TISAX ve ISO 27001 Arasındaki Farklar ve Ortak Kontroller

ISO 27001 ve TISAX çoğu zaman birbirinin yerine kullanılabilecek iki “sertifika” gibi konuşulur. Oysa biri bir yönetim sistemi gereklilik standardı, diğeri otomotiv sektörüne özgü bir değerlendirme ve sonuç paylaşım mekanizmasıdır. İki çerçevenin büyük ölçüde ortak kontrolleri vardır; farkları bilmek, iki işi tek programda verimli yürütmenin anahtarıdır.

Temel farklar

Ortak kontroller

VDA ISA’nın bilgi güvenliği bölümü ISO/IEC 27001 Ek A ile büyük ölçüde örtüşür; ENX, ISA2027 ile eşlemelerin ISO/IEC 27001:2022 için gözden geçirildiğini duyurmuştur. Risk yönetimi, varlık yönetimi, erişim kontrolü, kriptografi, operasyon güvenliği, tedarikçi ilişkileri, olay yönetimi ve iş sürekliliği her iki çerçevede de temel konulardır. Bu nedenle tek bir doküman seti ve tek bir kanıt kütüphanesiyle iki çerçeveye de hizmet etmek mümkündür.

TISAX’ta ISO 27001’in ötesine geçen noktalar

• Olgunluk değerlendirmesi: Bir kontrolün “var” olması yetmez; tanımlı, iletilmiş ve kurum genelinde uygulanıyor olması beklenir.
• Prototip koruma: Prototip parça, araç ve etkinlikler için fiziksel ve organizasyonel gereklilikler (ilgili hedefler seçildiyse).
• Tedarik zinciri: Çok yüksek koruma ihtiyacında tedarikçiler için güçlendirilmiş gereklilikler (ISA2027 ile netleştirildi).
• Müşteri odaklı kapsam: Kapsamı daraltma esnekliği ISO 27001’e göre daha sınırlıdır.

Hangisiyle başlamalı?

Müşteriniz açıkça TISAX istiyorsa, ISO 27001 sertifikası bu talebi karşılamaz; TISAX gerekir. Ancak hiç bilgi güvenliği yönetimi olmayan bir kuruluşta ISO 27001 yaklaşımıyla kurulan yönetim omurgası (risk, politika, iç denetim, YGG) TISAX olgunluğunu da hızla yükseltir. Hem otomotiv hem diğer sektörlere hizmet veren kuruluşlar için çoğunlukla ikisi birlikte, ortak kontrollerle planlanır.

Ortak program için pratik öneriler

1. Tek risk metodolojisi kullanın; TISAX ve ISO 27001 riskleri aynı kayıtta tutulsun.
2. Doküman setini ISO 27001 yapısında, VDA ISA referanslarıyla hazırlayın.
3. Kanıtları kontrol bazlı etiketleyin; bir kanıt birden çok çerçeveye hizmet edebilir.
4. İç denetim programına VDA ISA kontrollerini ekleyin.
5. Denetim takvimlerini (gözetim, TISAX yenileme, müşteri denetimleri) tek takvimde yönetin.

Eretek ENX tarafından onaylanmış bir TISAX değerlendirme sağlayıcısı değildir ve TISAX etiketi vermez. Bu rehber genel bilgilendirme amaçlıdır; güncel kurallar için ENX’in resmi dokümanları esas alınmalıdır.

Sık sorulan sorular

ISO 27001 belgemiz TISAX değerlendirmesini kısaltır mı?

Doğrudan bir muafiyet sağlamaz; ancak mevcut yönetim sistemi, dokümanlar ve kayıtlar TISAX hazırlığını önemli ölçüde hızlandırır.

TISAX etiketi ISO 27001 yerine kullanılabilir mi?

Otomotiv dışı müşteriler genellikle ISO 27001 sertifikası bekler. TISAX etiketi otomotiv tedarik zincirinde tanınan bir sonuçtur.

İki değerlendirme aynı anda yapılabilir mi?

Değerlendirme kuruluşları ayrıdır; ancak takvim, hazırlık ve kanıt altyapısı ortak planlanabilir.

Üç çerçeveyi birlikte yöneten kuruluşlar için Entegre TISAX, ISO 27001 ve IATF programı; ayrı ayrı başlamak isteyenler için TISAX danışmanlığı ve ISO 27001 BGYS kurulumu hizmetlerimiz bulunur.