Výkresy nového modelu, data z vývoje nebo prototyp dílu jsou pro automobilky citlivější než mnohé finanční údaje. Proto po dodavatelích chtějí doklad o informační bezpečnosti, v Evropě nejčastěji v podobě TISAX. Kdo pracuje s daty nebo prototypy německých automobilek, se mu skoro jistě nevyhne.
Co je TISAX
TISAX (Trusted Information Security Assessment Exchange) je systém hodnocení a sdílení výsledků v oblasti informační bezpečnosti pro automobilový průmysl. Spravuje ho sdružení ENX. Hodnocení vychází z katalogu požadavků VDA ISA (Information Security Assessment), který vydává německý svaz automobilového průmyslu VDA. Podle ENX vydal VDA 1. července 2026 novou verzi katalogu ISA2027, od 1. října 2026 je k dispozici i v němčině.
Smyslem je nahradit desítky individuálních auditů, které by jinak u dodavatele dělal každý zákazník zvlášť. Dodavatel projde jedním hodnocením u akreditovaného auditora a výsledek pak v portálu ENX sdílí se zákazníky, které sám vybere. Výsledky nejsou veřejné. Podle ENX platí štítky TISAX tři roky.
Postup ve čtyřech krocích
- Registrace v portálu ENX: firma se registruje jako účastník a vymezí rozsah hodnocení, tedy lokality, procesy a cíle hodnocení.
- Výběr auditora ze seznamu schválených poskytovatelů hodnocení TISAX.
- Hodnocení: začíná sebehodnocením podle katalogu ISA, následuje externí audit. Podle úrovně ochrany jde o prověření dokumentů a rozhovory, nebo o podrobnou kontrolu na místě.
- Sdílení výsledků se zákazníky přes portál ENX.
Úrovně hodnocení
Příručka pro účastníky TISAX (TISAX Participant Handbook) rozlišuje tři úrovně hodnocení (assessment level):
- AL 1 slouží hlavně pro interní účely jako sebehodnocení. Štítek TISAX z ní nevzniká.
- AL 2 je určena pro vysoké potřeby ochrany. Auditor ověřuje sebehodnocení kontrolou dokladů a rozhovory, které mohou proběhnout i na dálku.
- AL 3 je určena pro velmi vysoké potřeby ochrany a probíhá s kontrolou na místě.
Cíle hodnocení a štítky
Úroveň se neodvozuje od velikosti firmy, ale od toho, s čím firma pracuje. Podle příručky se volí cíle hodnocení, ke kterým patří úroveň a katalog požadavků. Mezi nejčastější patří:
| Cíl hodnocení | Úroveň | Kdy se volí |
|---|---|---|
| Info high | AL 2 | práce s informacemi s vysokou potřebou ochrany |
| Info very high | AL 3 | práce s informacemi s velmi vysokou potřebou ochrany |
| High availability | AL 2 | zákazník je závislý na dostupnosti vašich služeb nebo produktů |
| Very high availability | AL 3 | výroba a dodávky zákazníka závisejí na krátkodobé dostupnosti vašich produktů nebo služeb |
| Proto parts | AL 3 | výroba, skladování nebo použití dílů a komponent zákazníka klasifikovaných jako chráněné |
| Proto events | AL 2 | akce, prezentace a focení s chráněnými prototypy |
| Data | AL 2 | zpracování osobních údajů pro zákazníka podle čl. 28 GDPR |
| Special data | AL 3 | zpracování zvláštních kategorií osobních údajů podle čl. 9 GDPR |
Pokud firma zvolí ochranu dat, odpovídá na otázky z katalogu „Information Security“ i z katalogu „Data Protection“. Potřebu ochrany si lze odvodit z klasifikace dokumentů, které firma od zákazníka dostává. Nejjistější cestou je ale zeptat se zákazníka přímo, jaký štítek požaduje.
Příklad: jakou úroveň zvolit
Firma A vyrábí plastové díly podle výkresů, které dostává od dodavatele první úrovně s označením „důvěrné“. Prototypy fyzicky nemá. Typicky vystačí s cílem Info high na úrovni AL 2.
Firma B dělá testování prototypových dílů, které zákazník označuje jako přísně chráněné, a skladuje je ve vlastní hale. Potřebuje cíl Proto parts na úrovni AL 3 a k tomu obvykle Info very high, protože s díly dostává i citlivou dokumentaci.
Firma C je logistický partner, na jehož dodávkách závisí linka zákazníka. Přichází v úvahu cíl dostupnosti, podle požadavku zákazníka High nebo Very high availability.
Jak se připravit
- Zjistit požadavek zákazníka. Jaký štítek a do kdy. Bez toho hrozí, že firma zaplatí špatnou úroveň.
- Vymezit rozsah. Které lokality a procesy s chráněnými informacemi pracují. Menší rozsah znamená menší audit, ale musí pokrýt vše, co zákazník potřebuje.
- Udělat sebehodnocení podle ISA. Katalog je v Excelu a pro každou kontrolu se hodnotí stupeň zralosti. Je to nejlepší analýza mezer, kterou firma může mít zdarma.
- Doplnit chybějící opatření. Typicky klasifikace informací, řízení přístupů, správa mobilních zařízení, zálohování, řízení dodavatelů a reakce na incidenty.
- Naplánovat termíny. Po auditu mohou následovat nápravná opatření, než štítek vznikne. S tím je třeba počítat v termínu od zákazníka.
Typické chyby
- Záměna TISAX a ISO/IEC 27001. Obě vycházejí z podobné logiky řízení informační bezpečnosti, ale certifikát ISO 27001 štítek TISAX automaticky nenahrazuje. Hodně opatření se ale dá využít pro obojí.
- Příliš úzký rozsah. Firma vynechá lokalitu, kde se s prototypy skutečně pracuje, a zákazník štítek neuzná.
- Bezpečnost jen v IT. U prototypů se hodnotí i fyzická ochrana: oplocení, kamerový systém, zakrývání dílů a evidence návštěv.
- Zapomenutá platnost. Štítek platí tři roky. Obnovu je dobré plánovat s předstihem, aby nevznikla mezera.
Opatření, která auditor téměř vždy kontroluje
| Oblast | Co mít připravené |
|---|---|
| Řízení informační bezpečnosti | politika, odpovědnosti, seznam informačních aktiv a jejich klasifikace |
| Lidé | závazek mlčenlivosti, školení, postup při nástupu a odchodu zaměstnance |
| Fyzická bezpečnost | zóny s různou úrovní přístupu, evidence návštěv, u prototypů zakrytí a zákaz fotografování |
| Přístupy a identity | přidělování a odebírání práv, vícefaktorové ověření pro vzdálený přístup, pravidelná revize oprávnění |
| Provoz IT | aktualizace, ochrana před malwarem, zálohování a test obnovy, šifrování mobilních zařízení |
| Dodavatelé | smluvní požadavky na bezpečnost u externích IT služeb a subdodavatelů, kteří vidí data zákazníka |
| Incidenty | postup hlášení, kontakty na zákazníky, záznamy a poučení z incidentů |
Tabulka je zjednodušená. Závazný je vždy aktuální katalog VDA ISA, který obsahuje přesné kontroly a k nim požadavky „musí“, „mělo by“ a doplňkové požadavky pro vysokou a velmi vysokou ochranu.
Časté otázky
Kdo TISAX platí?
Hodnocení si objednává a platí hodnocená firma. Zákazník ho jen požaduje a pak s ní sdílí výsledek.
Vidí výsledky všichni?
Ne. Výsledky zůstávají v portálu ENX a firma sama rozhoduje, s kým je sdílí.
Týká se TISAX jen dodavatelů německých automobilek?
Vznikl z potřeb německého průmyslu, ale používají ho firmy a zákazníci po celém světě. Rozhoduje požadavek konkrétního zákazníka.
Stačí sebehodnocení?
Pro štítek ne. Sebehodnocení odpovídá úrovni AL 1 a slouží hlavně jako příprava. Štítek vzniká až po externím hodnocení na úrovni AL 2 nebo AL 3.
Souvislost s dalšími požadavky
Požadavky na data od dodavatelů rostou i z regulace. Bateriový pas od února 2027 bude vyžadovat sdílení údajů o bateriích v dodavatelském řetězci (viz článek o bateriovém pasu). Kdo má zavedenou klasifikaci informací a řízení přístupů podle ISA, zvládne i takové požadavky snáz. TISAX tak není jen papír pro jednoho zákazníka, ale základ pro bezpečné sdílení dat s celým řetězcem.
Procvičení
1. Firma zpracovává pro automobilku osobní údaje řidičů z testovacích jízd, bez zdravotních údajů. Jaký cíl hodnocení zvolí? Odpověď: Data (AL 2), protože jde o zpracování osobních údajů podle čl. 28 GDPR.
2. Firma dělá fotografování nového modelu pro tiskové materiály před jeho představením. Co přichází v úvahu? Odpověď: cíl pro akce a focení s prototypy (Proto events, AL 2), a pokud vozidla přechovává, i další cíle ochrany prototypů podle požadavku zákazníka.
3. Jak dlouho platí štítek TISAX? Odpověď: tři roky.
4. Firma má certifikát ISO/IEC 27001. Má automaticky štítek TISAX? Odpověď: ne, musí projít hodnocením TISAX. Řadu opatření ale může využít.
Shrnutí
TISAX je společný systém hodnocení informační bezpečnosti v automotive. Spravuje ho ENX a vychází z katalogu VDA ISA, aktuálně ve verzi ISA2027. Úroveň AL 2 nebo AL 3 určuje cíl hodnocení podle toho, s čím firma pracuje. Štítky platí tři roky a sdílejí se jen s vybranými partnery. Před registrací je nejdůležitější zjistit, jaký štítek zákazník skutečně chce.
Související články
- Bateriový pas od února 2027
- IATF 16949: co certifikace znamená pro dodavatele
Zdroje
- ENX Association: TISAX
- ENX: TISAX Participant Handbook
- ENX: TISAX Downloads
Titulní foto: Řady serverových skříní v datovém centru. Foto: BalticServers.com, Wikimedia Commons, licence CC BY-SA 3.0.
