¶ TISAX Assessment Level 1, 2 und 3
Beispieldokument: Diese Seite erläutert die Prüfintensität der TISAX Assessment Level. Sie ersetzt weder die Auswahl und Registrierung der konkreten Prüfziele noch die Abstimmung mit dem Auftraggeber, ENX und einem zugelassenen TISAX-Prüfdienstleister.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | TISAX-HB-02 |
| Dokumentenart | Lesehilfe / Assessmentverfahren |
| Wiki.js-Pfad | /ISMS/06-TISAX/TISAX-Assessment-Level-1-2-3 |
| Verantwortlich | TISAX-Koordination |
| Fachlich geprüft durch | ISMS-Beauftragte/r |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf |
| Version | 0.1 |
| Stand | 07.08.2026 |
| Nächste Prüfung | Vor jeder Assessmentbestellung und bei Änderung des TISAX-Teilnehmerhandbuchs |
| Schutzklasse | Intern |
| Fachliche Grundlage | ENX TISAX-Teilnehmerhandbuch, Version 2.8 vom 13.03.2025; geprüft am 07.08.2026 |
AL1, AL2 und AL3 unterscheiden sich durch die Tiefe und Methode der Prüfung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Kurzüberblick
| Assessment Level | Zweck und Prüfmethode | Nachweise | Gespräche / Ort | Ergebnisbedeutung |
|---|---|---|---|---|
| AL1 | Vollständigkeit der Selbsteinschätzung; keine inhaltliche Prüfung | keine zusätzlichen Nachweise erforderlich | keine Interviews, keine Vor-Ort-Prüfung | vor allem interne Vorbereitung; AL1-Ergebnisse werden in TISAX nicht verwendet |
| AL2 | Plausibilitätsprüfung der Selbsteinschätzung für alle Standorte im Assessment Scope | ausgewählte Dokumente und Nachweise werden geprüft | Interview mit der Gesamtverantwortung für Informationssicherheit in der Regel per Webkonferenz; auf Wunsch vor Ort | Prüfintensität für TISAX-Prüfziele mit hohem Schutzbedarf |
| AL3 | umfassende Verifizierung der Erfüllung aller einschlägigen Anforderungen | eingehende Prüfung von Dokumenten und Nachweisen | geplante und ungeplante Interviews, Beobachtung von Prozessen und örtlichen Gegebenheiten; grundsätzlich vor Ort | Prüfintensität für TISAX-Prüfziele mit sehr hohem Schutzbedarf und bestimmte weitere Prüfziele |
Merksatz: Das Assessment Level beschreibt die Prüfmethode und Prüftiefe. Es ist kein frei wählbarer Ersatz für das konkrete TISAX-Prüfziel.
¶ 2. Was bestimmt das Assessment Level?
Bei der TISAX-Registrierung wird grundsätzlich ein Prüfziel festgelegt. Das Prüfziel bestimmt:
- den maßgeblichen ISA-Kriterienkatalog,
- die zu beantwortenden Kontrollfragen,
- die zu erfüllenden Anforderungen,
- den Schutzbedarf,
- das daraus folgende Assessment Level.
Ein Assessment Level allein reicht deshalb nicht aus. Erforderlich ist mindestens die Kombination aus Kriterienkatalog beziehungsweise Prüfziel und Assessment Level. Vorgaben des Kunden oder Auftraggebers sind vor der Registrierung schriftlich zu klären.
¶ 3. Assessment Level 1 – Selbsteinschätzung
AL1 dient vor allem internen Zwecken und der Vorbereitung:
- Die Organisation bearbeitet die für sie maßgebliche ISA-Selbsteinschätzung vollständig.
- Gegebenenfalls wird nur geprüft, ob eine vollständige Selbsteinschätzung vorliegt.
- Der Inhalt wird nicht verifiziert.
- Es werden keine zusätzlichen Nachweise verlangt.
- Interviews und eine Vor-Ort-Prüfung sind nicht Bestandteil von AL1.
Da die Vertrauensstufe niedrig ist, werden AL1-Ergebnisse nicht als TISAX-Prüfergebnis verwendet. Ein Kunde kann die Selbsteinschätzung dennoch außerhalb des TISAX-Austauschmechanismus anfordern.
Sinnvolle Nutzung im Unternehmen:
- erste Standortbestimmung,
- Gap-Analyse und Maßnahmenplanung,
- Vorbereitung auf AL2 oder AL3,
- Abstimmung von Verantwortlichkeiten und Nachweisen,
- Managemententscheidung über die Assessmentreife.
¶ 4. Assessment Level 2 – Plausibilitätsprüfung, meist remote
AL2 ist keine reine Dokumentenabgabe. Der Prüfdienstleister prüft die Plausibilität der Selbsteinschätzung und stützt dies durch ausgewählte Nachweise sowie ein Interview mit der Gesamtverantwortung für Informationssicherheit ab.
¶ Typischer Ablauf eines AL2-Assessments
| Schritt | Tätigkeit | Ergebnis |
|---|---|---|
| 1 | Prüfziele, Assessment Scope, Standorte, Ansprechpartner und Termine mit dem Prüfdienstleister bestätigen | abgestimmter Prüfauftrag |
| 2 | vollständige ISA-Selbsteinschätzung und vereinbarte Dokumente sicher bereitstellen | prüfbare Unterlagenbasis |
| 3 | Prüfdienstleister führt die Plausibilitätsprüfung für alle Standorte im Scope durch | Rückfragen und Stichprobenbedarf |
| 4 | Remote-Interview beziehungsweise Webkonferenz durchführen | Erläuterung der Umsetzung und der Nachweise |
| 5 | Feststellungen, Abweichungen und Verbesserungspotenziale in der Abschlussbesprechung erläutern | gemeinsames Verständnis der Ergebnisse |
| 6 | erforderlichen Maßnahmenplan erstellen und fristgerecht einreichen | Verantwortlichkeiten, Maßnahmen und Termine |
| 7 | Umsetzung nachweisen und erforderliche Follow-up-Prüfung durchführen | Schließung der Feststellungen beziehungsweise abschließendes Prüfergebnis |
Wichtig: Das Standardverfahren in AL2 ist eine Plausibilitätsprüfung. Der Auditor überprüft nicht jede Anforderung vollständig. Das Interview wird normalerweise per Webkonferenz durchgeführt. Auf Wunsch kann es persönlich stattfinden. Nachweise, die nicht übermittelt werden sollen, können auf Antrag bei einer Vor-Ort-Prüfung eingesehen werden.
¶ Kontrollierte Bereitstellung der Dokumente
Vor der Übermittlung wird festgelegt:
- welche Unterlagen und Nachweise benötigt werden,
- welcher sichere Übertragungs- oder Datenraum verwendet wird,
- welche Personen auf die Unterlagen zugreifen dürfen,
- wie besonders schutzbedürftige Inhalte gekennzeichnet oder geschwärzt werden,
- ob Nachweise ausschließlich vor Ort eingesehen werden dürfen,
- wann bereitgestellte Kopien gelöscht oder Zugriffsrechte entzogen werden.
Die zentrale Zuordnung erfolgt über das Nachweisregister. Abweichungen und Maßnahmen werden im Maßnahmen- und Umsetzungsregister gesteuert.
¶ 5. Option AL2,5 – vollständige Fernprüfung
Das ENX-Teilnehmerhandbuch beschreibt eine optionale Methode, die häufig als AL2,5 bezeichnet wird. Sie ist formal kein viertes Assessment Level:
- Der Auditor führt eine vollständige Fernprüfung statt nur einer Plausibilitätsprüfung durch.
- Die für AL3 erforderlichen Vor-Ort-Aktivitäten fehlen.
- Das Ergebnis wird formal weiterhin wie AL2 bewertet; der Unterschied ist für den Empfänger des Prüfergebnisses nicht sichtbar.
- Ein späteres Upgrade auf AL3 kann durch Nachholung der Vor-Ort-Aktivitäten mit überschaubarerem Aufwand möglich sein.
Diese Variante kann sinnvoll sein, wenn heute nur AL2 benötigt wird, für spätere Kundenanforderungen jedoch AL3 wahrscheinlich ist. Sie ist mit dem Prüfdienstleister ausdrücklich zu vereinbaren.
¶ 6. Assessment Level 3 – umfassende Verifizierung
AL3 ist die vertiefte Prüfung. Der Prüfdienstleister verwendet die Selbsteinschätzung und die eingereichten Unterlagen zur Vorbereitung und verifiziert anschließend die Umsetzung umfassend. Dazu gehören:
- eingehende Prüfung von Dokumenten und Nachweisen,
- geplante Interviews mit Prozessverantwortlichen,
- Betrachtung der örtlichen Gegebenheiten,
- Beobachtung der tatsächlichen Prozessdurchführung,
- ungeplante Interviews mit Prozessbeteiligten.
AL3 findet grundsätzlich am Standort beziehungsweise an den Standorten im Assessment Scope statt. Eine videogestützte Fernprüfung der Vor-Ort-Aktivitäten ist nach dem Teilnehmerhandbuch nur in begründeten Situationen vorgesehen. Sie wird als Nebenabweichung dokumentiert; die noch ausstehenden Vor-Ort-Aktivitäten müssen später in einer Follow-up-Prüfung nachgeholt werden.
¶ 7. AL3 ist auch ohne Prototypenschutz möglich
Prototypenschutz ist keine Voraussetzung für AL3. Entscheidend ist das registrierte Prüfziel.
| AL3 ohne Prototypenschutz | AL3 mit Prototypenschutz | Weitere AL3-Konstellation |
|---|---|---|
| Strictly confidential – sehr hoher Schutzbedarf der Vertraulichkeit | Proto parts – Schutz von Prototypenbauteilen und -komponenten | Special data – Datenschutz als Auftragsverarbeiter mit besonderen Kategorien personenbezogener Daten |
| Very high availability – sehr hoher Schutzbedarf der Verfügbarkeit | Proto vehicles – Schutz von Prototypenfahrzeugen | Kombination mehrerer registrierter Prüfziele möglich |
Auch innerhalb des Prototypenschutzes führt nicht jedes Prüfziel zu AL3: Test vehicles und Proto events sind nach der aktuellen Zuordnung AL2-Prüfziele. Deshalb werden Prototypenschutz, Informationssicherheit, Datenschutz und Assessment Level getrennt festgelegt und anschließend zu einem Assessment Scope zusammengeführt.
¶ 8. Aktuelle Zuordnung der Prüfziele
Die folgende Übersicht gibt die im ENX-Teilnehmerhandbuch Version 2.8 aufgeführte Zuordnung wieder. Die früheren Prüfziele „Info high“ und „Info very high“ sind seit 1. April 2024 durch die neueren Vertraulichkeitsziele ersetzt und werden hier nicht als neu auswählbare Prüfziele geführt.
| Assessment Level | Prüfziele |
|---|---|
| AL2 | Confidential; High availability; Test vehicles; Proto events; Data |
| AL3 | Strictly confidential; Very high availability; Proto parts; Proto vehicles; Special data |
Vor jeder Beauftragung sind die aktuellen Prüfziele im ENX-Portal, die Kundenanforderung und die gültige Dokumentation erneut zu prüfen.
¶ 9. AL2 und AL3 im direkten Vergleich
| Merkmal | AL2 | AL3 |
|---|---|---|
| Prüfziel / Schutzbedarf | Prüfziele mit zugeordnetem AL2 | Prüfziele mit zugeordnetem AL3 |
| Selbsteinschätzung | vollständig erforderlich | vollständig erforderlich |
| Prüfung der Nachweise | Plausibilitätsprüfung | eingehende Verifizierung |
| Interview | grundsätzlich Webkonferenz | persönlich und vor Ort |
| Prozessbeobachtung | nicht regulärer Bestandteil | Bestandteil der Prüfung |
| Standortbegehung | auf Wunsch beziehungsweise für zurückgehaltene Nachweise | regulär erforderlich |
| Upgrade | normales AL2 ist methodisch nicht ohne Weiteres auf AL3 anrechenbar | umfasst die niedrigeren Assessment Level |
Ein normales AL2-Assessment kann nicht einfach in AL3 umgewandelt werden. Da AL2 nur die Plausibilität prüft, ist der Aufwand für ein späteres AL3 im Wesentlichen mit einer neuen Erstprüfung vergleichbar. Die optionale AL2,5-Methode ist hiervon zu unterscheiden.
¶ 10. Vorbereitung der Unterlagen
Vor AL2 oder AL3 sollten mindestens bereitstehen:
- bestätigte Prüfziele, Assessment Scope, Scope-ID und Standorte,
- vollständige und aktuelle ISA-Selbsteinschätzung,
- eindeutige Umsetzungsbeschreibungen je Kontrollfrage,
- freigegebene Richtlinien und Verfahrensanweisungen,
- objektive Nachweise mit ID, Zeitraum, Owner und Ablageort,
- aktuelle Risiko-, Asset-, Berechtigungs-, Lieferanten- und Schulungsnachweise,
- Nachweise zu internen Audits, Managementbewertung und Wirksamkeitskontrollen,
- Liste offener Abweichungen mit Ursachen, Maßnahmen, Verantwortlichkeiten und Terminen,
- Regelung für sichere Bereitstellung, Zugriff und Löschung der Prüfunterlagen.
¶ 11. Umgang mit Feststellungen und Abweichungen
- Feststellung und betroffene ISA-Kontrollfrage eindeutig erfassen.
- Bewertung des Prüfdienstleisters und erforderliche Frist bestätigen.
- Ursache und Auswirkung analysieren.
- Korrektur sowie nachhaltige Korrekturmaßnahme planen.
- Verantwortliche Person und realistischen Termin festlegen.
- Umsetzungsnachweise kontrolliert bereitstellen.
- Wirksamkeit intern prüfen.
- Maßnahmenplanprüfung oder Follow-up-Prüfung mit dem Prüfdienstleister abschließen.
Ein Remote-Meeting dient nicht nur der Sammlung allgemeiner Verbesserungsideen. Feststellungen müssen so besprochen werden, dass Anforderung, Bewertung, Nachweisbedarf, Verantwortlichkeit und weitere Prüfungsschritte eindeutig verstanden sind.
¶ 12. Häufige Missverständnisse
| Missverständnis | Richtigstellung |
|---|---|
| „AL1 ist ein anerkanntes TISAX-Ergebnis.“ | Nein. AL1 dient hauptsächlich internen Zwecken; das Ergebnis wird in TISAX nicht verwendet. |
| „AL2 ist nur eine Dokumentenprüfung.“ | Nein. Zur Plausibilitätsprüfung gehören ausgewählte Nachweise und grundsätzlich ein Interview per Webkonferenz. |
| „Remote bedeutet, dass keine vertraulichen Nachweise benötigt werden.“ | Nein. Die Art der sicheren Einsicht wird abgestimmt; auf Wunsch kann eine Vor-Ort-Einsicht erfolgen. |
| „AL3 setzt Prototypenschutz voraus.“ | Nein. Mehrere Informationssicherheits- und Datenschutzprüfziele führen auch ohne Prototypenschutz zu AL3. |
| „Prototypenschutz ist immer AL3.“ | Nein. Proto parts und Proto vehicles sind AL3; Test vehicles und Proto events sind AL2. |
| „Ein AL2-Ergebnis kann einfach zu AL3 hochgestuft werden.“ | Nein. Das normale AL2 prüft nur Plausibilität; AL2,5 ist eine gesondert zu vereinbarende Alternative. |
¶ 13. Zuständigkeiten
| Aufgabe | Verantwortung |
|---|---|
| Kundenanforderung und Prüfziele klären | Vertrieb / TISAX-Koordination |
| Assessment Scope, Standorte und Registrierung bestätigen | TISAX-Koordination / Geschäftsführung |
| ISA-Selbsteinschätzung koordinieren | TISAX-Koordination / Kapitelverantwortliche |
| Dokumente und Nachweise freigeben | Dokumenten-Owner / Information Owner |
| Sichere Bereitstellung organisieren | TISAX-Koordination / IT / Datenschutz |
| Interviews vorbereiten und durchführen | Gesamtverantwortung Informationssicherheit / Prozessverantwortliche |
| Feststellungen und Maßnahmen steuern | Maßnahmenverantwortliche / ISMS-Beauftragte/r |
| Assessmentreife und Restrisiken bewerten | Geschäftsführung |
¶ 14. Mitgeltende Seiten
- TISAX-Anforderungsstufen und Schutzbedarf
- VDA-ISA-Selbsteinschätzung
- Maßnahmenplan und Reifegrad
- Prototypenschutz
- Datenschutz im TISAX-Kontext
- Geltungsbereich und Standorte
- Nachweisregister
- Maßnahmen- und Umsetzungsregister
¶ 15. Offizielle Quelle
Die englische Fassung ist nach dem Teilnehmerhandbuch die führende Version. Vor der betrieblichen Nutzung sind die aktuelle ENX-Fassung, die registrierten Prüfziele und die Vorgaben des ausgewählten TISAX-Prüfdienstleisters zu bestätigen.
¶ 16. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 07.08.2026 | Erstfassung zu AL1, AL2, AL2,5 und AL3; Remote-Ablauf, Vor-Ort-Verifizierung sowie Abgrenzung von Prototypenschutz und Schutzbedarf ergänzt | TISAX-Koordination | Ausstehend | – |