Informationssicherheit in Unternehmen

Die zunehmende Vernetzung und Digitalisierung der Automobilindustrie stellt Unternehmen und ihre Lieferketten vor wachsende Herausforderungen im Bereich der Cybersicherheit. Cyberangriffe können nicht nur sensible Unternehmensdaten gefährden, sondern auch Produktionsprozesse beeinträchtigen und Lieferketten unterbrechen.
 
Mit der Empfehlung „Cybersicherheit in der Lieferkette – IT-Architektur“ bietet der Verband der Automobilindustrie (VDA) Unternehmen eine praxisorientierte Hilfestellung zur Absicherung ihrer IT-Infrastrukturen. Die Veröffentlichung ergänzt die etablierten Anforderungen des VDA-ISA und das TISAX-Modell um konkrete technische und architektonische Empfehlungen.
Im Mittelpunkt stehen Maßnahmen zur IT- und Netzwerksicherheit, zur Absicherung industrieller Produktionsumgebungen (Operational Technology), zur Cloud-Sicherheit sowie zum sicheren Einsatz Künstlicher Intelligenz. Praxisnahe Handlungsempfehlungen, priorisierte Maßnahmen und Kennzahlen unterstützen Unternehmen dabei, Sicherheitsrisiken zu bewerten und ihre Cyberresilienz kontinuierlich zu verbessern.
 
Diese Empfehlung richtet sich insbesondere an Hersteller, Zulieferer und Dienstleister der Automobilindustrie. Sie basiert auf anerkannten internationalen Standards und unterstützt eine risikoorientierte, unternehmensübergreifende Sicherheitsarchitektur.

Mit dem VDA ISA 2027 hat der Verband der Automobilindustrie (VDA) den Fragenkatalog für TISAX® gezielt mit ENX weiterentwickelt und an aktuelle Anforderungen der Informationssicherheit angepasst. Als Grundlage aller TISAX®-Assessments definiert der VDA ISA-Katalog die Sicherheitsanforderungen für Unternehmen innerhalb der automobilen Lieferkette. Ziel der neuen Version ist es, internationale Standards stärker zu berücksichtigen, Anforderungen klarer zu formulieren und die Vergleichbarkeit von Assessments weiter zu verbessern.

Mit dem VDA ISA 2027 entwickelt der VDA den TISAX®-Fragenkatalog konsequent weiter und schafft eine moderne Grundlage für Informationssicherheit in der Automobilindustrie. Unternehmen sollten die Änderungen frühzeitig prüfen und ihre Dokumentation sowie Prozesse mit den neuen Anforderungen abgleichen. So lässt sich die Vorbereitung auf zukünftige TISAX®-Assessments effizient gestalten und gleichzeitig die eigene Informationssicherheit nachhaltig stärken.

Der VDA hat den ISA-Katalog an die aktuelle ISO/IEC 27001:2022 angepasst und gleichzeitig eine Zuordnung zum NIST Cybersecurity Framework (CSF) 2.0 integriert. Dadurch wird die Verzahnung mit international anerkannten Sicherheitsstandards verbessert und Unternehmen können bestehende Informationssicherheitsmanagementsysteme einfacher mit den Anforderungen aus TISAX® abstimmen.

Viele Controls wurden sprachlich überarbeitet und konkretisiert, um Interpretationsspielräume zu reduzieren. Zudem wurden einzelne Empfehlungen in verbindliche Anforderungen überführt und bestehende Maßnahmen, beispielsweise zu Passwortsicherheit oder für Organisationen mit hohem Schutzbedarf, an den aktuellen Stand der Technik angepasst.

Der VDA stärkt im VDA ISA 2027 die Anforderungen an das Lieferantenmanagement. Unternehmen müssen künftig noch transparenter nachweisen, wie sicherheitsrelevante IT-Dienstleister bewertet und überwacht werden. Auch das Supplier Statement of Applicability (Supplier SoA) erhält dabei eine größere Bedeutung.

Das Modul zum Prototypenschutz wurde vollständig überarbeitet. Neben einer neuen Struktur wurden Controls zusammengeführt, organisatorische Anforderungen ergänzt und veraltete Inhalte entfernt. Dadurch wird die Umsetzung in der Praxis deutlich erleichtert.

Seit dem 1. Oktober 2026 steht der VDA ISA 2027.1 erstmals auch in deutscher Sprache zur Verfügung. Damit wird der international führende Standard für Informationssicherheit in der automobilen Lieferkette für einen deutlich breiteren Anwenderkreis unmittelbar zugänglich – von der Entwicklung über die Produktion bis zum Einkauf.

Der VDA ISA ist die verbindliche Prüfgrundlage für TISAX®-Assessments. Unternehmen weisen auf seiner Basis nach, dass sie die Anforderungen an den Schutz von Informationen erfüllen – die deutschsprachige Version erleichtert damit deutlich die Vorbereitung auf kommende Assessments. Maßgeblich für TISAX®-Assessments bleibt die englischsprachige Version.

Zeitgleich wurde die englischsprachige Version auf 2027.1 aktualisiert. Die Änderungen sind rein redaktionell; die inhaltlichen Anforderungen bleiben unverändert. Beide Sprachversionen tragen nun die Bezeichnung 2027.1 und befinden sich damit auf einem einheitlichen Stand.

Die deutschsprachige Version senkt die Einstiegshürde, beschleunigt die Umsetzung in der Praxis und stärkt so die Informationssicherheit entlang der gesamten Lieferkette.

Beide Sprachversionen stehen ab sofort zum Download zur Verfügung.

Die Automobilindustrie gehört zu den innovationsstärksten und zugleich am stärksten vernetzten Branchen weltweit. Globale Lieferketten, digitalisierte Produktionsprozesse, intelligente Fahrzeuge und cloudbasierte Entwicklungsumgebungen machen Unternehmen effizienter, erhöhen jedoch gleichzeitig ihre Angriffsfläche. Cyberangriffe, Wirtschaftsspionage, Sabotage oder der Ausfall kritischer Infrastrukturen können heute innerhalb kürzester Zeit erhebliche wirtschaftliche Schäden verursachen. Vor diesem Hintergrund gewinnt der Wirtschaftsschutz zunehmend an strategischer Bedeutung.

Der VDA versteht Wirtschaftsschutz als einen ganzheitlichen Ansatz zum Schutz von Unternehmen, Technologien, Know-how und Lieferketten. Ziel ist es, die Resilienz der gesamten automobilen Wertschöpfung zu stärken und Unternehmen gegenüber physischen wie digitalen Bedrohungen widerstandsfähiger zu machen. Informationssicherheit, Cybersicherheit, Geheimschutz, Produktschutz, Krisenmanagement und physische Sicherheit greifen dabei eng ineinander.

Die Anforderungen an den Wirtschaftsschutz haben sich in den vergangenen Jahren deutlich verändert. Neben dem Schutz sensibler Entwicklungsdaten stehen heute auch die Absicherung von Produktionsanlagen, Operational Technology (OT), Lieferketten sowie kritischen Dienstleistungen im Fokus. Moderne Angriffe zielen zunehmend darauf ab, Produktionsprozesse zu stören, geistiges Eigentum zu entwenden oder Unternehmen gezielt wirtschaftlich zu schädigen.

Für Unternehmen der Automobilindustrie bedeutet dies, Sicherheitsmaßnahmen nicht isoliert zu betrachten, sondern in ein ganzheitliches Sicherheits- und Risikomanagement zu integrieren. Wirtschaftsschutz wird damit zu einem wesentlichen Bestandteil der Unternehmensstrategie und trägt maßgeblich zur Sicherung der Innovations- und Wettbewerbsfähigkeit bei.

Mit der Einführung neuer gesetzlicher Vorgaben wie dem KRITIS-Dachgesetz und der KRITIS-Verordnung rückt der Schutz kritischer Anlagen stärker in den Mittelpunkt. Gleichzeitig zeigen geopolitische Entwicklungen und die zunehmende Digitalisierung, dass auch industrielle Produktions- und Logistikstrukturen eine zentrale Rolle für die Versorgungssicherheit und die Stabilität der Wirtschaft spielen.

Der VDA setzt sich dafür ein, dass die besonderen Anforderungen der Automobilindustrie bei der Ausgestaltung dieser Regelwerke berücksichtigt werden. Moderne Produktionsnetzwerke, zentrale Steuerungssysteme und globale Plattformen müssen geschützt werden, gleichzeitig dürfen Unternehmen jedoch nicht durch unnötige Doppelregulierungen oder unverhältnismäßige Anforderungen belastet werden.

Ein wirksamer Wirtschaftsschutz endet nicht an den Unternehmensgrenzen. Die Sicherheit der gesamten Lieferkette wird zunehmend zu einem entscheidenden Erfolgsfaktor. Hersteller, Zulieferer und Dienstleister müssen gemeinsam Sicherheitsstandards etablieren, Risiken frühzeitig erkennen und geeignete Schutzmaßnahmen umsetzen. Der VDA fördert hierfür den Austausch innerhalb der Branche und unterstützt die Entwicklung gemeinsamer Sicherheitsstandards und Best Practices.

Der Wirtschaftsschutz entwickelt sich zu einem zentralen Erfolgsfaktor der Automobilindustrie. Angesichts wachsender geopolitischer Risiken, zunehmender Digitalisierung und immer komplexerer Lieferketten reicht klassische Informationssicherheit allein nicht mehr aus. Der VDA verfolgt deshalb einen ganzheitlichen Ansatz, der Cybersicherheit, physische Sicherheit, Resilienz und den Schutz kritischer Infrastrukturen miteinander verbindet. Unternehmen, die Wirtschaftsschutz frühzeitig als strategische Aufgabe verstehen, stärken nicht nur ihre Compliance, sondern sichern langfristig ihre Innovationskraft, Lieferfähigkeit und Wettbewerbsfähigkeit.