TISAX Hazırlık Rehberi: VDA ISA, Kapsam ve Kanıtlar

Bir otomotiv üreticisi veya birinci kademe tedarikçi sizden “TISAX etiketi” istediğinde, hazırlık doğru soruları sormakla başlar: Hangi değerlendirme hedefleri isteniyor? Hangi lokasyonlar kapsamda? Değerlendirme hangi ISA sürümüyle yapılacak? Bu rehber, TISAX sürecini müşteri talebinden etiket sonrasına kadar adım adım ele alır.

TISAX nedir, ne değildir?

TISAX (Trusted Information Security Assessment Exchange), VDA’nın bilgi güvenliği soru kataloğuna (VDA ISA) dayanan ve ENX tarafından yönetilen bir değerlendirme ve sonuç paylaşım mekanizmasıdır. Bir sertifika değil, ENX onaylı değerlendirme sağlayıcılarının yaptığı değerlendirmenin sonucunu (etiket) müşterilerle paylaşma sistemidir. ISO 27001 ile ilişkisi için TISAX ve ISO 27001 farkları rehberine bakabilirsiniz.

Adım 1 — Müşteri talebini yazılı netleştirin

Müşteriden şu bilgileri yazılı olarak isteyin: gerekli değerlendirme hedefleri (bilgi güvenliği için yüksek veya çok yüksek koruma ihtiyacı, prototip koruma hedefleri, veri koruma), hedef tarih ve hangi lokasyonun/lokasyonların kapsamda olması gerektiği. Hedefler değerlendirme seviyesini (AL2 veya AL3) ve dolayısıyla hazırlığın derinliğini belirler.

Değerlendirme seviyesi	Yöntem (özet)	Tipik kullanım
AL2	Self-assessment ve kanıtların makuliyet kontrolü, çoğunlukla uzaktan görüşmeler	Yüksek koruma ihtiyacı
AL3	Kapsamlı inceleme, yerinde değerlendirme	Çok yüksek koruma ihtiyacı, prototip koruma

Adım 2 — Kapsamı ve sürümü belirleyin

TISAX değerlendirme kapsamı genellikle ENX’in standart kapsam tanımına göre belirlenir ve seçilen lokasyonlardaki ilgili tüm süreçleri içerir. Sürüm konusunda dikkat: 2026 içinde sipariş edilen değerlendirmeler VDA ISA 6 ile, 1 Ocak 2027 ve sonrasında sipariş edilenler ise VDA’nın 1 Temmuz 2026’da yayımladığı ISA2027 ile yapılır. Ayrıntı için ISA2027 geçiş rehberine bakın.

Adım 3 — Gap analizi ve olgunluk ölçümü

VDA ISA her kontrol için olgunluk seviyeleri (0–5) tanımlar; TISAX değerlendirmelerinde genel hedef seviye 3’tür (yerleşik süreç). Gap analizinde her kontrol için şu üç soru yanıtlanır: Kim sorumlu? Nasıl uygulanıyor? Hangi kanıtla gösterilebilir? Self-assessment’ın iyimser doldurulması en sık karşılaşılan sorundur; kanıtı olmayan bir kontrol 3 olarak işaretlenmemelidir.

Adım 4 — Olgunlaştırma: süreç, doküman, teknik kontrol

• ISMS çerçevesi: Politika, roller, risk yönetimi, doküman yönetimi.
• Kimlik ve erişim: Kullanıcı yaşam döngüsü, ayrıcalıklı erişim, MFA, periyodik gözden geçirme.
• Operasyon: Yedekleme, zararlı yazılım koruması, yama, loglama, ağ ayrımı.
• Tedarikçiler: Değerlendirme, gizlilik sözleşmeleri, tedarik zinciri gereklilikleri.
• Olay ve süreklilik: Olay yönetimi, iş sürekliliği, kriz iletişimi.
• Prototip koruma (ilgiliyse): Güvenlik alanları, erişim, taşıma, test ve etkinlikler, fotoğraf ve ziyaretçi kuralları.

Adım 5 — Kanıt dosyası ve prova

Değerlendirmeden önce her kontrol için kanıtlar indekslenir: politika, prosedür, sistem ekranı, kayıt. Ardından değerlendirme formatında bir prova yapılır. Kanıtların SharePoint gibi tek bir yerde toplanması değerlendirme süresini belirgin şekilde kısaltır; bkz. SharePoint kanıt yönetimi.

Adım 6 — Değerlendirme ve düzeltici faaliyetler

Değerlendirme sağlayıcısı bulguları raporlar; bulgular için düzeltici faaliyet planı hazırlanır ve sağlayıcının belirlediği süre içinde uygulanıp takip değerlendirmesiyle doğrulanır. Etiketler ENX portalında yayınlanır ve müşteriyle paylaşılır. ENX’e göre etiketler en fazla üç yıl geçerlidir.

En sık görülen hazırlık hataları

1. Müşterinin istediği hedefi bilmeden çalışmaya başlamak.
2. Self-assessment’ı kanıtsız yüksek puanlarla doldurmak.
3. Üretim ağı ve tedarikçi bakım erişimini kapsam dışı sanmak.
4. Prototip alanlarında fiziksel kontrolleri son haftaya bırakmak.
5. Değerlendirme randevusunu olgunlaştırma tamamlanmadan almak.

Eretek ENX tarafından onaylanmış bir TISAX değerlendirme sağlayıcısı değildir ve TISAX etiketi vermez. Bu rehber genel bilgilendirme amaçlıdır; güncel kurallar için ENX’in resmi dokümanları esas alınmalıdır.

Sık sorulan sorular

Değerlendirme sağlayıcısını nasıl seçeriz?

ENX’in yayımladığı onaylı değerlendirme sağlayıcıları listesinden; dil, lokasyon, takvim ve teklif koşullarına göre seçilir. Danışmanınızın değerlendirme sağlayıcısıyla bağımsızlık ilişkisi olmamalıdır.

Etiket ne zaman müşteriye görünür olur?

Değerlendirme tamamlanıp sonuçlar ENX portalında yayınlandıktan sonra, sizin paylaşım izniniz doğrultusunda müşteri görebilir.

Birden fazla lokasyonumuz var; hepsi değerlendirilmeli mi?

Müşteri talebine ve hangi lokasyonda müşteri bilgisi işlendiğine bağlıdır. Kapsam ENX kuralları ve müşteri gereklilikleriyle birlikte belirlenir.

Hazırlığınızı planlamak için TISAX Danışmanlığı ve Değerlendirme Hazırlığı hizmetimizi veya ilk adım olarak VDA ISA gap analizini inceleyebilirsiniz.