TISAX : devenez un partenaire de confiance pour l’industrie automobile.

Qu’est-ce que TISAX ?

TISAX (Trusted Information Security Assessment Exchange) est un dispositif créé par l’association ENX pour le compte de l’industrie automobile allemande (VDA). Il répond à un problème concret : au lieu que chaque constructeur audite séparément chacun de ses fournisseurs, une évaluation unique, réalisée par un auditeur agréé, est partagée avec les partenaires qui en ont besoin.

TISAX n’est pas une certification au sens d’ISO 27001 : on ne parle pas de « certificat » mais d’un label et d’un résultat d’évaluation, échangé via la plateforme ENX. Le référentiel sous-jacent est le catalogue VDA ISA (Information Security Assessment), largement aligné sur ISO/IEC 27001, enrichi d’exigences propres au secteur : protection des prototypes, protection des données à caractère personnel, connexion aux tiers.

Qui a besoin de TISAX ?

TISAX concerne toute organisation qui traite des informations pour un acteur de la filière automobile et à qui un donneur d’ordre demande une évaluation :

• équipementiers de rang 1, 2 et au-delà ;
• bureaux d’études, prestataires d’ingénierie et de design ;
• éditeurs de logiciels, prestataires informatiques et cloud du secteur ;
• prestataires marketing, agences, centres d’essais manipulant des prototypes.

C’est presque toujours une exigence contractuelle : un constructeur conditionne un marché à la présentation d’un résultat TISAX au niveau attendu. Le besoin est défini par le donneur d’ordre, pas par vous.

Objectifs d’évaluation et niveaux

Avant toute chose, vous définissez un périmètre (sites, activités concernées) et des objectifs d’évaluation (assessment objectives), qui dépendent de la sensibilité des informations traitées : sécurité de l’information « normale » ou « haute », protection des prototypes, protection des données personnelles.

À chaque objectif correspond un niveau d’évaluation (assessment level), qui détermine la profondeur de l’audit :

Le donneur d’ordre indique l’objectif et le niveau attendus ; c’est ce qui pilote tout le projet.

Comment se déroule une évaluation TISAX

1. Enregistrement sur le portail ENX : déclaration de votre périmètre et des objectifs d’évaluation.
2. Auto-évaluation selon le VDA ISA : vous mesurez votre maturité sur chaque exigence et constituez les preuves.
3. Audit par un prestataire agréé ENX (c’est lui, et lui seul, qui réalise l’évaluation officielle), à distance ou sur site selon le niveau.
4. Traitement des écarts : en cas de non-conformités, un plan d’action correctif est établi et vérifié.
5. Obtention et partage du label : le résultat est publié sur le portail ENX et vous choisissez avec quels partenaires le partager.

Le label TISAX est valable trois ans. Un cabinet de conseil comme SecuriTrust vous prépare à l’évaluation (diagnostic, mise à niveau, constitution des preuves) ; il ne délivre pas le label lui-même, réservé aux auditeurs agréés par ENX.

Bien se préparer : les points de vigilance

• Définir le bon périmètre : trop large, l’audit devient lourd ; trop étroit, il ne répond pas à la demande du client.
• Partir de l’existant ISO 27001 : si vous disposez déjà d’un SMSI, une grande partie des exigences VDA ISA est couverte.
• Anticiper la protection des prototypes (AL 3) : sécurité physique, cloisonnement, contrôle d’accès aux zones sensibles — ce sont souvent les exigences les plus coûteuses à mettre en place.
• Constituer les preuves au fil de l’eau, et non la veille de l’audit.
• Prévoir les délais : entre l’enregistrement, la préparation et la disponibilité d’un auditeur agréé, un projet TISAX se planifie plusieurs mois à l’avance.

Questions fréquentes

Pour aller plus loin