Aufbau des VDA ISA: die drei Module

Problem in der Praxis

Viele Organisationen behandeln den VDA ISA wie eine Checkliste, die man einmal ausfüllt. Daraus entstehen zwei typische Fehlannahmen: man müsse stets den gesamten Katalog mit allen Modulen bedienen, und eine vorhandene Maßnahme reiche aus, um ein Kriterium zu erfüllen.

Beides geht an der Konstruktion des Katalogs vorbei. Der Modulzuschnitt bedeutet, dass Prototypenschutz und Datenschutz nur dann zum Prüfumfang gehören, wenn die entsprechenden Prüfziele beauftragt sind. Die Reifegradlogik bedeutet, dass eine isolierte, undokumentierte oder ungesteuerte Maßnahme bewertungstechnisch wenig wert ist, selbst wenn sie technisch vorhanden ist. In der Folge wird entweder zu viel vorbereitet oder zu flach, und beides kostet Zeit, Geld und im Zweifel die termingerechte Label-Vergabe.

CISO-Einordnung

Die drei Module lassen sich konzeptionell klar voneinander abgrenzen.

Das Modul Informationssicherheit ist der inhaltliche Kern und an der ISO/IEC-27001/27002-Logik orientiert. Es deckt die organisatorischen und technischen Grundlagen ab, mit denen ein Unternehmen Vertraulichkeit, Integrität und Verfügbarkeit seiner Informationen steuert, und ist faktisch in jedem TISAX-Vorhaben relevant.

Das Modul Prototypenschutz adressiert eine branchenspezifische Besonderheit der Automobilindustrie: den Schutz unveröffentlichter Fahrzeuge, Bauteile und Erprobungen vor unbefugter Kenntnisnahme. Hier geht es stark um physische Sicherheit, Zutritts- und Zugangsregelungen, Geheimhaltung sowie um den Schutz bei Transporten, Tests und Veranstaltungen. Dieses Modul ist nur einschlägig, wenn ein Unternehmen tatsächlich mit schützenswerten Prototypen oder Erprobungsträgern umgeht.

Das Modul Datenschutz nimmt Bezug auf die Anforderungen der DSGVO und betrachtet die Verarbeitung personenbezogener Daten, insbesondere im Auftrag, mit gesonderter Betrachtung besonderer Kategorien personenbezogener Daten. Es ist relevant, wenn ein Dienstleister solche Daten für Auftraggeber verarbeitet.

Welche Prüfziele beauftragt sind, schlägt sich in den TISAX-Labels nieder. Das Modul Informationssicherheit kennt je nach Schutzbedarf die Labels "Confidential" und "Strictly Confidential", während Prototypenschutz und Datenschutz jeweils eigene Labels tragen ("Prototypenschutz" beziehungsweise "Datenschutz"). Parallel bestimmen die Assessment-Level AL1, AL2 und AL3 die Prüftiefe und -methode mit steigender Strenge: von der eher plausibilitätsorientierten Prüfung (AL1) über die nachweisbasierte Prüfung (AL2) bis zur vertieften beziehungsweise Vor-Ort-Prüfung (AL3). Ein höherer Schutzbedarf führt zu einem höheren Assessment-Level; die konkrete Zuordnung von Methode und Level ist gegen die aktuelle ENX/VDA-Fassung zu prüfen.

Quer über alle Module liegt das Reifegradmodell. Es ist CMMI-ähnlich aufgebaut und unterscheidet sechs Stufen von "unvollständig" bis "optimierend". Maßgeblich ist die geforderte Zielreife, die üblicherweise auf der Stufe "etabliert" liegt; einzelne Prüfziele können höhere Zielwerte verlangen. Konkrete Stufenzuordnung und Zielwerte sind Vorgaben des jeweiligen Katalogstands und vor verbindlicher Nutzung gegen die aktuelle ENX/VDA-Fassung zu prüfen.

Umsetzungsperspektive

Aus Sicht des CISO ergibt sich daraus eine klare Reihenfolge der Vorbereitung.

Zuerst steht die Scope- und Modulentscheidung. Welche Prüfziele und Labels fordert der Kunde? Daraus folgt, welche Module überhaupt in den Prüfumfang gehören und in welchem Assessment-Level (AL1, AL2 oder AL3). Erst danach lohnt sich die inhaltliche Tiefe.

Anschließend folgt die reifegradorientierte Selbstbewertung. Der VDA ISA wird üblicherweise über einen Excel-basierten Selbstcheck bearbeitet, der auch im späteren Assessment Bezugspunkt ist. Es geht nicht um das Ankreuzen, sondern um die ehrliche Einschätzung, wie gesteuert und nachweisbar eine Maßnahme tatsächlich betrieben wird.

Danach folgt die Schließung der Reifegradlücken. Wo eine Maßnahme zwar vorhanden, aber nicht dokumentiert, gesteuert oder wirksamkeitsgeprüft ist, fehlt Reife. Diese Lücken werden gezielt gehoben, idealerweise so, dass Nachweise als Nebenprodukt des Regelbetriebs entstehen und nicht erst kurz vor dem Assessment.

Wer bereits ein ISO/IEC-27001-orientiertes ISMS betreibt, hat für das Modul Informationssicherheit eine gute Grundlage. Prototypenschutz und Datenschutz erfordern jedoch gezielte Ergänzungen, die ein klassisches ISMS nicht automatisch mitbringt.

Typische Fehler

1. Alle drei Module werden vorbereitet, obwohl nur das Modul Informationssicherheit beauftragt ist.
2. Die Modulwahl wird intern getroffen, statt sie aus den Kundenanforderungen und den geforderten Labels abzuleiten.
3. Der Reifegrad wird mit der reinen Existenz einer Maßnahme verwechselt.
4. Nachweise werden kurz vor dem Assessment zusammengesucht statt im Betrieb erzeugt.
5. Prototypenschutz wird als reines IT-Thema behandelt, obwohl physische Sicherheit und Geheimhaltung zentral sind.
6. Versions- und Zielwertvorgaben werden aus älteren Quellen übernommen statt aus dem aktuellen Katalogstand.

Risiken und Trade-offs

Ein zu breiter Scope erzeugt Aufwand für Module, die niemand fordert. Ein zu enger Scope führt dazu, dass ein gefordertes Label nicht erreicht wird und das Assessment nachgebessert werden muss.

Bei der Reife gilt ein vergleichbarer Trade-off. Wer pauschal die höchsten Reifegrade anstrebt, überinvestiert dort, wo die geforderte Zielreife niedriger liegt. Wer nur formal die Mindestschwelle bedient, riskiert, dass im Assessment die fehlende Steuerung oder Nachweisbarkeit auffällt. Hinzu kommt der Zeitfaktor: Reifegrade lassen sich nicht kurzfristig erzeugen, weil "etabliert" und höher eine gewisse Betriebshistorie und Nachweislage voraussetzen. Eine späte TISAX-Vorbereitung kollidiert daher regelmäßig mit Kundenterminen.

Entscheidungspunkte

• Welche Prüfziele und Labels fordert der Kunde, und welche Module folgen daraus zwingend?
• In welchem Assessment-Level (AL1, AL2 oder AL3) wird geprüft, und passt das zum tatsächlichen Schutzbedarf?
• Welche Zielreife ist je Prüfziel gefordert, und wo liegt heute realistisch der Reifegrad?
• Welche bestehenden ISMS-Bestandteile sind auf das Modul Informationssicherheit anrechenbar?
• Welche zusätzlichen Fähigkeiten braucht es für Prototypenschutz und Datenschutz, falls diese im Scope sind?

Praktische Empfehlungen

1. Leiten Sie Modulwahl und Assessment-Level aus den Kundenanforderungen ab, nicht aus internen Annahmen.
2. Behandeln Sie die Selbstbewertung als ehrliche Reifegradanalyse, nicht als Checkliste.
3. Trennen Sie sauber zwischen "Maßnahme vorhanden" und "Maßnahme etabliert und nachweisbar".
4. Planen Sie für Reifegradaufbau ausreichend Vorlauf vor dem geplanten Assessment ein.
5. Prüfen Sie den aktuellen Katalog- und Versionsstand sowie die geforderten Zielwerte direkt bei ENX/VDA, bevor Sie verbindlich planen.
6. Verankern Sie Prototypenschutz, falls relevant, organisatorisch über IT und physische Sicherheit hinweg.

Relevante Normreferenzen

• VDA ISA (Information Security Assessment): lizenzierter Prüfkatalog des VDA, Grundlage von TISAX; aktuelle Hauptversion VDA ISA 6 (VDA-Veröffentlichung 15.10.2023, verbindlich für TISAX ab 01.04.2024); hier nur als Konzept- und Strukturreferenz, ohne Wiedergabe von Kriterien.
• TISAX (Trusted Information Security Assessment Exchange): Verfahren und Label-Modell der ENX Association im Auftrag des VDA.
• ISO/IEC 27001 / 27002: inhaltliche Orientierung des Moduls Informationssicherheit (allgemeine Referenz).
• DSGVO: Bezugsrahmen des Moduls Datenschutz (allgemeine Referenz).