NIS2 oder TISAX: was gilt für Automotive-Zulieferer?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was TISAX ist und woher es kommt

TISAX entstand 2017 auf Initiative des VDA (Verband der Automobilindustrie). Hintergrund: OEMs wollten einen einheitlichen Sicherheits-Standard für ihre Zulieferer, statt jeden Lieferanten individuell auditieren zu müssen.

Aufbau:

• VDA-ISA-Katalog: Anforderungs-Katalog mit Bezügen auf ISO/IEC 27001:2022 (seit ISA 6, verbindlich für ab 01.04.2024 beauftragte Assessments), ergänzt um automotive-spezifische Themen (Prototypen-Schutz, Datenschutz, vertrauliche Information). Der Nachfolger ISA2027 ist am 01.07.2026 erschienen. Nach Angaben der ENX werden ab 2027 Prüfungen auf Basis der für das Beauftragungsjahr gültigen ISA-Version durchgeführt; eine Erstprüfung nach der Vorversion kann noch bis März beauftragt werden.
• ENX Association: Verwaltet das Verfahren, akkreditiert Audit-Dienstleister, betreibt die TISAX-Plattform.
• Labels: Das Assessment-Ergebnis wird in standardisierte Labels für Informationssicherheit, Verfügbarkeit, Prototypenschutz und Datenschutz übersetzt. Davon zu unterscheiden sind die Assessment-Level: AL2 und AL3 legen die Prüftiefe fest, AL1 ist eine reine Selbsteinschätzung und führt zu keinem Label.
• Gültigkeit: drei Jahre, mit Re-Assessment am Ende.

Die rechtliche Verbindlichkeit ist vertraglich, OEMs schreiben TISAX in ihre Einkaufs-Bedingungen. Wer als Zulieferer nicht zertifiziert ist, wird oft schlicht nicht beauftragt.

Was NIS2 von TISAX unterscheidet: strukturell

Die fundamentale Differenz:

TISAX ist lieferanten-fokussiert und für die Geschäftsbeziehung zwischen Hersteller und Zulieferer gemacht. NIS2 ist schutzgut-fokussiert und auf die gesellschaftliche Resilienz der digitalen Infrastruktur ausgerichtet.

Wer von beiden betroffen ist

Ein typischer Automotive-Zulieferer kann aus drei Perspektiven betroffen sein:

Perspektive 1, direkt NIS2-pflichtig: Wenn das Unternehmen selbst in einem NIS2-Sektor tätig ist und Schwellen-Werte erreicht. Maßgeblich ist die Zuordnung der eigenen Tätigkeit: Anlage 2 Nr. 5.5 BSIG erfasst die „Herstellung von Kraftwagen und Kraftwagenteilen“ (NACE Rev. 2 Abschnitt C Abteilung 29), auf EU-Ebene entspricht das Anhang II Nr. 5 NIS2. Wer als Zulieferer vor allem Teile herstellt, die einer anderen NACE-Abteilung zugeordnet sind (etwa Gummi-, Kunststoff- oder Metallwaren), fällt nicht über Nr. 5.5 unter das BSIG. Ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme ist ein Zulieferer mit Tätigkeit nach Abteilung 29 wichtige Einrichtung nach § 28 Abs. 2 BSIG, mit Registrierung (§ 33 BSIG), Meldepflichten (§ 32 BSIG) und Risikomanagement-Maßnahmen (§ 30 BSIG). Weitere mögliche Treffer: Hersteller elektronischer Bauteile (Anlage 2 Nr. 5.2 bzw. 5.3), IT-Service-Anbieter und digitale Infrastruktur.

Perspektive 2, indirekt NIS2-betroffen (Lieferketten-Effekt): Wenn der OEM oder ein wichtiger Tier-1-Kunde unter NIS2 fällt, propagieren dessen Lieferketten-Pflichten nach Art. 21 Abs. 2 lit. d die Anforderungen vertraglich nach unten. Der Zulieferer wird dann vertraglich verpflichtet, NIS2-relevante Sicherheits-Anforderungen einzuhalten.

Perspektive 3, TISAX-pflichtig: Sobald der OEM TISAX vertraglich fordert. Ob das so ist, regelt der jeweilige Liefervertrag.

Ein Teile-Hersteller oberhalb der Schwelle fällt damit unter Perspektive 1 und 3 gleichzeitig: NIS2 direkt über das BSIG, TISAX über den OEM-Vertrag. Perspektive 2 allein bleibt vor allem für Zulieferer unterhalb der Schwelle und für Unternehmen außerhalb der erfassten Sektoren.

Inhaltlicher Vergleich der Anforderungen

Die größte inhaltliche Lücke zwischen den beiden: Behörden-Meldepflicht ist NIS2-exklusiv, Prototypen-Schutz ist TISAX-exklusiv.

Audit-Architekturen: wer prüft wen

Die Audit-Architekturen unterscheiden sich grundlegend:

• TISAX-Audit: Durch akkreditierte Audit-Provider gemäß ENX-Zulassung. Ergebnis sind Labels, die nur dem Zulieferer und seinen freigeschalteten OEMs in der TISAX-Plattform sichtbar sind. Wiederkehrend alle drei Jahre.
• NIS2-Aufsicht: Durch staatliche Behörden (BSI + Sektor-Aufsicht), proaktiv für besonders wichtige, nachträglich und anlassbezogen für wichtige Einrichtungen (§§ 61, 62 BSIG). Gegenüber besonders wichtigen Einrichtungen reichen die Befugnisse bis zu Vor-Ort-Prüfungen einschließlich Stichproben (Art. 32 Abs. 2 lit. a NIS2; Betreten der Geschäftsräume während der üblichen Betriebszeiten nach § 61 Abs. 5 BSIG). Sanktions-Hebel sind regulatorisch (Bußgelder, bei besonders wichtigen Einrichtungen als letztes Mittel die Tätigkeitsuntersagung).

Ein Zulieferer mit beiden Pflichten lebt mit zwei parallelen Audit-Welten. Operativer Tipp: ISMS-Dokumente so strukturieren, dass beide Audit-Sichten bedient werden, mit klaren Mappings auf VDA-ISA-Kontrollen und auf NIS2-Mindestmaßnahmen. So wird ein und derselbe Beleg in beiden Audits verwertbar.

Praxis-Szenarien

Szenario A: TISAX-zertifiziert, NIS2-indirekt-betroffen

Der Zulieferer hält ein TISAX-Label mit Prüfniveau AL2. Sein OEM ist NIS2-pflichtig und schreibt in den Einkaufs-Bedingungen NIS2-konforme Sicherheits-Anforderungen vor.

Was zu tun ist: NIS2-Delta-Analyse gegen das TISAX-ISMS. Viele Anforderungen überschneiden sich mit dem TISAX-ISMS (siehe Tabelle oben). Lücken-Schwerpunkte: Meldekette-Schnittstelle (wer informiert wen wann bei einem Vorfall, der den OEM betrifft), Geschäftsleitungs-Schulung. Diese Delta-Punkte in einem ergänzenden Konzept dokumentieren.

Szenario B: NIS2-direkt-pflichtig, OEM fordert TISAX

Der Zulieferer ist selbst NIS2-pflichtig (z.B. Hersteller von Kraftwagenteilen ab 50 Beschäftigten oder IT-Service-Anbieter in Automotive) und gleichzeitig durch OEM-Vertrag TISAX-pflichtig.

Was zu tun ist: ein integriertes ISMS, das beide Regelwerke abdeckt. Strukturierungs-Empfehlung: ISO 27001 als Basis, TISAX als Branchen-Modul, NIS2 als regulatorischer Layer. Audit-Vorbereitung muss beide Audit-Typen bedienen (TISAX-Drittpartei-Audit, BSI-Aufsicht).

Szenario C: Unter der Schwelle, nur TISAX

Kleiner Zulieferer mit weniger als 50 Beschäftigten, der nicht zugleich mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme erreicht, OEM fordert TISAX-AL2. Hier greift das BSIG nicht direkt, TISAX ist die maßgebliche Anforderung, solange der OEM keine NIS2-getriebenen Vertragsklauseln durchstellt. Für Hersteller von Kraftwagen oder Kraftwagenteilen oberhalb der Schwelle ist NIS2 dagegen direkt anwendbar (Anlage 2 Nr. 5.5 BSIG), auch wenn der OEM nur TISAX verlangt.

FAQ

Wenn wir TISAX-AL3 haben, sind wir automatisch NIS2-konform?

Nein. TISAX-AL3 deckt einen großen Teil der NIS2-Mindestmaßnahmen ab, aber die NIS2-spezifischen Pflichten (Behörden-Meldepflicht nach Art. 23, Geschäftsleitungs-Pflichten nach Art. 20) sind in TISAX nicht enthalten. Wer NIS2-direkt-pflichtig ist, braucht ergänzend ein NIS2-spezifisches Konzept für diese Bereiche.

Ist TISAX die bessere Wahl für Mittelstand-Zulieferer als ISO 27001?

Wenn der OEM TISAX fordert, ist die Frage akademisch, TISAX ist dann faktisch verpflichtend. Wenn der OEM ISO 27001 akzeptiert, hängt die Wahl von der Internationalisierung ab: ISO 27001 ist global anerkannt und auch für nicht-automotive Kunden relevant, TISAX ist automotive-spezifisch. Für reine deutsche Automotive-Zulieferer ist TISAX oft die effizientere Wahl, weil OEMs ohnehin akzeptieren.

Müssen TISAX-Auditoren ab 2026 auch NIS2 mitprüfen?

Nein. TISAX und NIS2 sind getrennte Verfahren mit unterschiedlichen Aufsichts-Strukturen; ein TISAX-Label ist kein gesetzlicher Nachweis nach dem BSIG.

Was passiert, wenn ein TISAX-Audit Findings hat: wirkt sich das auf die NIS2-Aufsicht aus?

Nicht automatisch. TISAX-Ergebnisse teilt der Zulieferer über die ENX-Plattform nur mit den Partnern, die er freischaltet; eine Weitergabe an das BSI sieht das Verfahren nicht vor. Die Vertraulichkeit bindet die Behörde aber nicht: Im Rahmen seiner Aufsichtsbefugnisse (§§ 61, 62 BSIG) kann das BSI Nachweise über die Umsetzung der Pflichten verlangen. Zudem: falls ein TISAX-Finding einen Sicherheits-Vorfall im Sinne von Art. 23 NIS2 dokumentiert oder eine NIS2-Pflichtverletzung offen legt, kann sich daraus indirekt eine NIS2-Meldepflicht ergeben.

Was kostet TISAX vs. NIS2-Compliance grob im Vergleich?

Belastbare Pauschalwerte gibt es nicht. Die Kosten eines TISAX-Assessments hängen von Standortzahl, Assessment-Level und Dienstleister ab, plus ISMS-Aufbau-Kosten, falls kein ISMS vorhanden ist. NIS2-Compliance verursacht laufende Aufwände für ISMS-Pflege, Schulungen und Meldekette-Aufbau; Prüfkosten entstehen bei Nachweisen nach § 39 BSIG (Betreiber kritischer Anlagen) oder bei vom BSI angeordneten Audits. Wer TISAX schon hat, kann vorhandene Nachweise auf die Maßnahmen nach § 30 BSIG abbilden; der verbleibende Aufwand ergibt sich aus der Gap-Analyse.