Automotive · Standards
TPISR vs. TISAX: Was Zulieferer für US-OEMs wissen müssen
Lesezeit etwa 7 Minuten · Stand Juli 2026
Die kurze Antwort: TPISR ist das Anforderungswerk der US-Automobilindustrie für die Informationssicherheit von Zulieferern, veröffentlicht 2018 von der AIAG, dem Verband um GM, Ford und Chrysler. TISAX ist das europäische Pendant von VDA und ENX. Die Standards ersetzen einander nicht, teilen aber ein Fundament: ein gelebtes ISMS nach ISO 27001.
2 Märkte, 2 Nachweise, aber ein gemeinsames Fundament: Ihr ISMS.
Was ist TPISR?
TPISR steht für Third Party Information Security Requirements und wurde 2018 von der AIAG (Automotive Industry Action Group) veröffentlicht, dem Branchenverband, den GM, Ford und Chrysler gegründet haben und dem heute über 4.000 Unternehmen angehören. Adressiert sind Drittfirmen, die Daten eines Fahrzeugherstellers außerhalb von dessen Umgebung erzeugen, speichern, übertragen oder verarbeiten.
Inhaltlich besteht TPISR aus 9 Kontrollkategorien: vom Informationssicherheits-Programm über logische und physische Zugriffskontrolle, Schwachstellenmanagement und Incident Response bis zu Datenaufbewahrung, externen Audits, Kommunikation und Continuity. Die Anforderungen sind an ISO/IEC 27001 angelehnt, tragen aber eine deutliche US-Handschrift: Auch das NIST Cybersecurity Framework und NIST SP 800-171 haben Pate gestanden. General Motors hat die Anforderungen als eigene Werksnorm GMW18075 konkretisiert.
Und was ist TISAX, kurz eingeordnet?
TISAX (Trusted Information Security Assessment Exchange) wurde 2017 vom VDA entwickelt und wird von der ENX Association betrieben. Geprüft wird in 3 Assessment-Leveln, von der Selbstauskunft (AL 1) über die Plausibilitätsprüfung (AL 2) bis zur Vor-Ort-Prüfung (AL 3), entlang von 8 Zielen in 3 Kriterienkatalogen: Informationssicherheit, Prototypenschutz und Datenschutz. Das Ergebnis sind TISAX-Labels, die über die ENX-Plattform mit Kunden geteilt werden. Alles Weitere dazu auf unserer TISAX-Seite und im Beitrag zum neuen VDA-ISA-Katalog 2027.
TPISR vs. TISAX: Die Unterschiede im Detail
Der Kernunterschied in einem Satz: TISAX ist ein formalisiertes Prüf- und Austauschsystem mit akkreditierten Prüfern und Label-Plattform. TPISR ist ein Anforderungskatalog, dessen Nachweis bislang direkt gegenüber dem jeweiligen OEM erfolgt. Die Details:
| Kriterium | TISAX | TPISR |
|---|---|---|
| Herausgeber | VDA (2017), betrieben von der ENX Association | AIAG, Automotive Industry Action Group (2018), gegründet von GM, Ford und Chrysler |
| Heimatmarkt | Europäische Automobilindustrie; zunehmend auch von Nicht-EU-Partnern europäischer OEMs verlangt | US-Automobilindustrie; Zulieferer von GM, Ford, Stellantis & Co. GM führt TPISR als Werksnorm GMW18075 |
| Normative Basis | ISO/IEC 27001, 27002 und 27017 | Beeinflusst von ISO/IEC 27001, NIST Cybersecurity Framework und NIST SP 800-171 |
| Struktur | 8 Ziele, 3 Kriterienkataloge (Informationssicherheit, Prototypenschutz, Datenschutz) | 9 Kontrollkategorien: von Informationssicherheits-Programm über Zugriffskontrolle bis Incident Response und Continuity |
| Nachweisverfahren | Assessment durch akkreditierte Prüfdienstleister in 3 Leveln (AL 1 Selbstauskunft, AL 2 Plausibilitätsprüfung, AL 3 vor Ort) | Kein formalisiertes Zertifizierungsschema; Nachweis i. d. R. per Selbstauskunft/Assessment gegenüber dem OEM, laut TÜV SÜD „noch nicht voll formalisiert“ |
| Ergebnis & Austausch | TISAX-Label, geteilt über die ENX-Plattform; temporäre Labels max. 9 Monate | Einmaliges Assessment autorisiert für die Zusammenarbeit; kein zentraler Austauschmechanismus wie ENX |
| Prototypenschutz | Eigener Kriterienkatalog (Prototypenteile, Testfahrzeuge, Events) | Nicht enthalten: Fokus auf OEM-Daten in Fremdumgebungen |
| Verbindlichkeit | Keine gesetzliche Pflicht, aber vertraglicher Standard der europäischen OEMs | Keine gesetzliche Pflicht; gilt, wenn der (US-)OEM es vertraglich verlangt |
Quellen: TÜV SÜD, Whitepaper „ISO 27001 vs TISAX vs TPISR“ (02/2023) · AIAG · GMW18075
Liefern Sie nach Europa und in die USA?
Im Strategiegespräch klären wir, welche Nachweise Ihre Kundenverträge wirklich verlangen (TISAX-Label, TPISR-Selbstauskunft oder beides) und wie Sie Doppelarbeit vermeiden.
Reicht ein TISAX-Label für US-OEMs?
Formal: nein. TPISR ist ein eigenständiges Anforderungswerk und ein US-OEM, der TPISR vertraglich verlangt, akzeptiert dafür nicht automatisch ein TISAX-Label, so wenig, wie ENX-Partner eine TPISR-Selbstauskunft als TISAX-Ersatz akzeptieren. Auch in deutschen Lieferketten taucht TPISR bereits auf: Einkaufsbedingungen etwa von Brose und Magna referenzieren die AIAG-Anforderungen ausdrücklich.
Praktisch: Die Überschneidung ist groß. Beide Werke fußen auf denselben ISO-27001-Grundideen. Wer ein gelebtes ISMS betreibt, beantwortet die 9 TPISR-Kategorien weitgehend aus dem Bestand. Laut TÜV SÜD ist TPISR sogar „die am einfachsten erreichbare“ der 3 Nachweisformen, gerade wenn ein Qualitätsmanagement nach ISO 9001 bereits existiert. Der Aufwand liegt also nicht im Doppelaufbau, sondern in der sauberen Zuordnung vorhandener Maßnahmen zu 2 Fragenkatalogen.
Wie bereiten Sie sich effizient auf beide vor?
Der teuerste Fehler ist, TISAX und TPISR als 2 getrennte Projekte zu behandeln. Sinnvoller ist ein Fundament-Ansatz:
- ISMS als gemeinsamen Kern aufbauen: Risikoanalyse, Maßnahmen, Nachweise einmal sauber strukturieren (nach ISO 27001; das empfiehlt auch TÜV SÜD als TISAX-Vorbereitung).
- Marktspezifika ergänzen: Für TISAX den Prototypenschutz und das passende Assessment-Level, für TPISR die NIST-geprägten Detailfragen und die OEM-spezifische Form (z. B. GMW18075 bei GM).
- Nachweise gezielt ausleiten: Aus einem gepflegten Maßnahmenbestand werden TISAX-Assessment und TPISR-Selbstauskunft zu Sichten auf dieselben Daten, statt zu 2 Parallelwelten.
Genau dieses „einmal erfassen, über alle Normen nutzen“ ist das Grundprinzip von VANTARIS: Maßnahmen und Nachweise leben an einer Stelle, TISAX- und TPISR-Anforderungen werden daraus bedient.
Ein Maßnahmenbestand, 2 Nachweise
VANTARIS ordnet Ihre bestehenden ISMS-Maßnahmen den TISAX-Kriterien zu und liefert die Grundlage, aus der Sie auch eine TPISR-Selbstauskunft sauber beantworten.
Häufige Fragen zu TPISR und TISAX
Wofür steht TPISR?
Third Party Information Security Requirements: die Informationssicherheits-Anforderungen der AIAG an Drittfirmen der US-Automobil-Lieferkette, veröffentlicht 2018. Vereinzelt (etwa bei TÜV SÜD) wird die Abkürzung auch als „Third Party Information Security Reports“ ausgeschrieben.
Ist TPISR Pflicht?
Es gibt keine gesetzliche Pflicht. TPISR gilt, wenn ein Hersteller es vertraglich verlangt, etwa GM über die Werksnorm GMW18075. Auch europäische Zulieferer wie Brose oder Magna referenzieren TPISR bereits in ihren Lieferantenanforderungen.
Gibt es ein TPISR-Zertifikat wie das TISAX-Label?
Nein. TPISR hat kein formalisiertes Zertifizierungsschema und keinen Austauschmechanismus wie die ENX-Plattform. Der Nachweis erfolgt in der Regel per Assessment bzw. Selbstauskunft direkt gegenüber dem OEM. Einmal erbracht, gilt er für die Zusammenarbeit.
Auf welchen Standards basiert TPISR?
TPISR ist beeinflusst von ISO/IEC 27001, dem NIST Cybersecurity Framework und NIST SP 800-171. Als organisatorisches Fundament nennt TÜV SÜD ein Qualitätsmanagement nach ISO 9001:2015 oder AS9100D.
Reicht meine ISO-27001-Zertifizierung für TPISR oder TISAX?
Sie ist die beste Ausgangsbasis, ersetzt aber keinen der beiden Nachweise: TISAX verlangt das eigene Assessment (inkl. Prototypen- und Datenschutz), TPISR die OEM-spezifische Auskunft. Ein gelebtes ISMS deckt jedoch den Großteil beider Fragenkataloge inhaltlich ab.
Wo finde ich die offiziellen TPISR-Anforderungen?
Bei der AIAG (aiag.org, Bereich Cyber/Store, u. a. die Publikation TPISR-ADV). GM-Zulieferer erhalten die konkrete Ausprägung als Werksnorm GMW18075 über die einschlägigen Normen-Datenbanken oder direkt vom OEM.
Das könnte Sie auch interessieren
VDA ISA 2027: Was der neue TISAX-Prüfkatalog ändert
TPISR: Der Steckbrief im Überblick
| Kriterium | Was gilt |
|---|---|
| Ausgeschrieben | Third Party Information Security Requirements (teils auch „Reports“) |
| Herausgeber / Jahr | AIAG, Automotive Industry Action Group, veröffentlicht 2018 |
| Aufbau | 9 Kontrollkategorien: Informationssicherheits-Programm, logische Zugriffskontrolle, physische Sicherheit, Schwachstellenmanagement, Incident Response, Datenaufbewahrung, externe Audits, Kommunikation, Availability/Continuity |
| Basis | ISO/IEC 27001, NIST CSF, NIST SP 800-171; QMS-Fundament: ISO 9001:2015 / AS9100D |
| Konkretisierung bei GM | Werksnorm GMW18075 („TPISR-01″) für GM-Zulieferer |
| Nachweis-Logik | Einmal assessiert → autorisiert für die Zusammenarbeit; kein Label-Austausch wie bei TISAX über ENX |
| Status | Kein voll formalisiertes Zertifizierungsschema (TÜV SÜD, Whitepaper 02/2023) |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.