TISAX: Kostenbandbreite nach Unternehmensgröße
Für TISAX gibt es kein öffentliches Mengengerüst. Die Werte sind aus Aufwänden vergleichbarer Assessments abgeleitet und dienen der Größenordnung, nicht der Angebotsprüfung. Gerechnet mit marktüblichen Tagessätzen von 1.000 bis 1.600 Euro für Audits und 900 bis 1.400 Euro für Beratung. Angenommen sind ein Standort, mittlere Komplexität und ein Unternehmen, das bereits teilweise vorbereitet ist. Alle Beträge netto.
| Ausgangslage | Audittage | Erstaudit | Beratung | 3 Jahre gesamt |
|---|---|---|---|---|
| Kleinbetrieb8 Mitarbeitende | 2 | 3.000–4.200 € | 5.400–8.400 € | 11.080–16.888 € |
| Kleines Unternehmen20 Mitarbeitende | 3 | 4.000–5.800 € | 5.400–8.400 € | 13.420–20.632 € |
| Mittelstand60 Mitarbeitende | 5 | 6.000–9.000 € | 5.400–8.400 € | 18.100–28.120 € |
| Größerer Mittelstand150 Mitarbeitende | 8 | 9.000–13.800 € | 5.400–8.400 € | 25.120–39.352 € |
TISAX folgt einer anderen Kostenlogik als ISO-Zertifizierungen. Es gibt keine Audittage-Tabelle nach IAF MD 5, weil TISAX kein akkreditiertes Zertifizierungsverfahren ist, sondern ein Prüf- und Austauschverfahren der Automobilindustrie über die ENX Association.
Die Tabelle oben rechnet daher mit den Parametern, die der Rechner für vergleichbare Informationssicherheitsprüfungen ansetzt. Sie gibt die Größenordnung wieder — verbindlich ist allein das Angebot eines zugelassenen Prüfdienstleisters.
Die drei Posten
1. Registrierung bei der ENX Association. Eine Gebühr, die sich nach Unternehmensgröße und Zahl der einbezogenen Standorte richtet. Sie ist der kleinste, aber unvermeidbare Posten und fällt vor dem Assessment an.
2. Das Assessment. Durchgeführt von einem von der ENX zugelassenen Prüfdienstleister. Der Preis hängt ab von:
- dem Assessment-Level (AL 2 oder AL 3),
- den Prüfzielen (Informationssicherheit, zusätzlich Prototypenschutz, zusätzlich personenbezogene Daten),
- der Zahl der Standorte,
- dem Umfang des Geltungsbereichs.
3. Die interne Vorbereitung. Der in der Regel größte Posten — vor allem bei Unternehmen ohne bestehendes ISMS. Er umfasst die Selbsteinschätzung nach VDA ISA, das Schließen der festgestellten Lücken und die technische wie bauliche Umsetzung.
TISAX ist keine Zertifizierung, und das hat Folgen
Der Sprachgebrauch führt in die Irre. Das Verfahren endet nicht mit einem Zertifikat, sondern mit einem Label auf der ENX-Plattform. Es gibt keine akkreditierte Zertifizierungsstelle, sondern einen von der ENX zugelassenen Prüfdienstleister. Und es gibt kein Mengengerüst wie IAF MD 5, an dem Sie ein Angebot gegenrechnen könnten.
Für die Kalkulation heißt das zweierlei. Erstens sind die Angebote der Prüfdienstleister untereinander weniger vergleichbar als bei einer ISO-Zertifizierung, weil die gemeinsame Bemessungsgrundlage fehlt. Sie müssen den Umfang deshalb selbst vorgeben: Standorte, Prüfziele, Zahl der einbezogenen Beschäftigten, gewünschtes Level — und zwar allen Anbietern identisch. Zweitens ist der Werbeauftritt eingeschränkt: Formulierungen wie eine TISAX-Zertifizierung sind sachlich falsch und in den Nutzungsbedingungen nicht vorgesehen. Wer das auf der Website führt, bekommt es früher oder später vom Auftraggeber zurückgespielt.
Ein dritter Unterschied betrifft die Sichtbarkeit. Das Ergebnis ist nicht öffentlich einsehbar, Sie geben es gezielt an einzelne Partner frei. Für die Kosten spielt das keine Rolle, für den Nutzen sehr wohl: Ein Label, das niemand angefordert hat, bringt keinen Auftrag.
Der Scope entscheidet, ob Ihr Kunde das Ergebnis anerkennt
Der Prüfumfang lässt sich als Standardumfang führen oder individuell zuschneiden. Dieser Unterschied ist der wichtigste Kostenhebel des Verfahrens und zugleich das größte Risiko.
Ein eng zugeschnittener Umfang senkt den Prüfaufwand. Er kann aber dazu führen, dass Ihr Auftraggeber ihn nicht akzeptiert, weil er den Bereich nicht abdeckt, in dem seine Daten verarbeitet werden. Dann haben Sie das Verfahren bezahlt und stehen wieder am Anfang. Einen zusätzlichen Standort oder eine weitere Abteilung nachträglich einzubeziehen, bedeutet ein erneutes Assessment für diesen Teil — keine Ergänzung auf dem Papier.
Die praktische Konsequenz: Lassen Sie sich vom Auftraggeber schriftlich geben, welches Level, welche Prüfziele und welchen Umfang er erwartet, bevor Sie beim Prüfdienstleister anfragen. Diese eine Nachricht ist der wirksamste Kostenhebel im gesamten Projekt. Wie sich die Angebote danach vergleichbar machen lassen, steht unter Angebote vergleichen.
Was den Preis nach oben treibt
| Faktor | Wirkung |
|---|---|
| Assessment-Level 3 statt 2 | Vor-Ort-Prüfung, deutlich höhere Nachweistiefe |
| Prüfziel Prototypenschutz | Zusätzliche Anforderungen an Gelände, Zutritt, Geräte |
| Mehrere Standorte | Jeder Standort wird einzeln bewertet |
| Kein bestehendes ISMS | Die Vorbereitung dominiert die Gesamtrechnung |
| Enge Terminvorgabe des Kunden | Mehr externe Unterstützung, weniger interne Verteilung |
| Nachbewertung nach Abweichungen | Zusätzlicher Prüfaufwand |
Wo sich sparen lässt
Das Level nicht überschätzen. Klären Sie schriftlich mit dem Auftraggeber, welches Level und welche Prüfziele tatsächlich verlangt werden. Ein AL 3 ohne Notwendigkeit ist teuer.
Den Geltungsbereich präzise schneiden. Nur die Standorte und Bereiche einbeziehen, die tatsächlich mit den geschützten Informationen umgehen.
Bestehende Substanz nutzen. Wer nach ISO 27001 zertifiziert ist, hat den Großteil der inhaltlichen Arbeit hinter sich.
Die Selbsteinschätzung ehrlich ausfüllen. Ein geschönter Reifegrad kostet im Assessment Zeit — und Zeit ist hier der Preistreiber.
Prototypenschutz früh angehen. Bauliche Maßnahmen brauchen Vorlauf. Wer sie erst bemerkt, wenn der Prüfer im Haus ist, verliert einen kompletten Prüfdurchgang.
Der Ablauf und die Frist, die das Verfahren neu startet
- Registrierung bei der ENX und Anlegen des Unternehmens samt Standorten.
- Umfang und Prüfziele festlegen, abgeleitet aus der Anforderung des Auftraggebers.
- Selbsteinschätzung nach dem VDA-ISA-Katalog. Bewertet wird je Anforderung ein Reifegrad.
- Lücken schließen. Der eigentliche Aufwand.
- Assessment durch den Prüfdienstleister, je nach Level als Prüfung der plausibilisierten Selbsteinschätzung oder als Vor-Ort-Prüfung.
- Maßnahmenplan bei Abweichungen und Nachbewertung.
- Label und Freigabe an die Partner, die es angefordert haben.
Der kritische Punkt ist Schritt sechs. Für die Abarbeitung von Abweichungen und die Nachbewertung sieht das Verfahren ein festes Zeitfenster vor. Wird es überschritten, lässt sich das Assessment nicht fortführen und beginnt von vorn — mit erneuter Prüfgebühr. Das trifft vor allem Betriebe, deren Abweichungen bauliche oder organisatorische Maßnahmen erfordern, die intern erst budgetiert werden müssen. Klären Sie die geltende Frist beim Prüfdienstleister, bevor Sie den Termin legen, und rechnen Sie Beschaffungszeiten mit ein.
Die Feststellungen, die im Assessment Geld kosten
Der Reifegrad ist zu hoch angesetzt. Die Selbsteinschätzung bewertet, wie weit ein Prozess etabliert ist. Ein Verfahren, das beschrieben, aber nicht durchgängig angewendet wird, erfüllt den beanspruchten Reifegrad nicht. Prüfer erkennen das an fehlenden Aufzeichnungen, und jede Korrektur nach unten verlängert das Assessment.
Informationen sind nicht klassifiziert. Ohne eine gelebte Einstufung lässt sich nicht belegen, dass die schützenswerten Daten des Auftraggebers anders behandelt werden als der Rest. Bei Erstteilnehmern ist das die häufigste Lücke.
Die Lieferkette fehlt. Wer Teile der Leistung an Unterauftragnehmer gibt, muss sie einbeziehen. Konstruktionsbüros, Werkzeugbauer, externe IT-Dienstleister und Übersetzungsbüros sehen Daten, für die Sie geradestehen.
Prototypenschutz ist geplant, nicht gebaut. Abgetrennte Bereiche, Zutrittsregelungen, Vorgaben zu Kameras und Mobilgeräten, Transportregelungen — das sind Investitionen mit Lieferzeiten. Wer damit erst nach dem Assessment beginnt, verliert den Termin.
Mobile Arbeit ist ungeregelt. Wenn Beschäftigte außerhalb des Standorts mit geschützten Daten arbeiten, gehört das in den Umfang. Ein Umfang, der an der Werkstür endet, während die Konstruktion aus dem Homeoffice arbeitet, ist nicht schlüssig und wird beanstandet.
Was in der Vorbereitung unterschätzt wird
Die Prüfgebühr ist planbar, der Weg dorthin nicht. Der größte Block ist die interne Zeit für die Selbsteinschätzung und das Schließen der Lücken. Sie fällt nicht in der IT an, sondern in den Fachbereichen: Wer klassifiziert Dokumente? Wer gibt Zugriffe frei? Wer entscheidet, welcher Dienstleister welche Daten sehen darf? Solange diese Zuständigkeiten offen sind, entsteht kein belegbarer Reifegrad, unabhängig davon, wie gut die Technik ist.
Wer bereits ein Managementsystem nach ISO 27001 betreibt, hat den größten Teil dieser Arbeit hinter sich und trägt vor allem die automobilspezifischen Ergänzungen nach. Wer ohne Vorleistung startet, plant die Vorbereitung besser als eigenes Projekt und bewertet den internen Aufwand mit dem internen Stundensatz. Sonst erscheint die Prüfgebühr als Gesamtkosten — und das ist sie in keinem Fall.
Der Vergleich mit ISO 27001
Beide Nachweise ersetzen sich nicht. Wer beide Märkte bedient — Automobilkunden und öffentliche oder allgemeine B2B-Ausschreibungen — braucht beide. Der zweite Nachweis ist dann aber deutlich günstiger als der erste, weil das Managementsystem nur einmal aufgebaut werden muss.
Wer absehbar beides braucht, sollte deshalb von Anfang an ein System bauen, das beide Prüfungen trägt, statt zweimal zu beginnen.
Unterschiedlich ist auch die zeitliche Verteilung der Kosten. Eine ISO-Zertifizierung verteilt den Aufwand über jährliche Überwachungsaudits. TISAX bündelt ihn: ein größerer Block zu Beginn, dann drei Jahre ohne externe Prüfung, dann die vollständige Neubewertung. Für die Liquiditätsplanung ist das ein spürbarer Unterschied, für die Systempflege ein Risiko — ohne den jährlichen Termin von außen verliert das Thema in vielen Betrieben an Priorität, und der Rückstand fällt erst bei der Neubewertung auf. Wer das vermeiden will, legt sich eine interne Überprüfung in den Jahren ohne Assessment in den Kalender.