TISAX: Guida alla Certificazione di Sicurezza per il Settore Automotive

TISAX è diventato il passaporto di sicurezza informatica per chi vuole fare business con i grandi marchi automobilistici europei. Sviluppato dalla VDA (associazione dell'industria automobilistica tedesca) e gestito da ENX Association, TISAX standardizza come le aziende automotive e i loro fornitori valutano e condividono le informazioni sulla sicurezza informatica.

Perché TISAX è necessario nell'automotive

L'industria automobilistica è caratterizzata da catene di fornitura complesse. Un OEM come Stellantis o BMW lavora con migliaia di fornitori — Tier-1, Tier-2, Tier-3 — che hanno accesso a dati sensibili: design dei veicoli, dati dei test, informazioni sui clienti, firmware.

Prima di TISAX, ogni OEM aveva i propri questionari e audit di sicurezza. I fornitori che lavoravano con più OEM dovevano superare decine di audit diversi, con costi enormi. TISAX ha standardizzato il processo: l'audit viene fatto una volta, il risultato viene condiviso con tutti gli OEM che lo richiedono attraverso la piattaforma ENX.

Come funziona TISAX

Il questionnaire VDA ISA

Il questionario di base per TISAX è il VDA ISA (Information Security Assessment). Copre domini come:

• Policy e organizzazione della sicurezza
• Gestione degli asset
• Sicurezza delle risorse umane
• Sicurezza fisica
• Gestione degli accessi
• Crittografia
• Sicurezza delle comunicazioni
• Gestione delle vulnerabilità
• Continuità operativa

I livelli di valutazione

TISAX prevede tre livelli di assessment (AL) basati sulla sensibilità delle informazioni trattate:

AL1 — Normal: per informazioni con requisiti standard di confidenzialità. Self-assessment + verifica spot da auditor ENX.

AL2 — High: per informazioni riservate o dati personali. Assessment completo da auditor ENX con intervista on-site.

AL3 — Very High: per informazioni altamente riservate (segreti industriali critici, dati di sicurezza veicolo). Assessment approfondito con multiple interviste e verifica sul campo.

Il label

Al termine della valutazione positiva, l'organizzazione riceve un "TISAX label" che specifica:

• Il livello di assessment raggiunto (AL1, AL2, AL3)
• La scopo della valutazione (quali sedi, quali attività)
• La data di scadenza (3 anni)

Il label viene caricato sulla piattaforma ENX e condiviso con i partner autorizzati.

Come prepararsi alla valutazione TISAX

Step 1: Determina il tuo livello target

Parla con i tuoi clienti OEM o Tier-1: quale livello richiedono? In quale scopo? Questo determina l'investimento necessario.

Step 2: Compila il VDA ISA self-assessment

Scarica il questionario VDA ISA dal sito ENX e compilalo onestamente. Il gap che emergi è la base del tuo piano di remediation.

Le aree tipicamente critiche per le PMI italiane:

• Politica ISMS formale
• Gestione degli asset inventariata
• Gestione delle patch strutturata
• Business continuity documentata e testata
• Formazione e awareness documentata

Step 3: Piano di remediation

Prioritizza le azioni in base al gap e al livello target:

• Quick wins: policy da formalizzare, inventario da completare
• Medio termine: processi da implementare (vulnerability management, patch management)
• Lungo termine: infrastruttura (segmentazione di rete, monitoring)

Step 4: Audit interno

Prima dell'audit ENX, esegui un audit interno usando il questionnaire VDA ISA. Identifica le aree ancora deboli.

Step 5: Seleziona un provider di audit ENX accreditato

La lista dei provider accreditati è disponibile su enx.com. In Italia operano sia provider locali che grandi advisory firm internazionali (KPMG, Deloitte, PwC, Bureau Veritas, TÜV).

Step 6: Audit ENX

Per AL2 (il livello più comune):

• Review della documentazione
• Intervista con il management e i responsabili tecnici
• Verifica on-site (tipicamente 1-2 giorni)
• Eventuale remediation se emergono non-conformità

Step 7: Registrazione sulla piattaforma ENX

Dopo la valutazione positiva, carica il label sulla piattaforma ENX e condividilo con i partner.

Costi e tempistiche tipiche

Consulenza di preparazione: 20.000-60.000€ per PMI, in base al gap iniziale.

Audit ENX AL2: 8.000-20.000€ in base al numero di sedi e alla complessità.

Tempistiche totali: 6-18 mesi dalla decisione alla certificazione.

Rinnovo: ogni 3 anni, con costi inferiori all'assessment iniziale.

TISAX e ISO 27001

TISAX e ISO 27001 sono altamente complementari: i controlli VDA ISA sono quasi tutti coperti dai controlli ISO 27001. Un'organizzazione certificata ISO 27001 è in posizione molto favorevole per TISAX, spesso riducendo i tempi di preparazione di 30-50%.

Molte aziende automotive scelgono di perseguire entrambe le certificazioni in parallelo, ottimizzando l'investimento.

TISAX non è più optional per chi vuole crescere nella supply chain automotive europea: è il prezzo d'ingresso. Inizia la preparazione prima che il contratto lo richieda — i tempi sono lunghi.