TISAX AL2 vs AL3: Welches Assessment-Level brauchen Sie?
Wer TISAX-Label zum ersten Mal beschafft, steht vor einer entscheidenden Frage: Assessment Level 2 oder Level 3? Die Antwort bestimmt Zeitplan, Budget und den Umfang der technischen Maßnahmen. Dieser Artikel zerlegt beide Levels im Detail, erklärt wer welches Level braucht, und zeigt die konkreten Unterschiede in Praxis und Kosten.
Die drei Assessment Levels in TISAX
TISAX (Trusted Information Security Assessment Exchange) kennt drei Stufen. Das Level bestimmt die Prüftiefe und wird vom auftraggebenden OEM (z.B. BMW, Mercedes-Benz, VW) vorgegeben — nicht vom Zulieferer selbst.
Assessment Level 1 (AL1) — Self-Assessment
Reines Self-Assessment ohne externe Prüfung. In der Praxis selten von OEMs akzeptiert. Kann als interner Nachweis dienen oder als Einstieg. Für die meisten Automotive-Lieferbeziehungen irrelevant.
Assessment Level 2 (AL2) — Remote-Assessment
Das Standard-Level für reguläre Automotive-Lieferketten. Ein akkreditierter ENX-Prüfdienstleister verifiziert Ihre Angaben per Telefon, Videoanruf und Dokumenteneinsicht. Kein Vor-Ort-Besuch.
Assessment Level 3 (AL3) — Vor-Ort-Audit
Die strengste Stufe. Der Prüfdienstleister kommt persönlich zu Ihnen — idealerweise an alle Standorte im Scope. Erforderlich bei hohem Schutzbedarf, insbesondere bei Prototypendaten.
Die Entscheidungsmatrix: Wann welches Level?
Das Level ergibt sich aus zwei Dimensionen: dem Prüfziel (Assessment Objective) und der Schutzbedarfskategorie.
| Prüfziel (Assessment Objective) | Schutzbedarf | Level |
|---|---|---|
| Info high | Normal (geschäftlich sensibel) | AL2 |
| Info very high | Hoch (besonders sensibel) | AL3 |
| Prototype Protection | Hoch (unveröffentlichte Fahrzeuge) | AL3 |
| Data Protection (Art. 28) | Normal (AVV) | AL2 |
| Data Protection (besondere Kategorien) | Hoch (Gesundheit, biometrisch) | AL3 |
Die konkreten Unterschiede in der Praxis
Unterschied 1: Der Prüfablauf
AL2 läuft typischerweise so ab:
- Kickoff-Call: 1-2 Stunden, Scope-Klärung
- Dokumenten-Upload: Sie liefern Policies, Richtlinien, Nachweise in ein sicheres Portal
- Remote-Prüfung: Video-Calls zu spezifischen Themen, 3-5 Sessions à 1-3 Stunden
- Prüfbericht-Entwurf: 2-3 Wochen nach der letzten Session
- Korrekturphase: 90 Tage
- Finale Bewertung + Label im ENX-Portal
Gesamtdauer: 4-8 Wochen, wenn alle Unterlagen sauber sind.
AL3 ist deutlich aufwendiger:
- Kickoff-Call: wie bei AL2
- Dokumenten-Upload: wie bei AL2, aber tiefere Inhalte
- Vor-Ort-Audit: 1-3 Tage pro Standort — Rundgang, Interviews, Zufallsstichproben
- Bei mehreren Standorten: Auditor besucht alle im Scope (ggf. stichprobenartig)
- Prüfbericht-Entwurf: 3-4 Wochen
- Korrekturphase: 90 Tage
- Finale Bewertung + Label
Gesamtdauer: 8-14 Wochen.
Unterschied 2: Die technischen Anforderungen
Der VDA-ISA-Katalog (aktuell Version 6.0) hat für jedes Control drei Zielwerte je Schutzbedarf. Die Unterschiede zwischen AL2-Niveau und AL3-Niveau sind erheblich:
| Bereich | AL2-Anforderung | AL3-Anforderung |
|---|---|---|
| Physische Sicherheit | Zugangskontrolle (Badge) | Zusätzlich: dedizierte Zonen, Kameraüberwachung, protokollierte Besuche |
| Netzwerktrennung | Logische Trennung | Physische und logische Trennung (separate Infrastruktur für Prototypendaten) |
| Mobile Devices | MDM-Policy | MDM + Remote-Wipe + Device-Registry + Verschlüsselung |
| Datenaustausch mit OEM | Verschlüsselte E-Mail | Dedizierte Portale, PGP, Zeitbegrenzungen, Ende-zu-Ende-Protokollierung |
| Entwicklungsumgebungen | Standard-Access-Management | Isolierte Entwicklungszonen, besonderes Zugriffsregelwerk, Audit-Logs |
Das hat unmittelbare Konsequenzen für Ihr Budget: AL3 erfordert oft bauliche Maßnahmen oder separate IT-Infrastruktur, die bei AL2 nicht nötig wären.
Unterschied 3: Die Kosten
Realistische Budgetrahmen für das externe Assessment (getrennt von der internen Vorbereitung):
- AL2 Assessment: 5.000 – 12.000 € (je nach Scope und Prüfdienstleister)
- AL3 Assessment: 10.000 – 25.000 € (plus Reisekosten bei mehreren Standorten)
Dazu kommt die Beratung und Implementierung — hier der große Kostenhebel:
- Beratung für AL2 (51-150 MA): 16.500 – 23.000 €
- Beratung für AL3 (51-150 MA): 22.000 – 33.000 € (wegen Prototypenschutz-Anforderungen)
Gesamt für einen Tier-2-Zulieferer mit 80 Mitarbeitern: AL2 ca. 22.000 €, AL3 ca. 35.000 €.
Unterschied 4: Die Häufigkeit der Re-Assessments
Beide Level gelten drei Jahre. Re-Assessment ist für beide ähnlich aufwendig wie das Erst-Assessment — beim AL3 also wieder ein Vor-Ort-Termin.
Praxisbeispiele: Welches Level für welchen Fall?
Beispiel 1: IT-Dienstleister für Automotive-OEM
Ein IT-Dienstleister mit 40 Mitarbeitern hostet Cloud-Services für einen OEM. Die Daten sind geschäftlich sensibel, aber keine Prototypen. OEM fordert „Info high“. → AL2 reicht.
Beispiel 2: Engineering-Dienstleister, Fahrzeugentwicklung
Ein Engineering-Büro mit 120 Mitarbeitern arbeitet an neuen Modellentwicklungen für einen Premium-OEM. CAD-Dateien, Simulationsdaten, physische Prototypen-Teile. → AL3 für Prototype Protection.
Beispiel 3: Sensor-Zulieferer, Tier-2
Ein Sensor-Zulieferer mit 80 Mitarbeitern liefert Serienteile an einen Tier-1-Zulieferer. Die Daten umfassen Konstruktionszeichnungen, aber keine Prototypen. Die OEM-Kette fordert „Info high“ + DSGVO-AVV. → AL2 ausreichend.
Beispiel 4: Innovationspartner für Elektromobilität
Ein Startup mit 25 Mitarbeitern entwickelt Batterietechnologie für einen deutschen OEM. Ende-zu-Ende-Forschungszusammenarbeit mit unveröffentlichten Spezifikationen. → AL3 für Info very high + Prototype Protection.
Die fünf größten Missverständnisse
1. „Wir können selbst entscheiden, welches Level“
Nein. Das Level wird vom OEM in der Ausschreibung oder im Einkaufsprozess festgelegt. Sie können nur zwischen Prüfdienstleistern wählen.
2. „AL3 ist nur für OEMs“
Falsch. Auch Tier-2- und Tier-3-Zulieferer müssen AL3 liefern, wenn sie Prototypen bearbeiten. Größe spielt keine Rolle.
3. „AL2 ist ‚light'“
Missverständnis. AL2 ist nicht oberflächlich — der Prüfdienstleister geht genauso detailliert vor wie bei AL3, nur remote. Die technischen Anforderungen sind niedriger, aber die Prüfgründlichkeit nicht.
4. „Mit ISO 27001 brauche ich kein TISAX“
Falsch. TISAX ist eine OEM-Forderung. Auch mit ISO 27001-Zertifikat müssen Sie TISAX-Assessment machen. Aber: ISO 27001 reduziert den Aufwand um 50-70 Prozent, weil viele Controls überlappen.
5. „AL3 mit mehreren Standorten ist fast unbezahlbar“
Stimmt zum Teil. Tipp: Beim Scoping klug filtern. Nicht jeder Standort muss im TISAX-Scope sein. Oft reicht das Headquarter + die Standorte, die tatsächlich mit OEM-Daten arbeiten. Das reduziert Kosten und Komplexität erheblich.
Wie Sie Ihr Ziel-Level klären
Drei Quellen, um das geforderte Level zu ermitteln:
- Ausschreibungsunterlagen: Sollte explizit drinstehen. Suchen Sie nach „Assessment Level 2″, „AL3″, „Prototype Protection“.
- OEM-Einkaufskontakt: Direkt fragen. Einkäufer sind meist hilfsbereit, wenn es um Compliance-Fragen geht.
- ENX-Portal: Wenn Ihr Kunde dort aktiv ist, sehen Sie seine Anforderungen im Vorfeld.
Der Weg zum TISAX-Label in 7 Phasen
Unabhängig vom Level durchlaufen Sie diese Phasen:
- Scoping & ENX-Registrierung (2-3 Wochen)
- Gap-Analyse gegen VDA-ISA (3-4 Wochen)
- Maßnahmen-Umsetzung (2-4 Monate bei AL2, 4-6 Monate bei AL3)
- Self-Assessment im ENX-Portal (2-3 Wochen)
- Auswahl des Prüfdienstleisters (1-2 Wochen)
- Externes Assessment (1-4 Wochen AL2 / 4-8 Wochen AL3)
- Label-Veröffentlichung im ENX-Portal
Gesamtdauer: AL2 etwa 4-6 Monate, AL3 etwa 6-10 Monate — bei ISO 27001 als Basis 30-40 Prozent schneller.
Fazit: Unsere Empfehlung
Wenn Ihr OEM AL2 fordert, machen Sie AL2. Wenn er AL3 fordert, machen Sie AL3 — und planen Sie 30-50 Prozent mehr Budget und Zeit.
Wenn Sie unsicher sind, starten Sie mit:
- TISAX-Check durchführen: Unser TISAX-Readiness-Check zeigt in 3 Minuten, wie weit Sie bei den Kern-Anforderungen sind.
- TISAX-Leitfaden lesen: Der TISAX-Leitfaden (PDF, 18 Seiten) erklärt den kompletten Prozess.
- Kostenloses Erstgespräch vereinbaren: In 30 Minuten klären wir Ihr Ziel-Level, Scope und Budget — unverbindlich.
TISAX-Assessment ist machbar — wenn Sie frühzeitig planen und das richtige Level ansteuern. 80 Prozent der TISAX-Ablehnungen beim ersten Anlauf resultieren aus falschem Scope oder unterschätztem Level. Beides ist vermeidbar.
TISAX Assessment geplant?
Wir prüfen Ihr Level und bereiten Sie vor — AL2 oder AL3.
