Firmanızın TISAX etiketi ne zaman yenileniyor ve bir sonraki değerlendirme siparişini hangi tarihte vereceksiniz? Bu iki sorunun cevabı, değerlendirmenizin hangi katalog üzerinden yapılacağını belirliyor. 1 Ocak 2027’den itibaren sipariş edilen TISAX değerlendirmelerinde artık yeni katalog geçerli: VDA ISA2027.
Önce kısaca: TISAX nedir?
TISAX (Trusted Information Security Assessment Exchange), otomotiv sektörü için geliştirilmiş ortak bir bilgi güvenliği değerlendirme ve sonuç paylaşım mekanizmasıdır. Değerlendirme gereklilikleri Alman Otomotiv Sanayii Birliği (VDA) tarafından hazırlanan VDA ISA (Information Security Assessment) kataloğunda yer alır. Sistemi VDA adına tarafsız bir kuruluş olarak ENX Association işletir.
Mantık basit: Bir tedarikçi, ENX’in yetkilendirdiği bir denetim kuruluşu tarafından bir kez değerlendirilir. Sonucu, kendi belirlediği ölçüde, kendisinden bilgi güvenliği güvencesi isteyen müşterileriyle paylaşır. Böylece aynı tedarikçinin her müşteri için ayrı ayrı denetlenmesinin önüne geçilir. Başarılı değerlendirme sonunda bir sertifika değil, TISAX etiketi verilir.
Kısaca şöyle düşünün: TISAX’ın asıl konusu, tedarik zincirinde elden ele dolaşan tasarım, prototip ve ürün bilgisinin korunmasıdır. Bu bilgiye yetkisiz erişim, bilginin sızması veya kötüye kullanılması; müşterinin “bu tedarikçiye bilgimi emanet edebilir miyim?” sorusunu doğrudan etkiler. TISAX bu güveni sistematik ve karşılaştırılabilir biçimde değerlendirmenin yoludur.
ISO/IEC 27001 ile ilişkisi
VDA ISA kataloğu, ISO/IEC 27001’in temel unsurlarını esas alır. Bu nedenle ISO/IEC 27001 bilgi güvenliği yönetim sistemi kurmuş bir firma TISAX’a önemli bir avantajla başlar. Ancak ISO/IEC 27001 belgesi tek başına TISAX etiketinin yerine geçmez. TISAX ayrı bir değerlendirme sürecidir ve prototip koruma gibi otomotive özgü konuları da kapsar. Pratikte otomotiv müşterileri, özellikle tasarım, prototip veya hassas veriyle çalışan tedarikçilerinden TISAX etiketini talep edebilmektedir.
Ne oldu?
Alman Otomotiv Sanayii Birliği (VDA), TISAX değerlendirmelerinin temelini oluşturan bilgi güvenliği değerlendirme kataloğunun yeni sürümünü VDA ISA2027 adıyla yayımladı. TISAX’ı işleten ENX Association bu gelişmeyi 1 Temmuz 2026’da duyurdu; 7 Ağustos 2026’da ise ISA6.0 ile ISA2027 arasındaki farkları gösteren karşılaştırmalı (redline) dokümanı paylaştı.
Katalog artık zorunlu hâle geldiği yılla anılıyor. ENX’e göre yeni kataloglar genellikle yazın yayımlanıp izleyen yılın 1 Ocak tarihinden itibaren uygulanacak; ISA2028’in 2027 yazında yayımlanması bekleniyor.
Hangi değerlendirme hangi kataloğa göre yapılacak?
ENX’in açıklamalarına göre belirleyici olan, değerlendirmenin yapıldığı gün değil sipariş tarihi:
- 2027 yılında sipariş edilen tüm TISAX değerlendirmeleri ISA2027’ye göre yapılır. Kapsam (scope) kaydının tarihi bu kararı değiştirmez.
- ISA6 kapsamında ilk değerlendirme açmak için son tarih Mart 2027‘dir. ENX bu konuda kick-off toplantısı tarihinin belirleyici olmadığını vurguluyor.
- Basitleştirilmiş grup değerlendirmeleri (SGA) ve kapsam genişletmeleri, ilk değerlendirmenin ISA sürümüyle yürütülür. Bir kapsamdaki tüm lokasyonlar aynı sürüme göre değerlendirilir.
- Mevcut TISAX etiketleri geçerlilik sürelerinin sonuna kadar geçerliliğini korur. Etiketlerin en fazla üç yıllık geçerlilik süresi değişmedi; yıllık katalog döngüsü yeniden değerlendirme sıklığını artırmıyor.
Pratikte bu şu anlama geliyor: 2027’de sipariş verecek bir tedarikçi doğrudan ISA2027 ile hazırlanmalıdır. 2026’da verilen siparişlerde ISA6 seçeneği ise ilk değerlendirmenin Mart 2027 sınırı içinde açılmasına bağlıdır. Bu nedenle sipariş ve değerlendirme tarihlerinizi değerlendirme kuruluşunuzla netleştirmeden plan yapmamanızı öneririz.
Katalogda neler değişti?
Tedarik zinciri artık daha görünür
Yüksek koruma ihtiyacı olan kuruluşların, tedarikçilerinin bilgi güvenliği gerekliliklerine uyumunu belgelemesi, gözden geçirmesi ve izlemesi bekleniyor. Çok yüksek koruma ihtiyacında ise tedarikçilerin güvenceyi bir TISAX etiketi, eşdeğer bir üçüncü taraf değerlendirmesi veya tedarikçi denetimiyle göstermesi isteniyor. Yani TISAX yalnızca sizin değil, sizin tedarikçilerinizin de konusu hâline geliyor.
Prototip koruma yeniden yapılandırıldı
Prototip koruma bölümü beş kontrol grubundan iki alana indirildi: organizasyonel gereklilikler ile fiziksel ve çevresel güvenlik. Yeni kontroller, korunan parçaların izlenebilirliği ve yaşam döngüsü takibi ile bertaraf, geri dönüşüm veya iade süreçlerini kapsıyor.
Daha net tanımlar, daha geniş farkındalık
- Kontrollerde listelenen her husus bilinçli olarak değerlendirilmeli ve gerekçesi açıklanabilmelidir.
- Yöneticiler, farkındalık ve eğitim için açıkça hedef grup olarak belirtildi.
- ISO/IEC 27001:2022 ve NIST CSF 2.0 eşleştirmeleri güncellendi; ISO/IEC 27001:2013 atıfları kaldırıldı.
Tedarik zinciri boyutu: Tek başına değil, birlikte düşünün
TISAX’ın tedarik zincirine verdiği ağırlık, konuyu yalnızca bilgi güvenliğiyle sınırlı tutmamayı gerektiriyor. Aşağıdaki standartlar TISAX’ın şartı değildir; ancak aynı risklere farklı açılardan baktıkları için hazırlığı birlikte planlamak işinizi kolaylaştırır:
- ISO 22301 (iş sürekliliği yönetim sistemi): Bir siber olay veya tedarikçi kesintisi yaşandığında kritik faaliyetlerin nasıl sürdürüleceğini ele alır.
- ISO 28000:2022 (güvenlik yönetim sistemi): Tedarik zincirine ilişkin güvenlik risklerini de kapsayan bir yönetim sistemi çerçevesi sunar.
- ISO 20400:2017 (sürdürülebilir satın alma): Tedarikçi seçimi ve değerlendirmesini daha geniş bir risk bakışıyla ele almak için yol gösteren bir rehber standarttır; belgelendirme standardı değildir.
Mevcut ISO 9001, IATF 16949 veya ISO/IEC 27001 yapınıza bu bakışı entegre etmek, aynı tedarikçi ve risk verisini tek bir sistemde yönetmenizi sağlar.
Kendinize sorun
- Mevcut TISAX etiketimizin geçerlilik bitiş tarihini ve bir sonraki değerlendirme siparişinin tarihini biliyor muyuz?
- Tedarikçilerimizden hangilerinin yüksek veya çok yüksek koruma ihtiyacı olan bilgiye eriştiğini listeledik mi?
- Bu tedarikçilerin TISAX etiketi ya da eşdeğer bir güvencesi var mı, bunu düzenli olarak izliyor muyuz?
- Prototip parçalarımızın izlenebilirliğini ve imha/iade sürecini kayıt altına alıyor muyuz?
- Kritik bir tedarikçimiz veya bilgi sistemimiz devre dışı kalsa, faaliyetlerimizi nasıl sürdüreceğimiz yazılı mı?
- Üst yönetimimiz bilgi güvenliği farkındalık eğitimine katıldı mı?
- Öz değerlendirmemiz hâlâ ISO/IEC 27001:2013’e mi atıf yapıyor?
İşletmeler ne yapmalı?
- Takvimi netleştirin: Etiket bitiş tarihinizden geriye doğru planlayın; siparişin 2026’da mı 2027’de mi verileceğine değerlendirme kuruluşunuzla birlikte karar verin.
- Farkı görün: ENX’in ISA6.0–ISA2027 karşılaştırma dokümanıyla öz değerlendirmenizde boşluk analizi yapın (esas metin İngilizce sürümdür).
- Tedarik zincirini haritalayın: Bilgiye erişen tedarikçileri koruma ihtiyacına göre sınıflandırın, güvence kanıtlarını toplayın.
- Prototip korumayı ve sürekliliği gözden geçirin: Prototip süreçlerinizi yeni yapıya göre düzenleyin, kesinti senaryolarınızı belirleyin.
- Ekibi eğitin: Değişiklikleri yöneticiler ve ilgili birimler de bilmeli.
Kaynaklar
- ENX Association – 10 Years of TISAX: VDA ISA2027 Released (1 Temmuz 2026)
- ENX Association – ISA2027 Webinar Series and Redline Document available (7 Ağustos 2026)
- VDA ISA ve TISAX modeli tanıtım metni (VDA web sitesi için hazırlanmış İngilizce açıklama)
- ISO 28000:2022 – Security and resilience – Security management systems – Requirements (ISO)
- ISO 20400:2017 – Sustainable procurement – Guidance (ISO)
- ISO 22301:2019/Amd 1:2024 – Business continuity management systems (ISO)
- VDA ISA2027 kataloğu (İngilizce, ENX)
BKB Eğitim olarak TISAX hazırlık süreçlerinde boşluk analizinden tedarikçi güvence yapısına ve ekip eğitimine kadar yanınızdayız. Biz size sadece eğitim vermiyoruz, uygulama garantisi veriyoruz.
[email protected] | 0553 430 23 73 | TISAX Hazırlık Eğitimi ve Danışmanlığı
Yazar hakkında