Zum Inhalt springen

TISAX-Pentest: was der VDA-ISA-Katalog erwartet und was nicht

TISAX macht Penetrationstests nicht pauschal zur Pflicht. Der VDA-ISA-Katalog, auf dem TISAX-Assessments beruhen, nennt Penetrationstests als ein Beispiel für geeignete technische Prüfungen: bei hohem Schutzbedarf für kritische IT-Systeme, bei sehr hohem Schutzbedarf für eigens entwickelte oder stark angepasste Software. Ein Pentest-Bericht liefert Ihrem Prüfer genau diesen Nachweis.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Wichtig: Mr Cyber ist kein TISAX-Prüfdienstleister und hat selbst kein TISAX-Label. Wir vergeben keine Labels, sondern liefern Testergebnisse für Ihr Assessment.

Was der VDA-ISA-Katalog sagt. Version 6.

  • Control 5.2.6: Technische Prüfung von IT-Systemen und Diensten

    Fragt, inwieweit IT-Systeme und Dienste technisch geprüft werden (System- und Service-Audit). Für kritische Systeme bei hohem Schutzbedarf nennt der Katalog dienstspezifische Tests und Penetrationstests als Beispiele.

  • Control 5.3.1: Sicherheit in neuen oder weiterentwickelten IT-Systemen

    Fragt, wie Informationssicherheit bei neuen oder weiterentwickelten IT-Systemen berücksichtigt wird. Bei sehr hohem Schutzbedarf ist eigens entwickelte oder stark angepasste Software zu testen, etwa mit Penetrationstests: bei Inbetriebnahme, nach wesentlichen Änderungen oder regelmäßig.

  • Schutzbedarf und Assessment-Level

    Anforderungen für hohen Schutzbedarf gehören in der Regel zu Assessment-Level 2, für sehr hohen Schutzbedarf zu Level 3. Bei normalem Schutzbedarf nennt der Katalog Penetrationstests an diesen Stellen nicht.

  • Fassung prüfen

    Zitiert nach VDA ISA 6. Mit ISA2027 können sich Nummerierung und Wortlaut ändern. Maßgeblich ist die Fassung, nach der Ihr Assessment läuft.

Wie ein Pentest Ihr Assessment unterstützt

Ihr Prüfer möchte sehen, wie Sie kritische Systeme technisch prüfen und was mit den Ergebnissen passiert. Scope und Bericht richten wir auf die Systeme in Ihrem TISAX-Scope aus.

Das erhalten Sie

  • Scope passend zu den kritischen Systemen in Ihrem TISAX-Scope
  • Bericht mit Zeitraum, Methodik und CVSS-3.1-Bewertung
  • Kostenloser Retest innerhalb von 60 Tagen als Nachweis der Behebung
  • Prüfbescheinigung: eine Seite mit Scope, Zeitraum und Status nach dem Retest
  • Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub
  • E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42
Festpreis berechnen

Tests für Zulieferer.

Quelle: ENX: TISAX-Downloads (VDA ISA)

Häufige Fragen zu TISAX und Penetrationstests

Ist ein Penetrationstest für TISAX Pflicht?
Nicht pauschal. Der VDA-ISA-Katalog nennt Penetrationstests als Beispiel für technische Prüfungen bei hohem und sehr hohem Schutzbedarf. Der Katalog fragt dort, wie Sie kritische Systeme technisch prüfen, und ein Pentest-Bericht beantwortet diese Frage direkt.
Vergeben Sie ein TISAX-Label?
Nein. TISAX-Labels vergibt die ENX nach einem Assessment durch einen zugelassenen Prüfdienstleister. Mr Cyber ist kein Prüfdienstleister und hat selbst kein TISAX-Label. Wir liefern die Testergebnisse, die Sie im Assessment vorlegen.
Welcher Schutzbedarf braucht einen Pentest?
An den genannten Stellen erst ab hohem Schutzbedarf (in der Regel Assessment-Level 2): für kritische IT-Systeme und Dienste. Bei sehr hohem Schutzbedarf (Level 3) zusätzlich für eigens entwickelte oder stark angepasste Software.
Testen Sie auch Steuergeräte und Fahrzeugkomponenten?
Ja, als Automotive-Security-Tests mit Angebot pro Projekt. Details: Automotive-Security-Tests.
Wie oft sollten wir testen?
Der Katalog nennt Inbetriebnahme, wesentliche Änderungen und regelmäßige Abstände. TISAX-Labels gelten drei Jahre; ein Test der kritischen Systeme mindestens einmal im Jahr und nach wesentlichen Änderungen hält Ihre Nachweise zwischen den Assessments aktuell.

Auch hilfreich: NIS2 & CompliancePentest oder Schwachstellenscan?Pentest ISO 27001Pentest Cyberversicherung

Was sollen wir testen?

Wählen Sie aus, um Ihre Anfrage zu starten. Sie erhalten Ihren verbindlichen Festpreis sofort und das schriftliche Angebot (PDF) direkt nach Ihrer Anfrage per E-Mail.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen