TISAX en clair : pour les fournisseurs de l'automobile

Ce qu’est TISAX

TISAX permet à une entreprise de l’automobile de se fier à la sécurité de l’information d’un partenaire sans l’auditer à nouveau. Un prestataire d’audit agréé par ENX vous évalue une fois selon le catalogue VDA ISA. Le résultat, un ensemble de labels, est partagé sur le portail ENX avec les partenaires que vous choisissez. Constructeurs et grands équipementiers s’en servent avant de vous confier des plans confidentiels, des prototypes ou des données personnelles.

Le parcours commence en général par un client qui vous demande un label précis. Demandez-la par écrit : c’est elle qui fixe tout le périmètre du travail.

Le catalogue ISA

Le VDA Information Security Assessment (ISA) est la liste des exigences sur lesquelles vous êtes évalué. Il comprend trois catalogues, et les labels demandés déterminent lesquels s’appliquent.

• Sécurité de l'information
• Protection des prototypes
• Protection des données

ISA 6 s'applique aux évaluations commandées depuis le 1er avril 2024. ENX publie désormais l'ISA chaque année : ISA2027 s'applique aux évaluations commandées à partir du 1er janvier 2027, avec un module de protection des prototypes revu et des exigences renforcées sur la sécurité des fournisseurs.

Niveaux d’évaluation et labels

Le niveau 1 est une auto-évaluation à usage interne ; TISAX ne s’en sert pas pour les labels. Les labels Data et Special data couvrent le traitement de données personnelles pour le compte d’un client au sens de l’article 28 du RGPD ; Special data ajoute les catégories particulières de l’article 9.

Comment se passe le parcours

ENX ne donne pas de durée type : elle dépend de votre périmètre, de votre maturité et du délai du prestataire d’audit. L’essentiel du travail se fait avant l’évaluation, en remplissant l’auto-évaluation et en comblant les écarts. Pour les groupes d’au moins trois sites avec une organisation de la sécurité centralisée, TISAX propose une évaluation de groupe simplifiée.

Production et OT : la réalité du terrain

L’ISA s’applique aussi aux ateliers, et un site de production ne tourne pas comme un bureau. Anticipez ces quatre points :

• Les machines que vous ne pouvez pas modifier. Les machines CNC, robots et bancs d’essai tournent souvent avec un logiciel fourni et maintenu par leur fabricant. Si vous installez vous-même un agent ou une mise à jour, vous risquez de perdre ce support. Convenez avec le fabricant de ce qui est permis, et documentez des mesures compensatoires : un réseau séparé pour la production, un accès à distance contrôlé et tracé pour ses techniciens, des règles sur les supports amovibles.
• La surveillance et les représentants du personnel. La journalisation, la surveillance des postes ou la vidéo peuvent compter comme une surveillance des salariés. En Allemagne, le comité d’entreprise (Betriebsrat) a un droit de codécision sur les dispositifs techniques destinés à surveiller le comportement ou la performance des salariés (§ 87, al. 1, n° 6 de la loi sur l’organisation des entreprises, BetrVG). En France, dans les entreprises d’au moins 50 salariés, le CSE est informé et consulté avant la mise en place de moyens de surveillance de l’activité des salariés (article L2312-38 du Code du travail). D’autres pays ont leurs propres règles de consultation : associez les RH et les représentants du personnel avant de mettre ces outils en place, et gardez une trace de la décision.
• Les prototypes sur site. Les labels Proto parts et Proto vehicles ajoutent des exigences sur la sécurité physique du site et de ses abords, sur l’organisation et sur la manipulation des prototypes. Proto vehicles vérifie aussi les garages et ateliers protégés. Les travaux sur les bâtiments prennent du temps : lancez-les en premier.
• Les comptes partagés. Les terminaux d’atelier fonctionnent souvent avec un identifiant commun. Pour chaque terminal, prenez une décision que vous pouvez justifier : des comptes personnels, ou une exception documentée avec des mesures compensatoires.

Questions fréquentes

Sources

• TISAXAssociation ENX · parcours, catalogue ISA, validité de trois ans, résultats non publics
  Page officielle
• TISAX Participant HandbookENX · niveaux d'évaluation, objectifs et labels, actions correctives, validité
  Texte officiel
• ISA2027 announcementENX, 1er juillet 2026 · ISA 6 depuis avril 2024, ISA2027 pour les évaluations commandées à partir du 1er janvier 2027
  Page officielle
• TISAX downloads (VDA ISA)ENX · catalogues ISA 6.0.3 et ISA2027
  Page officielle
• TISAX FAQENX · prestataires d'audit agréés par ENX ; participants qui exigent TISAX
  Page officielle
• Betriebsverfassungsgesetz (BetrVG), § 87Allemagne · § 87, al. 1, n° 6 : codécision sur les dispositifs de surveillance des salariés
  Texte officiel
• Code du travail, article L2312-38France · consultation du CSE sur les moyens de surveillance de l'activité des salariés
  Texte officiel