Der Unterschied zwischen ISO 27001 und TISAX wird selten aus Neugier gegoogelt. Meistens liegt ein Lieferantenfragebogen auf dem Tisch, und darin steht ein Wort, das ihr nicht habt. Der Maschinenbauer mit dem frischen ISO-27001-Zertifikat bekommt von einem deutschen Automobilkunden die Frage nach seinem TISAX-Ergebnis. Der Elektronikzulieferer mit bestandener TISAX-Prüfung soll für einen Energieversorger ein ISO-Zertifikat vorweisen. Beide dachten, das Thema sei erledigt. Beide haben etwas Solides gebaut. Es beweist nur dem falschen Kunden das Falsche.
Genau da liegt der Kern, den du für die Entscheidung brauchst. ISO 27001 und TISAX sind zwei Nachweise für zwei verschiedene Adressaten, keine Konkurrenten, zwischen denen du das bessere Framework auswählst. Die bessere Frage lautet darum: Wer verlangt von dir einen Nachweis, und welchen akzeptiert er?
Der Unterschied: Zertifikat gegen geteiltes Prüfergebnis
ISO 27001 ist eine internationale Norm für Informationssicherheits-Managementsysteme. Du legst selbst fest, welcher Teil deines Unternehmens in den Geltungsbereich fällt, eine akkreditierte Zertifizierungsstelle prüft, und am Ende steht ein Zertifikat, das du jedem zeigen kannst: Kunden, Versicherern oder Behörden. Das Zertifikat läuft über drei Jahre, mit jährlichen Überwachungsaudits dazwischen. Es beantwortet die Grundfrage: Führt ihr eure Informationssicherheit systematisch, oder passiert sie einfach?
TISAX funktioniert anders, und zwar schon im Ansatz. Die Betreiberorganisation ENX nennt es einen Prüf- und Austauschmechanismus für Informationssicherheit (enx.com/tisax). Übersetzt heisst das: Am Ende steht ein standardisiertes Prüfergebnis, drei Jahre gültig, das du über die ENX-Plattform gezielt mit registrierten Teilnehmern teilst. Ein Zertifikat zum Herumzeigen gibt es dort nicht. Geprüft wird gegen den VDA-ISA-Katalog, der laut ENX auf Kernaspekten von ISO/IEC 27001 aufbaut. Den Geltungsbereich geben der Katalog und dein Standort vor. Und wie tief geprüft wird, hängt am Schutzbedarf, den dein Kunde vorgibt.
Weil der ISA-Katalog auf der ISO-Norm aufbaut, hält sich hartnäckig die Kurzformel «TISAX ist halt ISO 27001 für die Autobranche». Sie stimmt beim Inhalt zu einem guten Teil, und genau deshalb führt sie in die Irre: Sie verdeckt, dass die beiden Nachweise unterschiedlich funktionieren. Ein ISO-Zertifikat ist ein Dokument. Du hängst es an eine Mail oder legst es der Ausschreibung bei. Ein TISAX-Ergebnis verlässt die ENX-Plattform nicht. Dein Kunde bekommt kein PDF von dir, er bekommt eine Freigabe und liest den standardisierten Bericht direkt dort. Wer nur den Inhalt vergleicht, übersieht den Mechanismus, und der Mechanismus entscheidet darüber, ob dein Nachweis beim Kunden ankommt.
Der Grund für diese Konstruktion ist nüchtern: Die Automobilindustrie wollte nicht, dass jeder Hersteller jeden Lieferanten einzeln auditiert. Also hat sie sich eine gemeinsame Prüfökonomie gebaut. Einmal prüfen lassen, Ergebnis teilen, fertig. Das ist für die Branche effizient. Für dich als Zulieferer heisst es aber: Das Ergebnis lebt in dieser Plattform und ist für dieses Ökosystem gedacht. Ein Werksausweis eben, gültig für genau ein Gelände.
Warum das eine das andere nicht ersetzt
Die teure Verwechslung passiert im Einkaufsprozess, und sie passiert leise. Wenn ein Automobilkunde ein TISAX-Ergebnis verlangt und du stattdessen dein ISO-Zertifikat einreichst, sucht sein Einkauf in der Plattform nach deinem Ergebnis. Ob dein Zertifikat inhaltlich vergleichbar wäre, prüft dort niemand. Findet er keines, bist du formal nicht lieferfähig, egal wie gut dein ISMS ist. Dieser Filter läuft, bevor je ein Mensch mit dir spricht. Der Auftrag geht in einer Datenbankabfrage verloren, lange bevor es zu einer Verhandlung gekommen wäre.
In die andere Richtung gilt dasselbe. Ausserhalb der Automobilwelt kennt kaum ein Einkäufer TISAX. Ausschreibungen der öffentlichen Hand, Finanzkunden, Energieversorger und die meisten Enterprise-Fragebogen fragen nach ISO 27001. Ein TISAX-Ergebnis kannst du dort erklären, aber du erklärst es jedes Mal von Neuem, und ein erklärungsbedürftiger Nachweis ist im Einkauf ein schwacher Nachweis.
Auffällig ist, was in dieser ganzen Mechanik fehlt: der Gesetzgeber. Kein Schweizer Gesetz verlangt von einem Zulieferer ISO 27001 oder TISAX. Das ISG nimmt kritische Infrastrukturen in die Pflicht, das nDSG regelt den Umgang mit Personendaten, aber welcher Nachweis in deinem Lieferantenportal hinterlegt sein muss, bestimmt allein dein Kunde. Der Regulator, der hier über deine Aufträge entscheidet, sitzt im Einkauf deines Kunden statt in Bern. Das macht die Sache ehrlicher, als sie zunächst wirkt: Es geht bei dieser Entscheidung um Marktzugang, und sie gehört darum in die Geschäftsleitung, neben Vertrieb und Preisgestaltung, statt als lästige IT-Formalie behandelt zu werden.
Die gute Nachricht: Die Arbeit überträgt sich, auch wenn der Nachweis es nicht tut. Der ISA-Katalog baut auf ISO/IEC 27001 auf. Wer ein gelebtes ISMS betreibt, mit sauberer Risikobeurteilung und klaren Verantwortlichkeiten, hat den grössten Teil der Strecke für beide Nachweise hinter sich. In unserer Erfahrung ist der Weg von einem funktionierenden ISMS zum zusätzlichen TISAX-Ergebnis ein Zusatzprojekt von überschaubarer Grösse, kein zweiter Neuaufbau. Teuer wird es erst, wenn ein Unternehmen aus Unsicherheit zwei getrennte Programme hochzieht: zwei Dokumentationswelten und zwei Auditkalender. Das ist dieselbe Überregulierung, die wir schon bei den ISO-27001-Kosten beschrieben haben, nur verdoppelt.
Wenn der Fragebogen da ist und der Nachweis fehlt
Der häufigste Moment, in dem uns diese Frage erreicht, ist der unangenehmste: Die Kundenanfrage liegt vor, die Frist läuft, und der verlangte Nachweis existiert nicht. Der Reflex ist dann ein Zertifizierungssprint um jeden Preis, und der produziert genau die Sorte Papier-ISMS, die im ersten Überwachungsaudit auseinanderfällt.
Es gibt eine bessere Antwort, und sie ist unspektakulär: Ehrlichkeit mit Plan. Ein Einkauf, der einen Nachweis verlangt, will in den meisten Fällen vor allem eines: ein Risiko, das sich einschätzen lässt. Eine Antwort der Form «Stand heute haben wir X, die Prüfung ist für Quartal Y geplant, hier ist der Massnahmenplan mit Verantwortlichem» hält erstaunlich viele Türen offen, die ein leeres Feld im Portal sofort schliesst. Sie funktioniert allerdings nur, wenn der Plan echt ist. Ein erfundenes Datum ist bloss ein aufgeschobener Vertrauensbruch mit Ansage.
Rechne für diesen Plan in realistischen Einheiten. In unserer Erfahrung unterschätzen Firmen selten die Prüfung selbst, sondern die Vorlaufzeit davor: Ein Managementsystem muss eine Weile gelebt worden sein, bevor ein Auditor etwas Prüfbares vorfindet. Wer dem Kunden Quartale nennt statt Wochen, verspricht weniger und hält mehr.
Und bevor du diesen Plan schreibst, klär eine Vorfrage, die viele überspringen: Ob die Anforderung überhaupt so gemeint ist. Vertragsanhänge werden aus Vorlagen kopiert, und wir haben mehr als einmal erlebt, dass eine Rückfrage beim Kunden die Anforderung präzisiert oder entschärft hat. Wer nachfragt, wirkt wie jemand, der Anforderungen liest, bevor er Geld ausgibt. Das ist im Einkauf eine seltene und gern gesehene Eigenschaft.
Entscheide nach Kundenportfolio
Damit wird die Entscheidung einfacher, als die Frameworkdebatte vermuten lässt. Du musst nur dein eigenes Kundenportfolio ehrlich anschauen. Drei Situationen decken fast alle Fälle ab.
Hängen deine relevanten Kunden an der Lieferkette der deutschen Automobilhersteller, ist TISAX gesetzt. Da gibt es nichts zu optimieren und nichts zu verhandeln. Der Nachweis heisst in dieser Branche so, und dein Zugang zu Aufträgen hängt daran. Der Schutzbedarf, den dein Kunde vorgibt, bestimmt die Prüftiefe, und die Anforderung steht meistens längst in einem Vertragsanhang, den vor Jahren jemand unterschrieben hat.
Ein Detail, das dabei bares Geld wert ist: Die Prüfung setzt am Standort an. Wenn von deinen drei Werken nur eines in die Automobilkette liefert, braucht auch nur dieses eine den Nachweis. Wir sehen regelmässig Firmen, die aus Vorsicht das ganze Unternehmen in den Prüfumfang nehmen und sich damit Aufwand einkaufen, den kein Kunde je verlangt hat. Der Umfang des Nachweises ist eine Entscheidung, und sie gehört bewusst getroffen.
Verkaufst du dagegen breit, an Industrie, Energie, Gesundheit, Finanz oder die öffentliche Hand, dann ist ISO 27001 der Nachweis, der überall etwas sagt. Er öffnet keine Tür von allein, verstanden wird er aber fast überall. Für Schweizer KMU mit gemischtem Kundenstamm ist das in unserer Erfahrung der häufigere Fall.
Und wenn beide Welten bei dir einkaufen: Bau ein einziges ISMS und weise es zweimal nach: ein Managementsystem als Fundament, darauf die ISA-spezifischen Lücken schliessen, und beide Prüfungen bedienen sich aus demselben System. Fang dabei nur nicht mit dem Label an. Erst messen, wo ihr steht, dann entscheiden, was darauf gebaut wird. Warum diese Reihenfolge Geld spart, haben wir im Beitrag Security Assessment vor ISO 27001 ausgeführt, und sie gilt für TISAX genauso.
Bleibt der vierte Fall, über den selten geschrieben wird: Niemand fragt. Dann ist die richtige Menge an Label womöglich null. Ein ISMS kannst du betreiben, ohne es je zertifizieren zu lassen, und für viele Betriebe ist das jahrelang die vernünftigste Stufe. Der Nachweis wird dann relevant, wenn ein Kunde ihn verlangt, und wer sein System bereits führt, rüstet den Nachweis nach, statt unter Fristdruck ein Programm aus dem Boden zu stampfen.
Falls gerade ein Fragebogen bei dir liegt und du nicht sicher bist, welcher Nachweis für euer Kundenportfolio der richtige ist: Genau solche Einordnungen machen wir im ISMS-Aufbau, bevor irgendetwas gebaut wird. Ein Erstgespräch dazu ist unverbindlich.
Die Entscheidung in drei Sätzen
- Wer in die Automobil-Lieferkette verkauft, braucht TISAX, weil der Einkauf dort nur dieses Ergebnis liest.
- Wer breit verkauft, fährt mit ISO 27001 besser, weil das Zertifikat jedem Kunden etwas sagt.
- Wer beides braucht, baut ein ISMS und weist es zweimal nach, statt zwei Programme zu bezahlen.
Bleibt eine Frage, die du heute in zwanzig Minuten klären kannst und die den ganzen Entscheid vorwegnimmt: Welche Nachweise verlangen die Lieferantenportale deiner fünf wichtigsten Kunden heute schon?
