MRIS für TISAX® ISA 2027, Modul Information Security. Fassung 2.0, September 2026

Wirken Ihre TISAX®-Controls noch, wenn der Angreifer eine KI ist?

MRIS analysiert die 45 Controls des ISA-2027-Moduls Information Security mit ihren 330 Anforderungen gegen KI-beschleunigte Angriffe. 74 Einzelbefunde zeigen, wo die Schutzwirkung nachlässt, und der Implementation Guide beschreibt die Härtung mit 10 MHC und 6 Einzelmaßnahmen.

Analyse herunterladen (PDF) Implementation Guide (PDF)

Kostenlos unter CC BY-NC 4.0, ohne Registrierung. Analysiert wird der Anforderungswortlaut, nicht die Umsetzung einer konkreten Organisation. Unabhängige Arbeit, nicht von ENX autorisiert.

Wählen Sie ein Feld aus, um Control, Einstufung und Härtungsmaßnahme zu sehen.

Alle 45 Controls

45 Controls: 4 standfest, 26 teilweise degradiert, 1 reine Reibung, 14 nicht betroffen. Einstufung für den Normalfall.

Kap. 1

Kap. 2

Kap. 3

Kap. 4

Kap. 5

Kap. 6

Kap. 7

Befundmatrix

Alle 45 Controls mit Gesamteinstufung, dem Anteil betroffener Anforderungen und den 74 Einzelbefunden samt Härtungsverweis. Einige Controls werden bei hohem Schutzbedarf anders eingestuft; das ist jeweils vermerkt.

Controls und Befunde durchsuchen

45 von 45 Controls

Befundmatrix der 45 Controls aus TISAX® ISA 2027, Modul Information Security
Control	Thema und Einzelbefunde	Einstufung	Betroffen
Kapitel 1 Richtlinien und Organisation 14 Controls
1.1.1	Informationssicherheitsrichtlinien Richtlinien-Review ohne Anlassbezug ("periodisch") MHC-10	teilweise degradiert	1/10
1.2.1	Management der Informationssicherheit (ISMS) ISMS-Wirksamkeitsprüfung ohne Anlassbezug MHC-10	teilweise degradiert	1/7
1.2.2	Verantwortlichkeiten für Informationssicherheit Rollentrennung nur organisatorisch, nicht technisch durchgesetzt Einzelmaßnahme	nicht betroffenbei hohem Schutzbedarf: teilweise degradiert	0/7
1.2.3	Informationssicherheit in Projekten	nicht betroffen	0/5
1.3.1	Inventar der Informationswerte Asset-Inventar-Pflege ohne Anlassbezug MHC-10	teilweise degradiert	1/3
1.3.2	Klassifizierung von Informationswerten nach Schutzbedarf	nicht betroffen	0/4
1.3.3	Freigabe externer IT-Dienste AI-Agent kann externe Dienste ohne Freigabe aufrufen MHC-13 Freigabe-Stichprobenprüfung ohne laufende Erkennung MHC-10	teilweise degradiert	2/6
1.3.4	Freigabe von Software AI-Coding-Assistent lädt Softwarepakete ohne Freigabe nach MHC-13 Gleiche Lücke bei Spezialsoftware (Wartungswerkzeuge) MHC-13 Repository-Schutz: Signaturprüfung nicht verpflichtend MHC-13 Software-Freigabeprüfung ohne Anlassbezug MHC-10 Patch-Stand bekannt, aber keine Reaktionsgeschwindigkeit gefordert MHC-09	teilweise degradiert	5/8
1.4.1	Management von Informationssicherheitsrisiken Risikobewertung unterstellt weiterhin enge Angreiferkreise Einzelmaßnahme Gleiche Lücke auf Ebene der Bewertungskriterien Einzelmaßnahme	teilweise degradiert	2/8
1.5.1	Compliance in Verfahren und Prozessen Richtlinien-Compliance-Prüfung ohne Anlassbezug MHC-10 Anforderungs-Compliance-Prüfung ohne Anlassbezug MHC-10 Konzernweiter Auditplan ohne Anlass-Trigger für neue Standorte MHC-10	teilweise degradiert	3/10
1.5.2	Unabhängige Prüfung des ISMS	nicht betroffen	0/5
1.6.1	Meldung von Sicherheitsereignissen und Beobachtungen Meldewesen erkennt fragmentierte Angriffsschritte nicht MHC-05	teilweise degradiert	1/9
1.6.2	Bearbeitung von Sicherheitsereignissen Vorfallbearbeitung rein menschlich, keine Automatisierungspflicht MHC-11 Gleiche Lücke bei der Reaktion auf Meldungen MHC-11 Reaktionszeit-Ziele ohne Automatisierungspflicht zur Einhaltung MHC-11 Eskalationsmechanismus bleibt selbst menschlich getragen MHC-11	teilweise degradiert	4/13
1.6.3	Krisenvorsorge Krisenerkennung auf allmähliche, nicht schnelle Eskalation ausgelegt MHC-05 Krisenplan-Aktualisierung ohne Anlassbezug MHC-10 Krisenszenarien ohne AI-orchestrierten Mehrfachangriff Einzelmaßnahme Krisenszenarien ohne AI-orchestrierten Mehrfachangriff (redaktionelle Katalogdublette, siehe Datenqualitäts-Hinweis) Einzelmaßnahme Kommunikationsstrategie ohne verkürztes Reaktionsfenster MHC-05 Kommunikationsstrategie ohne verkürztes Reaktionsfenster (redaktionelle Katalogdublette, siehe Datenqualitäts-Hinweis) MHC-05 Krisenplan-Bewertung ohne Anlassbezug MHC-10	teilweise degradiert	7/19
Kapitel 2 Personal 4 Controls
2.1.1	Qualifikation des Personals für sensible Tätigkeiten Identitätsprüfung anfällig für Deepfake-Bewerberidentität MHC-15 Live-Interview anfällig für Echtzeit-Deepfake MHC-15 Referenzen/Zeugnisse leichter fälschbar MHC-15	teilweise degradiert	3/5
2.1.2	Verpflichtung des Personals auf die Informationssicherheit	nicht betroffen	0/5
2.1.3	Sensibilisierung und Schulung Awareness-Training auf veraltete Phishing-Erkennungsmerkmale ausgelegt MHC-15	teilweise degradiert	1/7
2.1.4	Mobiles Arbeiten	nicht betroffenbei hohem Schutzbedarf: standfest	0/3
Kapitel 3 Physische Sicherheit 3 Controls
3.1.1	Sicherheitszonen und Zutritt Zutrittskontrolle anfällig für AI-gestützte Vortäuschung MHC-15 Besucherregistrierung anfällig für gefälschte Legitimation MHC-15	teilweise degradiert	2/9
3.1.3	Umgang mit unterstützenden Assets	nicht betroffenbei hohem Schutzbedarf: standfest	0/1
3.1.4	Mobile Geräte und Datenträger Verschlüsselung mobiler Geräte nicht verpflichtend vorgeschrieben Einzelmaßnahme	teilweise degradiertbei hohem Schutzbedarf: standfest	1/2
Kapitel 4 Identitäts- und Zugriffsmanagement 4 Controls
4.1.1	Identifikationsmittel Sperrung verlorener Ausweismittel nicht sofort/automatisiert MHC-03	nicht betroffenbei hohem Schutzbedarf: teilweise degradiert	0/2
4.1.2	Benutzerzugang und Authentisierung "Stand der Technik" erzwingt keine Phishing-Resistenz MHC-03 Passwortstärke wirkungslos gegen Echtzeit-Phishing MHC-03 Privilegierte Konten: einfache 2FA ohne Phishing-Resistenz genügt MHC-03 Optionsliste erlaubt Erfüllung ohne Phishing-Resistenz MHC-03 Zwei-Faktor-Beispiel ohne Phishing-Resistenz-Pflicht MHC-03	reine Reibung	1/7 (Reibung) + 4/7 (degradiert)
4.1.3	Benutzerkonten und Anmeldedaten Konten-Review ohne Anlassbezug MHC-10 Besitzfaktor (SMS-OTP) anfällig für SIM-Swapping MHC-03 Konten-Review in Kundensystemen ohne Anlassbezug MHC-10	teilweise degradiert	3/17
4.2.1	Vergabe von Zugriffsrechten Zugriffsrechte-Review ohne Anlassbezug MHC-10 Kürzeres Prüfintervall bleibt periodisch ohne Anlassbezug MHC-10	teilweise degradiertbei hohem Schutzbedarf: 2/10 betroffen	1/7
Kapitel 5 IT-Sicherheit 15 Controls
5.1.1	Kryptografische Verfahren	standfest	0/3
5.1.2	Schutz bei der Übertragung Transportschutz ohne verpflichtenden Verschlüsselungs-Mindeststandard Einzelmaßnahme Fernzugriff: VPN schützt Transportweg, nicht Authentisierung MHC-03	teilweise degradiert	2/6
5.2.1	Änderungsmanagement	nicht betroffen	0/6
5.2.2	Trennung von Entwicklung, Test und Betrieb	standfest	0/3
5.2.3	Schutz vor Schadsoftware Signaturbasierter Malwareschutz gegen AI-Varianten schwach MHC-05 Virenscanner-Beispiel signalisiert Signaturerkennung MHC-05 Gleiche Signaturerkennungsgrenze bei Dateiprüfung MHC-05 Vollprüfung periodisch und signaturbasiert — doppelte Schwäche MHC-05 Verschlüsselter Inhalt umgeht Gateway-Inspektion MHC-05	teilweise degradiert	5/10
5.2.4	Protokollierung und Auswertung Log-Prüfung erkennt fragmentierte Angriffsmuster nicht MHC-05	teilweise degradiert	1/8
5.2.5	Schwachstellenmanagement Schwachstellenbewertung unterschätzt verkürztes Exploit-Fenster MHC-09 Patch-Management ohne verpflichtende Geschwindigkeits-SLA MHC-09	teilweise degradiert	3/6
5.2.6	Technische System- und Dienstprüfung Behebungsfrist ("appropriate timeframe") unbestimmt MHC-09 Audit-Zyklus lässt Patch-Gap zwischen Prüfungen offen MHC-09 Scan-Frequenz auch bei sehr hoch nur periodisch MHC-09	teilweise degradiertbei hohem Schutzbedarf: 3/10 betroffen	2/8
5.2.7	Netzwerkmanagement Erkennung lateraler Bewegung ohne Verhaltensbasierung MHC-05 Fernzugriffsrisiko importiert Authentisierungslücke aus 4.1.2 MHC-03	teilweise degradiertbei hohem Schutzbedarf: 2/5 betroffen	1/4
5.2.8	Kontinuitätsplanung für IT-Dienste Notfallplan-Aktualisierung ohne Anlassbezug MHC-08 Backup-Schutz ohne Unveränderlichkeits-Vorgabe (Integrität) MHC-08 Gleiche Lücke, Vertraulichkeitsseite MHC-08	teilweise degradiertbei hohem Schutzbedarf: 3/15 betroffen	1/5
5.2.9	Datensicherung und Wiederherstellung Backup-Konzept-Überprüfung ohne Anlassbezug MHC-10	nicht betroffenbei hohem Schutzbedarf: teilweise degradiert	0/3
5.3.1	Informationssicherheit bei neuen oder weiterentwickelten IT-Diensten Testdaten: keine re-identifizierungsresistente Anonymisierung gefordert Einzelmaßnahme	teilweise degradiert	1/10
5.3.2	Anforderungen an Netzwerkdienste	standfest	0/5
5.3.3	Rückgabe und Löschung bei externen Diensten	nicht betroffen	0/2
5.3.4	Schutz in geteilten externen Diensten	standfest	0/2
Kapitel 6 Lieferantenbeziehungen 3 Controls
6.1.1	Informationssicherheit bei Auftragnehmern und Partnern Lieferantenberichte ohne unabhängige Gegenprüfung MHC-14 Selbstauskunft/Attestierung als Nachweis ausreichend MHC-14 Prüf-Frequenz gut, Nachweis-Echtheitsproblem bleibt MHC-14 Gleiche Nachweis-Echtheitslücke bei Vertragsprüfung MHC-14	teilweise degradiertbei hohem Schutzbedarf: 4/10 betroffen	1/5
6.1.2	Geheimhaltungsvereinbarungen NDA-Handhabungsverfahren ohne Anlassbezug MHC-10	teilweise degradiert	1/9
6.1.3	Verantwortlichkeiten zwischen externen IT-Dienstleistern und der Organisation Dienstleister-Konfiguration periodisch statt kontinuierlich geprüft MHC-10 Unspezifizierter Nachweis ohne unabhängige Verifikation MHC-14 Authentisierungsmechanismen ohne Phishing-Resistenz-Pflicht MHC-03	nicht betroffenbei hohem Schutzbedarf: teilweise degradiert	0/7
Kapitel 7 Compliance 2 Controls
7.1.1	Einhaltung gesetzlicher und vertraglicher Vorgaben	nicht betroffen	0/3
7.1.2	Schutz personenbezogener Daten	nicht betroffen	0/3

„Betroffen“ zeigt, wie viele Anforderungen eines Controls im Normalfall betroffen sind. Die Kurzbezeichnungen der Controls sind Arbeitstitel von MRIS, nicht der Wortlaut des VDA-ISA-Katalogs.

Vier Analysekriterien

Jede Anforderung wird gegen vier Verschiebungen der Angriffsrealität geprüft. Hält ihre Schutzannahme keiner davon stand, verliert sie Wirkung.

Angreifergeduld: KI-Angreifer arbeiten beliebig lange, parallel und ermüdungsfrei an einem Ziel.
Zeitkompression: Vom ersten Zugriff bis zum Schaden vergehen Minuten, nicht Tage.
Aggregationsresistenz: Fragmentierte Einzelschritte bleiben unter jeder Melde- und Erkennungsschwelle.
Fähigkeitsentkopplung: Angriffsfähigkeit hängt nicht mehr an der Ressourcenstärke des Akteurs.

Acht Muster hinter den 74 Befunden

Die meisten Befunde wiederholen sich über Kapitel hinweg. Am häufigsten: Formulierungen wie „regelmäßig“ schreiben keinen anlassbezogenen Reaktionsmechanismus vor. Die Einordnung zeigt, ob andere Rahmenwerke das Muster bereits lösen.

Muster-Cluster der Einzelbefunde
Muster	Befunde	Controls	Dominantes Kriterium	Stand in anderen Rahmenwerken
Periodische statt anlassbezogene Prüfung1.1.1, 1.2.1, 1.3.1, 1.3.3, 1.3.4, 1.5.1, 1.6.3, 4.1.3, 4.2.1, 5.2.9, 6.1.2, 6.1.3	19	12	Zeitkompression	Industrieweit teilweise adressiert
Kollaps des Patch-Gap-Fensters / Ransomware-Resilienz1.3.4, 5.2.5, 5.2.6, 5.2.8	9	4	Zeitkompression	Patch-Fristen gelöst, Backup-Unveränderlichkeit offen
Fehlende phishing-resistente Authentisierung4.1.1, 4.1.2, 4.1.3, 5.1.2, 5.2.7, 6.1.3	10	6	Fähigkeitsentkopplung / Zeitkompression	Industrieweit teilweise adressiert
AI-gestützte Identitäts- und Dokumentenfälschung2.1.1, 2.1.3, 3.1.1, 6.1.1, 6.1.3	11	5	Fähigkeitsentkopplung	Lieferanten teilweise adressiert, Personal und Zutritt TISAX®-originär
Signaturbasierte Erkennung vs. AI-Schadsoftware5.2.3	5	1	Fähigkeitsentkopplung	Überwiegend originär
Aggregationsresistenz1.6.1, 1.6.3, 5.2.4, 5.2.7	4	4	Aggregationsresistenz	Überwiegend originär
Autonome AI-Agenten unterlaufen Freigabeprozesse1.3.3, 1.3.4	4	2	Fähigkeitsentkopplung	Universell ungelöst
Fehlende Automatisierungspflicht in der Reaktion1.6.2	4	1	Zeitkompression	Industrieweit faktisch adressiert
Einzelbefunde (kein wiederkehrendes Muster)1.2.2, 1.4.1, 1.6.3, 3.1.4, 5.1.2, 5.3.1	8	6	—	–

Vergleichsrahmen: NIST CSF 2.0, BSI C5:2026, DORA, CRA, NIS2-Richtlinie und -Durchführungsverordnung, ISA/IEC 62443-2-1.

Die acht Muster im Detail: Abgleich mit sechs Rahmenwerken und Folgen für die Härtung

Einstufung je Kapitel

58 % der Controls verlieren einen Teil ihrer Schutzwirkung, meist weil periodische Formulierungen keinen anlassbezogenen Mechanismus verlangen. Nur ein Control verliert die Kernwirkung vollständig: 4.1.2, der reine Passwortfaktor ohne zweiten Faktor.

Standfest: 4; 9 %; Wirkt strukturell weiter – kryptografische oder architektonische Härte.
Teilweise degradiert: 26; 58 %; Wirkt eingeschränkt – braucht eine flankierende Härtung.
Reine Reibung: 1; 2 %; Kernwirkung entfällt – muss ersetzt oder umgestaltet werden.
Nicht betroffen: 14; 31 %; Von der KI-Bedrohung neutral – bleibt unverändert wichtig.

Einstufung je Kapitel im Normalfall
Kapitel	Controls	Standfest	Teilweise degradiert	Reine Reibung	Nicht betroffen
1 Richtlinien und Organisation	14	–	10	–	4
2 Personal	4	–	2	–	2
3 Physische Sicherheit	3	–	2	–	1
4 Identitäts- und Zugriffsmanagement	4	–	2	1	1
5 IT-Sicherheit	15	4	8	–	3
6 Lieferantenbeziehungen	3	–	2	–	1
7 Compliance	2	–	–	–	2

Kapitel 3 enthält ein weiteres Control ohne eigene Anforderungen (3.1.2, ersetzt durch 1.6.3, 5.2.8 und 5.2.9).

Hebelwirkung: welche Maßnahme wie viele Befunde trägt

Anzahl der Einzelbefunde (von 74), die jedes MHC trägt, gemäß Befundtabelle der Analyse. MHC-16 ist eine originäre Ergänzung ohne TISAX®-Befund und wird relevant, sobald mehrere KI-Agenten produktiv zusammenarbeiten.

Wirkungsbreite je MHC im TISAX®-Kontext
Maßnahme	Einzelbefunde	Controls	Charakter
MHC-10 Continuous Control Monitoring und Policy-as-Code	17	12	breit, prozessübergreifend
MHC-05 Verhaltensbasierte Detection und Kill-Chain-Korrelation	11	5	Detection/Korrelation
MHC-03 Phishing-resistente Multi-Faktor-Authentisierung	10davon 1 Reine Reibung	6	Identität/Zugang
Einzelmaßnahmen (6, siehe unten)	8	6	ohne wiederkehrendes Muster
MHC-09 AI-gestütztes Security-Testing in der Pipeline	6	3	Schwachstellen-/Patch-Management
MHC-15 AI-resistente Identitätsverifikation Personal/Zutritt	6	3	Personal/Facility
MHC-14 Unabhängige Lieferantennachweis-Verifikation	5	2	Lieferkette/Vertrag
MHC-11 SOAR-basierte Tier-1-Automation	4	1	Incident Response
MHC-13 AI-Agent-Governance und Harness-Sicherheit	4	2	AI-Agenten-Governance
MHC-08 Unveränderliche Backups und Recovery-Validierung	3	1	Backup/Recovery
MHC-16 Multi-Agent-Integrität	0originär	0	AI-Agenten-Governance, zukunftsgerichtet

Implementation Guide: Härtung mit 10 MHC und 6 Einzelmaßnahmen

Der TISAX®-Implementation Guide beschreibt jedes MHC in derselben Gliederung wie der Guide für ISO/IEC 27001: Härtungscontrol-Statement, Zweck und Bedrohungsbezug, organisatorische und technische Umsetzung, Beispiele, Reifegrad-Pfad, Messung und Audit-Nachweis, typische Fehler sowie Abgrenzung und Restrisiko.

Priorisierung für TISAX®

Grundlage ist der Threat Priority Score: Threat-Relevanz × Business Impact × Exposure × Control Gap. Die Reihenfolge weicht bewusst vom ISO-Guide ab: MHC-09 und MHC-13 stehen hier in P0.

P0 sofort

MHC-03 Phishing-resistente MFASchließt den einzigen Reine-Reibung-Befund der gesamten Analyse.
MHC-08 Unveränderliche BackupsTechnisch klar umrissene, etablierte Maßnahme (Object Lock/WORM) mit geringem Umsetzungsaufwand und hoher Hebelwirkung gegen Ransomware; anders als bei MHC-09 formuliert C5:2026 hier keine verbindliche Unveränderlichkeits-Vorgabe — die Dringlichkeit ergibt sich aus der Bedrohungslage, nicht aus einem bereits vorhandenen externen Standard.
MHC-09 AI-gestütztes Security-TestingPatch-Gap-Schließung: C5:2026 verlangt bereits einen definierten, CVSS-gebundenen Fristenrahmen (OPS-25.01AC) — geringer Umsetzungsaufwand, hohe Hebelwirkung.
MHC-13 AI-Agent-GovernanceGrößte eigenständige Lücke — kein externes Rahmenwerk liefert bereits eine Lösung, Dringlichkeit steigt mit jedem Tag ungeregelten AI-Agenten-Einsatzes.

P1 danach

MHC-10 Continuous Control MonitoringGrößte Wirkungsbreite, aber höherer Change-Management-Aufwand über 12 Controls hinweg.
MHC-14 Unabhängige Verifikation von LieferantennachweisenVertragsklausel-Ergänzung vergleichsweise einfach, wirkt aber erst mit dem nächsten Prüfzyklus voll.
MHC-11 SOAR und Tier-1-AutomationBaut auf MHC-09/MHC-03 auf; wirksamer, wenn diese bereits greifen.

P2 risikobasiert

MHC-15 AI-resistente Identitätsverifikation Personal/ZutrittHoher Aufwand (Prozessänderung HR/Werkschutz), originäre Neuentwicklung ohne externe Vorlage.
MHC-05 Verhaltensbasierte DetectionTechnisch anspruchsvollste Maßnahme (Produktauswahl EDR/XDR, Aufbau UEBA-Korrelation), setzt teils bereits vorhandene SIEM-Basis voraus.
MHC-16 Multi-Agent-IntegritätOriginär und zukunftsgerichtet — relevant, sobald mehrere Agenten produktiv miteinander kommunizieren, setzt MHC-13 voraus.

Einzelmaßnahmen ohne wiederkehrendes Muster

Acht Befunde in sechs Controls lassen sich keinem MHC sinnvoll zuordnen. Der Guide empfiehlt dafür gezielte Ergänzungen:

Einzelmaßnahmen
Control	Befund	Empfohlene Ergänzung
1.2.2	Rollentrennung durch AI-Doppelrolle unterlaufbar	Kritische Rollentrennung zusätzlich systemtechnisch durchsetzen (getrennte Systemrechte, Vier-Augen-Freigabe im System selbst), nicht nur organisatorisch
1.4.1	Risikobewertungsmethodik geht von eng begrenztem Täterkreis aus — sowohl auf Ebene der Bewertung selbst als auch der zugrunde liegenden Bewertungskriterien	Methodik um Neubewertungspflicht bei signifikant erweitertem Täterkreis (AI-Zugänglichkeit einer Fähigkeit) ergänzen, nicht nur bei neuen Einzelschwachstellen — gilt für Bewertungsergebnis und -kriterien gleichermaßen
1.6.3	AI-orchestrierte Szenarien in Krisenplanung nicht vorgesehen	Krisenszenarien-Katalog um mindestens ein AI-orchestriertes, mehrgleisiges Eskalationsszenario ergänzen (siehe auch MHC-05)
3.1.4	PIN/Passwort als alleinige Rückfalloption ohne Verschlüsselungspflicht	Verschlüsselung mobiler Geräte/Datenträger als Mindestanforderung, unabhängig von Schutzbedarfsstufe
5.1.2	Unspezifische Maßnahmen für Fernzugriff ohne Mindeststandard	Verschlüsselung als verbindlicher Mindeststandard bereits auf must-Ebene, nicht erst ab hoch
5.3.1	Re-Identifizierung pseudonymisierter Daten durch AI-Korrelation	Pseudonymisierungsmethodik um Re-Identifizierungsrisiko-Bewertung unter Berücksichtigung AI-gestützter Korrelationsverfahren ergänzen

Implementation Guide herunterladen (PDF, Deutsch)

Was MRIS leistet und was bewusst nicht

MRIS leistet

Wirksamkeitsanalyse aller 45 Controls mit 330 Anforderungen des ISA-2027-Moduls Information Security
Lückenanalyse zu NIST CSF 2.0, C5:2026, DORA, CRA, NIS2 und ISA/IEC 62443-2-1
Umsetzungsleitlinie zu 10 MHC mit Reifegrad-Pfaden und Audit-Nachweisen
Threat Priority Score und Roadmap von P0 bis P2

MRIS leistet bewusst nicht

Kein Bestandteil des offiziellen TISAX®-Prüfprozesses, nicht von ENX autorisiert
Kein Ersatz für eine Reifegradbewertung durch einen akkreditierten Prüfdienstleister
Keine Analyse der Umsetzung einer konkreten Organisation; analysiert wird der Wortlaut
Prototype Protection und Data Protection sind nicht Teil der Analyse

Ein Marktvergleich liegt bisher nur für den ISO-Kontext vor; TISAX® ist dort nicht als eigener Datenpunkt erfasst. Zum Marktvergleich auf der ISO-Seite

Downloads

Publikationen zu MRIS für TISAX®
Publikation	Fassung	Stand	Lizenz	Dateien
Analyse Teil I	2.0	September 2026	CC BY-NC 4.0	DE EN
Implementation Guide	2.0	September 2026	CC BY-NC 4.0	DE EN

TISAX® ist eine eingetragene Marke der ENX Association; die ENX Association administriert TISAX® im Auftrag des VDA. Diese Analyse ist eine unabhängige, privat erstellte Arbeit ohne Verbindung zu ENX Association oder VDA, weder Bestandteil des offiziellen TISAX®-Prüfprozesses noch von ENX autorisiert, und kein Ersatz für eine Reifegradbewertung durch einen akkreditierten Prüfdienstleister. Keine Rechts- oder Zertifizierungsberatung; Anwendung in eigener Verantwortung.