TISAX · Katalog-Update
VDA ISA 2027: Was der neue TISAX-Prüfkatalog für den Mittelstand ändert
Lesezeit etwa 5 Minuten · Stand Juli 2026
Mit dem VDA ISA 2027 hat der VDA die nächste Generation seines Prüfkatalogs für die Informationssicherheit in der Automobilindustrie vorgelegt. Für Zulieferer, IT-Dienstleister und alle, die ein TISAX-Label halten oder anstreben, lohnt der genaue Blick. Denn hinter dem unscheinbaren Versionswechsel steckt eine spürbare Neuausrichtung, die vor allem eines zeigt: Der Katalog wird erwachsen.
Das Wichtigste in einem Satz: Der VDA ISA trägt statt einer Punkt-Version erstmals eine Jahreszahl, rückt näher an die internationalen Normwelten heran und weitet den Blick auf Cybersecurity über die klassische IT-Abteilung hinaus.
Vom Punkt zur Jahreszahl
Das auffälligste Signal ist die neue Namenskonvention. Der Katalog heißt nicht mehr 6.0.3, sondern schlicht 2027. Das ist mehr als Kosmetik. Der VDA ISA löst sich von der reinen Punkt-Logik und positioniert sich als eigenständiger, jährlich gepflegter Standard, ähnlich wie man es von großen Normreihen kennt.
Gleichzeitig wurden die Mappings auf die alte ISO/IEC 27001:2013 entfernt. Künftig gilt nur noch der Bezug auf die Fassung 2022. Neu hinzugekommen ist ein Mapping auf das NIST Cybersecurity Framework 2.0. Wer sein Managementsystem also bereits an den aktuellen internationalen Normen ausrichtet, findet sich im neuen Katalog gut wieder. Wer noch auf der 2013er ISO sitzt, hat jetzt einen guten Anlass, den Umstieg endlich anzugehen.
Cybersecurity verlässt das IT-Silo
Eine der bemerkenswertesten Änderungen wirkt auf den ersten Blick wie eine reine Wortverschiebung, hat es aber in sich. Das Control zur Klärung der Verantwortlichkeiten mit externen Dienstleistern spricht nicht mehr von IT Suppliers, sondern von IT Service Providern.
Damit weitet der VDA den Blick bewusst aus. Gemeint sind künftig auch Dienstleister, die IT-Services außerhalb der klassischen IT erbringen, etwa in der Betriebstechnik oder der Gebäudetechnik. Die vernetzte Klimaanlage, die Zutrittssteuerung oder die Produktionssteuerung zählen also mit dazu. Cybersecurity wird so aus der alleinigen Zuständigkeit der IT-Abteilung herausgelöst und als Aufgabe des gesamten Unternehmens verstanden.
Wer OT-Systeme betreibt oder vernetzte Gebäudetechnik im Haus hat, sollte diese Bereiche künftig genauso ernst nehmen wie die klassische Server-Landschaft. Ergänzend ist dieses Control von 1.2.4 nach 6.1.3 gewandert und damit sichtbarer im Katalog verankert. Das passt in den größeren Trend, den wir auch bei NIS2 und DORA sehen, dass die Verantwortung nicht mehr am eigenen Werkstor endet, sondern tief in die Lieferkette und in alle Unternehmensbereiche hineinreicht.
Nicht sicher, wo Ihr ISMS beim ISA 2027 nachziehen muss?
Im Strategiegespräch ordnen wir Ihre aktuelle TISAX-Situation ein und besprechen, welche der Änderungen für Ihr Haus wirklich relevant sind.
Wo der Verhandlungsspielraum enger wird
Hier lohnt ein Blick auf die TISAX-Systematik. Muss- und Soll-Anforderungen sind beide verpflichtend, das war schon immer so. Der Unterschied zeigt sich im Audit. Eine Soll-Anforderung, die nicht vollständig erfüllt ist, lässt sich mit einer nachvollziehbaren Begründung und einem Maßnahmenplan noch abfedern. Bei einem Muss ist keine Diskussion möglich.
Genau deshalb sind die wenigen Hochstufungen von Soll auf Muss relevant, etwa bei der Bereitstellung von Richtlinien für die Belegschaft. Wo eine Anforderung diesen Sprung macht, verliert man den Begründungspuffer, den ein Soll bietet. Es geht also nicht darum, dass plötzlich neue Pflichten aus dem Nichts auftauchen, sondern darum, dass an einzelnen Stellen der Verhandlungsspielraum im Audit kleiner wird. Auch bei Passwörtern und Identifikationsmitteln wurde nachgeschärft.
In Summe wurden 43 Controls im Modul Information Security in mindestens einem Feld überarbeitet, sei es beim Ziel, bei der Muss- oder Soll-Anforderung oder bei der eigentlichen Kontrollfrage. Kein Erdbeben, aber genug, dass ein blindes Kopieren des alten Statement of Applicability diesmal nicht mehr ausreicht.
Prototypenschutz komplett neu sortiert
Für Unternehmen mit Bezug zur Fahrzeugentwicklung dürfte die stärkste Umstellung im Modul Prototype Protection liegen. Der gesamte Bereich wurde neu strukturiert. Die beiden oberen Abschnitte haben die Nummern getauscht, mehrere frühere Abschnitte wurden aufgelöst und ihre Inhalte in neue organisatorische Controls überführt.
Themen wie der Umgang mit Erprobungsfahrzeugen, Veranstaltungen oder Bild- und Filmaufnahmen finden sich jetzt gebündelt an anderer Stelle. Wer hier zertifiziert ist, sollte seine bestehende Dokumentation nicht einfach fortschreiben, sondern gegen die neue Struktur abgleichen. Ein reines Übertragen der alten Nachweise führt sonst schnell zu Lücken, die im Audit auffallen.
Kleine, aber feine Änderung beim Datenschutz
Im Modul Data Protection blieb inhaltlich fast alles beim Alten. Bemerkenswert ist eine terminologische Feinheit. Der Verweis auf eine TISAX-Zertifizierung wurde durch den Begriff Label ersetzt. Das ist konsequent, denn TISAX vergibt streng genommen keine Zertifikate, sondern Labels. Eine Kleinigkeit, die zeigt, wie sorgfältig der Katalog diesmal redigiert wurde.
Was das für den Mittelstand bedeutet
Der VDA ISA 2027 ist keine Revolution, die niemanden nachts wach halten muss. Er ist eine Evolution, die klar in Richtung Lieferkettensicherheit, internationale Anschlussfähigkeit und unternehmensweite Verantwortung zeigt. Für Unternehmen, die ihr Informationssicherheits-Managementsystem gepflegt und strukturiert führen, ist die Umstellung gut zu bewältigen. Kritisch wird es vor allem dort, wo die alte Version als einmaliges Projekt behandelt und danach in der Schublade abgelegt wurde.
Unser Rat: Nehmen Sie den Versionswechsel als Anlass, das eigene Statement of Applicability und die Dokumentation der Dienstleisterbeziehungen einmal ehrlich durchzugehen. Wer früh vergleicht, erspart sich die Hektik kurz vor dem nächsten Audit.
Ihr ISMS an einer Stelle statt in 20 Excel-Tabellen
Mit VANTARIS bündeln Sie Normen, Maßnahmen und Nachweise auf einer Plattform. Der Umstieg auf den neuen Katalog wird so zum strukturierten Abgleich statt zum Tabellen-Marathon.
Häufige Fragen zum VDA ISA 2027
Warum heißt der Katalog jetzt 2027 statt 6.0.3?
Der VDA hat die Namenskonvention auf eine Jahreszahl umgestellt. Damit positioniert sich der ISA als eigenständiger, jährlich gepflegter Standard und löst sich von der reinen Punkt-Version.
Muss ich mein bestehendes TISAX-Label erneuern?
Ein gültiges Label behält seine Laufzeit. Relevant wird der neue Katalog beim nächsten Assessment. Wer davor steht, sollte seine Dokumentation gegen die Änderungen des ISA 2027 abgleichen.
Was ändert sich beim Thema Dienstleister?
Der Begriff wurde von IT Suppliers auf IT Service Providers erweitert. Damit sind auch Dienstleister erfasst, die IT-Services außerhalb der klassischen IT erbringen, etwa in OT und Gebäudetechnik.
Sind neue Pflichten hinzugekommen?
Im Kern bleibt der Anforderungsrahmen bestehen. Es gab wenige Hochstufungen von Soll auf Muss und 43 überarbeitete Controls im Modul Information Security. Das Modul Prototype Protection wurde umfassend neu strukturiert.
VDA ISA 2027: Die Fakten im Überblick
| Kriterium | Was gilt |
|---|---|
| Versionsbezeichnung | Der Katalog heißt „2027“ statt „6.0.3“. Der VDA ISA wird als eigenständiger, jährlich gepflegter Standard mit Jahreszahl geführt. |
| Norm-Mappings | Mappings auf ISO/IEC 27001:2013 wurden entfernt, es gilt nur noch der Bezug auf die Fassung 2022; neu ist ein Mapping auf das NIST Cybersecurity Framework 2.0. |
| Überarbeitete Controls | 43 Controls im Modul Information Security wurden in mindestens einem Feld überarbeitet (Ziel, Muss-/Soll-Anforderung oder Kontrollfrage). |
| Dienstleister-Begriff | Aus „IT Suppliers“ wird „IT Service Providers“. Erfasst sind auch Dienstleister außerhalb der klassischen IT, etwa in OT und Gebäudetechnik; das Control wanderte von 1.2.4 nach 6.1.3. |
| Hochstufungen Soll zu Muss | Wenige Anforderungen wurden von Soll auf Muss hochgestuft, etwa die Bereitstellung von Richtlinien für die Belegschaft; auch bei Passwörtern und Identifikationsmitteln wurde nachgeschärft. |
| Modul Prototype Protection | Komplett neu strukturiert: Die beiden oberen Abschnitte tauschten die Nummern, mehrere frühere Abschnitte wurden aufgelöst und in neue organisatorische Controls überführt. |
| Bestehendes TISAX-Label | Ein gültiges Label behält seine Laufzeit; der neue Katalog wird erst beim nächsten Assessment relevant. |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.