TISAX 认证的高频疑问解答

认证基础与核心概念

1. 什么是 TISAX 认证？TISAX 是汽车行业全球通用的信息安全评估标准，由德国汽车工业协会（VDA）与 ENX 协会联合推出。它基于 ISO/IEC 27001 标准，但针对汽车供应链需求增加了原型保护、数据隐私等定制化要求，旨在通过统一评估减少重复审核，提升供应链信息安全信任度。

2. TISAX 与 ISO 27001 的区别是什么？

• 覆盖范围：TISAX 在 ISO 27001 基础上，新增原型保护（如车辆样件安全）和数据隐私（如 GDPR 第 28 条要求）模块，且必须明确评估范围（如生产车间、研发中心）。

• 认证形式：ISO 27001 颁发证书，需每年年审；TISAX 颁发电子标签，有效期 3 年，无年审但需定期自检。

• 行业针对性：TISAX 是汽车行业专属标准，直接关联供应链准入（如大众、宝马强制要求供应商通过）。

3. TISAX 的评估等级如何划分？

• AL1（基础级）：仅自我评估，适用于低风险场景（如普通零部件供应）。

• AL2（高保护级）：远程审核为主，需提交自评报告并通过合理性检查，覆盖信息安全管理与基础技术防护。

• AL3（极高保护级）：必须现场审核，涉及原型保护、物理安全（如数据中心安防）和严格的供应商管理，适用于处理敏感数据（如自动驾驶算法、用户隐私）的企业。注意：若涉及原型保护（如测试样件、设计图纸），必须选择 AL3 级别。

认证流程与关键步骤

1. 认证流程需要多长时间？通常需6-12 个月，具体取决于：

• 企业规模与信息安全基础（如是否已建立 ISO 27001 体系）。

• 整改复杂度（轻微不符合项可在 2-6 个月内完成，AL3 需 9 个月内闭环整改）。提示：建议提前 6 个月启动复评流程，避免标签过期影响业务。

2. 如何选择认证机构？需从 ENX 认可的机构中选择，费用因等级而异：

• 建议：优先选择有汽车行业经验的机构，可降低沟通成本并提高通过率。
  

3. 是否需要现场审核？

• AL2：以远程审核为主（如文档审查、视频访谈），但涉及第三方连接或敏感数据时可能要求现场验证。

• AL3：必须进行现场审核，验证物理安全措施（如门禁系统、加密设备）和原型保护流程。

认证结果与维护

1. 认证有效期是多久？标签有效期为3 年，从末次审核会议当天起算。有效期内无需年审，但需每年进行内部审计并保存记录。

2. 如何查询认证结果？审核通过后，认证机构将报告上传至 ENX 平台。企业可登录 ENX 门户，在 “MY TISAX” 中查看标签状态（如 “Active” 表示有效），并授权共享给汽车制造商。

3. 复评流程是怎样的？

• 有效期满前 3-6 个月，企业需重新提交自评报告并选择认证机构。

• 复评流程与初次认证类似，但重点审查信息安全体系的持续有效性（如是否更新风险评估报告）。

合规与行业要求

1. 哪些企业需要 TISAX 认证？

• 汽车供应链企业（如零部件供应商、软件开发商、云服务商）。

• 处理敏感数据的企业（如高精地图厂商、车联网运营商）。

• 德系主机厂（如大众、宝马）及一级供应商（如大陆集团）已强制要求其合作伙伴通过认证。

2. TISAX 与 GDPR 的关系是什么？

• TISAX 的数据保护模块直接引用 GDPR 第 28 条（数据处理者义务），要求企业建立个人数据处理的合规流程（如数据访问日志、跨境传输协议）。

• 若企业处理欧盟用户数据，需确保 TISAX 认证覆盖 GDPR 要求。

3. 未通过认证的后果是什么？

• 可能被汽车制造商列入 “风险供应商” 名单，失去竞标资格。

• 严重时可能导致现有订单被终止，影响企业生存。案例：某零部件厂商因未及时通过 AL3 认证，损失了某车企价值 2000 万欧元的订单。

整改与不符合项

1. 审核不通过怎么办？

• 轻微不符合项：可获得临时标签，需在 9 个月内完成整改并提交验证报告。

• 严重不符合项：需重新申请认证，费用与初次评估相同。建议：成立专项整改小组，优先解决高风险问题（如未加密的敏感数据传输）。

2. 整改时间是否有弹性？

• AL3 企业必须在 9 个月内完成所有不符合项的闭环整改，否则临时标签将失效。

• AL2 企业整改时间通常为 2-6 个月，具体由认证机构根据风险等级决定。

其他实用问题

1. 是否需要多语言支持？评估文档需使用英语或德语，但审核过程中可通过翻译辅助沟通。建议提前与认证机构确认语言要求。

2. 是否有中文资料或培训资源？ENX 官网提供部分中文指南，中汽中心（CATARC）也推出了本土化培训课程。中国信息通信研究院等机构已成为 TISAX 认可的认证方，可提供中文服务。

3. 能否与其他认证（如 ISO 21434）结合？TISAX 与 ISO 21434（汽车网络安全工程）形成互补：

• TISAX 侧重管理流程（如风险评估、人员培训）。

• ISO 21434 侧重技术层面（如软件安全设计、漏洞管理）。趋势：部分主机厂已要求供应商通过这两项认证，形成 “双合规” 准入机制。

4. 如何应对标准更新？VDA 定期修订 VDA-ISA 标准（如 2023 年启动的 VDA-ISA 2.0），企业需关注 ENX 通知并及时调整合规策略。建议订阅 ENX 新闻或加入行业社群（如 VDA 信息安全工作组）以获取Zui新动态。

TISAX 认证是汽车行业供应链的 “数字通行证”，其核心价值在于通过统一评估降低合规成本并增强信任。企业需根据自身业务需求选择合适的认证等级，提前规划预算，并优先解决高风险问题。通过系统准备与专业支持，可高效通过认证并持续满足行业要求。