TISAX (Trusted Information Security Assessment Exchange) ist ein von der Automobilindustrie entwickelter Standard, der sicherstellen soll, dass Unternehmen, die in der Automobilindustrie tätig sind, ein einheitliches IT-Sicherheitsniveau entlang der Lieferkette einhalten und Maßnahmen zum Schutz der Informationswerte implementiert sind.

TISAX basiert auf der internationalen Norm für IT-Sicherheit, der ISO/IEC 27001. Betroffene Unternehmen müssen besondere Anforderungen an die Informationssicherheit, den Datenschutz und unter Umständen an den Schutz von Prototypen erfüllen. 

Entwickelt und verwaltet wird TISAX in Zusammenarbeit des VDA (Verband der Automobilindustrie) und der ENX Association. Der VDA repräsentiert dabei Automobilhersteller, Zulieferer, und Dienstleister. Dieser Verband entwickelt den VDA-ISA-Katalog, welcher die Anforderungen für Informationssicherheit in der Automobilindustrie definiert. 

Die ENX Organisation, ebenfalls mit Mitgliedern der Automobilindustrie, betreut die TISAX Plattform, über die die Zertifizierungsergebnisse eingesehen werden können und überwacht die Durchführung der Assessments. Die strikte Rollenverteilung beider Akteure soll die Objektivität und Neutralität der Zertifizierungsergebnisse gewährleisten und insgesamt dafür sorgen, dass die festgelegten Standards branchenübergreifend eingehalten werden.

Für Unternehmen stellt sich nun die zentrale Frage der Betroffenheit. TISAX ist grundsätzlich relevant für alle Unternehmen, die in der Automobilbranche tätig sind und sensible Informationen verarbeiten. Zur betroffenen Gruppe von Unternehmen zählen somit sowohl die Automobilhersteller selbst als auch deren Zulieferer und Dienstleister oder Partnerunternehmen, die mit sensiblen und vertraulichen Informationen in Berührung kommen. Folglich können auch Unternehmen betroffen sein, die nicht direkt für oder in der Automobilbranche tätig sind. Hier reicht oft schon aus, dass ein Unternehmen in die Lieferkette eingebunden ist.

Zu den schützenswerten Daten und sensiblen Informationen zählen beispielsweise Produktionsinformationen, Entwicklungsdaten, Prototypen, Fertigungsdaten und Zeichnungen oder Vertragsdaten und Projektunterlagen.
Die meisten Unternehmen in der Automobilindustrie werden durch ihre Partner zur Einhaltung von TISAX verpflichtet, vor allem wenn Produkte oder Dienstleistungen geliefert werden, die direkt mit der Automobilherstellung oder Entwicklung verbunden sind.

Was kann ein Unternehmen, das TISAX einhalten muss, nun tun? Um TISAX zu erfüllen, müssen gewisse technische Maßnahmen in die IT-Sicherheitsstrategie implementiert werden, die die Bereiche Vertraulichkeit, Verfügbarkeit und Integrität von Informationen betreffen. Hierzu zählen beispielsweise das Betreiben eines Patch Managements, um Zero-Day-Lücken und bekannte Schwachstellen zu schließen. Das Sammeln und Auswerten von Logfiles mittels Loganalyse Tool ist zentraler Bestandteil der Sicherheitsstrategie. 

Nur so können Angriffe frühzeitig erkannt und ungewöhnliche Aktivitäten wie unautorisierte Zugriffe schnellstmöglich analysiert, eruiert und forensisch analysiert werden. Benutzerzugänge sind mit starken, komplexen Passwörtern und im besten Fall mit 2-Faktor-Authentifizierung abzusichern. Zudem sollte darauf geachtet werden, dass Firewalls mit Intrusion Detection and Prevention Systemen ausgestattet sind sowie die Netzwerke segmentiert sind. 

An dieser Stelle soll darauf hingewiesen werden, dass neben technischen Maßnahmen auch organisatorische Maßnahmen einzuhalten sind. Hierzu zählen klar definierte Prozesse im Umgang mit Informationen und Sicherheitsvorfällen, die Implementierung von Berechtigungskonzepten und die Schulung von Mitarbeitern im Bereich Security Awareness. Eine ordnungsbemäße Dokumentation sämtlicher Maßnahmen und Vorgehensweisen ist dabei ebenso wichtig wie die technisch einwandfreie Umsetzung.