Compliance für Automotive: TISAX®, NIS2 & Datenschutz für Zulieferer
Ihre OEM- und Tier-1-Kunden fragen nach Nachweisen zu Informationssicherheit, Datenschutz und KI-Einsatz. Wir unterstützen Sie dabei, diese Anforderungen zu ordnen und belastbar zu erfüllen: mit Software und persönlichem Service.
Für Zulieferer und Dienstleister im Automotive-Umfeld. Damit Ihr Team sich auf Entwicklung und Serienfertigung konzentrieren kann, statt auf die nächste Sicherheitsabfrage.
Welche Compliance-Pflichten haben Automobilzulieferer?
Gesetzliche Pflicht und Kundenanforderung sind nicht dasselbe. Diese Übersicht hilft bei der ersten Einordnung.
Automobilzulieferer verarbeiten personenbezogene Daten und müssen sie nach der DSGVO schützen. Je nach Größe und Tätigkeit kommen Informationssicherheit (NIS2), KI-Pflichten und Hinweisgeberschutz hinzu. Entscheidend ist, was für Ihr Unternehmen konkret gilt.
Anforderungen nach TISAX® sind dabei meist keine gesetzliche Pflicht, sondern eine Kundenanforderung. OEM- und Tier-1-Kunden verlangen den Nachweis häufig vertraglich. Das gilt in ähnlicher Weise für ISO 27001.
Ihr Alltag in der Zulieferkette
Ihre Kunden wollen wissen, ob Entwicklungsdaten, Zugänge und Prozesse bei Ihnen in guten Händen sind. Diese Fragen kommen nicht erst beim Audit, sondern schon im Projekt.
Vier Themen. Ein klarer Weg für Ihr Automotive-Unternehmen.
Sie bekommen Software und persönlichen Service zusammen. Wir klären, was Sie brauchen, und begleiten die Umsetzung im Alltag.
Datenschutz & DSGVO
Kundendaten und Entwicklungsdaten verantwortungsvoll verarbeiten.
- Externer Datenschutzbeauftragter
- Verarbeitungsverzeichnis, AV-Verträge und TOMs
- DSFA und Datenpannen-Management
- Schulungen und Unterstützung bei Betroffenenanfragen
Ein DSB ist in der Regel ab mindestens 20 ständig automatisiert datenverarbeitenden Personen nötig (§ 38 BDSG). Weitere gesetzliche Auslöser sind möglich.
Informationssicherheit
Wir helfen Ihnen, OEM- und Konzernanforderungen zu verstehen und belastbare Nachweise aufzubauen.
- Vorbereitung auf ein Assessment nach TISAX® und ISO-27001-Anforderungen
- Sicherheitsprozesse und Dokumentation aufbauen
- Kundenfragebögen und OEM-Audits strukturiert vorbereiten
- NIS2-Anforderungen in der Lieferkette einordnen
ISO 27001 und TISAX sind häufig Kundenanforderungen. NIS2 kann direkt oder über Kundenverträge relevant sein – die Betroffenheit muss geprüft werden.
KI-Governance
KI im Engineering und Projektalltag bewusst einsetzen.
- KI-Schulung für Ihr Team und passende KI-Richtlinie
- KI-Anwendungen und ihre Risiken klassifizieren
- Datenschutzprüfung beim Einsatz von KI-Tools
- Freigaben und Zuständigkeiten nachvollziehbar regeln
Die Pflichten hängen von Rolle und konkreter KI-Anwendung ab. Kompetenz und Transparenz werden getrennt geprüft.
Hinweisgeberschutz
Interne Meldestelle mit klarem Prozess.
- Interne Meldestelle extern einrichten und betreiben
- Meldungen vertraulich entgegennehmen und bearbeiten
- Fristen und Folgemaßnahmen strukturiert begleiten
- Bearbeitung nachvollziehbar dokumentieren
Unternehmen mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten (§ 12 HinSchG). Gesetzliche Sonderfälle sind zu beachten.
TISAX® im Überblick
TISAX® (Trusted Information Security Assessment Exchange) ist der Informationssicherheits-Standard der Automobilindustrie. Grundlage ist der VDA-ISA-Fragenkatalog, betrieben wird das Verfahren von der ENX Association. Das Ergebnis ist ein Label im ENX-Portal, das Ihre Kunden einsehen können.
Es gibt drei Assessment-Level: AL1 ist eine reine Selbsteinschätzung und führt zu keinem Label. AL2 ist eine Plausibilitätsprüfung durch einen ENX-anerkannten Auditdienstleister, AL3 eine Prüfung vor Ort für den höchsten Schutzbedarf.
Welches Level gilt, legt Ihr Kunde fest.
AL1 - Selbsteinschätzung
Reine Selbsteinschätzung. Führt zu keinem Label.
Kein Label
AL2 - Plausibilitätsprüfung
Prüfung durch einen ENX-anerkannten Auditdienstleister.
Label im ENX-Portal
AL3 - Prüfung vor Ort
Für den höchsten Schutzbedarf.
Label im ENX-Portal
Vom ersten Gespräch bis in den laufenden Betrieb der Automobilindustrie.
Kein zusätzlicher Ordner, der liegen bleibt. Sondern ein strukturierter Weg, den Ihre Agentur mitgehen kann.
Compliance, die für Sie wichtig ist und im Alltag funktioniert
Wir schnüren passgenaue Leistungspakete abgestimmt auf Ihre Betriebsgröße, Ihre Prozesse und Ihre Ziele. Gemeinsam setzen wir Datenschutz, Informationssicherheit, Hinweisgeberschutz und KI-Governance so um, dass sie rechtssicher, verständlich und im Tagesgeschäft praktikabel sind.
Was verlangt Ihr OEM, und was ist Pflicht?
FAQ: Häufige Fragen zu Compliance im Automotive
Anforderungen nach TISAX® basieren auf dem VDA-ISA-Fragenkatalog. Dieser baut auf ISO 27001 auf und ergänzt automobilspezifische Anforderungen, etwa zum Schutz von Prototypen und zum Datenschutz (ISMS Lite). Ein ISMS nach ISO 27001 ist daher eine gute Grundlage, ersetzt aber nicht die gezielte Prüfung der Anforderungen nach TISAX®.
Das bestimmt in erster Linie Ihr Kunde. Viele Hersteller und Zulieferer verlangen ein gültiges Label nach TISAX® (VamiSec). Welche Nachweise gefordert sind, steht in Ihren Kundenanfragen und Verträgen. Klären Sie das zuerst.
Anforderungen nach TISAX® sind keine gesetzliche Pflicht. In der Praxis werden sie aber häufig von OEMs und Tier-1-Kunden verlangt. Ob und in welchem Assessment-Level, legt Ihr Kunde fest. Ein Label nach AL1 gibt es nicht, nur AL2 und AL3 führen zu einem Label im ENX-Portal (secjur).
Die Herstellung von Kraftfahrzeugen, Anhängern und Sattelanhängern zählt zu den Sektoren der NIS-2-Richtlinie (CloudSoul). Ob Ihr Unternehmen direkt betroffen ist, hängt von Größe und Tätigkeit ab. Als Orientierung gelten Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mindestens 10 Millionen Euro. Unabhängig davon geben Kunden NIS-2-Anforderungen oft vertraglich an Zulieferer weiter. Diese Lieferkettenanforderungen sind von einer direkten Betroffenheit zu unterscheiden.
Starten Sie mit einer Bestandsaufnahme: Welche Anforderungen stellt Ihr Kunde, und wo stehen Sie im Vergleich zum VDA-ISA-Fragenkatalog? Danach schließen Sie die Lücken bei Richtlinien, Prozessbeschreibungen und Nachweisen wie Logfiles und Screenshots (secjur). Legen Sie Verantwortlichkeiten fest und ordnen Sie die Nachweise so ab, dass Sie sie bei Anfragen schnell finden.
Verarbeiten Sie personenbezogene Daten im Auftrag eines Kunden oder setzen Sie Dienstleister mit Zugriff auf Daten ein, ist in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig. Dazu kommen ein Verarbeitungsverzeichnis und technische und organisatorische Maßnahmen (TOMs). Ob Sie Auftragsverarbeiter oder Verantwortlicher sind, muss für die konkrete Tätigkeit geprüft werden.
Relevant sind vor allem ausreichende KI-Kompetenz der Mitarbeitenden (Art. 4 KI-VO) und gegebenenfalls Transparenzpflichten (Art. 50 KI-VO). Nicht jede Nutzung eines KI-Tools macht Ihr Unternehmen zum Anbieter eines Hochrisiko-KI-Systems. Außerdem sind Freigaben, Datenschutz und der Umgang mit Kundeninformationen zu klären.
