Cos'è TISAX®: cosa chiede davvero il cliente automotive

Spesso tutto comincia con una mail. Una casa automobilistica, o un fornitore di livello superiore, comunica che entro una certa data occorre dimostrare un label TISAX®. In allegato, a volte, un questionario in inglese e un riferimento al portale ENX.

Per un'azienda della filiera automotive la richiesta arriva prima o poi. Questo articolo chiarisce cos'è TISAX, cosa chiede effettivamente il cliente e quali equivoci conviene evitare fin dall'inizio.

Cos'è TISAX in sintesi

TISAX® (Trusted Information Security Assessment Exchange) è un marchio registrato di ENX Association. È il meccanismo con cui l'industria automobilistica verifica il livello di sicurezza delle informazioni di fornitori e partner.

Il principio è semplice: l'azienda viene valutata una volta da un soggetto indipendente e condivide poi il risultato con tutti i clienti che lo richiedono. In questo modo si evitano decine di questionari e verifiche diverse, una per ogni committente.

Gli attori principali risultano tre:

• ENX Association, che gestisce il sistema e il portale e accredita gli audit provider;
• il catalogo VDA ISA, l'elenco dei requisiti di sicurezza su cui si basa la valutazione;
• gli audit provider accreditati da ENX, che svolgono l'assessment.

Perché TISAX non è una certificazione

È il punto che genera più confusione. TISAX non è una certificazione: al termine non viene rilasciato un certificato paragonabile a quello della ISO/IEC 27001.

Il risultato di un assessment TISAX è un label, registrato sul portale ENX, che indica il livello di protezione dimostrato. Report e label restano sul portale ed è l'azienda valutata a decidere con quali partner condividerli.

Per questo le espressioni "certificato TISAX" o "certificazione TISAX" risultano improprie. La terminologia corretta è assessment e label.

Chi lo richiede e perché

TISAX nasce in Germania, nell'ambito dei costruttori riuniti nel VDA, l'associazione tedesca dell'industria automobilistica. Oggi lo richiedono le case automobilistiche e, a cascata, i fornitori di primo e secondo livello.

La richiesta riguarda chi tratta informazioni sensibili per conto del committente, ad esempio:

• disegni tecnici, specifiche e dati di progetto;
• componenti o veicoli prototipo;
• dati personali di dipendenti o clienti del committente;
• servizi critici per la continuità produttiva.

Le dimensioni contano poco. Anche una piccola officina meccanica, uno studio di ingegneria o un'azienda di stampaggio possono trovare il requisito in un contratto.

Il catalogo VDA ISA

Il riferimento per i requisiti è il VDA ISA (Information Security Assessment). Per gli assessment ordinati fino al 31 dicembre 2026 si utilizza la versione 6.

Il catalogo è organizzato in domande di controllo e copre la sicurezza delle informazioni in senso ampio: organizzazione, gestione del rischio, risorse umane, sicurezza fisica, gestione degli accessi, IT, fornitori, continuità. In base ai label richiesti si aggiungono requisiti specifici, ad esempio per la protezione dei prototipi o dei dati personali.

Dal 1° gennaio 2027 gli assessment ordinati utilizzano il nuovo catalogo VDA ISA2027. Chi pianifica oggi il percorso deve quindi considerare la data in cui l'assessment verrà ordinato, perché da questa dipende il catalogo di riferimento.

AL2 e AL3: due livelli, due modalità di verifica

Il livello di assessment (Assessment Level, AL) indica la profondità della verifica. I livelli rilevanti risultano due.

AL2

L'audit provider verifica la plausibilità della valutazione interna svolta dall'azienda sul VDA ISA: esamina risposte ed evidenze e intervista i responsabili. Di norma l'assessment si svolge da remoto.

È il livello tipico per informazioni con esigenza di protezione "alta".

AL3

La verifica è più approfondita e si svolge in presenza: l'auditor visita la sede, osserva le aree, controlla gli accessi fisici e intervista le persone sul posto.

È richiesto per informazioni con esigenza di protezione "molto alta" e per alcuni label relativi ai prototipi.

Esiste anche un AL1, che però non produce un label condivisibile e non ha valore per un cliente automotive.

I label

Il cliente non chiede "TISAX" in generale, ma uno o più label precisi. I principali:

• Confidential (AL2) e Strictly Confidential (AL3), per la riservatezza delle informazioni;
• High Availability (AL2) e Very High Availability (AL3), per la disponibilità;
• Proto Parts e Proto Vehicles (AL3), Test Vehicles e Proto Events (AL2), per la protezione dei prototipi;
• Data (AL2) e Special Data (AL3), per la protezione dei dati personali.

Confidential ha sostituito la precedente denominazione "Info High" e Strictly Confidential ha sostituito "Info Very High". Se il cliente utilizza ancora i nomi precedenti, conviene ottenere una conferma scritta del label corrispondente.

Validità e portale ENX

Il label ha validità triennale. Alla scadenza occorre un nuovo assessment, se il cliente continua a richiederlo.

Tutto passa dal portale ENX: registrazione dell'azienda, definizione dell'ambito (sedi e attività valutate), elenco degli audit provider accreditati e, infine, condivisione del risultato con i partner.

Cosa chiede davvero il cliente

Al di là della comunicazione formale, il cliente si aspetta quattro elementi concreti:

• il label corretto, coerente con le informazioni affidate;
• l'ambito corretto, cioè le sedi in cui quelle informazioni vengono trattate;
• il rispetto di una scadenza, spesso legata a un contratto o a una nuova commessa;
• la condivisione del risultato sul portale ENX.

Prima di avviare qualsiasi attività è consigliabile chiedere per iscritto quali label servono e per quali sedi. È la verifica che fa risparmiare più tempo.

Il percorso di consulenza

La consulenza TISAX di General Tech di Rosario Zappalà, consulente indipendente, si svolge da remoto in tutta Italia, con sopralluoghi in presenza quando necessari. Il percorso parte da una call gratuita di 30 minuti per comprendere la richiesta del cliente, i label necessari e il punto di partenza; segue una proposta scritta personalizzata, con attività e tempi, e le attività iniziano solo dopo l'accettazione.

Il percorso comprende l'impostazione di un sistema di gestione ispirato alla ISO/IEC 27001 e strutturato sui requisiti del VDA ISA applicabile, la definizione di politiche e procedure, la raccolta di documenti ed evidenze, la valutazione interna e l'affiancamento durante l'assessment dell'audit provider. È richiesta la collaborazione del Responsabile IT, dell'eventuale fornitore IT esterno e del Responsabile qualità.

Domande frequenti

TISAX è obbligatorio per legge?

No. È un requisito contrattuale, posto dal cliente come condizione per la collaborazione. Diverso è il caso della NIS 2, obbligo normativo per i soggetti che rientrano nel suo ambito di applicazione.

Un'azienda certificata ISO/IEC 27001 dispone già del label TISAX?

No. I due schemi hanno molti punti in comune e un ISMS conforme alla ISO/IEC 27001 rappresenta un'ottima base, ma il label TISAX si ottiene solo con un assessment sul catalogo VDA ISA svolto da un audit provider accreditato da ENX.

Meglio AL2 o AL3?

La scelta non spetta all'azienda: dipende dai label richiesti dal cliente. Strictly Confidential, Very High Availability, Proto Parts, Proto Vehicles e Special Data richiedono AL3; gli altri label richiedono AL2.

Quanto dura il label?

Tre anni. Alla scadenza serve un nuovo assessment.