Seit diesem Monat gilt der überarbeitete VDA-ISA Katalog in Version 6. Damit gibt es nun weitere Assessments und die Labels „Verfügbarkeit“ sowie „Vertraulichkeit“ in verschiedenen Stufen.
Die Automobilbranche ist eine der tragenden Säulen der deutschen Wirtschaft – und damit ein attraktives Ziel für Cyberkriminelle. Durch die stetige Digitalisierung und die zunehmende Vernetzung der Fahrzeuge bieten sich vielfältige Angriffsmöglichkeiten. Hinzu kommen einige Besonderheiten der Branche: In kaum einer anderen Industrie sind Zulieferer aller Größen dermaßen eng in Produktion und Forschung der Hersteller eingebunden. Deshalb wurde der Prüf- und Austauschmechanismus TISAX® (Trusted Information Security Assessment Exchange) in der Branche etabliert: Lieferanten können anhand von allgemeingültigen Labels nachweisen, dass sie bestimmte Kriterien im Bereich Cyber- und Informationssicherheit erfüllen. Dank TISAX® muss dieser Nachweis nicht immer wieder aufs Neue von Lieferanten für jeden OEM erbracht werden. Bisher standen dabei die Unternehmen im Vordergrund, die mit besonders sensiblen Daten der OEMs arbeiteten – entsprechend lag der Fokus der TISAX®-Prüfkataloge auf den Themen Informationssicherheit und Geheimnisschutz. Das hat sich nun geändert: Seit dem 1. April dieses Jahres gilt der neue Information-Security-Assessment-Katalog 6.0 zusammen mit spezifischeren Labels. Diese ermöglichen eine präzisere Auditierung und selektive Audits. Für Unternehmen kann das sinkende Kosten bedeuten. ISA 6.0 fordert jedoch auch, dass Produzenten ihre OT-Systeme in ein Informationssicherheits-Managementsystem integrieren. Davon profitieren Transparenz, Vergleichbarkeit und Sicherheit – allerdings wird das Audit dadurch komplexer.
Um direkte Zulieferer nicht mit – im individuellen Fall unnötigen – Anforderungen zum Geheimnisschutz zu belasten, gibt es nun die inhaltlich voneinander abgekoppelten Labels, die unterschiedliche Aspekte ins Visier nehmen: Beim Prüfziel Verfügbarkeit weisen Unternehmen eine „hohe oder sehr hohe Verfügbarkeit“, beim Prüfziel Vertraulichkeit eine „hohe oder sehr hohe Vertraulichkeit“ ihrer Systeme und Informationen nach – Unternehmen können selbst auswählen, welches Label sie benötigen, und müssen dann die entsprechenden Kriterien erfüllen. Die Verfügbarkeitslabels richten sich in erster Linie an Zulieferer von Produktionsteilen und Infrastrukturanbieter, die für die eine unterbrechungsfreie Fertigung in der Branche wichtig sind, die Vertraulichkeitslabel an Unternehmen, die mit Geschäftsgeheimnissen arbeiten und für Innovation sowie Wettbewerbsfähigkeit der Automobilindustrie sorgen.
Die bisherigen Labels „Info High“ und „Info Very High“ sind zwar weiterhin gültig, werden aber nicht mehr neu verliehen. Künftig gibt es nur noch die vier Prüfziele bzw. Labels vertraulich, streng vertraulich, hohe Verfügbarkeit und sehr hohe Verfügbarkeit. Wer seine TISAX®-Prüfungen vor dem Stichtag durchgeführt hat, erhält automatisch zusätzlich das Label „Vertraulich“ und/oder „Streng vertraulich“.
Neue TISAX®-Prüfungen in bereits registrierten Scopes werden automatisch von „Info High“ und „Info Very High“ in „Vertraulich“ und „Hohe Verfügbarkeit“ bzw. „Streng vertraulich“ und „Sehr hohe Verfügbarkeit“ umgewandelt. Unternehmen, die nur eines der Prüfziele benötigen, sollten TÜV SÜD Management Service informieren, damit wir die anderen entfernen können.
Weitere Informationen zu TISAX®-Assessments von TÜV SÜD.
Ansprechpartner:
Richard Arck, Product Compliance Manager TISAX®, TÜV SÜD Management Service GmbH
Zweitägige Trainings: Foundation- und Professional-Training TISAX®-Assessment
Information und Anmeldung
