Cumplimiento de TISAX: Beneficios, cómo certificar y costo.

Últimamente, los vehículos modernos también se han convertido en sistemas inteligentes, ya que pueden absorber, procesar y generar grandes cantidades de datos de sus usuarios (conductores y pasajeros). Si bien estos datos son sumamente valiosos para la industria automotriz, también son vulnerables a la explotación.

Los automóviles con sistemas avanzados que dependen de software complejo e intercambio de datos presentan riesgos significativos de ciberseguridad. Las amenazas pueden afectar desde la propiedad intelectual hasta los datos personales. Aquí es donde entra en juego TISAX (Trusted Information Security Assessment Exchange). 

Este artículo analiza los aspectos básicos del cumplimiento de TISAX, sus beneficios, a quién se aplica, sus controles, el proceso de certificación, la auditoría, el costo, etc. ¡Comencemos!

¿Qué es TISAX?

TISAX, o Trusted Information Security Assessment Exchange, es un mecanismo de intercambio y análisis de seguridad de la información en la industria automotriz. Fue desarrollado por la Asociación ENX (Francia) y cuenta con reconocimiento mundial.

TISAX fue creada y publicada en 2017 por VDA (Verband der Automobilindustrie) junto con ENX. 

TISAX se basa en el catálogo ISA (Information Security Assessment), que también fue publicado por VDA. La versión más reciente es la ISA versión 6.0.3 , publicada en 2024.

¿Qué es el cumplimiento de TISAX?

El cumplimiento de TISAX implica adherirse a las normas, controles, procedimientos y políticas de seguridad de la información y protección de datos según el catálogo ISA de VDA. Esto ayuda a proveedores, fabricantes y socios a comprender mutuamente el procesamiento de datos, a la vez que se mitigan los riesgos.

TISAX basa sus controles de seguridad en marcos o normativas como la ISO 27001 y el RGPD, e incluye medidas adicionales para proteger los datos de los consumidores en el sector automovilístico. 

¿Cuáles son los beneficios de cumplir con TISAX?

El cumplimiento de la normativa TISAX permite a los proveedores evitar muchas revisiones de seguridad de la información por parte de terceros, lo que agiliza los procesos de adquisición con los fabricantes de equipos originales (OEM). A continuación, se presentan tres beneficios adicionales:

#1. Mejora la confianza en la marca y la ventaja competitiva : Demuestra el compromiso de su empresa con estándares de seguridad rigurosos y fomenta la confianza entre clientes, proveedores y socios comerciales.

#2. Garantiza el intercambio seguro de información : TISAX facilita el intercambio seguro de información entre fabricantes, proveedores y prestadores de servicios, mejorando la transparencia en la cadena de suministro del sector automotriz.

#3. Mejora la postura de seguridad : Promueve un enfoque proactivo para gestionar los riesgos relacionados con la información y mejora la resiliencia general de la industria automotriz frente a las amenazas digitales.

¿A quién se aplica TISAX?

La ley TISAX se aplica a todas las organizaciones que procesan información sensible dentro de la industria automotriz. Se refiere principalmente a proveedores, prestadores de servicios y fabricantes que manejan datos relacionados con el diseño, la producción y otros aspectos confidenciales del desarrollo y la fabricación de automóviles.

¿Es obligatorio el uso de TISAX?

No, TISAX no es un requisito legal exigido por ley. 

Sin embargo, para muchos en la industria automotriz, es prácticamente obligatorio. Los principales fabricantes de equipos originales (OEM) exigen a sus proveedores y prestadores de servicios que cumplan con la normativa TISAX como requisito previo para hacer negocios con ellos. Por lo tanto, aunque no sea de cumplimiento obligatorio por ley, suele ser una obligación contractual.

Niveles de madurez y evaluación de TISAX

Al definir su alcance como parte del proceso de registro TISAX, deberá indicar su nivel de madurez y evaluación TISAX. 

Niveles de madurez

Los niveles de madurez en el cumplimiento de TISAX reflejan el grado en que una organización ha implementado y mantiene sus controles de seguridad de la información. Los niveles de madurez van del 0 al 5:

• Nivel 0: No realizado 
• Nivel 1: Inicial
• Nivel 2: Administrado
• Nivel 3: Establecido 
• Nivel 4: Predecible
• Nivel 5: Optimización

Niveles de evaluación

Los niveles de evaluación determinan el alcance y el rigor de la auditoría TISAX. Estos niveles se basan en las necesidades de protección de los datos que se manejan y se clasifican de la siguiente manera:

• Nivel de evaluación 1 (AL1): Autoevaluación TISAX por parte de la entidad auditada. Este nivel se utiliza normalmente para escenarios de bajo riesgo.
• Nivel de evaluación 2 (AL2): Este nivel incluye una verificación de la plausibilidad de la autoevaluación, la evaluación de la evidencia y una entrevista con un experto. Se utiliza para escenarios de alto riesgo y puede requerir visitas in situ si se cumplen ciertas condiciones (por ejemplo, protección del prototipo o conexiones con terceros).
• Nivel de evaluación 3 (AL3): Evaluación completa, que incluye la valoración de pruebas, inspecciones in situ y entrevistas con expertos. Este nivel es necesario para situaciones de muy alto riesgo.

Aquí hay un ejemplo de cómo se asignan los objetivos de evaluación de TISAX a los niveles de evaluación según el Manual del Participante.

¿En qué consiste el proceso de certificación TISAX?

El manual del participante de TISAX contiene información detallada sobre registro, alcance, autoevaluación, tarifas, etc. Sin embargo, la descripción general completa del proceso de certificación TISAX se puede expresar en cinco pasos:

1. Prepárese y regístrese en el portal ENX.

2. Realizar una autoevaluación y abordar las deficiencias.

3. Seleccione un auditor autorizado.

4. Realizar una evaluación formal para la validación final.

5. Publicar los resultados y mantener el cumplimiento.

1. Prepárese y regístrese en el portal ENX.

Antes de iniciar el registro, conviene realizar una preparación preliminar para participar en TISAX. En primer lugar, familiarícese con el catálogo VDA ISA (Evaluación de la Seguridad de la Información) y las normas ISO 27001.

Puedes registrar tu organización en el portal ENX , para lo cual necesitas proporcionar información básica de la empresa y aceptar los términos y condiciones. Durante el registro, debes definir el alcance de tu evaluación, incluyendo qué partes de tu organización serán evaluadas.

¿Qué pasa después del registro?

Una vez registrado correctamente, recibirá un correo electrónico de confirmación con un PDF del extracto del alcance de su TISAX, que contiene su ID de participante, ID de alcance y otra información que haya proporcionado. 

2. Realizar una autoevaluación y abordar las deficiencias.

La autoevaluación incluye determinar su nivel actual de seguridad utilizando el catálogo ISA. Esto evalúa su SGSI (Sistema de Gestión de Seguridad de la Información) conforme a los estándares TISAX. 

Nota : Si ya cumple con la norma ISO 27001, tenga la seguridad de que sus controles básicos del SGSI ya estarán implementados. Los controles adicionales se adaptan a los requisitos específicos de la industria automotriz.

Este paso es el que más tiempo consume y el que más trabajo manual requiere. En este punto, contar con un consultor con experiencia en TISAX o un especialista en seguridad sería una buena opción. Considere una herramienta de automatización GRC para automatizar sus controles de seguridad si desea reducir la carga de trabajo manual.

Por ejemplo, Sprinto ya incluye controles preconfigurados según los requisitos de la norma ISO 27001. Con el apoyo necesario, puede configurar los controles TISAX adicionales, subsanar deficiencias y establecer verificaciones. La plataforma también le ayudará a recopilar evidencia y simplificar la auditoría.

3. Seleccione un auditor autorizado.

Para la evaluación formal, deberá contratar exclusivamente a un proveedor de auditoría independiente acreditado por la Asociación ENX. 

Según el sitio web de ENX , existen dieciséis proveedores de auditoría TISAX autorizados:

1. Certificación AFNOR
2. BSI
3. Bureau Veritas
4. CIS
5. DECRA
6. Deloitte
7. DNV
8. DQS
9. EY
10. KPMG
11. OS
12. PwC
13. SGS
14. TÜV NORD
15. TUV Rheinland
16. TÜV SÜD

4. Realizar una evaluación formal para la validación final.

Antes de la evaluación formal, el auditor seleccionado puede revisar los resultados de su autoevaluación y verificar su integridad y precisión. En este punto, una herramienta de automatización del cumplimiento resulta muy útil para revisar la evidencia y los controles mapeados en el propio panel de control.

Una vez evaluados y verificados sus controles de seguridad, el auditor realiza la evaluación final en función del nivel de evaluación (AL1, AL2 o AL3). 

Si se detecta alguna no conformidad, deberá corregirse de inmediato. Posteriormente, se deberá realizar una evaluación de seguimiento (en un plazo de nueve meses) para confirmar que todos los problemas se han resuelto.

5. Comparta y mantenga su etiqueta TISAX.

¿Recuerdan que hablamos de relacionar los objetivos de la evaluación TISAX con el Nivel de Evaluación (NA)? Una vez que reciban su informe final de TISAX, estos objetivos se denominarán niveles de TISAX. 

La certificación TISAX es una forma importante de comunicación con sus socios y proveedores. Puede publicar los resultados de su evaluación en la plataforma TISAX Exchange para compartirlos con ellos. 

Las etiquetas TISAX tienen una validez de tres años y deben renovarse transcurrido ese plazo. 

¿Cuál es el coste de implementar TISAX?

Los costos de implementación de TISAX dependen de factores como el tamaño de la empresa, la complejidad, los marcos de cumplimiento existentes y el alcance de la evaluación. Además, existen diferentes tipos de costos que pueden variar según la empresa. 

Estimación general de los costes que implica TISAX:

Tipo de costo	Mareas Ideales para Lecciones	Costo estimado/aproximado
Inscripción	La cuota inicial para registrarse en el portal ENX	$500 USD
Honorarios del proveedor de auditoría	Honorarios por la realización de la evaluación formal	$ 5,500 a $ 16,500 USD
Costos de implementación y operación	Costos de preparación del SGSI, consultoría y actualizaciones tecnológicas.	$ 22,000 a $ 55,000 USD
Servicio de consultoría	Honorarios de consultores externos que presten asistencia en la preparación y el análisis de deficiencias.	100 a 300 € por hora
Tarifa anual de etiquetado	Cuota periódica para el mantenimiento de la etiqueta TISAX	$ 1,100 a $ 3,300 USD
Auditorías de seguimiento	Costes adicionales por cualquier auditoría de seguimiento requerida	Varía según la complejidad y el alcance.

Fuentes: Compliance Aspekte , ISMS Connect , IS Decisions , StrikeGraph.

Según la tabla anterior, el costo estimado para implementar TISAX es de entre $29,200 y $75,600.

¿Cuál es la diferencia entre TISAX e ISO 27001?

TISAX es un marco de seguridad especializado para la industria automotriz, mientras que ISO 27001 es un estándar global para la gestión de la seguridad de la información en todos los sectores.

Aquí se muestran más detalles sobre sus diferencias en una tabla:

Factor	tisax	ISO 27001,
Foco de la industria	Principalmente para la industria automotriz, centrándose en la seguridad de la cadena de suministro y la protección de la propiedad intelectual.	Aplicable a todos los sectores e industrias del mundo.
Proceso de certificación	Etiqueta basada en evaluación, con tres niveles de evaluación (autoevaluación, auditoría remota, auditoría in situ).	Proceso de certificación formal llevado a cabo por organismos acreditados.
Gestión del riesgo	Hace hincapié en la gestión de riesgos específica del sector automovilístico, como los riesgos de la cadena de suministro.	Enfoque generalizado de gestión de riesgos aplicable a todos los sectores.
Frecuencia de evaluación	Se requieren reevaluaciones anuales	Las auditorías se realizan normalmente de forma anual o en función del riesgo de la organización.
Reconocimiento global	Reconocido principalmente en el sector automotriz, sobre todo en Europa.	Reconocido a nivel mundial en todos los sectores.
Documentación y alcance	Se aplica a todo el sitio sin exclusiones.	Permite establecer un perímetro definido dentro de una organización.
Estándares y marco	Basado en los requisitos de VDA ISA, con controles adicionales específicos para el sector automotriz.	Norma internacional con un conjunto más amplio de controles descritos en el Anexo A.
Compartir auditorías	Los resultados de la evaluación se comparten a través de la plataforma ENX con los socios autorizados.	La certificación es reconocida y exhibida públicamente.

¿Qué desafíos puede esperar al implementar TISAX?

Si utiliza las mejores prácticas de TISAX para implementar el proceso, es poco probable que se enfrente a muchos desafíos. Sin embargo, existen algunas limitaciones comunes de las que se quejan todas las organizaciones participantes:

1. Evitar la creación y documentación excesivamente complicadas del SGSI.Crear un SGSI desde cero puede ser tedioso. Los requisitos de TISAX exigen una documentación exhaustiva basada en el catálogo VDA ISA, lo que requiere una importante experiencia técnica.
2. Prevención de fallos de seguridad en prototiposTISAX exige una protección estricta de los prototipos sensibles. La implementación de los controles necesarios para proteger estos datos, incluidos los controles de acceso y el cifrado, requiere una amplia experiencia y recursos. 
3. Eliminar las inconsistencias en el cumplimiento normativo.Mantener el cumplimiento de TISAX es un desafío debido a las amenazas de seguridad en constante evolución y los cambios tecnológicos. Esto exige auditorías continuas y actualizaciones de los controles de seguridad.

¿Cómo puede Sprinto ayudarle con el cumplimiento de la normativa TISAX?

Ahora que sabemos cómo prepararnos o implementar el marco TISAX, es hora de tomar una ruta más inteligente y económica. 

Para las empresas que ya cumplen con la norma ISO 27001, tengan la seguridad de que Sprinto puede ayudarles a cumplir con los requisitos de TISAX en pocas semanas mediante la asignación de controles comunes. 

Para quienes parten de cero, Sprinto ofrece una biblioteca de controles que se ajusta a la mayoría de los requisitos de TISAX, lo que permite adaptar automáticamente los controles existentes a los criterios de TISAX. También se puede acceder a políticas y módulos de capacitación predefinidos que se pueden personalizar según las necesidades. 

Lo mejor de todo es que no es necesario documentar las pruebas por separado, ya que la plataforma automatiza la recopilación de pruebas TISAX y garantiza que toda la documentación necesaria esté disponible y actualizada. 

Preguntas frecuentes

1. ¿Cuánto tiempo es válida la certificación TISAX?

La certificación TISAX tiene una validez de tres años sin necesidad de auditorías de vigilancia anuales. Sin embargo, se recomienda realizar auditorías internas para comprobar que todos los controles funcionan correctamente. 

2. ¿Qué es la etiqueta TISAX?

La etiqueta TISAX no es un certificado tradicional, sino el resultado de una evaluación satisfactoria, que puede compartirse con los socios a través de la plataforma ENX para demostrar el cumplimiento de la normativa.

3. ¿Qué es el nivel 3 de TISAX?

El nivel 3 de TISAX se refiere al nivel de evaluación más alto, que implica una auditoría completa in situ para las organizaciones que manejan datos confidenciales.

4. ¿Cómo puedo comprobar la certificación TISAX?

Las organizaciones suelen compartir los resultados de sus evaluaciones a través de la plataforma ENX con socios autorizados para verificar la certificación TISAX.

5. ¿TISAX cumple con la norma ISO 27001?

TISAX no es ISO 27001, pero se basa en sus requisitos, añadiendo controles específicos para el sector automotriz. Si bien ISO 27001 es una norma global, TISAX se utiliza principalmente en la industria automotriz.

6. ¿Cuántos controles de seguridad se requieren para cumplir con la normativa TISAX?

El número exacto de controles de seguridad necesarios para cumplir con la norma TISAX depende de los objetivos de evaluación de la organización. TISAX se basa en el catálogo VDA ISA, que describe controles específicos para proveedores del sector automotriz.