Wer am westlichen Heuberg Drehteile fertigt, kennt die Situation: Neben Zeichnung, Toleranzen und Liefertermin fragen Kunden nach der IT-Sicherheit. Mal kommt ein Fragebogen, mal eine neue Klausel im Liefervertrag, mal die Bitte um ein TISAX-Label. Dieser Beitrag erklärt, warum das so ist, was hinter TISAX steckt, wie die NIS2-Regeln über die Lieferkette bis zu Ihnen reichen – und womit Sie sinnvoll anfangen.
Warum Kunden jetzt Nachweise verlangen
Der westliche Heuberg mit Gosheim, Wehingen, Bubsheim, Deilingen und Böttingen gilt seit der zweiten Hälfte des 20. Jahrhunderts als Schwerpunkt der Drehteilindustrie – nicht umsonst ist scherzhaft vom „Schraubengebirge“ die Rede. Viele Betriebe hier liefern an die Automobilindustrie und den Maschinenbau. Mit jedem Auftrag wandern Informationen, die für den Kunden wertvoll sind: Zeichnungen, CAD-Daten, Spezifikationen, Stückzahlen, manchmal auch Prototypenteile.
Damit ist jeder Zulieferer ein Teil der Sicherheitslage seines Kunden. Zwei Entwicklungen machen das zum Thema:
- TISAX in der Automobilindustrie: Die Branche nutzt TISAX, um die Informationssicherheit ihrer Partner nach einem einheitlichen Verfahren zu bewerten – zum Schutz von Konstruktionsdaten, Produktionsinformationen und geistigem Eigentum.
- NIS2: Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Unternehmen, die Kraftwagen und Kraftwagenteile herstellen oder Maschinen bauen, gelten ab 50 Mitarbeitenden – oder bei mehr als 10 Mio. € Jahresumsatz und zugleich mehr als 10 Mio. € Jahresbilanzsumme – als „wichtige Einrichtungen“. Sie müssen unter anderem die Sicherheit ihrer Lieferkette berücksichtigen.
Was ist TISAX?
TISAX steht für „Trusted Information Security Assessment Exchange“. Dahinter steckt ein Prüf- und Austauschverfahren für Informationssicherheit, das die ENX Association für die Automobilindustrie betreibt. Grundlage ist der Prüfkatalog VDA ISA (Information Security Assessment), den die ENX pflegt und der Verband der Automobilindustrie (VDA) veröffentlicht.
Ein von der ENX zugelassener Prüfdienstleister prüft Ihr Unternehmen. Fällt das Ergebnis positiv aus, erhalten Sie sogenannte TISAX-Labels, die Sie über das ENX-Portal gezielt für Ihre Partner freigeben.
Die drei Assessment-Level
| Level | Was geprüft wird |
|---|---|
| AL 1 | Selbsteinschätzung. Die Ergebnisse haben eine niedrige Vertrauensstufe und werden in TISAX nicht verwendet. |
| AL 2 | Plausibilitätsprüfung der Selbsteinschätzung durch den Prüfdienstleister – mit Nachweisen und einem Interview, typischerweise per Webkonferenz. |
| AL 3 | Umfassende Prüfung der Anforderungen – mit Dokumentenprüfung, Interviews, Beobachtung von Prozessen und Prüfung vor Ort. |
Labels und Gültigkeit
Welche Labels Sie brauchen, hängt davon ab, was Sie für Ihre Kunden verarbeiten – etwa vertrauliche oder streng vertrauliche Informationen, Prototypen oder personenbezogene Daten. In der Regel gibt der Kunde vor, welches Prüfniveau er erwartet.
TISAX-Labels gibt es nur bei einem positiven Prüfergebnis: Dauerhafte Labels erhalten Sie, wenn der Prüfdienstleister feststellt, dass alle Anforderungen erfüllt sind. Sie sind in der Regel drei Jahre gültig – kürzer, wenn sich am Prüfumfang etwas Wesentliches ändert, etwa durch einen Umzug. Danach durchlaufen Sie das Verfahren erneut. Bleiben nach der Erstprüfung nur kleinere Abweichungen (Gesamtergebnis „nebenabweichend“) und hat der Prüfdienstleister Ihren Maßnahmenplan erfolgreich geprüft, können Sie vorab temporäre Labels erhalten. Sie können bis zu neun Monate nach der Abschlussbesprechung der Erstprüfung gelten.
Der Ablauf in Kürze
- Registrierung im ENX-Portal – mit Angaben zum Unternehmen und zum Umfang (Scope) der Prüfung.
- Selbsteinschätzung anhand des VDA-ISA-Katalogs.
- Assessment durch einen zugelassenen Prüfdienstleister Ihrer Wahl.
- Austausch: Sie geben das Ergebnis im ENX-Portal für Ihre Partner frei.
Wie NIS2 über die Lieferkette wirkt
Die europäische NIS-2-Richtlinie zielt auf ein hohes gemeinsames Cybersicherheitsniveau in der EU. In Deutschland ist sie seit dem 6. Dezember 2025 umgesetzt; Kern ist das neu gefasste BSI-Gesetz (BSIG). Zulieferer erreicht NIS2 auf zwei Wegen.
Direkt: Fällt Ihr Betrieb selbst unter NIS2?
Im verarbeitenden Gewerbe erfasst das Gesetz nur bestimmte Bereiche: die Herstellung von Medizinprodukten und In-vitro-Diagnostika sowie die NACE-Abteilungen 26 bis 30 – Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile sowie sonstiger Fahrzeugbau. Die Abteilung 25 (Herstellung von Metallerzeugnissen), der viele Dreh- und Zerspanungsbetriebe zugeordnet sind, gehört nicht dazu.
Entscheidend ist aber, welche Tätigkeiten Ihr Betrieb tatsächlich ausübt. Wer zum Beispiel Kraftwagenteile im Sinne der Abteilung 29 fertigt oder Maschinen baut, kann erfasst sein, sobald die Größenschwellen erreicht sind. Wie Sie das prüfen, zeigt unsere NIS2-Checkliste für Zulieferer und Mittelstand.
Indirekt: Über die Anforderungen Ihrer Kunden
Auch wenn Ihr Betrieb selbst nicht unter NIS2 fällt, kommen die Regeln über Ihre Kunden bei Ihnen an. Betroffene Unternehmen müssen Risikomanagementmaßnahmen ergreifen, die ausdrücklich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ umfassen (§ 30 Abs. 2 Nr. 4 BSIG). Die Richtlinie verlangt dabei, die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und die Gesamtqualität ihrer Cybersicherheitspraxis zu berücksichtigen (Art. 21 Abs. 3 NIS-2-Richtlinie).
Das BSI weist Lieferanten, die selbst nicht betroffen sind, ausdrücklich auf diese mittelbare Wirkung hin. Laut Gesetzesbegründung gehören zu den Maßnahmen etwa vertragliche Vereinbarungen mit Zulieferern zu Risikomanagement, zur Bewältigung von Sicherheitsvorfällen und zum Patchmanagement. Typische Formen sind zum Beispiel:
- Sicherheitsfragebögen im Lieferantenmanagement,
- Klauseln im Liefervertrag, etwa zur Meldung von Sicherheitsvorfällen,
- Nachweise wie ein TISAX-Label oder ein Zertifikat nach ISO/IEC 27001.
Erste Schritte: Womit Sie jetzt anfangen
- Anforderungen sammeln. Welche Kunden verlangen was – ein TISAX-Label (welches?), einen Fragebogen, neue Vertragsklauseln? Und bis wann?
- Eigene Betroffenheit klären. Prüfen Sie, ob Ihr Betrieb selbst unter NIS2 fällt – mit unserer Checkliste und der NIS-2-Betroffenheitsprüfung des BSI.
- Schützenswerte Informationen erfassen. Welche Kundendaten verarbeiten Sie – Zeichnungen, CAD-Dateien, Prototypen? Wo liegen sie, und wer hat Zugriff?
- Verantwortung festlegen. Wer ist im Betrieb für Informationssicherheit zuständig – und wer informiert bei einem Vorfall den Kunden?
- Grundlagen absichern. Updates, Datensicherung mit regelmäßig getesteter Wiederherstellung, Multi-Faktor-Authentifizierung für E-Mail und Fernzugänge, sauber vergebene Zugriffsrechte, Virenschutz.
- Notfall vorbereiten. Halten Sie fest, wer bei einem Sicherheitsvorfall was tut und wen Sie wann informieren müssen.
- Stand prüfen lassen. Ein Sicherheitscheck oder Pentest zeigt, wo technische Schwachstellen liegen – bevor ein Kunde oder ein Prüfer danach fragt.
- TISAX planen, wenn gefordert. Registrieren Sie sich im ENX-Portal, bearbeiten Sie die Selbsteinschätzung mit dem VDA-ISA-Katalog und wählen Sie früh einen Prüfdienstleister.
Unterstützung am Heuberg
Reepa Solutions sitzt in Bubsheim. Für Betriebe am Heuberg bieten wir Sicherheitschecks und Pentests, um den aktuellen Stand der IT-Sicherheit zu prüfen, sowie Unterstützung bei den Anforderungen aus NIS2. Das TISAX-Assessment selbst führt ein von der ENX zugelassener Prüfdienstleister durch; Reepa Solutions ist kein TISAX-Prüfdienstleister.
Mehr über uns als IT-Dienstleister am Heuberg.
Quellen
- ENX Association: TISAX und TISAX-Teilnehmerhandbuch (u. a. Abschnitte 5.4.5, 5.4.9.4, 5.4.10 und 5.4.14)
- BSI-Gesetz (BSIG), insbesondere § 28, § 30 und Anlage 2: gesetze-im-internet.de
- Richtlinie (EU) 2022/2555 (NIS-2), Art. 21: EUR-Lex
- BSI: Fragen und Antworten zu NIS-2