VDA ISA und TISAX: Was die 46 Kontrollfragen für NIS2 abdecken – und welche BSIG-Pflichten fehlen

Die ENX Association, die den VDA-ISA-Fragenkatalog pflegt, gibt eine klare Antwort: Wer seine NIS2-betroffenen Standorte TISAX-konform aufgestellt hat, setze die Anforderungen aus NIS-2 „vollständig um“. So steht es in der Executive Summary der ENX-Analyse „Abdeckung NIS-2 durch TISAX“ vom 24. April 2025. Das BSI antwortet auf fast dieselbe Frage anders: „Ein allgemeines Zertifikat zum Nachweis der Anforderungen gibt es nicht.“

Beide Aussagen lassen sich prüfen, und genau das haben wir getan. Wir haben die 46 Kontrollfragen des Moduls Informationssicherheit, die ENX-Zuordnung und das BSI-Gesetz nebeneinandergelegt. Das Ergebnis: Bei den technischen und organisatorischen Maßnahmen deckt der Fragenkatalog einen Großteil von § 30 Abs. 2 BSIG ab, bei Kontinuität und MFA mit zwei Einschränkungen. Nicht abgefragt werden dagegen vier Pflichten, die das deutsche Gesetz ausdrücklich verlangt. Drei davon sind bußgeldbewehrt, für wichtige Einrichtungen mit bis zu 7 Mio. Euro. Der übergeordnete Vergleich beider Regelwerke steht im Leitfaden NIS2 vs. TISAX. Hier geht es eine Ebene tiefer: um die einzelnen Kontrollfragen.

Der VDA-ISA-Fragenkatalog in Zahlen: ISA6 und ISA2027

Im Klartext: Der Katalog hat 46 Kontrollfragen in sieben Kapiteln. Ab 2027 gilt eine neue Fassung, die NIS2 an keiner Stelle erwähnt.

Der Fragenkatalog ist eine Excel-Arbeitsmappe. Das Tabellenblatt „Information Security“ ist die Grundlage jedes Informationssicherheits-Labels. Daneben gibt es die Blätter Prototypenschutz und Datenschutz. Wir haben die beiden offiziellen Fassungen von der ENX-Downloadseite ausgewertet:

Merkmal	ISA6 (6.0.x)	ISA2027
Kontrollfragen Informationssicherheit	46	46
Kapitel	1 IS Policies and Organization, 2 Human Resources, 3 Physical Security, 4 Identity and Access Management, 5 IT Security/Cyber Security, 6 Supplier Relationships, 7 Compliance	unverändert; 1.2.4 (externe IT-Dienstleister) wird zu 6.1.3
Gilt für TISAX-Assessments	beauftragt ab 1. April 2024	beauftragt ab 1. Januar 2027
Treffer „NIS2“ / „2022/2555“	0 / 0	0 / 0
Anforderungsebenen	muss · sollte · Zusatzanforderungen bei hohem und sehr hohem Schutzbedarf (markiert mit C, I, A) · vereinfachte Gruppenprüfung
Reifegrad	sechs Stufen von 0 („unvollständig“) bis 5 („optimierend“); Ziel ist Stufe 3 „etabliert“

Laut ENX-Mitteilung vom 1. Juli 2026 hat der VDA ISA2027 veröffentlicht. Die Fassung gilt für alle Assessments, die ab dem 1. Januar 2027 beauftragt werden. Künftig erscheint jedes Jahr ein Katalog, benannt nach dem Jahr, in dem er wirksam wird. Labels bleiben bis zu drei Jahre gültig. Nach den ENX-Hinweisen zur Umstellung lässt sich ein Erst-Assessment nach ISA6 letztmals im März 2027 eröffnen. Seit dem 1. Oktober 2026 gibt es ISA2027.1 auch auf Deutsch. Maßgeblich bleibt die englische Fassung.

Für NIS2 sind zwei Änderungen wichtig. Erstens nennt Kontrollfrage 2.1.3 jetzt „managers including organizational leaders“ ausdrücklich als Zielgruppe für Schulungen, allerdings nur in der Soll-Spalte. ENX betont selbst, damit entstehe „keine neue Erwartung“. Zweitens wurde 6.1.1 verschärft: Bei sehr hohem Schutzbedarf soll ein Lieferant sein Sicherheitsniveau über ein TISAX-Label, ein gleichwertiges Drittaudit oder ein Lieferantenaudit belegen. Fehlt ein solcher Nachweis, braucht es eine dokumentierte Entscheidung der Geschäftsleitung.

Was ENX behauptet und welche Bedingungen im Kleingedruckten stehen

Im Klartext: Die „vollständig“-Aussage bezieht sich auf die EU-Richtlinie, nicht auf das BSIG. Außerdem knüpft ENX sie an Bedingungen.

Die 77-seitige Analyse (ENX-Dokument-ID 260) stammt von der Arbeitsgruppe, die den Katalog selbst verantwortet. Sie geht die Richtlinie Absatz für Absatz durch und ordnet jedem Absatz ISA6-Kontrollfragen zu. Das ist methodisch sauber und als Arbeitshilfe wertvoll. Liest man über die Executive Summary hinaus, schränkt das Dokument seine Aussage aber an mehreren Stellen ein:

• Nur Richtlinie, kein BSIG. In Kapitel 1.2 heißt es, länderspezifische Umsetzungen „finden innerhalb dieses Dokuments keine Berücksichtigung“. Zudem mache das Dokument „keine Aussage darüber, ob ein Unternehmen ausreichend für die Erfüllung der Anforderungen nach NIS-2 aufgestellt ist“.
• Zwei Bedingungen. Die Prüfziele müssen das Gesamtrisiko des Unternehmens abbilden. Und alle von NIS2 betroffenen Standorte müssen ein TISAX-Label haben. Ein Label nur für das Entwicklungszentrum genügt also nicht, wenn die Werke außerhalb des Scopes liegen.
• Prototypenschutz zählt nicht. Reine Prototypenschutz-Prüfungen haben laut Fußnote 1 für die Informations- und Cybersicherheit „keine hinreichende Aussagekraft“.
• Eigene Lücken. Die Schulung des Leitungsorgans sei „im ISA nicht explizit aufgeführt“. Die Weitergabe grenzüberschreitender Auswirkungen bei Meldungen werde „so explizit nicht“ gefordert. Kontaktdaten und Meldewege würden „beim TISAX-Assessment nicht“ geprüft. Und Art. 29 (Informationsaustausch) werde nicht geprüft.

Hinzu kommt die Prüftiefe. Das Prüfziel Confidential wird im Assessment-Level 2 geprüft. Dort führt der Prüfer laut ENX nur eine Plausibilitätsprüfung der Selbsteinschätzung durch und „wird nicht alles verifizieren“. Erst AL3 bedeutet grundsätzlich eine Vor-Ort-Prüfung aller Standorte im Scope.

Das BSI hält sich zurück. In seinen FAQ zu NIS-2 fragt es selbst, ob sich die Lieferkettenpflicht durch Zertifikate wie „ISO 27001, TISAX, etc.“ erfüllen lässt. Die Antwort: Ein allgemeines Zertifikat gibt es nicht, mindestens die Maßnahmen nach § 30 Abs. 2 BSIG sind umzusetzen. Gleichzeitig begrüßt das BSI ausdrücklich Vorstöße der Wirtschaft für einen einheitlichen Lieferanten-Fragenkatalog. TISAX wird also nicht abgelehnt, sondern als Baustein behandelt.

Kontrollfrage für Kontrollfrage: ISA gegen § 30 Abs. 2 BSIG

Im Klartext: Acht der zehn Mindestmaßnahmen finden im Katalog eine klare Entsprechung. Bei Kontinuität und MFA hängt die Abdeckung vom Label und vom Schutzbedarf ab.

Die zehn Nummern in § 30 Abs. 2 BSIG folgen Art. 21 Abs. 2 Buchst. a bis j der Richtlinie. Deshalb lässt sich das ENX-Mapping direkt auf das BSIG übertragen. Die mittlere Spalte gibt die von ENX genannten ISA6-Kontrollfragen wieder (bei langen Listen gekürzt). Die rechte Spalte ist unsere eigene Bewertung.

§ 30 Abs. 2 Nr.	ISA6-Kontrollfragen (laut ENX)	Bewertung
1 Risikoanalyse, Sicherheitskonzepte	1.4.1, 5.2.7, 5.3.1	Gut abgedeckt. Der Risikoscope muss die ganze Einrichtung umfassen, nicht nur die Schutzobjekte des Labels.
2 Bewältigung von Sicherheitsvorfällen	1.6.1, 1.6.2	Intern gut abgedeckt. Die Meldung ans BSI fehlt (siehe unten).
3 Betriebskontinuität, Backup, Krisenmanagement	1.6.3, 5.2.8, 5.2.9	Abhängig vom Label: RTO, Wiederanlauftests und Krisenszenarien sind mit „A“ markiert und werden nur bei Verfügbarkeitszielen geprüft.
4 Lieferkette	1.3.3, 5.3.3, 6.1.1, 6.1.2 u. a.	Gut abgedeckt, mit ISA2027 strenger.
5 Erwerb, Entwicklung, Wartung, Schwachstellen	1.2.3, 1.3.4, 5.2.1, 5.2.4–5.2.6, 5.3.1–5.3.4 u. a.	Gut abgedeckt. Das BSI führt in seiner eigenen Tabelle dieselben Nummern.
6 Wirksamkeitsbewertung	1.2.1, 1.4.1, 1.5.1, 1.5.2, 1.6.2, 5.2.6	Gut abgedeckt (Managementreview, interne und unabhängige Prüfung).
7 Schulungen, Cyberhygiene	1.1.1, 2.1.2, 2.1.3, 4.1.3, 4.2.1, 5.2.x u. a.	Für Beschäftigte gut abgedeckt. Die Schulung der Geschäftsleitung fehlt (siehe unten).
8 Kryptografie	5.1.1, 5.1.2	Gut abgedeckt.
9 Personal, Zugriffskontrolle, Assets	1.3.1–1.3.3, 2.1.1–2.1.4, 4.1.1–4.2.1 u. a.	Gut abgedeckt.
10 MFA, gesicherte Kommunikation, Notfallkommunikation	1.6.3, 4.1.2, 4.1.3, 5.1.2, 5.2.8	Eingeschränkt: Zwei-Faktor-Authentisierung ist in 4.1.2 nur Soll für privilegierte Konten und erst bei sehr hohem Schutzbedarf Pflicht.

Dass ISA-Nummern als Referenz taugen, bestätigt das BSI selbst. In seinem Infopaket zu Sicherheitsmaßnahmen und Schwachstellenmanagement steht eine TISAX-Spalte mit den Kontrollfragen 1.2.3, 1.2.4, 1.3.4, 5.2.1, 5.2.4 bis 5.2.6 und 5.3.1 bis 5.3.4. Das Infopaket Grundlegende Schulungen nennt für Nr. 7 unter anderem 2.1.2 und 2.1.3. Unter beiden Tabellen steht sinngemäß derselbe Hinweis: Eine Umsetzung nach diesen Standards bedeute nicht, „dass Einrichtungen dadurch automatisch die Anforderungen gemäß § 30 BSIG vollständig erfüllen“.

Zwei Zeilen brauchen eine Erklärung. Die erste ist Nr. 3. In ISA wirken die Zusatzanforderungen bei hohem Schutzbedarf nach Schutzziel. Ein Unternehmen, das nur das Label Confidential hält, wird bei Wiederanlaufzeiten (RTO), vollständigen Wiederherstellungstests und Krisenszenarien nicht geprüft. § 30 Abs. 1 BSIG nennt die Verfügbarkeit aber ausdrücklich, und für ein Presswerk im Just-in-Time-Takt ist sie oft das kritischste Schutzziel. Die zweite ist Nr. 10. Eine im TISAX-Assessment akzeptierte, begründete Abweichung von der Soll-Anforderung „Zwei-Faktor-Authentisierung“ braucht für § 30 Abs. 2 Nr. 10 eine eigene Begründung. Das BSIG führt MFA als Mindestinhalt auf. Verhältnismäßigkeit nach § 30 Abs. 1 Satz 2 bleibt möglich, muss aber dokumentiert werden.

Es gibt auch Übereinstimmungen, die selten erwähnt werden. Die Schutzziele in § 30 Abs. 1 BSIG sind Verfügbarkeit, Integrität und Vertraulichkeit, also genau die drei Kennbuchstaben C, I und A, mit denen ISA seine Zusatzanforderungen markiert. Wer in seiner Gap-Analyse ohnehin nach C, I und A filtert, kann diese Struktur direkt für die BSIG-Dokumentation übernehmen.

Vier Stellen, an denen der Fragenkatalog nicht fragt

Im Klartext: Registrierung, behördliche Meldung, Schulung der Geschäftsleitung und der Geltungsbereich gehen über jedes TISAX-Label hinaus. Drei davon sind bußgeldbewehrt.

Hersteller von Kraftwagen und Kraftwagenteilen (NACE C29) und der sonstige Fahrzeugbau (C30) stehen in Anlage 2 des BSIG. Ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme gelten sie nach § 28 Abs. 2 BSIG als wichtige Einrichtung. Nicht jeder TISAX-Teilnehmer stellt Fahrzeugteile her. Engineering- und IT-Dienstleister werden nach ihrer eigenen Tätigkeit eingestuft. Für alle Betroffenen gilt:

1. Registrierung (§ 33 BSIG). Spätestens drei Monate nach Eintritt der Betroffenheit müssen Sie sich im BSI-Portal registrieren. Das ist eine eigene Pflicht gegenüber dem BSI, die kein TISAX-Label ersetzt. Ein Verstoß ist nach § 65 Abs. 2 Nr. 6 eine Ordnungswidrigkeit, die nach § 65 Abs. 5 Nr. 5 mit bis zu 500.000 Euro geahndet werden kann. Den Ablauf beschreibt der Leitfaden zur BSI-Registrierung.
2. Meldung an das BSI (§ 32 BSIG). Verlangt sind eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, siehe § 32 Abs. 1 BSIG. ISA 1.6.2 verlangt bei hohem Schutzbedarf nur, dass gesetzliche Meldepflichten und Kontaktdaten „bekannt“ sind, und definiert interne Reaktionszeiten. Eine 24-Stunden-Frist steht in keiner Fassung. Auch die Schwelle „erheblich“ fehlt. ISA sortiert Ereignisse in Beobachtung, Schwachstelle und Sicherheitsvorfall. Das BSI hingegen geht laut Infopaket Meldepflicht bei Einrichtungen außerhalb der digitalen Anbieterkategorien der DVO von einem erheblichen Vorfall aus, sobald ein Kriterium aus Art. 3 Abs. 1 der DVO (EU) 2024/2690 erfüllt ist. Mehr dazu unter NIS2-Meldepflichten.
3. Schulung der Geschäftsleitung (§ 38 Abs. 3 BSIG). Laut § 38 BSIG „müssen“ Geschäftsleitungen regelmäßig an Schulungen teilnehmen. Die Richtlinie unterscheidet hier deutlich. Nach Art. 20 Abs. 2 NIS-2 „müssen“ die Mitglieder der Leitungsorgane teilnehmen, den Beschäftigten sollen Schulungen nur „angeboten“ werden. ISA 2.1.3 deckt genau den weicheren Teil ab: Die Muss-Anforderung lautet „Employees are trained and made aware“. Für wichtige Einrichtungen ist § 38 Abs. 3 nach § 62 BSIG eine von drei Pflichten, deren Einhaltung das BSI bei begründetem Verdacht überprüfen kann. Einen eigenen Bußgeldtatbestand hat sie in § 65 nicht. Zu Umfang und Häufigkeit hat das BSI eine Handreichung zur Geschäftsleitungsschulung veröffentlicht. Einzelheiten stehen im Beitrag zur Schulungspflicht der Geschäftsführung.
4. Geltungsbereich (§ 30 Abs. 1 BSIG). Das Gesetz erfasst alle informationstechnischen Systeme, Komponenten und Prozesse, die Sie für die Erbringung Ihrer Dienste nutzen. Dazu zählt laut BSI im Einzelfall auch OT. Der TISAX-Scope richtet sich dagegen nach den Schutzobjekten der gewählten Prüfziele an den gelisteten Standorten. Eine fehlende Maßnahme außerhalb dieses Scopes kann nach § 65 Abs. 2 Nr. 2, eine fehlende Dokumentation nach Nr. 3 geahndet werden. Für wichtige Einrichtungen sind bis zu 7 Mio. Euro möglich, bei mehr als 500 Mio. Euro Umsatz bis zu 1,4 % (§ 65 Abs. 5 und 7 BSIG). Wie hoch ein Bußgeld im Einzelfall ausfällt, entscheidet die Behörde.

So ergänzen Sie Ihren ISA-Katalog um eine NIS2-Spalte

Im Klartext: Sie brauchen kein zweites ISMS. Es reichen zusätzliche Spalten in der ISA-Arbeitsmappe und vier eigenständige Bausteine.

Die Excel-Struktur eignet sich gut als Grundgerüst. Jede Kontrollfrage hat bereits Felder für Reifegrad, Umsetzungsbeschreibung und Referenzdokumente. Bewährt hat sich folgende Ergänzung:

Schritt	Verantwortlich	Aufwand
Spalte „§ 30 Abs. 2 Nr.“ je Kontrollfrage einfügen (Mapping oben)	CISO / ISB	Niedrig
Für die A-markierten Anforderungen aus 1.6.3, 5.2.8 und 5.2.9 Umsetzungsstand auch ohne Verfügbarkeitslabel dokumentieren	CISO, IT-Betrieb	Mittel
Scope-Abgleich: Welche Standorte und OT-Systeme liegen außerhalb des TISAX-Scopes?	CISO, Werksleitung	Mittel
Abweichungen von Soll-Anforderungen (z. B. 2FA in 4.1.2) separat nach § 30 Abs. 1 Satz 2 begründen	CISO, Compliance	Niedrig
Klassifizierung „erheblich“ und BSI-Meldekette in den 1.6.2-Prozess einbauen	ISB, Compliance	Mittel
BSI-Registrierung, Nachweis der Leitungsschulung, Umsetzung und Überwachung nach § 38 Abs. 1	Geschäftsführung	Niedrig

Die Rollen tragen dabei unterschiedlich viel. Für CISO und ISB liegt der Großteil der Arbeit in den ersten vier Zeilen. Das ist Dokumentationsarbeit, keine neue Technik. Für Compliance ist die Meldekette entscheidend, denn dort entscheiden Stunden. Für die Geschäftsführung bleiben die Punkte, die kein Auditor an ihrer Stelle erledigen kann. Für Maschinenbauer, die zugleich OEM-Zulieferer sind, beschreibt der Leitfaden zu NIS2 im Maschinenbau die OT-Seite. Wer parallel ISO 27001 betreibt, findet die Gegenüberstellung unter NIS2 vs. ISO 27001.

Ein formaler Weg zur Anerkennung bestünde übrigens. Nach § 30 Abs. 8 BSIG können besonders wichtige Einrichtungen und ihre Branchenverbände branchenspezifische Sicherheitsstandards vorschlagen. Das BSI stellt auf Antrag fest, ob diese geeignet sind, und veröffentlicht sie. Eine veröffentlichte Feststellung für den VDA-ISA-Katalog haben wir bei unserer Recherche nicht gefunden. Bis dahin bleibt die ENX-Analyse eine Selbsteinschätzung der Branche, keine behördliche Feststellung.

Häufige Fragen

Ersetzt ein TISAX-Label den NIS2-Nachweis gegenüber dem BSI?
Nein. Ein allgemeines Zertifikat zum Nachweis der Anforderungen gibt es laut BSI nicht. Wichtige Einrichtungen müssen die Umsetzung nur auf Anordnung des BSI nachweisen, etwa durch Dokumentationen, Prüfberichte, Audits oder Zertifizierungen. Der TISAX-Prüfbericht kann dabei ein Beleg unter mehreren sein.

Hat ISA2027 die NIS2-Lücken geschlossen?
Nur teilweise. ISA2027 nennt Führungskräfte als Schulungszielgruppe und verschärft die Lieferantenanforderungen. Eine Meldefrist, die Registrierung oder eine verpflichtende Schulung der Geschäftsleitung enthält auch diese Fassung nicht. NIS2 wird im gesamten Katalog nicht erwähnt.

Reicht AL2 oder brauchen wir AL3?
Das NIS2-Recht schreibt kein Assessment-Level vor. Bei AL2 prüft der Auditor aber nur die Plausibilität. Als Beleg gegenüber dem BSI wiegt ein AL2-Bericht deshalb weniger als die eigene, nach § 30 Abs. 2 gegliederte Dokumentation.

Wir haben nur ein Prototypenschutz-Label. Hilft uns das?
Kaum. Selbst ENX bescheinigt reinen Prototypenschutz-Prüfungen für die Cybersicherheit „keine hinreichende Aussagekraft“.

Dieser Artikel bietet ausschließlich allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Die Anforderungen können je nach Rechtsraum und Unternehmensart variieren. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Rechts- oder Compliance-Fachkraft.

Quellen

• ENX Association: Abdeckung NIS-2 durch TISAX – Bewertung des NIS-2-Erfüllungsgrades einer TISAX-Prüfung gemäß Prüfkatalog ISA6, Version 1, 24.04.2025 (ENX-Dokument-ID 260)
• VDA ISA6 und VDA ISA2027 (isa6-en.xlsx, isa2027-en.xlsx), ENX Association, Download Center
• ENX Association: 10 Years of TISAX – VDA ISA2027 Released, 01.07.2026
• ENX Association: ISA2027 Webinar Series and Redline Document available, 07.08.2026
• ENX Association: ISA2027.1 – German Language Version Now Available, 01.10.2026
• BSI-Gesetz (BSIG) in der geltenden Fassung, §§ 28, 30, 32, 33, 38, 62, 65 und Anlage 2, gesetze-im-internet.de
• Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), amtliche deutsche Fassung, EUR-Lex
• BSI: Fragen und Antworten zu NIS-2
• BSI: #nis2know – Sicherheitsmaßnahmen und Schwachstellenmanagement
• BSI: #nis2know – Grundlegende Schulungen und Sensibilisierungsmaßnahmen
• BSI: Geschäftsleitungsschulungen gemäß BSIG (NIS-2), Handreichung
• BSI: #nis2know – NIS-2-Meldepflicht