TISAX

Ta strona jest tłumaczeniem wersji angielskiej, bez warstwy krajowej. Nie otwarto w źródle żadnej polskiej strony o TISAX, więc nie ma jej tutaj.

Partner z łańcucha dostaw branży motoryzacyjnej prosi, żebyś pokazał określony poziom zarządzania bezpieczeństwem informacji. TISAX to sposób, w jaki branża robi to raz i udostępnia wynik każdemu partnerowi, który o to zapyta. VDA podaje, że katalog ISA określa wymagania bezpieczeństwa dla firm w całym tym łańcuchu. ENX dodaje, że katalog służy też do własnych potrzeb firmy i do oceny dostawców i usługodawców.

TISAX to ocena z etykietą. Słowa ENX to ocena, wynik oceny i etykieta. Nie jest to certyfikat w rozumieniu ISO, więc nie opisuj go tak przed klientem. Etykieta pokazuje, że zatwierdzony dostawca audytu ocenił zakres, który zdefiniowałeś, względem katalogu ISA, dla wybranych przez Ciebie celów oceny.

Nie dla prawa. Żaden przepis UE opisany na tej stronie jej nie wymaga. Impulsem jest umowa lub ankieta partnera. FAQ ENX mówi, że niektórzy uczestnicy wymagają jej od dostawców, i nie ustanawia ogólnego obowiązku.

Możliwie dla sprzedaży. Zapytaj partnera, jakich celów oceny i jakiego poziomu chce. ENX mówi, że partnerzy biznesowi wskazują potrzebny poziom etykiety, a cel wynika z rodzaju informacji, które obsługujesz dla nich. Odpowiedź rozstrzyga o zakresie, poziomie i wycenie dostawcy audytu.

Rejestrujesz firmę jako uczestnika z co najmniej jednym zakresem. ENX potwierdza rejestrację i nadaje identyfikator uczestnika, którego potrzebujesz, żeby zamówić ocenę. Następnie wybierasz jednego z dostawców audytu zatwierdzonych przez ENX, który ocenia zakres i składa Ci raport. Dla TISAX każda firma jest uczestnikiem i może być zarówno oceniana, jak i prosić partnerów o ich wyniki.

Zakres mówi, które lokalizacje, procesy i informacje obejmuje ocena. Musi objąć każdą część firmy, która obsługuje informacje partnera, bo inaczej wynik może nie spełnić jego wymogu. Podręcznik mówi, że gdy ENX zarejestruje zakres, nie zmienisz go sam, więc ustal go, zanim poprosisz o wycenę.

FAQ ENX wymienia dziesięć celów oceny do wyboru, z których wybierasz co najmniej jeden. Dotyczą poziomów ochrony informacji, dostępności, ochrony prototypów i danych osobowych przetwarzanych dla partnera. Każdy cel daje etykietę. Podręcznik przypisuje każdemu celowi poziom, od sprawdzenia wiarygodności na poziomie 2 do pełnej weryfikacji, z dostawcą audytu na miejscu, na poziomie 3. Mówi też, że poziom 1 to samoocena, której w TISAX się nie używa.

Podręcznik opisuje opcjonalny poziom 2.5, pełną weryfikację zdalną, która liczy się jako poziom 2 i może być później podniesiona do poziomu 3. Mówi też, że wyższy poziom zawsze obejmuje niższe.

Etykieta pokazuje, że ocena zakresu, przeprowadzona przez zatwierdzonego dostawcę audytu, została zaliczona dla danego celu. Etykiety są widoczne w portalu ENX, a według podręcznika nie ma ich w raporcie. Etykieta tymczasowa jest równa stałej, ale żyje krócej, a partner zwykle ją przyjmuje pod warunkiem, że stała nastąpi.

Etykieta nie pokazuje, że spełniasz przepis ani że cała firma jest bezpieczna. Nie obejmuje lokalizacji, procesu ani systemu poza zakresem. Nie mówi, że dostawca audytu jest akredytowany tak jak jednostka certyfikująca ISO, bo strony ENX przeczytane na potrzeby tego przewodnika mówią o zatwierdzeniu i nie wskazują akredytacji. Nie jest publiczna: domyślnie wynik widzisz tylko Ty, a Ty decydujesz, którzy partnerzy zobaczą jaki poziom szczegółów. Publikacji ani udostępnienia nie można cofnąć.

ENX podaje, że etykiety są co do zasady ważne trzy lata, a podręcznik dodaje, że okres może być krótszy po dużej zmianie zakresu, takiej jak przeprowadzka lub nowa lokalizacja. Podręcznik nie jest spójny co do początku: jedna sekcja mówi, że okres zaczyna się w dniu zamykającego spotkania oceny początkowej, inna, że z końcem procesu oceny. Zapytaj ENX, jaką datę ma Twoja etykieta.

Etykiety tymczasowe przysługują przy wyniku minor non-conform, mogą być ważne do dziewięciu miesięcy od spotkania zamykającego i nie można ich odnawiać. Duża niezgodność oznacza brak etykiety, dopóki problem nie zostanie rozwiązany. ENX zaleca zacząć odnowienie co najmniej rok przed wygaśnięciem etykiet. Odnowienie uruchamia proces od nowa z nowym zakresem i nie wymaga nowej rejestracji.

Ocena odbywa się względem katalogu ISA, publikowanego przez VDA i utrzymywanego przez grupę roboczą ENX. VDA podaje, że dopasowało obecny katalog do ISO/IEC 27001:2022 i że obejmuje on także ochronę prototypów. ENX podaje, że ISA2027 dotyczy wszystkich ocen zamówionych od 1 stycznia 2027 r., że ISA 6 dotyczyła ocen zamówionych od 1 kwietnia 2024 r. i że istniejące etykiety zachowują ważność. Komunikat nie mówi, jak traktować zamówienia po obu stronach zmiany, więc zapytaj dostawcę audytu, która wersja dotyczy Twojego.

Nie odczytano samego katalogu ISA, własnych warunków dostawców audytu, opłat ENX ani pełnego tekstu każdej sekcji podręcznika. Odczytany podręcznik to wersja 2.8 z 13 marca 2025 r., a rozstrzyga tekst angielski. Strony nie podały listy zatwierdzonych dostawców audytu ani zasad ich zatwierdzania przez ENX. Nie podano tu ceny, czasu ani czasu trwania, bo żadna odczytana strona ich nie podała. Sprawdź aktualny podręcznik i wymóg partnera, zanim zaczniesz planować.