Zulieferer
TISAX für Lieferanten: OEM-Anforderungen sicher erfüllen
Ohne TISAX-Label kein Auftrag: Wer Bauteile, Software, Entwicklung oder Dienstleistungen an OEMs und Tier-1-Lieferanten liefert, wird vertraglich auf ein TISAX-Label verpflichtet. Für Erstzertifizierer ist der Einstieg planbar – wenn die Anforderungen früh klar sind.
Unverbindlich testen – keine Verpflichtung, keine automatische Vertragsbindung.
Fachlich geprüft von Dr. Stefan Spörrer, LL.M. – Wirtschaftsjurist, geprüfter Datenschutzbeauftragter und Gründer von MGMSYS · Aktualisiert: Juni 2026
Auf einen Blick
OEMs und Tier-1-Lieferanten verpflichten Zulieferer vertraglich auf ein TISAX-Label; für Erstzertifizierer ist der Einstieg planbar, wenn Level und Prüfziele früh geklärt sind.
- Das TISAX-Label ist häufig Voraussetzung für Ausschreibung und Nominierung – eine einzige Prüfung wird von mehreren OEMs anerkannt
- Das Assessment-Level gibt der Auftraggeber vor: AL 2 (Standardfall, Selbstauskunft mit Plausibilitätsprüfung, meist remote) oder AL 3 (streng vertrauliche Daten/Prototypenschutz, Vor-Ort-Audit)
- Das Ergebnis wird als Label über die ENX-Plattform freigegeben, nicht als Zertifikat verschickt – der Lieferant entscheidet, welchem Auftraggeber er es zugänglich macht
- Ein Label ist üblicherweise drei Jahre gültig
- Für die Erstzertifizierung sind je nach Reifegrad und Level mehrere Monate einzuplanen (Registrierung, Selbstauskunft, Maßnahmen, Prüftermin)
- Grundlage der Selbstauskunft ist der VDA-ISA-Katalog
Primärquellen: ENX – TISAX
Stand: 2026 · Überblick ohne Gewähr, ersetzt keine Rechtsberatung im Einzelfall.
Warum überhaupt
Weshalb OEMs TISAX fordern
Automobilhersteller geben hochsensible Informationen entlang der Lieferkette weiter – Konstruktionsdaten, Software, Vorserienteile. Statt jeden Lieferanten einzeln zu auditieren, hat die Branche mit TISAX ein gemeinsames Verfahren geschaffen: Ein Standort lässt sich einmal prüfen und kann das Ergebnis mehreren Auftraggebern bereitstellen. Für Lieferanten heißt das konkret:
- Das Label ist häufig Voraussetzung für Ausschreibung und Nominierung
- Eine einzige Prüfung wird von mehreren OEMs anerkannt
- Nachweis schützenswerter Informationen gegenüber dem Auftraggeber
- Vermeidung paralleler Einzelaudits durch verschiedene Kunden
Eine fachliche Gesamtübersicht zu Prüfzielen und Ablauf finden Sie auf unserer TISAX-Hauptseite.
Assessment-Level
AL2 oder AL3 – welches Level fordert der Kunde?
Das geforderte Assessment-Level (AL) gibt der Auftraggeber vor. Es richtet sich nach der Schutzbedarfsklasse der Informationen, mit denen der Standort umgeht.
| Level | Typischer Fall | Prüftiefe |
|---|---|---|
| AL 2 | Standardfall für die meisten Lieferanten, vertrauliche Daten | Selbstauskunft mit Plausibilitätsprüfung, in der Regel remote |
| AL 3 | Streng vertrauliche Daten oder Prototypenschutz | Vertiefte Prüfung mit Vor-Ort-Audit am Standort |
Für AL 3 ist mehr Vorlauf einzuplanen: Vor-Ort-Termine, höhere Nachweisdichte und – bei Bezug zu Fahrzeugprojekten – das Prüfziel Prototypenschutz.
ENX und Fristen
Label-Austausch und Zeitplan
Label-Austausch über ENX
Das Ergebnis wird nicht als Zertifikat verschickt, sondern als Label über die ENX-Plattform freigegeben. Der Lieferant entscheidet, welchem Auftraggeber er sein Label zugänglich macht – derselbe Nachweis bedient so mehrere Kundenbeziehungen.
Fristen und Gültigkeit
Ein Label ist üblicherweise drei Jahre gültig. Für die Erstzertifizierung sind je nach Reifegrad und Level mehrere Monate einzuplanen – Registrierung, Selbstauskunft, Maßnahmen und der Prüftermin selbst. Spät reservierte Audittermine werden schnell zum Engpass.
Erstzertifizierer
In vier Schritten zum ersten Label
- 1
Anforderung klären: Welches Assessment-Level und welche Prüfziele verlangt der Kunde?
- 2
Standort und Geltungsbereich (Scope) festlegen, beim ENX registrieren.
- 3
VDA-ISA-Selbstauskunft erstellen, Lücken schließen und Nachweise sammeln.
- 4
Prüfdienstleister beauftragen, Assessment durchlaufen, Label über ENX teilen.
Häufige Fragen
- Wir sind ein kleiner Zulieferer – brauchen wir TISAX wirklich?
Wenn der Auftraggeber es im Vertrag oder in der Ausschreibung fordert, ja. Die Unternehmensgröße spielt für die Pflicht keine Rolle; sie beeinflusst nur den Aufwand der Umsetzung.
- Welches Level müssen wir anstreben?
Das gibt der Kunde vor. Der Standardfall ist AL 2. AL 3 wird verlangt, wenn streng vertrauliche Daten oder Prototypen im Spiel sind.
- Wie lange dauert die Erstzertifizierung?
Realistisch sind mehrere Monate. Entscheidend sind der Ausgangsreifegrad, das geforderte Level und die Verfügbarkeit von Auditterminen. Früh registrieren verschafft Spielraum.
- Können wir ein Label für mehrere Kunden nutzen?
Ja. Genau dafür ist TISAX gedacht. Über die ENX-Plattform geben Sie Ihr Label gezielt mehreren Auftraggebern frei, ohne pro Kunde ein eigenes Audit zu durchlaufen.
Weiterführend
Zum Nachlesen
Fachbeiträge, die die rechtlichen Anforderungen hinter diesem Thema erklären.
Als Lieferant planbar zum TISAX-Label
Von der OEM-Anforderung über AL2/AL3 bis zum ENX-Label – strukturiert und nachweisbar vorbereitet. Der Testzugang ist unverbindlich – keine automatische Vertragsbindung.