TISAX ISA 2027: Was sich gegenüber ISA 6.0.3 ändert und wie du den Übergang planst

Der Fragenkatalog, an dem sich jedes TISAX-Assessment orientiert, bekommt einen neuen Namen und neue Inhalte: ISA2027 ersetzt ISA 6.0.3. Wenn dein Label demnächst ausläuft oder dein Kunde ein Erstassessment verlangt, musst du wissen, welcher Katalog für dich gilt, was sich daran ändert und bis wann du handeln musst. Hier findest du die belegten Änderungen, einen Zeitplan und eine Checkliste für den Übergang.

Die Grundlagen von TISAX, also Assessment-Level, Reifegrade und Ablauf, erklärt der Artikel zur TISAX-Zertifizierung für Automotive-Zulieferer. Hier geht es nur um das, was mit ISA2027 neu ist.

Was ist ISA2027 und ab wann gilt der Katalog?

ISA2027 ist die neue Ausgabe des VDA-ISA-Fragenkatalogs (Information Security Assessment). Der VDA hat sie am 1. Juli 2026 veröffentlicht, die ENX Association hat das am selben Tag auf ihrer Website bestätigt. Die ENX verwaltet TISAX und betreibt das Portal, über das Assessments beauftragt und Ergebnisse geteilt werden.

Der entscheidende Satz steht in der ENX-Mitteilung: ISA2027 gilt für alle TISAX-Assessments, die ab dem 1. Januar 2027 bestellt werden. Das ist nicht dasselbe wie "Assessments, die ab 2027 stattfinden". Viele Anbieter-Blogs formulieren ungenau. Du findest dort Sätze wie "verbindlich für Assessments ab dem 1. Januar 2027", und das klingt nach dem Prüftermin. Gemeint ist laut ENX das Bestelldatum.

Die wichtigsten Eckdaten

Ein halbes Jahr zwischen Veröffentlichung und Stichtag kennst du schon vom letzten Wechsel. ISA 6 erschien im Oktober 2023 und wurde zum 1. April 2024 verbindlich, wie auch ComConsult beschreibt. Damals durften Assessments, die bis Ende März 2024 bestellt wurden, noch mit der Vorgängerversion laufen. Das Muster ist also bekannt, nur der Stichtag liegt diesmal auf dem Jahresanfang.

Warum heißt der Katalog nicht ISA 7?

Die ENX und der VDA haben die Versionsnummern abgeschafft. Der Katalog trägt künftig das Jahr, in dem er für neu bestellte Assessments wirksam wird. ISA2027 erscheint 2026 und gilt ab 2027, der nächste Katalog soll im Sommer 2027 folgen und 2028 wirksam werden. Wenn du nach "VDA ISA 7" oder "TISAX neue Version 2027" suchst, meinst du dasselbe Dokument. Dieser Rhythmus ersetzt die bisherigen unregelmäßigen Sprünge von einer Hauptversion zur nächsten.

Die ENX stellt dazu ausdrücklich klar, dass der jährliche Katalog keine jährliche Neubewertung bedeutet. Die Reassessment-Häufigkeit steigt nicht, die Label-Laufzeit bleibt bei bis zu drei Jahren.

Wer muss jetzt was tun?

Nicht jeder muss jetzt handeln. Es kommt darauf an, wo du im TISAX-Zyklus stehst.

Label verlängern: Was heißt das bei TISAX?

Ein TISAX-Label wird nicht verlängert, sondern erneuert. Vor Ablauf durchläufst du ein neues Assessment, das auf dem Katalog basiert, der zum Zeitpunkt der Bestellung gilt. Wer sein Label also im Frühjahr 2027 erneuert und erst im Januar bestellt, arbeitet bereits mit ISA2027. Planst du die Erneuerung für Herbst 2027, gilt ISA2027 sowieso. Die "Verlängerung" ist damit auch eine Frage des Bestellzeitpunkts.

Erstassessment: Direkt auf ISA2027 aufbauen?

Wenn dein Kunde ein Label fordert und du noch bei null stehst, dauert der Weg ohnehin mehrere Monate. Das gilt auch für den Aufbau eines ISMS nach ISO 27001, das bei TISAX die Basis bildet. Dein Assessment findet dann sehr wahrscheinlich nach dem Stichtag statt. Orientiere dich von Anfang an am ISA2027-Katalog, statt erst auf ISA 6.0.3 aufzubauen und später umzubauen.

Was ändert sich gegenüber ISA 6.0.3?

Der Katalog ist keine Neuerfindung. Die Module Informationssicherheit, Prototypenschutz und Datenschutz bleiben, die Struktur bleibt erkennbar. Die Änderungen verteilen sich auf wenige Schwerpunkte. Die folgende Tabelle zeigt, was sich belegen lässt, und aus welcher Quelle der Beleg stammt.

Alt vs. neu auf einen Blick

Ein Hinweis zur Tabelle: Die ENX nennt in ihrer Mitteilung die großen Linien. Control-Nummern, Zahlen und einzelne Muss-Anforderungen stammen aus Auswertungen von Prüfdienstleistern und Beratern. Prüfe sie vor dem Einsatz in deiner Gap-Analyse gegen den Katalog selbst. Den Katalog bekommst du über die ENX und den VDA, die Angaben dieses Artikels zur ENX-Mitteilung findest du auf enx.com.

Lieferkette: Hier steckt der meiste Aufwand

Die ENX nennt die Lieferkette als erstes inhaltliches Thema. Organisationen mit hohem Schutzbedarf müssen stärker dokumentieren, prüfen und überwachen, ob ihre Lieferanten die Anforderungen erfüllen. Bei sehr hohem Schutzbedarf erwarten Auftraggeber von ihren Lieferanten ein TISAX-Label, ein gleichwertiges Assessment durch Dritte oder ein angemessenes Lieferantenaudit.

Für dich als Zulieferer heißt das: Du bist beides, geprüfter Lieferant und Auftraggeber. Dein Kunde verlangt dein Label. Und du musst nachweisen, dass du deine eigenen Dienstleister prüfst, etwa den IT-Betreiber, den Cloud-Anbieter oder den Logistikpartner, der Prototypenteile transportiert. Mehrere Auswertungen berichten, dass du bei hohem und sehr hohem Schutzbedarf dokumentierte Sicherheitsnachweise deiner Lieferanten prüfen musst und dass wesentliche Änderungen beim Lieferanten eine erneute Prüfung auslösen.

Was folgt daraus praktisch?

• Eine Lieferantenliste mit dem Schutzbedarf der Daten, die der jeweilige Dienstleister verarbeitet.
• Pro Lieferant ein Nachweis: Label, Zertifikat, Auditbericht oder ein ausgefüllter Sicherheitsfragebogen.
• Ein Wiedervorlagetermin und eine Regel, was bei wesentlichen Änderungen passiert.
• Eine Lieferanten-Sicherheitsrichtlinie, die diese Erwartungen schriftlich festlegt.

Nutzt du Cloud-Dienste für Automotive-Daten, kommt eine weitere Prüfachse dazu. Die Anforderungen des BSI an Cloud-Anbieter, die mit dem BSI C5:2026 neu gefasst werden, liefern dafür eine belastbare Grundlage für Nachweise.

Prototypenschutz: Aus fünf mach zwei

Wenn dein Scope den Prototypenschutz enthält, wird der Aufwand beim Wechsel anders verteilt, aber nicht zwingend kleiner. Die ENX schreibt, dass die fünf Control-Gruppen des bisherigen Moduls zu zwei Bereichen zusammengelegt wurden: organisatorische Anforderungen sowie physische und umgebungsbezogene Sicherheit. Laut Valiido und 360dt sank die Zahl der Controls von 22 auf 20, nach Syngenity und Azena kamen dabei Anforderungen zur Rückverfolgbarkeit von Prototypen über ihren Lebenszyklus hinzu, einschließlich Rückgabe, Recycling, Entsorgung oder Vernichtung am Ende.

Das Zusammenlegen verändert die Nummerierung. Deine bestehenden Nachweise, die du im Self-Assessment unter 8.3 oder 8.4 abgelegt hast, musst du neu zuordnen. Welche Maßnahmen sich inhaltlich ändern, etwa bei Zutrittskontrolle, Fotografierverbot oder Transport, zeigt erst der Vergleich im Katalog. Für die physischen Teile hilft ein Blick in die Anforderungen zur physischen Sicherheit nach ISO 27001, weil sich viele Maßnahmen überschneiden.

Informationssicherheit: Wortlaut und Muss-Anforderungen

Am Modul Informationssicherheit ändert sich wenig an der Zahl der Controls, aber viel am Text. Nach der Auswertung von 360dt wurden 44 von 46 Controls redaktionell überarbeitet. Das ist weniger dramatisch, als es klingt: Der Katalog hat Formulierungen geschärft, Begriffe wie Projekt, Ereignis und Vorfall genauer abgegrenzt und historische Unstimmigkeiten bereinigt. Die ENX bestätigt eine umfassende Überarbeitung von Wortlaut und Übersetzung.

Zwei Dinge solltest du trotzdem prüfen:

• Soll wird Muss. Nach Valiido und 360dt gelten manche bisherigen Empfehlungen jetzt verbindlich, genannt werden Passwortvorgaben (4.1.2) und die Verfügbarkeit von Richtlinien (1.1.1). Hast du dort bisher Reifegrad 2 mit Verweis auf "Empfehlung" dokumentiert, brauchst du jetzt eine Umsetzung.
• "Aspekte werden berücksichtigt". Syngenity weist darauf hin, dass diese Formulierung im Katalog nun nachweisbar heißt, dass du jeden genannten Aspekt bewusst bewertet hast. Du dokumentierst entweder die Umsetzung oder einen begründeten Ausschluss. Ein pauschales "berücksichtigt" reicht dem Prüfer dann nicht mehr.

Was gleich bleibt

Der Datenschutz-Abschnitt ist laut 360dt und Valiido identisch mit ISA 6.0.3. Für Änderungen an der Bewertung über Reifegrade, an den Assessment-Levels AL1 bis AL3 oder an der gegenseitigen Anerkennung gibt es in der ENX-Mitteilung und in den Auswertungen keine Hinweise. Auch ein vorhandenes ISMS nach ISO 27001 bleibt die tragende Grundlage. Mit den neuen Referenzen auf die Ausgabe 2022 und dem Wegfall der Ausgabe 2013 fällt außerdem eine Altlast weg, denn Zertifikate nach ISO 27001:2013 sind seit dem 31. Oktober 2025 nicht mehr gültig.

Wie planst du den Übergang?

Die Planung beginnt mit einer Entscheidung: Bestellst du dein Assessment noch im Jahr 2026 unter ISA 6.0.3 oder erst 2027 unter ISA2027? Das ist weder eine Frage der Bequemlichkeit noch ein Ausweichmanöver. Es ist eine Terminfrage.

2026 bestellen oder ISA2027 einplanen?

Der naheliegende Reflex lautet: "Dann bestelle ich schnell noch 2026 und umgehe die neuen Anforderungen." Das funktioniert nur kurzfristig. Die Anforderungen holen dich spätestens beim nächsten Assessment unter dem dann gültigen Katalog ein, und deine Kunden fragen unter Umständen schon jetzt nach Lieferkettennachweisen. Sinnvoll ist die Bestellung 2026 dann, wenn dein Label früh 2027 abläuft, dein Prüfdienstleister einen Termin hat und deine Nachweise zu ISA 6.0.3 aktuell sind.

Ob ein 2026 bestellter Auftrag bis zu einem bestimmten Datum auch durchgeführt sein muss, geht aus der ENX-Mitteilung nicht hervor. Frag deinen Prüfdienstleister schriftlich, welcher Katalog in deinem Auftrag steht und ob es eine Frist für den Prüftermin gibt.

Gap-Analyse in vier Schritten

Mit einer Gap-Analyse vergleichst du den Ist-Zustand mit den Anforderungen, die sich geändert haben. Bei ISA2027 gehst du so vor:

1. Katalog laden und Stand sichern. Lade ISA2027 bei der ENX oder dem VDA herunter und lege die Fassung samt Datum ab. Spätere Korrekturen kannst du dann nachvollziehen.
2. Schwerpunkte zuerst. Prüfe die Kapitel, in denen die Änderungen konzentriert sind: Kapitel 1 (Richtlinien, Vorfall- und Krisenmanagement), Kapitel 2 (Homeoffice), Kapitel 6 (Lieferanten) und, falls im Scope, Kapitel 8 (Prototypenschutz). Das deckt die größten Änderungen ab.
3. Rest zeilenweise vergleichen. Weil der Wortlaut bei fast allen Controls angepasst wurde, genügt ein Blick auf die Überschriften nicht. Lies die Controls, in denen du bisher Reifegrad 2 oder knapp 3 hattest, im neuen Wortlaut.
4. Lücken bewerten und planen. Für jede Lücke: Maßnahme, Verantwortlicher, Termin, Nachweis. Die Reihenfolge ergibt sich aus dem Termin des Assessments, nicht aus dem Kapitel.

Wer die SoA und die Maßnahmen im ISMS pflegt, kann die Gap-Analyse direkt dort führen. In ISMS Lite bekommt jeder Control einen Umsetzungsstatus, Reifegrad, Termin und verknüpfte Nachweise, und die offenen Punkte erscheinen als Maßnahmen mit Verantwortlichen und Fristen. Als Framework ist dort der Katalog ISA2027 hinterlegt, sodass du die Gap-Analyse direkt gegen die neuen Anforderungen führen kannst.

Zeitplan-Vorschlag

Der folgende Plan geht von einem Stand am 5. Oktober 2026 und einem Label aus, das im ersten Halbjahr 2027 abläuft. Es ist ein Vorschlag, keine ENX-Vorgabe. Passe ihn an deinen Ablauftermin an.

Als Faustregel gilt: Zwischen Umsetzung und Assessment brauchst du ein paar Wochen, in denen die Prozesse laufen und Nachweise entstehen. Wie bei jedem TISAX-Projekt zählt Reifegrad 3 nur, wenn der Prüfer gelebte Praxis sieht, keine frisch verabschiedeten Papiere.

Der Assessment-Slot beim Prüfdienstleister

Der Termin ist der Engpass, nicht die Gap-Analyse. Prüfdienstleister planen ihre Auditoren nach Anfragen. Es liegt nahe, dass sich Bestellungen zum Jahreswechsel häufen, weil viele Unternehmen die Entscheidung bis zum Stichtag verschieben. Belegt ist das nicht, aber das Risiko ist real: Wer erst im Dezember anfragt, bekommt unter Umständen keinen Termin mehr vor dem Ablauf seines Labels. Wie lange der Vorlauf bei deinem Anbieter ist, weiß nur er. Als Planungsannahme gilt: Frag jetzt an, nicht erst nach der Gap-Analyse.

Klär bei der Anfrage fünf Punkte:

• Welcher Katalog steht im Auftrag, und wird das schriftlich bestätigt?
• Wann ist der frühestmögliche Prüftermin, und wie viele Tage sind angesetzt?
• Gibt es Vorabgespräche zur Gap-Analyse, und was kosten sie?
• Wie läuft das Assessment ab, wenn der Prototypenschutz im Scope ist?
• Was passiert, wenn der Termin nach dem Ablaufdatum des Labels liegt? Wie gehen Kunden damit um?

Den letzten Punkt klärst du am besten auch bei deinem Kunden. Manche Auftraggeber tolerieren eine kurze Lücke bei laufendem Assessment, andere nicht. Das steht nicht im Katalog, sondern in deinem Liefervertrag und in den Anforderungen des Kunden.

Beispiel: Zulieferer mit 110 Mitarbeitenden

Nehmen wir einen Hersteller von Dreh- und Frästeilen mit 110 Beschäftigten, einem Standort und einem Label nach AL3 mit den Prüfzielen Informationssicherheit und Prototypenschutz. Das Label läuft Ende Mai 2027 ab. Der Hauptkunde ist ein Tier-1-Zulieferer, der bei Konstruktionsdaten hohen Schutzbedarf verlangt.

Die ISB sichtet im Oktober den Katalog und stellt drei Dinge fest. Erstens hat der Betrieb 14 Dienstleister, aber nur für zwei einen dokumentierten Nachweis. Zweitens liegen die Fotografierverbote im Prototypenraum in einer Richtlinie, die nach der Neustrukturierung unter einer anderen Nummer läuft. Drittens kennt die Passwortrichtlinie nur Empfehlungen für die Mindestlänge.

Sie holt ein Angebot des Prüfdienstleisters ein. Der hat im April 2027 einen Termin, aber keinen im Dezember. Damit fällt die Entscheidung: Bestellung im Januar unter ISA2027, Assessment im April. Bis Ende November liegt die Gap-Analyse vor, im Dezember gibt die Geschäftsführung den Maßnahmenplan frei. Der IT-Dienstleister liefert sein Zertifikat, für die Spedition geht der Sicherheitsfragebogen raus, die Passwortrichtlinie wird verbindlich. Im März prüft ein internes Audit die Änderungen, im April kommt der externe Prüfer.

Das Beispiel ist konstruiert, aber nah an dem, was ein Mittelständler bewältigen kann: Der Aufwand liegt nicht im Neubau, sondern in drei bis fünf gezielten Nachbesserungen und einem früh gebuchten Termin.

Wie hängen TISAX und andere Anforderungen zusammen?

Viele Automotive-Zulieferer fallen zusätzlich unter NIS2, weil sie dem verarbeitenden Gewerbe angehören. Das ändert am Katalog nichts, aber an deiner Planung: Die Lieferantenprüfung, die ISA2027 stärker fordert, hilft dir auch bei den NIS2-Nachweisen. Wie du dem BSI Wirksamkeit belegst, erklärt der Beitrag zu NIS2-Nachweisen und Audits. Welcher Standard was abdeckt, zeigt dir der Frameworks-Vergleich.

Eine Verbindung zu KI-Themen enthalten die belegten Änderungen von ISA2027 nicht. In den Auswertungen und der ENX-Mitteilung tauchen keine KI-spezifischen Anforderungen auf.

Was bleibt offen? Stand Oktober 2026

Zwei Punkte lassen sich nicht belegen, deshalb nenne ich sie offen.

Übergangsregeln im Detail. Die ENX-Mitteilung nennt den Stichtag für die Bestellung. Ob ein 2026 bestellter Auftrag bis zu einem bestimmten Datum durchgeführt sein muss, steht dort nicht. Ältere Anbieterartikel schreiben sogar, der Stichtag sei noch nicht bekannt. Diese Aussagen sind überholt. Verlass dich auf die ENX-Mitteilung und die schriftliche Bestätigung deines Prüfdienstleisters.

Einzelheiten der Controls. Zahlen wie 22 auf 20 Controls im Prototypenschutz oder 44 überarbeitete Controls stammen aus Auswertungen von Anbietern. Sie wirken plausibel, weil sich mehrere Quellen decken. Die ENX selbst nennt nur "fünf Control-Gruppen werden zu zwei". Zähle im Katalog nach, bevor du Aufwand schätzt.

Das ist keine Rechts- oder Zertifizierungsberatung. Die verbindliche Auskunft zum Katalog gibt die ENX, die zu deinem Auftrag dein Prüfdienstleister.

Checkliste: Übergang auf ISA2027

Entscheidung und Termin

• Ablaufdatum deines TISAX-Labels notiert
• Anforderung des Kunden geklärt (Assessment-Level, Scope, Frist)
• Entscheidung getroffen: Bestellung 2026 unter ISA 6.0.3 oder 2027 unter ISA2027
• Prüfdienstleister angefragt, Termin und Katalog im Auftrag schriftlich bestätigt
• Prüfdienstleister befragt, ob es eine Frist für die Durchführung eines 2026 bestellten Auftrags gibt

Gap-Analyse

• ISA2027 von ENX oder VDA geladen, Fassung und Datum abgelegt
• Kapitel 1, 2, 6 und gegebenenfalls 8 im neuen Wortlaut geprüft
• Controls mit Reifegrad 2 oder knapp 3 im neuen Wortlaut neu bewertet
• Bisherige "Soll"-Empfehlungen auf neue Muss-Anforderungen geprüft (zum Beispiel Passwortvorgaben, Richtlinienverfügbarkeit)
• Mappings auf ISO 27001:2022 und NIST CSF 2.0 in deinen Unterlagen angepasst, Verweise auf ISO 27001:2013 entfernt

Lieferkette

• Lieferantenliste mit Schutzbedarf der verarbeiteten Daten erstellt
• Pro Lieferant ein Nachweis vorhanden (Label, Zertifikat, Auditbericht, Fragebogen)
• Wiedervorlage und Regel für wesentliche Änderungen festgelegt
• Lieferanten-Sicherheitsrichtlinie aktualisiert

Prototypenschutz (falls im Scope)

• Nachweise den neuen Bereichen 8.1 und 8.2 zugeordnet
• Nachverfolgung von Prototypen über den Lebenszyklus geprüft, inklusive Rückgabe, Recycling und Vernichtung
• Transport- und Zutrittsregelungen im Wortlaut abgeglichen

Nachweise und Assessment

• Maßnahmenplan mit Verantwortlichen und Terminen freigegeben
• Internes Audit auf Basis des gültigen Katalogs durchgeführt
• Self-Assessment aktualisiert
• Nachweise liegen so vor, dass der Prüfer sie in der Sitzung findet

Häufige Fehler beim Wechsel auf ISA2027

Den Stichtag falsch lesen. "Ab 1. Januar 2027" heißt nach ENX: ab Bestelldatum. Wer sich auf ein Prüfdatum verlässt, plant mit dem falschen Katalog. Lass dir den Katalog im Auftrag schriftlich bestätigen.

Noch schnell 2026 bestellen, ohne Slot. Eine Bestellung ohne belastbaren Prüftermin verschiebt das Problem nur. Kommt der Auditor erst nach Ablauf des Labels, hast du weder den alten Katalog genutzt noch das Label gerettet.

Nur das Offensichtliche prüfen. Wenn du dich nur auf Prototypenschutz und Lieferkette konzentrierst, übersiehst du, dass bei fast allen Controls des Moduls Informationssicherheit der Wortlaut geändert wurde. Gerade Reifegrad-2-Controls rutschen sonst durch.

Lieferanten ohne Schutzbedarf. Eine Lieferantenliste ohne Bezug zu den verarbeiteten Daten hilft dem Prüfer nicht. Bei hohem Schutzbedarf zählt der Nachweis, nicht die Namensliste.

Anbieter-Blogs als Quelle. Die Aussagen zu ISA2027 gehen auseinander, einige Texte nennen veraltete Stände. Arbeite mit dem Katalog und der ENX-Mitteilung, und nimm Anbieteranalysen als Orientierung.

Fazit: Zuerst den Termin sichern, dann die Lücken schließen

ISA2027 ist ein Update, kein Neustart. Die Änderungen sind überschaubar, aber sie treffen die Teile, die am meisten Zeit brauchen: Lieferantennachweise, Prototypenschutz und der neue Wortlaut. Kläre diese Woche, wann dein Label abläuft, hol dir den Termin beim Prüfdienstleister und lass dir den Katalog im Auftrag bestätigen. Führe die Lücken als Maßnahmen mit Verantwortlichen und Fristen, damit der Prüfer im Assessment sieht, wer was bis wann erledigt hat.

Weiterführende Artikel

• TISAX-Zertifizierung: Anforderungen, Ablauf und Prüfung für Automotive-Zulieferer
• Welche Frameworks brauche ich? NIS2, ISO 27001, BSI IT-Grundschutz, TISAX im Vergleich
• Schutzbedarfsfeststellung: Vertraulichkeit, Integrität und Verfügbarkeit bewerten
• Lieferantenbewertung mit Sicherheitsfragebogen: Vorlage und Vorgehen
• Audit-Feststellungen bewerten und Maßnahmen ableiten