Leider ist das einmal mehr eine Frage, auf die man nur schwer mit einer Silbe antworten kann. Was bedeutet schon „besser“?
Zunächst geht es bei TISAX® um den Austausch von Prüfergebnissen und nicht um ein ISMS, wie der Name schon anzeigt: Trusted Information Security Assessment Exchange – und zwar geht es um Ergebnisse von Prüfungen nach VDA-ISA: das ist ein Prüfstandard für ein ISMS, das 2017 von der ENX Association auf Basis der ISO 27001 entwickelt wurde.
Der eigentliche Cloud an TISAX® ist ein von ENX betriebenes Portal, in dem die Teilnehmer ihre Prüfergebnisse untereinander zugänglich machen bzw. einsehen können.
Vielleicht wäre es einen Versuch wert, die wesentlichen Unterschiede aufzuzeigen, damit jede Organisation die Frage für sich beantworten kann.
| VDA-ISA | ISO 27001 | |
| Einsatzgebiet | Automobilbranche (primär) | universell |
| Kernelemente eines ISMS: Risikoorientierung, ständige verbesserung | ja | ja |
| Zusatzelemente | Prototypenschutz; Datenschutz; (ab V6) OT | keine |
| Sonderkonstrukte | Prüfziele | Statement of Applicability (SOA) |
| Norm-Anpassung | häufig | selten |
| Zertifizierungsfähig | nur Prüfergebnis | ja |
| Scope | „default“ gesamte Organisation | „frei“ wählbar |
| Norm-Verfügbarkeit | frei | Kauf |
Angesichts dessen darf man sagen, dass eine Organisation, die im entferntesten der Automobilindustrie zuliefert, durchaus in Richtung VDA-ISA denken sollte. Falls es aber keine ausdrückliche Anforderung von Kundenseite gibt, besteht keine Notwendigkeit zu vorauseilendem Gehorsam – ein ISMS nach ISO 27001 hat nämlich üblicherweise mit leichten Modifikationen keine Probleme, eine VDA-ISA-Prüfung zu bestehen.
Andererseits ist gerade für Einsteiger in das Thema Informationssicherheit die VDA-ISA interessant, weil sie frei verfügbar ist. Sie wird auch oft aktualisiert und reagiert daher tendenziell auf Entwicklungen in der Tech-Branche schneller als die ISO-Norm.
Viele spannende Informationen zur ISO 27001 finden sich bei
https://www.iso27001security.com/index.html (Englisch)
Alles über TSIAX® und VDA-ISA wissen
- https://portal.enx.com/de-DE/TISAX/tisaxassessmentresults/
- https://www.vda.de/de/themen/digitalisierung/daten/informationssicherheit
TISAX® ist eine eingetragene Marke der ENX Association