TISAX:
segurança da informação na indústria automotiva

Em resumo

TISAX significa Trusted Information Security Assessment Exchange. O processo é conduzido pela ENX Association, uma associação da indústria automotiva europeia. A avaliação segue o catálogo de perguntas ISA (Information Security Assessment), publicado pela associação alemã da indústria automotiva (VDA). Ele se baseia na ISO/IEC 27001 e acrescenta requisitos de proteção de protótipos e de proteção de dados.

O resultado final não é um certificado, e sim um resultado de avaliação com um ou mais labels. Ele não é público. Você o compartilha pelo portal da ENX apenas com os clientes que devem vê-lo. O resultado vale por três anos.

A profundidade da avaliação é definida pelos níveis de avaliação (Assessment Level, AL). No AL 1, o auditor verifica apenas se existe uma autoavaliação; esse nível não é usado no TISAX. No AL 2, ele verifica a plausibilidade da autoavaliação, examina evidências e faz uma entrevista, geralmente por videoconferência. No AL 3, a verificação é completa, com documentos, entrevistas e inspeção no local.

Conforme o label, exige-se AL 2 ou AL 3. A tabela segue a versão atual do TISAX Participant Handbook da ENX. Para “Test vehicles” e “Proto events”, algumas fontes mais antigas indicam AL 3. O que vale é sempre o manual da ENX na versão correspondente ao catálogo VDA ISA vigente.

Os antigos labels “Info high” e “Info very high” só puderam ser escolhidos até 31/03/2024. Desde então valem “Confidential” e “Strictly confidential”.

Por que clientes da UE pedem o TISAX

As montadoras trocam dados de projeto, software e protótipos com seus fornecedores muito antes de um modelo chegar ao mercado. Um vazamento custa muito dinheiro. Em vez de auditar cada fornecedor por conta própria, elas confiam em um processo comum e em resultados reconhecidos mutuamente. Por isso o label exigido costuma constar diretamente no contrato de fornecimento ou na concorrência.

Com a NIS2, os fabricantes de veículos automotores passaram a fazer parte dos setores regulados e precisam gerenciar a segurança da sua cadeia de fornecimento. A ENX publicou um parecer que mostra até que ponto o TISAX cobre os requisitos da NIS2. Dados pessoais, por exemplo de veículos conectados ou de motoristas de teste, também estão sujeitos ao RGPD (Regulamento Geral sobre a Proteção de Dados); para isso existem os labels “Data” e “Special data”. Quem fornece componentes conectados também deve acompanhar o Cyber Resilience Act e esclarecer com o cliente se ele se aplica à peça.

Quem precisa na América do Sul

• Fornecedores de montadoras alemãs no Brasil, por exemplo na região de São Paulo, no Paraná ou em Minas Gerais
• Fornecedores na Argentina, sobretudo em torno de Córdoba, Buenos Aires e Rosário
• Prestadores de serviços de engenharia e projeto que trabalham com dados CAD das montadoras
• Software houses que desenvolvem unidades de controle, infotainment ou sistemas de back-end para a indústria automotiva
• Ferramentarias e fabricantes de moldes que veem peças antes do início da produção em série
• Empresas de logística, campos de provas e agências que lidam com protótipos ou veículos de teste

Quem define o label de que você precisa é o seu cliente. Confirme isso com precisão antes de se registrar: um label abaixo do necessário não serve, e um acima custa tempo à toa. Quem tem contato com peças ou veículos protótipo, ou recebe informações com altíssima necessidade de proteção, precisa, conforme a tabela acima, de um label em AL 3 com avaliação no local. Leve isso em conta ao planejar prazo e orçamento.

Etapas até o label

1. Registro no portal da ENX: informar empresa, contatos, unidades (escopo da avaliação) e objetivos da avaliação.
2. Autoavaliação com o catálogo ISA. Aqui aparecem as lacunas.
3. Fechar as lacunas: políticas, controle de acesso, regras para visitantes, criptografia, gestão de fornecedores e, no caso de protótipos, também segurança física.
4. Escolher e contratar um provedor de auditoria autorizado pela ENX.
5. Avaliação no nível escolhido.
6. Em caso de não conformidades, apresentar um plano de ação e, se for o caso, passar por uma reavaliação.
7. Receber o relatório de avaliação e o label e compartilhá-los com seus clientes pelo portal da ENX.

Na prática, costumam passar vários meses entre o registro e o label; em empresas sem um SGSI já implantado, algo como 6 a 12 meses. Com a ISO/IEC 27001 como base, em geral o processo é mais rápido. Isso depende muito do label, do número de unidades e do ponto de partida, e não é um prazo garantido. A taxa da ENX consta no portal; os custos com o provedor de auditoria e a preparação variam bastante conforme o escopo.

Acreditação: o que é diferente no TISAX

O TISAX não segue o modelo clássico de organismo de acreditação e organismo certificador. Só podem avaliar os provedores de auditoria autorizados pela ENX, que os supervisiona de forma centralizada para que os resultados continuem comparáveis. Uma acreditação nacional não basta para isso. A ENX publica em seu site a lista de provedores de auditoria autorizados; procure ali auditores que atuem no seu país e no seu idioma.

Para a ISO/IEC 27001, que talvez você busque em paralelo, valem os organismos nacionais de acreditação: a Cgcre do INMETRO no Brasil, o OAA na Argentina, o INN no Chile, o ONAC na Colômbia, o INACAL no Peru, o SAE no Equador, o OUA no Uruguai, o ONA no Paraguai e o DTA-IBMETRO na Bolívia. Os nove constam como signatários do acordo de reconhecimento da Global Accreditation Cooperation Incorporated (sucessora do IAF e do ILAC desde 01/01/2026).

Erros comuns

• A empresa se registra sem confirmar com o cliente qual label ele exige e depois precisa passar por nova avaliação.
• O escopo da avaliação não inclui a unidade onde de fato se trabalha com dados do cliente ou com protótipos.
• A autoavaliação é preenchida com otimismo demais. Nos níveis AL 2 e AL 3, o auditor pede evidências.
• A proteção de protótipos é subestimada: barreiras visuais, controle de acesso, proibição de fotos e regras de transporte precisam funcionar no dia a dia.
• O resultado não é compartilhado com o cliente no portal da ENX. Para a área de compras, o label então não existe.

Como o Sightadel ajuda

O TISAX não é um framework pronto no Sightadel. Como plataforma GRC, ele ajuda com as medidas que surgem da autoavaliação: tarefas com responsáveis e prazos, evidências, controle de documentos e avaliação de fornecedores. A ISO/IEC 27001 é suportada no Sightadel, e as evidências reunidas para ela ajudam também na preparação para o TISAX.

FAQ