TISAX

Hallo zusammen,
ich bin neu hier im Forum. Ich kenne das Forum und verfolge ab und zu Beiträge schon seit Jahren. Nun habe ich mich entschlossen etwas aktiver an dem Forum Leben teilzunehmen, sofern es die Zeit zulässt.

Nun zum eigentlichen....

Ich lese hier relativ wenig bis gar nichts von TISAX. Mich interessiert ob Sie/Ihr bereits mit dem Thema in Berührung gekommen seid. Die OEMs fordern TISAX immer mehr von meinen Lieferanten / Kunden und aktuell lassen sich die ersten Zertifizierer Akkreditieren. Somit bekommt das ganze Thema nun mehr Gewicht. Mich würden eure bisherigen Erfahrungen interessieren....

Sehr geehrter Herr Mietz,

wir beraten zahlreiche Zulieferer der Automobilindustrie in der Einführung des IT-Sicherheitsmanagements gemäß TISAX.
Ebenso bieten wir auch kostenfreie Webinare hierzu an. Sie selbstverständlich gerne hierzu eingeladen. >> https://www.koennen-heisst-wissen.com/news.html
Das Thema TISAX begann Ende 2017/ Anfang 2018 mit den OEMs VW-Konzern und der BMW Group. Die OEMs haben diese Anforderung mittlerweile in ihren Einkaufsbedingungen definiert und üben entsprechenden Druck auf die Lieferkette aus. Dies kann sich darauf auswirken, dass der Zugriff zu bestimmten Portalen des OEM nicht vergeben wird, bzw. keine Daten (Konstruktionsdaten) mehr mit dem OEM ausgetauscht werden können.
Andere OEMs ziehen entsprechend nach.


Gerne stehe ich Ihnen für einen persönlichen Austausch zu diesem Thema zur Verfügung.


Mit freundlichen Grüßen

D. Braun
Braun ProzessPerformance GmbH & Co. KG

Vielen Dank Herr Braun....
Mein Beitrag war eigentlich nicht gedacht, um mehr über Ihre Dienstleistung zu erfahren!

Unser Beratungsunternehmen berät selber in diesem Bereich und wir trainieren sogar die Auditoren eines Namenhaften deutschen Zertifizierer. Aber das ist ja nicht Gegenstand des Beitrages.

Mein Beitrag soll zum Erfahrungsaustausch unter den potenziellen Betroffenen bieten und das das Thema TISAX etwas näher in der Praxis beleuchten. Was sind die Herausforderungen, wie hoch ist der druck seitens OEMs wirklich (das dies in den EK Bedingungen oder anderen CSRs steht ist ja nicht wirklich was neues - aber wie hart sind die Konsequenzen der nicht Beachtung wirklich).

Würde mich freuen hier ein paar Erfahrungen zu sammeln und mit Ihnen (dem Forum) zu diskutieren,

Moin Moin,

wollt Ihr den Thread nicht löschen und nochmal ohne Werbung nach Tisax fragen?

Schönen Wochenstart!

Hallo MMietz,

ja damit hatte ich letztes Jahr ca.4 Wochen lang zu kämpfen! Ein OEM forderte das Zertifikat (gibt‘s übrigens kein‘s bei TISAX bzw. ENX) innerhalb 2 Wochen auf B2B hochzuladen oder BOH würde drohen. Zu dem Zeitpunkt hatte ich keine Ahnung davon, Anfangs war alles ziemlich verwirrend für mich. War viel Arbeit aber nach 4 Wochen... tada das TISAX Label war da. Das schwierigste daran war einen Weg zu finden die Forderungen des VDA ISA Katalogs vernünftig in das Managementsystem abzubilden. Kurz für alle die es vor sich haben:

- Bei ENX Portal die Firma registrieren (Kostet natürlich)
- Mach dich gleich an die Terminierung für das Assessment ran (lange Wartezeiten)
- Kaufe die ISO/IEC 27001 und die 27002
- VDA ISA Katalog und die VDA Anforderungen runterladen
- Jetzt muss man leider lernen und verstehen
- Überlege wie du am besten die Anforderungen in das bestehende System integrieren kannst
- Assessment
- Teile das Ergebnis mit den OEM‘s über das ENX Portal

Es ist kein Hexenwerk

Gruß
Basileus

Guten Tag Basileus,

danke für Ihren interessanten Erfahrungsbericht.
Mich wundert ein wenig, dass die Herausforderung das Implementieren der TISAX Forderungen ins Managementsystem gewesen ist.
Wie lief denn das Audit ab?
Wurden keine Umsetzungsnachweise gefordert?

Guten Abend Sonntag,

weil dies der schwierigste Teil dabei ist, zum besseren Verständnis:

-Wie stellen Sie sicher, dass IS- und DS- Relevante Daten Ihr Firmennetzwerk nicht verlassen?

Da können Sie viele Verfahrensanweisungen verfassen usw. die IS-Richtlinie entsprechend anpassen aber damit haben Sie nichts sichergestellt. Sie haben es lediglich beschrieben.

-Oder ausgedruckt werden und im Bus oder auf dem Zug vergessen werden?

Hier wird es dann noch schwieriger. Dennoch das haben wir geschafft so zu implementieren, dass durch Kategorisierung im Vertrieb bzw. Datenmanagement und HR die Daten automatisch per Richtlinie gelenkt werden. Daten die entsprechend kategorisiert wurden, kann man bei uns nicht ausdrucken, weiterleiten, verändern, löschen oder anderen Mitarbeitern die die Sicherheitsstufe nicht besitzen zugänglich machen. Andersrum Daten die nach z. B. 6 Monaten vernichtet werden müssen, werden per Richtlinie nach Ablaufdatum automatisch aus allen Postfächern und Speichermedien gelöscht.

Uns ging es dabei um tatsächlich das System so robust wie es der heutiger Stand der Technik und der Wissenschaft ermöglicht zu entwickeln. Für das Assessment selbst, genügt auch ein "Ghost Handbuch" in Papierform für ca. 100€.

Das Audit lief sehr gut ab... kam sogar ein "Hut ab" vom Auditor . Wir hatten allerdings Nebenabweichungen in Sachen bauliche Maßnahmen die dann relativ rasch behoben werden konnten (der Teil Prototypenschutz sollte nicht unterschätzt werden).

Dieser Art der Umsetzung hat allerdings seit VDA ISA 4.0 Katalog 14.4 einen Hacken! Wir haben während der Vorbereitung erfahren, dass es eine neue Version gibt die uns das Leben noch schwerer machen wird aber das haben wir dann letztendlich auch noch geschafft.

MfG
Basileus

Guten Tag Basileus,

dann erstmal herzlichen Glückwunsch!
Und vielen Dank für die zusätzlichen interessanten Erläuterungen.
Das Thema wird uns in nächster Zeit häufiger begegnen.