbeiten durch Audit-Abweichungen kurz vor Stichtagen. Zudem reduziert eine saubere Verarbeitung sensibler Daten messbar Reputationsschäden nach Sicherheitsvorfällen, weil Meldeketten und Zugriffsnachweise bereits festgelegt sind.