# TISAX：向德系与欧洲车企供货的信息安全门槛

> 如果你为大众、宝马、奔驰、博世等欧洲汽车企业提供零部件、软件、设计或数据服务，采购方很可能要求你在 ENX 平台上共享 TISAX 评估结果。

来源页面: https://assurelane.ai/frameworks/tisax/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要点速览

- 全称: Trusted Information Security Assessment Exchange
- 发布/监管方: ENX 协会运营；ENX 批准的评估服务商执行评估
- 成果: TISAX 标签（label），在 ENX 平台向指定合作方共享
- 适用对象: 汽车行业供应商与服务商，尤其处理车企敏感信息或原型件的企业
- 地区: 以德国和欧洲车企为主，全球供应链适用
- 典型周期: 已有 ISO 27001 时常见 3–6 个月；从零开始 6–12 个月
- 有效期: 标签有效期 3 年

## 关键时间线

- 2017: TISAX 机制启动
- 2023: VDA ISA 6 版发布并逐步替代 5.x 版

## TISAX 是什么？

TISAX 是德国汽车工业协会（VDA）推动、ENX 协会运营的行业机制。供应商只需接受一次评估，就可以在 ENX 平台上把结果共享给多个车企，避免被每家客户分别审核。评估依据是 **VDA ISA（信息安全评估）问卷**。

## TISAX 的评估目标是什么？

评估范围按“评估目标”确定，常见包括：

- **信息安全**：处理“高”或“非常高”保护需求的信息
- **原型保护**：处理原型件、原型车、试驾和拍摄活动
- **数据保护**：作为处理者处理个人数据（对应 GDPR 第 28 条）

## TISAX 有哪些评估等级？

| 等级 | 方式 | 适用 |
| --- | --- | --- |
| AL1 | 自评，不产生 TISAX 标签 | 较少使用 |
| AL2 | 评估服务商审查自评与证据，通常远程访谈 | 高保护需求 |
| AL3 | 评估服务商现场全面评估 | 非常高保护需求、原型保护 |

## TISAX 的流程是怎样的？

1. 在 ENX 门户注册，确定评估范围与目标
2. 按 VDA ISA 做自评与差距整改
3. 选择 ENX 批准的评估服务商，开展初始评估
4. 对发现的问题制定纠正措施计划，必要时进行纠正评估
5. 获得标签，在 ENX 平台共享给车企；3 年后重新评估

## 中国汽车供应链企业的常见难点

- 原型件的物理安保：独立区域、访问控制、拍摄和运输管理
- 与车企共享数据的研发环境隔离
- 海外车企的数据在国内团队处理时的跨境合规，参见 [中国个人信息出境](https://assurelane.ai/frameworks/china-cross-border-data/)
- 多工厂、多地点时的评估范围规划

## 常见问题

### 有了 ISO 27001，还需要 TISAX 吗？

车企通常仍要求 TISAX。好在 VDA ISA 问卷以 ISO/IEC 27001 为基础，已有体系的企业可以复用大部分工作，主要补充汽车行业特有的原型保护和数据保护要求。

### 评估等级 AL2 和 AL3 怎么选？

由要求你的车企根据信息敏感程度决定。处理“高”保护需求信息通常为 AL2（以远程或文件审查为主）；“非常高”保护需求和原型保护通常为 AL3（现场评估）。

### TISAX 结果是公开的吗？

不公开。评估结果只在 ENX 平台上由你授权共享给指定的合作方。

## 参考来源

- [ENX Association — TISAX](https://enx.com/en-US/TISAX/)
- [VDA — Information Security Assessment (ISA)](https://www.vda.de/en/topics/digitization/data/information-security)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。