NIS2 vs. TISAX: Was die Automobilbranche beachten muss

Ihr Werk hat ein TISAX-Label. Der Auditor des BSI fragt trotzdem nach einer Risikoanalyse nach §30 BSIG, einer 24-Stunden-Meldung und der Unterschrift Ihrer Geschäftsführung unter der Sicherheitsdokumentation. Genau an diesem Punkt verwechseln viele Automobilzulieferer zwei Dinge, die nichts miteinander zu tun haben: TISAX ist ein freiwilliger Nachweis gegenüber Ihrem OEM-Kunden. NIS2 ist eine gesetzliche Pflicht gegenüber dem deutschen Staat.

Beide betreffen Informationssicherheit, beide arbeiten mit Reifegraden und Kontrollkatalogen – aber sie lösen unterschiedliche Probleme für unterschiedliche Adressaten. Dieser Leitfaden zeigt, wo sich VDA-ISA-Kontrollen und die zehn Maßnahmen aus Artikel 21 NIS2 decken, wo TISAX für Automobilzulieferer allein nicht ausreicht, und was Sie als Anhang-II-Hersteller zusätzlich vorweisen müssen.

Was ist TISAX? Der freiwillige Prüfstandard der Automobilbranche

TISAX (Trusted Information Security Assessment Exchange) ist kein Gesetz, sondern ein privatwirtschaftliches Prüfverfahren. Es wurde 2017 vom Verband der Automobilindustrie (VDA) zusammen mit der ENX Association eingeführt, die bis heute als Governance-Stelle fungiert: Sie akkreditiert die Prüfdienstleister und überwacht die Qualität der Assessments und Ergebnisse^[1]. Grundlage jedes TISAX-Assessments ist der VDA-ISA-Fragenkatalog (Information Security Assessment), gepflegt vom Informationssicherheits-Ausschuss des VDA.

Der Katalog gliedert sich in ein Basismodul Informationssicherheit – Pflicht für jeden Teilnehmer – und optionale Zusatzmodule, die je nach Art der ausgetauschten Daten hinzukommen: Prototypenschutz (bei Entwicklungs- oder Testfahrzeugen), Datenschutz (bei Verarbeitung personenbezogener Daten im Auftrag des OEMs) und ein neueres Modul Verfügbarkeit für Anbieter mit hohen Ausfallsicherheits-Anforderungen, etwa bei vernetzter Fertigungstechnik^[2][3]. Ein früher eigenständiges Modul „Anbindung Dritter“ (Connectivity) wurde mit einer Katalogrevision in das Basismodul Informationssicherheit integriert – wer heute von einem „Connectivity-Kapitel“ spricht, meint in aktuellen VDA-ISA-Versionen also einen Teilbereich des Hauptmoduls, kein separates Label^[3][4].

Innerhalb der Module vergibt ENX konkrete Prüfziele, aus denen sich das jeweilige TISAX-Label ableitet: Im Basismodul Informationssicherheit reicht die Bandbreite von „Info high“ bis „Info very high“ je nach Schutzbedarf der ausgetauschten Daten, ergänzt um „Confidential“ und „Strictly confidential“ für besonders sensible Informationen. Das Prototypenschutz-Modul differenziert nach Schutzobjekt – Bauteile, komplette Fahrzeuge, Testphasen oder Veranstaltungen wie Erprobungsfahrten – und das Modul Verfügbarkeit reicht von „Standard“ bis „sehr hohe Verfügbarkeit“^[2]. Für einen Automobilzulieferer bedeutet das: Welches Label Sie überhaupt benötigen, bestimmt nicht Ihr eigenes Sicherheitsniveau, sondern die Art der Daten, die Ihr OEM-Kunde mit Ihnen teilt.

Wie streng geprüft wird, hängt vom Assessment Level ab. AL1 ist eine reine Selbstauskunft ohne externe Prüfung und erzeugt kein Label im ENX-Portal – kein OEM akzeptiert AL1 als Nachweis. AL2, der De-facto-Standard für rund zwei Drittel aller aktiven TISAX-Labels, läuft remote: Der Prüfer sichtet Dokumente und führt Interviews per Video oder Telefon. AL3 verlangt einen vollständigen Vor-Ort-Termin mit unangekündigten Mitarbeitergesprächen^[2]. Über allem liegt ein Reifegradmodell von „nicht vorhanden“ bis „optimiert“ – die meisten OEM-Verträge verlangen für die relevanten Kontrollen mindestens Reifegrad 3 („etabliert“)^[2]. Ein bestandenes Assessment erzeugt ein TISAX-Label im ENX-Portal, das der Zulieferer gezielt mit einzelnen Geschäftspartnern teilt – nicht öffentlich, sondern über ein kontrolliertes Freigabesystem^[1].

NIS2 für Automobilzulieferer: Warum der freiwillige Standard nicht mehr reicht

NIS2 (Richtlinie 2022/2555/EU) ist EU-Recht, in Deutschland umgesetzt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), in Kraft seit 6. Dezember 2025. Anders als TISAX verlangt niemand Ihre Zustimmung: Wer die Sektor- und Größenkriterien erfüllt, unterliegt der Pflicht kraft Gesetzes – unabhängig davon, ob ein OEM-Kunde ein TISAX-Label verlangt oder nicht.

Automobilzulieferer sind für Angreifer ein besonders lohnendes Ziel, weil viele Werke nach dem Just-in-Time-Prinzip produzieren: Ein IT-Ausfall bei einem einzelnen Tier-1-Lieferanten kann innerhalb weniger Stunden die Produktion mehrerer OEM-Werke zum Stillstand bringen, weil kaum Lagerbestände puffern. Das erklärt, warum NIS2 gerade beim verarbeitenden Gewerbe ansetzt – nicht weil einzelne Zulieferer besonders große Datenmengen verarbeiten, sondern weil ihr Ausfall überproportionale Kettenwirkungen entlang der gesamten Lieferkette auslöst.

Automobilzulieferer als „Hersteller“ nach Anhang II NIS2UmsuCG

Die Automobilbranche fällt unter Anhang II („Verarbeitendes Gewerbe/Herstellung“) der NIS2-Richtlinie, konkret unter die Herstellung von Kraftwagen, Anhängern und Sattelanhängern (NACE C29) sowie die Herstellung sonstiger Fahrzeuge (NACE C30)^[5][6]. Das betrifft nicht nur die OEMs selbst, sondern jeden Zulieferer, der Kraftwagenteile und -zubehör fertigt (NACE C29.3) – vom Tier-1-Systemlieferanten bis zum Tier-3-Komponentenhersteller.

Anhang-II-Sektoren führen standardmäßig zur Einstufung als wichtige Einrichtung nach §28 Abs. 2 BSIG, sofern die Größenschwelle erreicht wird: ≥50 Mitarbeitende oder ein Jahresumsatz über 10 Millionen Euro und eine Bilanzsumme über 10 Millionen Euro^[6]. Praktisch heißt das: Ein mittelständischer Zulieferer mit 80 Beschäftigten, der ausschließlich für VW oder BMW produziert und bereits ein TISAX-Label besitzt, ist damit noch nicht automatisch NIS2-konform – er muss zusätzlich prüfen, ob er die BSIG-Schwelle erreicht, und wenn ja, sich eigenständig beim BSI registrieren und die zehn Maßnahmen aus Artikel 21 NIS2 nachweisen. Weiterführende Details zur OT-spezifischen Umsetzung – etwa Netzwerksegmentierung in der Fertigung – finden Sie im Leitfaden zu NIS2 im Maschinenbau, der viele der gleichen Produktionsrisiken behandelt wie die Automobilzulieferindustrie.

Diese Unterscheidung betrifft unterschiedliche Rollen im Unternehmen unterschiedlich stark. Für den Compliance-Beauftragten bedeutet sie zwei getrennte Nachweisakten mit unterschiedlichen Fristen und Ansprechpartnern – das ENX-Portal auf der einen, das BSI-Registrierungsportal auf der anderen Seite. Für den CISO oder die IT-Sicherheitsleitung liegt die Arbeit vor allem in der technischen Kontroll-Zuordnung: Welche VDA-ISA-Nachweise lassen sich für die Art.-21-Dokumentation weiterverwenden, und wo entsteht echter Zusatzaufwand? Für die Geschäftsführung zählt vor allem ein Punkt: TISAX-Konformität schützt nicht vor der persönlichen Haftung nach §38 BSIG – die formale Billigung der NIS2-Maßnahmen ist eine eigene Pflicht, die kein TISAX-Zertifikat abnimmt.

NIS2 vs. TISAX: Die wesentlichen Unterschiede im Überblick

Merkmal	TISAX	NIS2 (NIS2UmsuCG)
Rechtsnatur	Privatwirtschaftliches Prüfverfahren, freiwillig	EU-Richtlinie, in Deutschland gesetzlich bindend
Auslöser der Pflicht	Vertragliche Forderung eines OEM oder Geschäftspartners	Sektorzugehörigkeit (Anhang I/II) + Größenschwelle
Zuständige Stelle	ENX Association (Governance), akkreditierte Prüfdienstleister	BSI (Bundesamt für Sicherheit in der Informationstechnik)
Prüfrhythmus	Je nach Label meist alle 2–3 Jahre, vertraglich vereinbart	Laufende Aufsicht; bei wichtigen Einrichtungen reaktiv (§33 BSIG)
Meldepflicht bei Vorfällen	Keine gesetzliche Meldepflicht – nur vertragliche Informationspflicht ggü. OEM, falls vereinbart	24 Stunden (Erstmeldung), 72 Stunden (Bericht), 1 Monat (Abschlussbericht)
Persönliche Haftung	Keine – Geschäftsleitung haftet nicht persönlich für ein verweigertes Label	§38 BSIG: Geschäftsleitung haftet persönlich bei unterlassener Überwachung der Maßnahmen
Sanktion bei Nichterfüllung	Verlust des Auftrags/der Geschäftsbeziehung zum OEM	Bußgeld bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes (wichtige Einrichtung)
Nachweisform	TISAX-Label im ENX-Portal, selektiv geteilt	Registrierung im BSI-Portal + prüffähige Dokumentation nach §30 BSIG

Vom VDA-ISA-Kontrollkatalog zu Artikel 21: Das Mapping

Es existiert keine offizielle Zuordnungstabelle zwischen VDA ISA und NIS2 – beide Kataloge sind unabhängig voneinander entstanden. Die folgende Übersicht ordnet die zehn NIS2-Maßnahmen nach Artikel 21 Absatz 2 den inhaltlich naheliegendsten VDA-ISA-Themenbereichen zu. Sie ist eine praktische Arbeitshilfe für die Gap-Analyse, kein rechtlich verbindliches Äquivalenzverzeichnis: Ein hoher Reifegrad in einer VDA-ISA-Kontrolle kann als Ausgangspunkt für die entsprechende NIS2-Dokumentation dienen, ersetzt die eigenständige Nachweisführung nach §30 BSIG aber nicht.

NIS2 Art. 21(2)	Maßnahme	Verwandter VDA-ISA-Bereich
(a)	Risikoanalyse und Informationssicherheitspolitik	Informationssicherheitsmanagement, Richtlinien & Organisation (Basismodul)
(b)	Behandlung von Sicherheitsvorfällen	Vorfallmanagement im Basismodul – keine externe Meldefrist vorgesehen
(c)	Business Continuity und Krisenmanagement	Modul Verfügbarkeit (Notfallmanagement, Ausfallsicherheit)
(d)	Sicherheit der Lieferkette	Anbindung Dritter / Lieferantenmanagement (heute Teil des Basismoduls)
(e)	Sicherheit bei Erwerb, Entwicklung und Wartung	Prototypenschutz-Modul, sofern Entwicklungsdaten betroffen sind
(f)	Bewertung der Wirksamkeit von Maßnahmen	Reifegradbewertung im Assessment selbst (AL2/AL3-Audit)
(g)	Grundlegende Cybersicherheitspraktiken und Schulungen	Personal & Awareness im Basismodul
(h)	Kryptografie und Verschlüsselung	Kryptografie-Anforderungen im Basismodul
(i)	Personalsicherheit, Zugriffskontrolle und Asset-Management	Zutritts-/Zugriffskontrolle im Basismodul; Prototypenschutz für physische Werksicherheit
(j)	Multi-Faktor-Authentifizierung und sichere Kommunikation	IT-Sicherheitsanforderungen im Basismodul

Der größte Deckungsbereich liegt bei (a), (g), (h) und (i) – klassische ISMS-Bausteine, die VDA ISA seit Jahren prüft. Deutlich dünner wird es bei (b) und (f): TISAX bewertet, ob ein Vorfallprozess existiert und wie reif er ist, kennt aber keine gesetzliche Meldefrist und keine externe Wirksamkeitsprüfung durch eine Behörde. Für Unternehmen, die zusätzlich eine ISO-27001-Zertifizierung anstreben, lohnt sich ein Blick in den Vergleich NIS2 vs. ISO 27001 – die dortige Deckungslogik ähnelt strukturell dem VDA-ISA-Mapping, weil beide Standards auf denselben ISMS-Grundprinzipien aufbauen.

Für die Praxis lohnt sich eine grobe Aufwandseinschätzung je Lücke. Ein Meldeprozess mit 24-/72-Stunden-Fristen (b) lässt sich meist mit geringem Aufwand ergänzen, wenn bereits ein TISAX-Vorfallprozess existiert – es fehlt in der Regel nur die BSI-spezifische Eskalationsstufe. Die Wirksamkeitsbewertung (f) verursacht mittleren Aufwand, weil sie eine wiederkehrende, eigenständig dokumentierte Prüfung verlangt, die über das reguläre TISAX-Rezertifizierungsintervall hinausgeht. Den höchsten Aufwand erzeugt in der Praxis meist nicht eine einzelne Maßnahme, sondern die Zusammenführung: eine einzige, in sich konsistente Nachweiskette aufzubauen, die sowohl dem ENX-Auditor als auch dem BSI-Prüfer genügt, ohne zwei parallele, sich widersprechende Dokumentationssysteme zu pflegen.

Die Lücke: Meldepflichten, Geschäftsleiterhaftung und Bußgelder, die TISAX nicht kennt

Drei Pflichten aus NIS2 haben in VDA ISA keine Entsprechung, weil TISAX als privatwirtschaftliches Verfahren keine hoheitlichen Befugnisse hat und keine gesetzliche Sanktion aussprechen kann.

Meldepflichten mit festen Fristen. NIS2 verlangt bei erheblichen Sicherheitsvorfällen eine Frühwarnung binnen 24 Stunden, einen ausführlichen Bericht binnen 72 Stunden und einen Abschlussbericht spätestens nach einem Monat – jeweils an das BSI. TISAX kennt kein Äquivalent: Ob und wie schnell ein Zulieferer einen Vorfall an den OEM meldet, regelt allein der zwischen beiden Parteien geschlossene Vertrag, nicht der VDA-ISA-Katalog selbst.

Persönliche Haftung der Geschäftsleitung. §38 BSIG verpflichtet Geschäftsführer und Vorstände dazu, die Umsetzung der Sicherheitsmaßnahmen persönlich zu billigen und zu überwachen. Eine unterlassene Aufsicht kann zur persönlichen Haftung führen – eine D&O-Versicherung deckt vorsätzliches oder grob fahrlässiges Unterlassen in der Regel nicht ab. Ein TISAX-Assessment prüft die Informationssicherheitsorganisation, nicht die persönliche Verantwortung einzelner Organmitglieder.

Registrierung und Bußgelder. NIS2-pflichtige Unternehmen müssen sich eigenständig im BSI-Registrierungsportal anmelden; das Versäumnis ist ein separater Bußgeldtatbestand. Bei Verstößen gegen die Risikomanagementmaßnahmen selbst drohen wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. TISAX kennt keine Bußgelder in diesem Sinne; die schärfste Konsequenz eines nicht bestandenen Assessments ist der Verlust der Geschäftsbeziehung zum OEM. Das ist wirtschaftlich schmerzhaft, aber kein behördliches Verfahren.

Umgekehrt gilt: TISAX deckt Themen ab, die NIS2 nur am Rande berührt – etwa den physischen Schutz von Prototypen vor Spionage und vorzeitiger Veröffentlichung, ein für die Automobilentwicklung zentrales Risiko, das im NIS2-Kontext keine eigene Kategorie hat.

Praktischer Fahrplan für Automobilzulieferer: TISAX als Fundament nutzen

Ein bestehendes TISAX-Assessment ist kein Ersatz für NIS2-Compliance, aber ein nützlicher Ausgangspunkt – die meisten der dort dokumentierten Kontrollen lassen sich weiterverwenden, wenn Sie sie gezielt ergänzen:

1. Betroffenheit klären (Aufwand: niedrig): Prüfen Sie, ob Ihr Unternehmen die BSIG-Schwelle (≥50 Mitarbeitende oder >10 Mio. € Umsatz und Bilanzsumme) erreicht. TISAX-Pflicht durch einen OEM bedeutet nicht automatisch NIS2-Pflicht, deutet aber häufig auf eine vergleichbare Unternehmensgröße hin – meist reicht ein Abgleich der letzten Bilanz mit der Mitarbeiterzahl.
2. BSI-Registrierung nachholen (Aufwand: niedrig): Ist die Schwelle erreicht, ist die Registrierung im BSI-Portal eigenständig erforderlich – TISAX-Teilnahme wird dort nicht automatisch erfasst und muss separat angelegt werden.
3. Bestehende VDA-ISA-Dokumentation als Rohmaterial nutzen (Aufwand: mittel): Risikoanalysen, Richtlinien und Schulungsnachweise aus dem TISAX-Assessment lassen sich in die §30-BSIG-Dokumentation überführen, müssen aber um Meldeprozesse und Wirksamkeitsnachweise ergänzt werden, die im VDA-ISA-Katalog fehlen.
4. Meldeprozess für 24/72 Stunden aufbauen (Aufwand: mittel): Definieren Sie, wer im Ernstfall innerhalb von 24 Stunden an das BSI meldet – TISAX-Vorfallprozesse sind darauf in der Regel nicht ausgelegt und enden meist an der Meldung an den OEM, nicht an eine Behörde.
5. Geschäftsleitung einbinden (Aufwand: niedrig, aber nicht delegierbar): Lassen Sie sich die NIS2-Maßnahmen von der Geschäftsführung formal billigen und dokumentieren Sie diese Billigung gesondert von der TISAX-Freigabe – §38 BSIG verlangt diesen Schritt persönlich, nicht als Unterschrift der IT-Abteilung im Namen der Geschäftsleitung.

Häufige Fragen zu NIS2 und TISAX

Ersetzt ein TISAX-Label die NIS2-Registrierung beim BSI?
Nein. TISAX ist eine vertragliche Vereinbarung zwischen Ihnen und Ihrem OEM-Kunden, die BSI-Registrierung eine eigenständige gesetzliche Pflicht. Beide laufen unabhängig voneinander; ein Label ersetzt keinen der beiden Meldewege.

Muss jeder Automobilzulieferer sowohl TISAX als auch NIS2 erfüllen?
Nicht zwangsläufig beides gleichzeitig. TISAX ist nur relevant, wenn ein Geschäftspartner es vertraglich verlangt. NIS2 greift unabhängig davon, sobald Sektor- und Größenkriterien erfüllt sind. In der Praxis überschneiden sich beide Gruppen bei mittelständischen und großen Zulieferern jedoch stark.

Zählt ein bestandenes AL3-Assessment als Nachweis für die NIS2-Wirksamkeitsprüfung?
Ein AL3-Audit kann als unterstützendes Indiz für ein funktionierendes ISMS dienen, ersetzt aber nicht die eigenständige Dokumentation nach §30 BSIG. Der BSI-Prüfer verlangt eine auf die NIS2-Maßnahmen zugeschnittene Nachweiskette, keine TISAX-Berichte als Ersatzdokument.

Gilt für kleinere Zulieferer unterhalb der NIS2-Schwelle trotzdem eine Pflicht?
Direkt nicht, sofern die Größenkriterien nicht erreicht werden. Indirekt kann aber §30 Abs. 2 Nr. 4 BSIG (Lieferkettensicherheit) dazu führen, dass ein NIS2-pflichtiger OEM oder Tier-1-Lieferant Sicherheitsanforderungen vertraglich an kleinere Zulieferer weitergibt – häufig in Form eines TISAX-Labels als Mindestvoraussetzung.

Was passiert, wenn wir TISAX-konform sind, aber die NIS2-Meldefrist verpassen?
Ein TISAX-Label schützt nicht vor NIS2-Sanktionen. Die Fristen nach Artikel 23 NIS2 gelten unabhängig vom Stand des TISAX-Assessments; eine verpasste 24-Stunden-Meldung ist ein eigenständiger Compliance-Verstoß gegenüber dem BSI.

Können wir TISAX- und NIS2-Dokumentation in einem gemeinsamen ISMS verwalten?
Ja, das ist in der Praxis der übliche Weg. Ein gemeinsames Informationssicherheits-Managementsystem kann beide Nachweisketten bedienen, solange es die NIS2-spezifischen Elemente – Meldeprozess, Wirksamkeitsprüfung, Vorstandsbilligung – als eigenständige, klar abgegrenzte Bausteine enthält und nicht nur implizit im TISAX-Reifegrad mitläuft.

Quellen

• ENX Association: Frequently Asked Questions zu TISAX – ENX Association
• DataGuard: Assessment Level nach TISAX – DataGuard GmbH
• NIS 2 Directive, Article 3: Essential and important entities – nis-2-directive.com
• OpenKRITIS: Sektor Verarbeitendes Gewerbe/Industrie/Produktion – OpenKRITIS
• NIS2-Richtlinie 2022/2555/EU – Amtsblatt der EU
• BSIG (BSI-Gesetz nach NIS2UmsuCG) – Bundesministerium der Justiz

Hinweis: Die Inhalte dieser Seite dienen ausschließlich der allgemeinen Information. Sie stellen keine Rechts-, Steuer- oder Fachberatung dar und ersetzen diese nicht. Für die Anwendung auf Ihren konkreten Fall konsultieren Sie bitte einen qualifizierten Berater.