Accompagnement à la certification TISAX^®

TISAX s'adresse à tous les fournisseurs et prestataires de l'industrie automobile qui manipulent des informations confidentielles pour le compte d'un constructeur ou d'un équipementier : données de conception, prototypes, plans de production, données personnelles de clients finaux, accès à des systèmes connectés.

En pratique, dès qu'un OEM (Volkswagen, BMW, Mercedes, Stellantis, Renault…) ou un équipementier de rang 1 exige TISAX dans son cahier des charges, la labellisation devient la condition pour poursuivre la relation commerciale.

TISAX s'appuie sur la structure de l'ISO 27001 (SMSI, analyse de risques, politiques, mesures techniques) et recoupe environ 70% de ses exigences. Les 30% restants sont spécifiques à l'automobile : protection des prototypes (zones sécurisées, gestion des véhicules d'essai), classification de l'information selon le schéma VDA, exigences renforcées sur la gestion des sous-traitants et la protection des données personnelles.

TISAX délivre un label, et non un certificat. Ce label est publié sur le portail ENX et partagé directement avec vos clients automobiles, sans transmission de rapport d'audit.

Le VDA ISA (Information Security Assessment) est le référentiel publié par la VDA qui structure l'évaluation TISAX. Il contient près de 200 exigences réparties en 8 chapitres couvrant la politique de sécurité, la gestion des actifs, les ressources humaines, la sécurité physique, les opérations, les communications, le développement logiciel et les relations fournisseurs.

Chaque exigence est notée selon un score de maturité de 0 à 5. Un auditeur ENX attend un score cible moyen autour de 3, avec certaines exigences spécifiques aux prototypes à 4 ou 5 selon le niveau AL visé.

Le niveau dépend de la sensibilité des données confiées par votre donneur d'ordres. Dans la majorité des cas, c'est votre client automobile qui l'impose dans son cahier des charges.

AL1 — Données à criticité limitée, auto-évaluation sans auditeur externe.
AL2 — Données à haut besoin de protection, audit à distance par un auditeur ENX accrédité. C'est le niveau le plus fréquemment demandé.
AL3 — Données à très haute sensibilité (prototypes, designs stratégiques), audit complet sur site avec inspection physique des locaux.

Lorsque votre client ne précise pas de niveau explicite, il est recommandé d'anticiper des exigences potentiellement plus élevées. Notre première étape avec vous consiste précisément à valider ce niveau avant tout démarrage.

Le périmètre peut couvrir un site spécifique (une usine, un bureau) ou plusieurs sites. Deux critères sont non négociables.

Premièrement, le périmètre doit s'inscrire dans le périmètre de votre SMSI. Votre SMSI peut être plus large que le périmètre TISAX, mais l'inverse n'est pas possible.

Deuxièmement, le périmètre doit couvrir l'ensemble des sites traitant les informations ou prototypes de vos clients qui exigent le label TISAX, afin de satisfaire intégralement leurs exigences contractuelles.

Un périmètre mal défini est l'une des principales causes de retard ou d'échec à l'évaluation. C'est pourquoi nous y consacrons une étape dédiée dès le début de l'accompagnement.

ENX (European Network Exchange) est l'organisme qui gère et supervise le système TISAX. Son rôle est triple : fournir la plateforme sécurisée sur laquelle les résultats sont publiés et partagés entre entreprises, approuver et surveiller les organismes d'audit accrédités, et garantir la standardisation et la reconnaissance internationale des évaluations dans l'ensemble de l'industrie automobile.

Point important : ENX n'effectue pas les audits. Il en assure la régulation, la qualité et la reconnaissance. L'évaluation est conduite par un prestataire d'audit accrédité ENX, indépendant de votre accompagnateur.

Entre 3 et 9 mois selon votre point de départ.

Avec un SMSI ISO 27001 déjà fonctionnel : 3 à 5 mois pour l'analyse d'écarts, la mise à niveau des contrôles spécifiques automobile et l'évaluation. En partant de zéro : 6 à 9 mois, en intégrant une période de maturation de 2 à 3 mois durant laquelle votre SMSI doit générer des preuves opérationnelles réelles.

La méthode FeelAgile est conçue pour tenir les délais imposés par vos donneurs d'ordres, grâce à un pilotage par jalons bimensuels et une feuille de route calée sur votre date contractuelle.

Le coût se décompose en trois postes.

Frais ENX — Environ 500 € de frais d'inscription au portail.

Auditeur ENX accrédité — Entre 5 000 et 15 000 € selon le niveau AL et la taille du périmètre. AL2 se situe généralement autour de 8 000 à 10 000 €, AL3 dépasse souvent 12 000 €.

Accompagnement FeelAgile — Variable selon votre maturité initiale et votre périmètre. Un fournisseur d'une trentaine de collaborateurs, déjà certifié ISO 27001, investit généralement entre 25 000 et 45 000 €. Nous établissons un devis sur mesure après la phase de scoping.

Non, ce n'est pas obligatoire. Si votre entreprise travaille exclusivement pour l'automobile et qu'aucun autre secteur ne vous impose l'ISO 27001, viser directement TISAX est parfaitement cohérent.

Si vous disposez déjà d'un SMSI ISO 27001 en place, c'est un accélérateur majeur : environ 70% des exigences VDA ISA sont déjà couvertes. Si vous visez les deux référentiels, nous recommandons de construire un SMSI intégré qui répond simultanément aux deux, en évitant toute redondance documentaire et tout surcoût inutile.

Le label TISAX est valable 3 ans, sans audit de surveillance intermédiaire obligatoire, contrairement à l'ISO 27001.

Attention cependant : lors de la réévaluation au bout de 3 ans, l'auditeur ENX s'attend à ce que votre SMSI ait continué à vivre (revues de direction annuelles, audits internes, gestion des incidents, mises à jour des politiques). Sans maintien actif, la réévaluation se transforme en reconstruction complète.

FeelAgile propose un accompagnement au maintien du label pour sécuriser votre prochaine échéance sans rupture ni surcharge interne.