TISAX en clair : pour les fournisseurs de l'automobile
Votre client automobile vous demande un label TISAX. Ce que vérifie l'évaluation, le niveau et les labels qu'il vous faut, le déroulé chez ENX, et ce que ça implique dans vos ateliers.
En 30 secondes
- Quoi
- Trusted Information Security Assessment Exchange : un dispositif d'évaluation et d'échange des résultats, géré par l'association ENX pour l'industrie automobile.
- Catalogue
- Le VDA ISA, tenu par ENX et publié par la VDA, la fédération allemande de l'automobile : sécurité de l'information, protection des prototypes, protection des données.
- Niveaux
- AL1 est une auto-évaluation, sans label. AL2 : l'auditeur vérifie votre auto-évaluation avec preuves et entretien, en général à distance. AL3 : une vérification complète sur site.
- Résultat
- Des labels, comme Confidential ou Proto parts, valables trois ans et partagés sur le portail ENX avec les partenaires que vous choisissez. Les résultats ne sont pas publics.
- Qui l'exige
- Les constructeurs et les grands équipementiers, avant de vous confier des données confidentielles, des prototypes ou des données personnelles.
- Versions
- ISA 6 s'applique aujourd'hui. ISA2027 s'applique aux évaluations commandées à partir du 1er janvier 2027.
Ce qu’est TISAX
TISAX permet à une entreprise de l’automobile de se fier à la sécurité de l’information d’un partenaire sans l’auditer à nouveau. Vous êtes évalué une fois selon le catalogue VDA ISA par un prestataire d’audit agréé par ENX ; le résultat, un ensemble de labels, est partagé sur le portail ENX avec les partenaires que vous choisissez. Constructeurs et grands équipementiers s’en servent avant de vous confier des plans confidentiels, des prototypes ou des données personnelles.
Le parcours commence en général par un client qui vous demande un label précis. Obtenez cette demande par écrit : c’est elle qui fixe tout le périmètre du travail.
Le catalogue ISA
Le VDA Information Security Assessment (ISA) est la liste des exigences sur lesquelles vous êtes évalué. Il comprend trois catalogues ; les labels demandés décident lesquels s’appliquent.
ISA 6 s'applique aux évaluations commandées depuis le 1er avril 2024. ENX publie désormais l'ISA chaque année : ISA2027 s'applique aux évaluations commandées à partir du 1er janvier 2027, avec un module de protection des prototypes revu et des exigences renforcées sur la sécurité des fournisseurs.
Niveaux d’évaluation et labels
Niveau 2 AL2
Le prestataire d'audit vérifie la plausibilité de votre auto-évaluation, avec des preuves et un entretien avec le responsable de la sécurité de l'information, en général en visioconférence.
Niveau 3 AL3
Une vérification complète de tout, sur place, dans vos sites.
Le niveau 1 est une auto-évaluation à usage interne ; TISAX ne s’en sert pas pour les labels. Les labels Data et Special data couvrent le traitement de données personnelles pour le compte d’un client au sens de l’article 28 du RGPD ; Special data ajoute les catégories particulières de l’article 9.
Comment se passe le parcours
- Étape 1InscriptionSur le portail ENX : entreprise, périmètre, objectifs d'évaluation.
- Étape 2PrestataireChoisir un prestataire agréé par ENX ; votre auto-évaluation ISA passe en premier.
- Étape 3ÉvaluationÀ distance ou sur site selon le niveau. Les écarts donnent des actions correctives, jusqu'à neuf mois.
- Étape 4ÉchangeLabels sur le portail ENX, partagés avec les partenaires choisis. Valables trois ans.
ENX ne donne pas de durée type : elle dépend de votre périmètre, de votre maturité et du délai du prestataire d’audit. L’essentiel du travail se fait avant l’évaluation, en remplissant l’auto-évaluation et en comblant les écarts. Pour les groupes d’au moins trois sites avec une organisation de la sécurité centralisée, TISAX propose une évaluation de groupe simplifiée.
Production et OT : la réalité du terrain
L’ISA s’applique aussi aux ateliers, et un site de production ne tourne pas comme un bureau. Prévoyez tôt :
- Les machines que vous ne pouvez pas modifier. Machines CNC, robots et bancs d’essai tournent souvent avec un logiciel fourni et maintenu par leur constructeur. Installer vous-même un agent ou une mise à jour peut faire perdre ce support. Convenez avec le constructeur de ce qui est permis, et documentez des mesures compensatoires : un réseau séparé pour la production, un accès à distance contrôlé et tracé pour ses techniciens, des règles sur les supports amovibles.
- La surveillance et les représentants du personnel. Journalisation, surveillance des postes ou vidéo peuvent revenir à surveiller les salariés. En Allemagne, le comité d’entreprise (Betriebsrat) a un droit de codécision sur les dispositifs techniques destinés à surveiller le comportement ou la performance des salariés (§ 87, al. 1, n° 6 de la loi sur l’organisation des entreprises, BetrVG). En France, dans les entreprises d’au moins 50 salariés, le CSE est informé et consulté avant la mise en place de moyens de surveillance de l’activité des salariés (article L2312-38 du Code du travail). Ailleurs, d’autres règles de consultation existent : associez RH et représentants du personnel avant de déployer, et gardez trace de la décision.
- Les prototypes sur site. Les labels Proto parts et Proto vehicles ajoutent la sécurité physique du site et de ses abords, des règles d’organisation et des exigences propres à la manipulation des prototypes ; Proto vehicles vérifie aussi les garages et ateliers protégés. Les travaux prennent du temps : planifiez-les en premier.
- Les comptes partagés. Les terminaux d’atelier fonctionnent souvent avec un identifiant commun. Chacun demande une décision défendable : des comptes personnels, ou une exception documentée avec des mesures compensatoires.
Se préparer à TISAX : qui fait quoi
Ce que fait QoBot
- Identifie avec vous les labels que demande votre client, et donc le niveau.
- Propose le périmètre : sites, services, systèmes, et ce qui en sort.
- Remplit avec vous l'auto-évaluation ISA, contrôle par contrôle, à partir de ce qui est vrai aujourd'hui.
- Rédige les politiques manquantes et liste les preuves que l'auditeur demandera.
- Prévoit des mesures pour la production et l'OT adaptées aux machines que vous ne pouvez pas modifier, et suit les actions correctives.
Ce que fait votre équipe
- La direction fixe le périmètre et approuve les politiques.
- Vous vous inscrivez sur le portail ENX, choisissez le prestataire d'audit et réservez l'évaluation.
- Vos équipes informatique et production appliquent les mesures, avec des guides pas à pas.
- Vous consultez vos représentants du personnel quand des outils de surveillance sont en jeu.
Le client de rang 1 de Kessler Präzisionstechnik demande les labels Confidential et Proto parts : niveau 3, périmètre l'usine de Schwäbisch Gmünd et le bureau d'études. 41 contrôles ISA renseignés, 9 à travailler. Cette semaine :
- M. Albrecht (maintenance): lister les machines CNC et l'accès à distance de chaque constructeur · modèle prêt · ~45 minÀ vous
- Sabine (fondée de pouvoir): présenter le projet de surveillance des postes au comité d'entreprise (Betriebsrat) · brouillon prêt · ~20 minÀ vous
- Klaus (gérant): approuver la politique de sécurité de l'information v1 · ~15 minVotre accord
Questions fréquentes
De quel label avons-nous besoin ?
Celui que votre client demande. Faites-le-lui préciser par écrit : le label fixe le niveau d'évaluation, donc l'effort. Confidential et Data s'évaluent au niveau 2 ; Strictly confidential, Special data et les labels prototypes pour les pièces et les véhicules au niveau 3.
Combien de temps prend TISAX ?
ENX indique ne pas pouvoir prévoir la durée de façon fiable : elle dépend de votre périmètre, de votre maturité et du délai du prestataire d'audit. Réservez le prestataire tôt, et mettez ce temps à profit pour remplir l'auto-évaluation et combler les écarts.
TISAX est-il une certification ?
ENX parle d'évaluation, et le résultat est un ensemble de labels. Un prestataire d'audit agréé par ENX la mène, et vous décidez quels partenaires voient vos résultats sur le portail ENX.
Et si l'audit trouve des écarts ?
Vous convenez d'un plan d'actions correctives et avez jusqu'à neuf mois pour combler les écarts. Dans certains cas, vous obtenez des labels temporaires, valables jusqu'à neuf mois, en attendant l'évaluation de suivi.
Nous sommes certifiés ISO 27001. Ça compte ?
Beaucoup : l'industrie automobile a conçu l'ISA pour adapter à ses besoins des normes comme ISO/IEC 27001, donc une grande partie de votre travail se retrouve. TISAX demande quand même sa propre évaluation, et ajoute la protection des prototypes et des données quand vos labels l'exigent. Voir ISO 27001 en clair.
QoBot peut-il nous obtenir le label ?
Non. Seul un prestataire d'audit agréé par ENX peut vous évaluer, et le label vient de cette évaluation. QoBot vous prépare : périmètre, auto-évaluation, politiques, liste des preuves et plan d'actions correctives.
Sources
- TISAXAssociation ENX · parcours, catalogue ISA, validité de trois ans, résultats non publicsPage officielle
- TISAX Participant HandbookENX · niveaux d'évaluation, objectifs et labels, actions correctives, validitéTexte officiel
- ISA2027 announcementENX, 1er juillet 2026 · ISA 6 depuis avril 2024, ISA2027 pour les évaluations commandées à partir du 1er janvier 2027Page officielle
- TISAX downloads (VDA ISA)ENX · catalogues ISA 6.0.3 et ISA2027Page officielle
- TISAX FAQENX · prestataires d'audit agréés par ENX ; participants qui exigent TISAXPage officielle
- Betriebsverfassungsgesetz (BetrVG), § 87Allemagne · § 87, al. 1, n° 6 : codécision sur les dispositifs de surveillance des salariésTexte officiel
- Code du travail, article L2312-38France · consultation du CSE sur les moyens de surveillance de l'activité des salariésTexte officiel
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur