TISAX, ISO 27001 und NIS2

Cyberangriffe, vertrauliche Kundeninformationen und wachsende Anforderungen von Geschäftspartnern machen Informationssicherheit zu einer wichtigen Unternehmensaufgabe. Dabei begegnen Unternehmen häufig drei Begriffen: TISAX, ISO 27001 und NIS2.

Alle drei betreffen den Schutz von Informationen und die Widerstandsfähigkeit von Organisationen. Sie unterscheiden sich jedoch in ihrer Zielsetzung, Verbindlichkeit und Art des Nachweises. Wer diese Unterschiede kennt, kann Anforderungen gezielt prüfen und Maßnahmen sinnvoll miteinander verbinden.

Stand: 13. Oktober 2026

ISO 27001: Informationssicherheit systematisch organisieren

Die internationale Norm ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheitsmanagementsystem, kurz ISMS. Es hilft Unternehmen dabei, Risiken für ihre Informationen systematisch zu erkennen, geeignete Schutzmaßnahmen festzulegen und deren Wirksamkeit regelmäßig zu überprüfen.

Dabei geht es um Vertraulichkeit, Integrität und Verfügbarkeit: Informationen sollen nur für berechtigte Personen zugänglich, vor unzulässigen Veränderungen geschützt und bei Bedarf verfügbar sein.

Ein ISMS verbindet technische Maßnahmen mit organisatorischen Abläufen und klaren Verantwortlichkeiten. Unternehmen unterschiedlicher Branchen und Größen können die Norm nutzen und ihr Managementsystem durch eine unabhängige Zertifizierungsstelle prüfen lassen.

Eine Zertifizierung bezieht sich immer auf einen festgelegten Geltungsbereich. Deshalb sollten Geschäftspartner genau betrachten, welche Standorte, Leistungen und Prozesse tatsächlich erfasst sind.

TISAX: Informationssicherheit in der Automobilbranche nachweisen

TISAX steht für „Trusted Information Security Assessment Exchange“. Es handelt sich um ein Prüf- und Austauschverfahren, das insbesondere in der Automobilindustrie eingesetzt wird. Grundlage ist der Information-Security-Assessment-Katalog, bekannt als VDA ISA.

TISAX betrifft beispielsweise Zulieferer und Dienstleister, die mit vertraulichen Entwicklungsunterlagen, Produktionsinformationen oder Prototypen arbeiten. Welche Anforderungen relevant sind, hängt unter anderem von den vereinbarten Prüfzielen und dem Schutzbedarf ab.

Im Verfahren legt das Unternehmen den Prüfungsumfang fest und lässt sich durch einen zugelassenen Prüfdienstleister bewerten. Die Ergebnisse können anschließend über das ENX-Portal mit ausgewählten Geschäftspartnern geteilt werden.

Anders als bei einer ISO-27001-Zertifizierung werden bei TISAX entsprechende Labels vergeben. TISAX ist keine allgemeine gesetzliche Pflicht, kann aber eine vertragliche Voraussetzung für die Zusammenarbeit mit Kunden sein.

NIS2: Gesetzliche Anforderungen an die Cybersicherheit

NIS2 ist eine europäische Richtlinie zur Stärkung der Cybersicherheit. In Deutschland ist das Umsetzungsgesetz am 6. Dezember 2025 in Kraft getreten.

Für Unternehmen im Anwendungsbereich entstehen gesetzliche Pflichten. Dazu gehören insbesondere Risikomanagementmaßnahmen, die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik und die Meldung erheblicher Sicherheitsvorfälle.

Ob ein Unternehmen betroffen ist, muss anhand seiner konkreten Tätigkeit, seiner Größe und möglicher Sonderregelungen geprüft werden. Eine pauschale Einordnung allein anhand der Branche oder Beschäftigtenzahl reicht dafür nicht immer aus.

Auch die Geschäftsleitung ist gefordert: Sie muss die Umsetzung der vorgeschriebenen Risikomanagementmaßnahmen sicherstellen und überwachen. Hinzu kommen Schulungspflichten.

Wie unterscheiden sich TISAX, ISO 27001 und NIS2?

ISO 27001 bietet einen branchenübergreifenden Rahmen für das Informationssicherheitsmanagement. Eine Zertifizierung ist grundsätzlich freiwillig, kann jedoch von Kunden oder im Rahmen von Ausschreibungen verlangt werden.

TISAX richtet sich vor allem an Unternehmen innerhalb der automobilen Lieferkette. Im Mittelpunkt stehen branchenspezifische Anforderungen sowie die Möglichkeit, geprüfte Ergebnisse mit Geschäftspartnern auszutauschen.

NIS2 begründet dagegen gesetzliche Pflichten für Einrichtungen, die unter die jeweiligen nationalen Regelungen fallen. Entscheidend ist hier die Erfüllung der vorgeschriebenen Anforderungen. Eine allgemeine „NIS2-Zertifizierung“, die sämtliche gesetzlichen Pflichten ersetzt, ist dafür nicht vorgesehen.

Für ein Unternehmen können mehrere dieser Anforderungen gleichzeitig relevant sein – beispielsweise aufgrund seiner Geschäftstätigkeit, seiner Kundenbeziehungen und seiner gesetzlichen Einordnung.

Ersetzt eine ISO-27001-Zertifizierung die NIS2-Pflichten?

Ein etabliertes ISMS kann eine gute Grundlage für die Umsetzung von NIS2-Anforderungen sein. Risikobewertungen, Verantwortlichkeiten, Notfallplanung und regelmäßige Kontrollen lassen sich dafür nutzen.

Eine ISO-27001-Zertifizierung oder ein TISAX-Label belegt jedoch nicht automatisch die vollständige Erfüllung sämtlicher NIS2-Pflichten. Unternehmen müssen zusätzlich prüfen, ob beispielsweise die gesetzlichen Registrierungs- und Meldepflichten sowie die Anforderungen an die Geschäftsleitung abgedeckt sind.

Auch der Geltungsbereich ist entscheidend: Ein zertifizierter Teilbereich muss nicht mit dem gesamten gesetzlich relevanten Unternehmensbereich übereinstimmen.

Sicherheitsvorfälle benötigen klare Meldewege

Für erhebliche Sicherheitsvorfälle sieht das NIS2-Regelwerk ein gestuftes Meldeverfahren vor. Dazu gehören grundsätzlich eine frühe Erstmeldung innerhalb von 24 Stunden und eine Folgemeldung innerhalb von 72 Stunden nach Kenntniserlangung.

Unternehmen sollten deshalb vor einem Vorfall klären, wer Hinweise bewertet, Entscheidungen vorbereitet und Meldungen abgibt. Vertretungsregelungen und erreichbare Ansprechpartner sind dabei ebenso wichtig wie technische Erkennungsmöglichkeiten.

Betrifft ein Vorfall zugleich personenbezogene Daten, müssen mögliche Meldepflichten nach der DSGVO zusätzlich geprüft werden. Die verschiedenen Meldeverfahren sollten in einem gemeinsamen Notfallprozess berücksichtigt werden.

Gemeinsame Maßnahmen sinnvoll nutzen

Unsere Empfehlung: Bearbeiten Sie die Anforderungen in einem abgestimmten Sicherheitsmanagement. Viele Grundlagen lassen sich für mehrere Zwecke nutzen.

Dazu gehört zunächst eine Risikobewertung: Welche Informationen und Geschäftsprozesse sind besonders schutzbedürftig? Anschließend werden Verantwortlichkeiten festgelegt, Zugriffsrechte geregelt und geeignete Schutzmaßnahmen umgesetzt.

Ebenso wichtig sind die Prüfung von Dienstleistern, eine funktionierende Notfallplanung und die regelmäßige Sensibilisierung der Beschäftigten. Prüfungen und Übungen helfen dabei, die Wirksamkeit der Maßnahmen zu bewerten und Verbesserungen nachvollziehbar zu dokumentieren.

Ein gemeinsamer Maßnahmenplan reduziert Doppelarbeit und berücksichtigt zugleich die Besonderheiten der einzelnen Anforderungen.

So starten Unternehmen strukturiert

Am Anfang sollte eine Prüfung der gesetzlichen und vertraglichen Anforderungen stehen. Ist das Unternehmen von NIS2 betroffen? Verlangen Kunden einen TISAX-Nachweis? Ist eine ISO-27001-Zertifizierung für bestimmte Leistungen sinnvoll oder bereits vereinbart?

Anschließend folgt die Bestandsaufnahme: Welche Sicherheitsmaßnahmen, Dokumente und Zuständigkeiten bestehen bereits? Wo fehlen Nachweise oder funktionierende Abläufe?

Aus dieser Analyse entsteht ein konkreter Umsetzungsplan mit Prioritäten, Verantwortlichen und realistischen Terminen. Bestehende Datenschutzprozesse können dabei eingebunden werden, etwa beim Dienstleistermanagement oder beim Umgang mit Sicherheitsvorfällen.

Unterstützung bei Informationssicherheit und Compliance

Sie möchten wissen, welche Anforderungen aus TISAX, ISO 27001 oder NIS2 für Ihr Unternehmen relevant sind? Wir unterstützen Sie dabei, Ihre Ausgangslage zu bewerten, Handlungsbedarf zu erkennen und die nächsten Schritte strukturiert zu planen.

Sprechen Sie uns an – gemeinsam entwickeln wir einen passenden Weg für die Informationssicherheit in Ihrem Unternehmen.

Quellen und weiterführende Informationen

1. ISO: ISO/IEC 27001 – Grundlagen des Informationssicherheitsmanagements und Informationen zur Zertifizierung. www.iso.org
2. ENX Association: TISAX – Grundlagen, Prüfungsablauf und Austausch von Ergebnissen. enx.com
3. Bundesregierung: Umsetzung der NIS2-Richtlinie – Inkrafttreten der deutschen Umsetzung und gesetzliche Zielsetzung. www.bundesregierung.de
4. BSI: NIS2-regulierte Unternehmen – Informationen zur Betroffenheit, Registrierung und Umsetzung. www.bsi.bund.de
5. BSI: Geschäftsleitungsschulungen – Hinweise zur Schulung der Geschäftsleitung. www.bsi.bund.de
6. BSI: NIS2-Meldepflicht – Informationen zum gestuften Meldeverfahren bei Sicherheitsvorfällen.