TISAX

TISAX（可信信息安全評估交換）是由德國汽車工業協會（VDA）與ENX協會聯合推出的汽車行業信息安全評估與結果互認機制。其核心旨在通過統一的評估框架，解決供應鏈中多家主機廠對供應商重複進行信息安全審核的問題，實現“一次評估，多方互認”。該機制基於國際標準ISO/IEC 27001，並結合汽車行業特定需求（如原型保護、數據安全）制定了VDA ISA評估標準。企業通過ENX認可的審核機構進行評估後，可獲得有效期為三年的TISAX標籤。該認證已成為眾多歐洲主流汽車製造商對其供應商的強制性準入要求，是構建汽車行業供應鏈信息安全信任體系的關鍵標準。

基本介紹

• 中文名：可信信息安全評估交換
• 外文名：TISAX

企業治理

TISAX的核心治理架構由德國汽車工業協會與ENX協會共同構成。德國汽車工業協會作為標準制定者，負責開發並維護核心評估標準VDA ISA。VDA ISA標準基於國際通用的ISO/IEC 27001與ISO/IEC 27002信息安全管理體系標準，並針對汽車行業需求進行適配。ENX協會作為運營管理者，負責TISAX平台的運營、認可審計服務提供商、維護評估要求並監督實施與評估結果的質量。VDA ISA標準持續更新，其第六版於2023年10月發布，並於2024年4月1日起正式實施。

智慧財產權

TISAX認證結果不以證書的形式體現，而是不同的電子標籤，標籤有效期3年，從末次會議當天開始計算。TISAX評估流程主要包括註冊、評估、報告、漏洞清除及結果上傳等環節。參與者需在ENX平台註冊，註冊時需明確評估範圍，該範圍一旦註冊無法自行修改。註冊後，ENX會傳送發票，參與者應在收到發票後30天內完成付款。評估只能由ENX認可的審核提供商執行，評估等級分為AL1（自評）、AL2（合理性檢查）和AL3（現場檢查）。審核提供商完成評估並出具報告後，參與者需消除識別的漏洞，最終報告由審核提供商上傳至TISAX平台。TISAX標籤需每三年更換一次，在標籤過期前一年需著手準備，再次評估前需要註冊一個新的範圍。

TISAX標籤體系基於VDA ISA評估標準，並隨其版本更新而變化。2024年4月1日起，審核方開始使用VDA ISA 6.0進行審核。VDA ISA 6.0對信息安全模組的標籤進行了變更重組，舊版的“Info High”（信息安全性高）標籤被“Confidential”（保密）和“High Availability”（可用性高）標籤替代，舊版的“Info Very High”（信息安全性極高）標籤被“Strictly Confidential”（嚴格保密）和“Very High Availability”（可用性極高）標籤替代。VDA ISA 6.0還更新了簡化集團評估模式的評估規則，新版的簡化集團評估模式減少了附加評估要求的數量，較之舊版本更為清晰便捷。

重要事件

2023年10月，ENX協會正式發布VDA ISA第六版（6.0）。自2024年4月1日起，所有新的TISAX評估程式開始使用VDA ISA 6.0標準進行審核。

VDA ISA 6.0的主要變化包括更關注生產供應商的IT和OT可用性，主要語言改為英語，完全修訂了數據保護目錄，新增對ISO/IEC 27001:2022和NIST網路安全框架的參考，並引入了新的標籤體系。

新舊版本過渡規則明確，2024年3月31日前可按舊版（VDA ISA 5）評估，之後的新評估使用新版，已完成的評估標籤在有效期內繼續有效，與現有評估相關的後續活動仍使用原評估版本。