NIS2 vs. TISAX: Was die Automobilbranche beachten muss

Angenommen, Ihr Werk hat ein TISAX-Label. Trotzdem stellen sich unter NIS2 eigene Fragen: Gibt es eine dokumentierte Risikomanagement-Umsetzung nach §30 BSIG, einen Meldeprozess mit 24-Stunden-Frist und eine Geschäftsleitung, die die Umsetzung überwacht? Genau an diesem Punkt verwechseln viele Automobilzulieferer zwei Dinge, die auf ganz unterschiedlichen Grundlagen beruhen: TISAX ist ein Branchenverfahren, dessen Nachweis in der Regel ein OEM-Kunde vertraglich verlangt. NIS2 ist – in Deutschland über das BSI-Gesetz (BSIG) – eine gesetzliche Pflicht gegenüber dem Staat.

Beide betreffen Informationssicherheit, beide arbeiten mit Reifegraden und Kontrollkatalogen – aber sie lösen unterschiedliche Probleme für unterschiedliche Adressaten. Dieser Leitfaden zeigt, wo sich VDA-ISA-Kontrollen und die zehn Maßnahmen aus Artikel 21 NIS2 überschneiden, wo TISAX für Automobilzulieferer allein nicht ausreicht und was Unternehmen der Anlage 2 BSIG zusätzlich umsetzen und dokumentieren müssen.

Was ist TISAX? Der freiwillige Prüfstandard der Automobilbranche

TISAX (Trusted Information Security Assessment Exchange) ist kein Gesetz, sondern ein privatwirtschaftliches Prüf- und Austauschverfahren der Automobilindustrie; die ersten Teilnehmer registrierten sich laut ENX im Juni 2016. Die ENX Association fungiert als Governance-Stelle: Sie lässt die Prüfdienstleister zu und überwacht die Qualität der Umsetzung und der Assessment-Ergebnisse^[1]. Grundlage jedes TISAX-Assessments ist der Anforderungskatalog VDA ISA (Information Security Assessment). Er wird seit 2019 von der ENX-Arbeitsgruppe ISA gepflegt und vom VDA veröffentlicht^[2].

Der Katalog gliedert sich in drei Teile: den Katalog Informationssicherheit – Grundlage jedes Assessments – sowie die Kataloge Prototypenschutz (für Prototypenteile, Prototypenfahrzeuge, Testfahrzeuge und Veranstaltungen mit Prototypen) und Datenschutz (bei Auftragsverarbeitung nach Art. 28 DSGVO)^[3][4]. Ein eigenes Modul „Verfügbarkeit“ gibt es nicht: Erhöhte Verfügbarkeitsanforderungen werden über die Prüfziele „High Availability“ und „Very High Availability“ innerhalb des Katalogs Informationssicherheit abgebildet, deren Zusatzanforderungen mit dem Schutzziel „A“ gekennzeichnet sind^[3]. Anforderungen an Auftragnehmer, Kooperationspartner und externe IT-Dienstleister stehen im Kapitel „Lieferantenbeziehungen“ desselben Katalogs, nicht in einem separaten Label^[4]. Zum Versionsstand: VDA ISA 6 erschien im Oktober 2023 und gilt für Assessments, die ab dem 1. April 2024 beauftragt wurden. Im Juli 2026 hat der VDA die Nachfolgeversion ISA2027 veröffentlicht; sie gilt grundsätzlich für Assessments, die ab dem 1. Januar 2027 beauftragt werden, und künftig soll jährlich eine neue Version erscheinen^[2].

Aus den gewählten Prüfzielen (Assessment Objectives) leiten sich die TISAX-Labels ab; ENX nennt derzeit zehn Prüfziele^[1]: „Confidential“ und „Strictly Confidential“ für Informationen mit hohem bzw. sehr hohem Schutzbedarf hinsichtlich Vertraulichkeit, „High Availability“ und „Very High Availability“ für die Verfügbarkeit, „Proto Parts“, „Proto Vehicles“, „Test Vehicles“ und „Proto Events“ für den Prototypenschutz sowie „Data“ und „Special Data“ für den Datenschutz^[3]. Für einen Automobilzulieferer bedeutet das: Welches Label benötigt wird, bestimmt nicht das eigene Sicherheitsniveau, sondern die Art der Daten, die der OEM-Kunde mit dem Unternehmen teilt.

Wie streng geprüft wird, hängt vom Assessment Level ab, das jedem Prüfziel fest zugeordnet ist. AL1 ist eine Selbsteinschätzung, deren Inhalt nicht geprüft wird; Ergebnisse auf AL1 werden in TISAX nicht verwendet. Bei AL2 prüft der Prüfdienstleister die Selbsteinschätzung auf Plausibilität, sichtet Nachweise und führt ein Interview mit der für Informationssicherheit gesamtverantwortlichen Person, in der Regel per Webkonferenz. AL3 ist eine umfassende Prüfung, grundsätzlich vor Ort an allen Standorten, einschließlich ungeplanter Interviews mit Prozessbeteiligten^[3]. Die Umsetzung jeder Kontrollfrage wird zudem in einem Reifegradmodell mit sechs Stufen von 0 („unvollständig“) bis 5 („optimierend“) bewertet; Zielreifegrad für ein erfolgreiches TISAX-Assessment ist Stufe 3 („etabliert“)^[3]. Ein bestandenes Assessment führt zu TISAX-Labels, die drei Jahre gültig sind^[2] und die der Teilnehmer über das ENX-Portal gezielt mit einzelnen Geschäftspartnern teilt – nicht öffentlich, sondern über ein kontrolliertes Freigabesystem^[1].

NIS2 für Automobilzulieferer: Warum der freiwillige Standard nicht mehr reicht

NIS2 (Richtlinie (EU) 2022/2555) ist EU-Recht, in Deutschland umgesetzt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das das BSI-Gesetz neu gefasst hat und seit 6. Dezember 2025 in Kraft ist. Anders als bei TISAX kommt es nicht auf eine vertragliche Forderung an: Wer die Sektor- und Größenkriterien erfüllt, unterliegt den Pflichten kraft Gesetzes – unabhängig davon, ob ein OEM-Kunde ein TISAX-Label verlangt oder nicht.

Automobilzulieferer sind für Angreifer ein besonders lohnendes Ziel, weil viele Werke nach dem Just-in-Time-Prinzip produzieren: Ein IT-Ausfall bei einem einzelnen Tier-1-Lieferanten kann innerhalb weniger Stunden die Produktion mehrerer OEM-Werke zum Stillstand bringen, weil kaum Lagerbestände puffern. Das macht verständlich, warum NIS2 auch Teile des verarbeitenden Gewerbes erfasst – nicht weil einzelne Zulieferer besonders große Datenmengen verarbeiten, sondern weil ihr Ausfall überproportionale Kettenwirkungen entlang der gesamten Lieferkette auslösen kann.

Automobilzulieferer als „Hersteller“ nach Anlage 2 BSIG

Die Automobilbranche fällt unter Anhang II der NIS2-Richtlinie bzw. Anlage 2 BSIG („Verarbeitendes Gewerbe/Herstellung von Waren“), konkret unter die Herstellung von Kraftwagen und Kraftwagenteilen (NACE C29) sowie den sonstigen Fahrzeugbau (NACE C30)^[5][6]. Erfasst sind damit nicht nur die OEMs selbst, sondern grundsätzlich auch Zulieferer, deren Tätigkeit in die NACE-Abteilung 29 fällt – etwa die Herstellung von Teilen und Zubehör für Kraftwagen (NACE 29.3), vom Tier-1-Systemlieferanten bis zum Tier-3-Komponentenhersteller. Zulieferer, die statistisch einer anderen Abteilung zugeordnet sind (etwa Kunststoff- oder Metallwaren), fallen nicht über diese Branche, sondern allenfalls über andere Einträge der Anlagen, beispielsweise Datenverarbeitungsgeräte und elektronische Erzeugnisse (C26), elektrische Ausrüstungen (C27) oder Maschinenbau (C28)^[6].

Für Unternehmen der Anlage 2 ist die Einstufung eindeutig: Sie gelten nach §28 Abs. 2 BSIG als wichtige Einrichtung, wenn sie mindestens 50 Mitarbeitende beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen^[6]. Die Einstufung als besonders wichtige Einrichtung nach §28 Abs. 1 Nr. 4 BSIG ist nur für Einrichtungsarten der Anlage 1 vorgesehen – ein Fahrzeughersteller oder Kfz-Teilezulieferer ist allein aufgrund dieser Tätigkeit daher auch als Großunternehmen „nur“ wichtige Einrichtung, sofern er nicht zusätzlich eine kritische Anlage betreibt oder mit weiteren Tätigkeiten unter Anlage 1 fällt^[6]. Bei der Größenbestimmung sind Partner- und verbundene Unternehmen grundsätzlich mitzuzählen (§28 Abs. 4 BSIG). Praktisch heißt das: Ein mittelständischer Zulieferer mit 80 Beschäftigten, der ausschließlich für VW oder BMW produziert und bereits ein TISAX-Label besitzt, ist damit noch nicht automatisch NIS2-konform – fällt seine Tätigkeit unter NACE C29, muss er sich eigenständig beim BSI registrieren und die zehn Maßnahmen aus Artikel 21 NIS2 (in Deutschland §30 BSIG) umsetzen und dokumentieren. Weiterführende Details zur OT-spezifischen Umsetzung – etwa Netzwerksegmentierung in der Fertigung – finden Sie im Leitfaden zu NIS2 im Maschinenbau, der viele der gleichen Produktionsrisiken behandelt wie die Automobilzulieferindustrie.

Diese Unterscheidung betrifft unterschiedliche Rollen im Unternehmen unterschiedlich stark. Für den Compliance-Beauftragten bedeutet sie zwei getrennte Nachweisakten mit unterschiedlichen Fristen und Ansprechpartnern – das ENX-Portal auf der einen, das BSI-Portal auf der anderen Seite. Für den CISO oder die IT-Sicherheitsleitung liegt die Arbeit vor allem in der technischen Kontroll-Zuordnung: Welche VDA-ISA-Nachweise lassen sich für die §30-BSIG-Dokumentation weiterverwenden, und wo entsteht echter Zusatzaufwand? Für die Geschäftsführung zählt vor allem ein Punkt: Ein TISAX-Label nimmt ihr die Pflichten nach §38 BSIG nicht ab – die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; verletzt sie diese Pflichten, haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln.

NIS2 vs. TISAX: Die wesentlichen Unterschiede im Überblick

Merkmal	TISAX	NIS2 (BSIG i. d. F. des NIS2UmsuCG)
Rechtsnatur	Privatwirtschaftliches Prüfverfahren, freiwillig	EU-Richtlinie, in Deutschland durch das BSIG gesetzlich bindend umgesetzt
Auslöser der Pflicht	Vertragliche Forderung eines OEM oder Geschäftspartners	Zuordnung zu einer Einrichtungsart (Anlage 1/2 BSIG) + Größenschwelle
Zuständige Stelle	ENX Association (Governance), zugelassene Prüfdienstleister	BSI (Bundesamt für Sicherheit in der Informationstechnik)
Prüfrhythmus	Labels drei Jahre gültig, danach erneutes Assessment	Für wichtige Einrichtungen keine turnusmäßige Prüfung; anlassbezogene Aufsicht durch das BSI (§62 BSIG)
Meldepflicht bei Vorfällen	Keine gesetzliche Meldepflicht – nur vertragliche Informationspflicht ggü. OEM, falls vereinbart	Bei erheblichen Vorfällen: 24 Stunden (frühe Erstmeldung), 72 Stunden (Meldung), 1 Monat nach der Meldung (Abschlussmeldung)
Pflichten der Geschäftsleitung	Keine TISAX-spezifische Haftungsregel	§38 BSIG: Umsetzung und Überwachung der Maßnahmen, regelmäßige Schulungen; bei Pflichtverletzung Haftung gegenüber der Einrichtung nach Gesellschaftsrecht
Sanktion bei Nichterfüllung	Verlust des Auftrags/der Geschäftsbeziehung zum OEM	Bußgeld bis zu 7 Mio. € (wichtige Einrichtung); bei über 500 Mio. € Gesamtumsatz bis zu 1,4 % des weltweiten Gesamtumsatzes
Nachweisform	TISAX-Label im ENX-Portal, selektiv geteilt	Registrierung im BSI-Portal + Dokumentation der Maßnahmen nach §30 Abs. 1 BSIG

Vom VDA-ISA-Kontrollkatalog zu Artikel 21: Das Mapping

Eine Anerkennung von TISAX-Labels als Nachweis gegenüber dem BSI sieht das BSIG nicht vor – beide Regelwerke sind unabhängig voneinander entstanden. Die ENX Association hat im April 2025 zwar ein Gutachten ihrer Arbeitsgruppe ISA („NIS2 fulfilment through TISAX“) veröffentlicht, das die ISA6-Kontrollfragen den NIS2-Artikeln zuordnet und TISAX eine weitgehende Abdeckung bescheinigt^[3]. Das ist allerdings die Einschätzung des Standardgebers selbst, keine behördliche Anerkennung; nationale Meldepflichten gegenüber Behörden sind nach Angaben von ENX nicht Teil des TISAX-Standards und gesondert zu adressieren^[7]. Wie weit der Katalog gegen das BSIG trägt, zeigt unser Abgleich VDA ISA und TISAX: Deckt der Fragenkatalog NIS2 ab?. Die folgende Übersicht ordnet die zehn NIS2-Maßnahmen nach Artikel 21 Absatz 2 den inhaltlich naheliegendsten Kapiteln des VDA-ISA-Katalogs zu (Kapitelnummern nach ISA2027^[4]). Sie ist eine praktische Arbeitshilfe für die Gap-Analyse, kein rechtlich verbindliches Äquivalenzverzeichnis: Ein hoher Reifegrad in einer VDA-ISA-Kontrolle kann als Ausgangspunkt für die entsprechende NIS2-Dokumentation dienen, ersetzt die eigenständige Dokumentation nach §30 BSIG aber nicht.

NIS2 Art. 21(2)	Maßnahme	Verwandter VDA-ISA-Bereich
(a)	Risikoanalyse und Informationssicherheitspolitik	Richtlinien, Organisation und IS-Risikomanagement (Kap. 1.1, 1.2, 1.4)
(b)	Behandlung von Sicherheitsvorfällen	Melden und Bearbeiten von Sicherheitsereignissen (Kap. 1.6.1, 1.6.2) – keine gesetzlichen Meldefristen vorgegeben
(c)	Business Continuity und Krisenmanagement	Krisenmanagement (1.6.3), Kontinuitätsplanung für IT-Dienste (5.2.8), Backup und Wiederherstellung (5.2.9); Zusatzanforderungen „Availability“
(d)	Sicherheit der Lieferkette	Lieferantenbeziehungen (Kap. 6)
(e)	Sicherheit bei Erwerb, Entwicklung und Wartung	Änderungs- und Schwachstellenmanagement (5.2.1, 5.2.5), Systembeschaffung und -entwicklung (Kap. 5.3)
(f)	Bewertung der Wirksamkeit von Maßnahmen	Compliance-Prüfungen und unabhängige ISMS-Überprüfung (Kap. 1.5); Reifegradbewertung im Assessment selbst
(g)	Grundlegende Cybersicherheitspraktiken und Schulungen	Sensibilisierung und Schulung der Mitarbeitenden (2.1.3)
(h)	Kryptografie und Verschlüsselung	Kryptografie (Kap. 5.1)
(i)	Personalsicherheit, Zugriffskontrolle und Asset-Management	Personal (Kap. 2), Asset-Management (1.3), Identitäts- und Zugriffsmanagement (Kap. 4); physische Sicherheit (Kap. 3)
(j)	Multi-Faktor-Authentifizierung und sichere Kommunikation	Identitäts- und Zugriffsmanagement (Kap. 4), Schutz von Informationen bei der Übertragung (5.1.2)

Der größte Deckungsbereich liegt bei (a), (g), (h) und (i) – klassische ISMS-Bausteine, die VDA ISA seit Jahren prüft. Dünner wird es bei (b) und (f): VDA ISA bewertet, ob ein Vorfallprozess existiert und wie reif er ist, und verlangt bei hohem Schutzbedarf, dass gesetzliche Meldepflichten bekannt sind – gibt aber selbst keine Meldefristen vor, und eine behördliche Wirksamkeitsprüfung findet im TISAX-Verfahren nicht statt. Für Unternehmen, die zusätzlich eine ISO-27001-Zertifizierung anstreben, lohnt sich ein Blick in den Vergleich NIS2 vs. ISO 27001 – die dortige Deckungslogik ähnelt strukturell dem VDA-ISA-Mapping, weil beide Standards auf denselben ISMS-Grundprinzipien aufbauen.

Für die Praxis lohnt sich eine grobe Aufwandseinschätzung je Lücke. Ein Meldeprozess mit 24-/72-Stunden-Fristen (b) lässt sich meist mit geringem Aufwand ergänzen, wenn bereits ein TISAX-Vorfallprozess existiert – es fehlt in der Regel vor allem die BSI-spezifische Eskalationsstufe. Die Wirksamkeitsbewertung (f) verursacht mittleren Aufwand, weil §30 Abs. 2 Nr. 6 BSIG eigene Konzepte und Verfahren zur Bewertung der Wirksamkeit verlangt, die zwischen den TISAX-Assessments laufend dokumentiert werden sollten. Den höchsten Aufwand erzeugt in der Praxis meist nicht eine einzelne Maßnahme, sondern die Zusammenführung: eine einzige, in sich konsistente Nachweiskette aufzubauen, die sowohl dem TISAX-Prüfdienstleister als auch einer möglichen BSI-Prüfung genügt, ohne zwei parallele, sich widersprechende Dokumentationssysteme zu pflegen.

Die Lücke: Meldepflichten, Geschäftsleiterhaftung und Bußgelder, die TISAX nicht kennt

Drei Pflichten aus NIS2 haben in VDA ISA keine direkte Entsprechung, weil TISAX als privatwirtschaftliches Verfahren keine hoheitlichen Befugnisse hat und keine gesetzliche Sanktion aussprechen kann.

Meldepflichten mit festen Fristen. §32 BSIG verlangt bei erheblichen Sicherheitsvorfällen eine frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung, eine Meldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung – jeweils an die gemeinsame Meldestelle von BSI und BBK^[6]. VDA ISA verlangt bei hohem Schutzbedarf zwar, dass gesetzliche, regulatorische und vertragliche Meldepflichten samt Kontaktdaten bekannt sind^[4], gibt aber selbst keine Fristen vor. Ob und wie schnell ein Zulieferer einen Vorfall an den OEM meldet, regelt der zwischen beiden Parteien geschlossene Vertrag.

Pflichten und Haftung der Geschäftsleitung. §38 BSIG verpflichtet Geschäftsleitungen wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach §30 umzusetzen und ihre Umsetzung zu überwachen, und verlangt die regelmäßige Teilnahme an Schulungen. Wer die Umsetzungs- und Überwachungspflicht verletzt, haftet der Einrichtung für einen schuldhaft verursachten Schaden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform (§38 Abs. 2 BSIG)^[6]. Ein TISAX-Assessment prüft die Informationssicherheitsorganisation, nicht die Erfüllung dieser organschaftlichen Pflichten.

Registrierung und Bußgelder. NIS2-pflichtige Einrichtungen müssen sich eigenständig beim BSI registrieren (§33 BSIG); die gesetzliche Frist endete am 6. März 2026. Eine unterlassene oder fehlerhafte Registrierung kann mit einem Bußgeld bis zu 500.000 Euro geahndet werden. Bei Verstößen gegen die Risikomanagement- oder Meldepflichten sieht §65 BSIG für wichtige Einrichtungen Geldbußen bis zu 7 Millionen Euro vor; nur bei einem Gesamtumsatz von mehr als 500 Millionen Euro kann die Obergrenze stattdessen bis zu 1,4 % des weltweiten Gesamtumsatzes betragen (§65 Abs. 5 und 7 BSIG)^[6]. TISAX kennt keine Bußgelder in diesem Sinne; die schärfste Konsequenz eines nicht bestandenen Assessments ist der Verlust der Geschäftsbeziehung zum OEM. Das ist wirtschaftlich schmerzhaft, aber kein behördliches Verfahren.

Umgekehrt gilt: TISAX deckt Themen ab, die NIS2 nur am Rande berührt – etwa den physischen Schutz von Prototypen vor Spionage und vorzeitiger Veröffentlichung, ein für die Automobilentwicklung zentrales Risiko, das im NIS2-Kontext keine eigene Kategorie hat.

Praktischer Fahrplan für Automobilzulieferer: TISAX als Fundament nutzen

Ein bestehendes TISAX-Assessment ist kein Ersatz für NIS2-Compliance, aber ein nützlicher Ausgangspunkt – viele der dort dokumentierten Kontrollen lassen sich weiterverwenden, wenn sie gezielt ergänzt werden:

1. Betroffenheit klären (Aufwand: niedrig): Prüfen Sie, ob die Tätigkeit des Unternehmens unter NACE C29/C30 oder eine andere Einrichtungsart der Anlagen 1 und 2 BSIG fällt und ob die Schwelle (≥50 Mitarbeitende oder jeweils >10 Mio. € Umsatz und Bilanzsumme, unter Einbeziehung von Partner- und verbundenen Unternehmen) erreicht wird. TISAX-Pflicht durch einen OEM bedeutet nicht automatisch NIS2-Pflicht, deutet aber häufig auf eine vergleichbare Unternehmensgröße hin – meist reicht ein Abgleich der letzten Bilanz mit der Mitarbeiterzahl.
2. BSI-Registrierung nachholen (Aufwand: niedrig): Ist die Schwelle erreicht, ist eine eigene Registrierung beim BSI erforderlich; da die Frist am 6. März 2026 abgelaufen ist, sollte eine versäumte Registrierung unverzüglich erfolgen. Sie läuft über das BSI-Portal mit einem ELSTER-Organisationszertifikat („Mein Unternehmenskonto“); eine TISAX-Teilnahme wird dort nicht automatisch erfasst.
3. Bestehende VDA-ISA-Dokumentation als Rohmaterial nutzen (Aufwand: mittel): Risikoanalysen, Richtlinien und Schulungsnachweise aus dem TISAX-Assessment lassen sich in die §30-BSIG-Dokumentation überführen, müssen aber um Meldeprozesse und Wirksamkeitsnachweise ergänzt werden, die der VDA-ISA-Katalog nicht in dieser Form verlangt.
4. Meldeprozess für 24/72 Stunden aufbauen (Aufwand: mittel): Legen Sie fest, wer im Ernstfall innerhalb von 24 Stunden an die Meldestelle beim BSI meldet – TISAX-Vorfallprozesse sind darauf in der Regel nicht ausgelegt und enden meist an der Meldung an den OEM, nicht an eine Behörde.
5. Geschäftsleitung einbinden (Aufwand: niedrig, aber Chefsache): Die Geschäftsleitung muss die NIS2-Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§38 BSIG). Ein förmlicher Billigungsbeschluss ist gesetzlich nicht vorgeschrieben; ein dokumentierter Geschäftsleitungsbeschluss und regelmäßige Berichte an die Geschäftsleitung – getrennt von der TISAX-Freigabe – erleichtern aber den Nachweis, dass sie ihre Überwachungspflicht wahrgenommen hat.

Häufige Fragen zu NIS2 und TISAX

Ersetzt ein TISAX-Label die NIS2-Registrierung beim BSI?
Nein. TISAX beruht auf einer vertraglichen Anforderung des OEM-Kunden, die BSI-Registrierung ist eine eigenständige gesetzliche Pflicht nach §33 BSIG. Beide laufen unabhängig voneinander; ein TISAX-Label ersetzt die Registrierung nicht.

Muss jeder Automobilzulieferer sowohl TISAX als auch NIS2 erfüllen?
Nicht zwangsläufig beides gleichzeitig. TISAX ist nur relevant, wenn ein Geschäftspartner es vertraglich verlangt. NIS2 greift unabhängig davon, sobald Sektor- und Größenkriterien erfüllt sind. In der Praxis überschneiden sich beide Gruppen bei mittelständischen und großen Zulieferern jedoch stark.

Zählt ein bestandenes AL3-Assessment als Nachweis für die NIS2-Wirksamkeitsprüfung?
Ein AL3-Assessment kann als unterstützender Beleg für ein funktionierendes ISMS dienen, ersetzt aber nicht die eigene Dokumentation nach §30 Abs. 1 BSIG. Das BSIG sieht keine Anerkennung von TISAX-Labels als Ersatz vor; prüft das BSI eine wichtige Einrichtung anlassbezogen (§62 BSIG), sollte eine auf die zehn Maßnahmen zugeschnittene Nachweiskette vorliegen, in der TISAX-Berichte als Belege dienen können.

Gilt für kleinere Zulieferer unterhalb der NIS2-Schwelle trotzdem eine Pflicht?
Direkt nicht, sofern die Größenkriterien nicht erreicht werden. Indirekt kann aber §30 Abs. 2 Nr. 4 BSIG (Lieferkettensicherheit) dazu führen, dass ein NIS2-pflichtiger OEM oder Tier-1-Lieferant Sicherheitsanforderungen vertraglich an kleinere Zulieferer weitergibt – häufig in Form eines TISAX-Labels als Mindestvoraussetzung.

Was passiert, wenn wir TISAX-konform sind, aber die NIS2-Meldefrist verpassen?
Ein TISAX-Label schützt nicht vor NIS2-Sanktionen. Die Fristen nach §32 BSIG (Umsetzung von Artikel 23 NIS2) gelten unabhängig vom Stand des TISAX-Assessments; eine unterlassene oder verspätete Meldung kann als Ordnungswidrigkeit nach §65 Abs. 2 Nr. 4 BSIG mit einem Bußgeld bis zu 7 Millionen Euro (wichtige Einrichtungen) geahndet werden.

Können wir TISAX- und NIS2-Dokumentation in einem gemeinsamen ISMS verwalten?
Ja, das ist in der Praxis der übliche Weg. Ein gemeinsames Informationssicherheits-Managementsystem kann beide Nachweisketten bedienen, solange es die NIS2-spezifischen Elemente – Meldeprozess, Wirksamkeitsbewertung, dokumentierte Überwachung durch die Geschäftsleitung – als eigenständige, klar abgegrenzte Bausteine enthält und nicht nur implizit im TISAX-Reifegrad mitläuft.

Quellen

• ENX Association: Frequently Asked Questions zu TISAX – ENX Association
• ENX Association: 10 Years of TISAX – VDA ISA2027 Released (01.07.2026) – ENX Association
• ENX WG ISA: NIS2 fulfilment through TISAX – Expert opinion (24.04.2025, PDF) – ENX Association
• VDA ISA2027 – Information Security Assessment (Excel-Katalog) – VDA / ENX Association
• NIS2-Richtlinie (EU) 2022/2555 – Amtsblatt der EU
• BSIG (BSI-Gesetz nach NIS2UmsuCG) – Bundesministerium der Justiz
• ENX Association: TISAX and Cybersecurity in Industry – Expert Analysis Confirms NIS2 Coverage (02.07.2025) – ENX Association

Hinweis: Die Inhalte dieser Seite dienen ausschließlich der allgemeinen Information. Sie stellen keine Rechts-, Steuer- oder Fachberatung dar und ersetzen diese nicht. Für die Anwendung auf Ihren konkreten Fall konsultieren Sie bitte einen qualifizierten Berater.