---
title: "TISAX Pentest: Nachweise für den VDA-ISA-Katalog"
url: https://mr-cyber.com/de/tisax-pentest
language: de-DE
description: "TISAX-Pentest für Automobilzulieferer: was der VDA-ISA-Katalog zu Penetrationstests bei hohem Schutzbedarf sagt. Festpreis, Retest inklusive."
---

# TISAX-Pentest: was der VDA-ISA-Katalog erwartet und was nicht

TISAX macht Penetrationstests nicht pauschal zur Pflicht. Der VDA-ISA-Katalog, auf dem TISAX-Assessments beruhen, nennt Penetrationstests als ein Beispiel für geeignete technische Prüfungen: bei hohem Schutzbedarf für kritische IT-Systeme, bei sehr hohem Schutzbedarf für eigens entwickelte oder stark angepasste Software. Ein Pentest-Bericht liefert Ihrem Prüfer genau diesen Nachweis.

[Festpreis berechnen](https://mr-cyber.com/de/angebot)

Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book)

Wichtig: Mr Cyber ist kein TISAX-Prüfdienstleister und hat selbst kein TISAX-Label. Wir vergeben keine Labels, sondern liefern Testergebnisse für Ihr Assessment.

## Was der VDA-ISA-Katalog sagt. Version 6.

-   ### Control 5.2.6: Technische Prüfung von IT-Systemen und Diensten
    
    Fragt, inwieweit IT-Systeme und Dienste technisch geprüft werden (System- und Service-Audit). Für kritische Systeme bei hohem Schutzbedarf nennt der Katalog dienstspezifische Tests und Penetrationstests als Beispiele.
    
-   ### Control 5.3.1: Sicherheit in neuen oder weiterentwickelten IT-Systemen
    
    Fragt, wie Informationssicherheit bei neuen oder weiterentwickelten IT-Systemen berücksichtigt wird. Bei sehr hohem Schutzbedarf ist eigens entwickelte oder stark angepasste Software zu testen, etwa mit Penetrationstests: bei Inbetriebnahme, nach wesentlichen Änderungen oder regelmäßig.
    
-   ### Schutzbedarf und Assessment-Level
    
    Anforderungen für hohen Schutzbedarf gehören in der Regel zu Assessment-Level 2, für sehr hohen Schutzbedarf zu Level 3. Bei normalem Schutzbedarf nennt der Katalog Penetrationstests an diesen Stellen nicht.
    
-   ### Fassung prüfen
    
    Zitiert nach VDA ISA 6. Mit ISA2027 können sich Nummerierung und Wortlaut ändern. Maßgeblich ist die Fassung, nach der Ihr Assessment läuft.
    

## Wie ein Pentest Ihr Assessment unterstützt

Ihr Prüfer möchte sehen, wie Sie kritische Systeme technisch prüfen und was mit den Ergebnissen passiert. Scope und Bericht richten wir auf die Systeme in Ihrem TISAX-Scope aus.

### Das erhalten Sie

-   Scope passend zu den kritischen Systemen in Ihrem TISAX-Scope
-   Bericht mit Zeitraum, Methodik und CVSS-3.1-Bewertung
-   Kostenloser Retest innerhalb von 60 Tagen als Nachweis der Behebung
-   Prüfbescheinigung: eine Seite mit Scope, Zeitraum und Status nach dem Retest
-   Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub
-   E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42

[Festpreis berechnen](https://mr-cyber.com/de/angebot?service=unsure&driver=tisax)

## Tests für Zulieferer.

-   [Automotive-Security-Tests Steuergeräte, Telematik und Infotainment, mit Nachweisen für ISO/SAE 21434. Angebot pro Projekt.](https://mr-cyber.com/de/leistungen/iot-hardware-penetrationstest#automotive)
-   [Externer Pentest Ihre Systeme im Internet, ab 1.900 €.](https://mr-cyber.com/de/leistungen/externer-penetrationstest)
-   [Webanwendungs-Pentest Portale und Anwendungen für OEMs und Partner, ab 2.900 €.](https://mr-cyber.com/de/leistungen/webanwendung-penetrationstest)
-   [Interner Pentest Netz und Systeme am Standort, ab 3.800 €.](https://mr-cyber.com/de/leistungen/interner-penetrationstest)

Quelle: [ENX: TISAX-Downloads (VDA ISA)](https://portal.enx.com/en-US/TISAX/downloads/)

## Häufige Fragen zu TISAX und Penetrationstests

Ist ein Penetrationstest für TISAX Pflicht?

Nicht pauschal. Der VDA-ISA-Katalog nennt Penetrationstests als Beispiel für technische Prüfungen bei hohem und sehr hohem Schutzbedarf. Der Katalog fragt dort, wie Sie kritische Systeme technisch prüfen, und ein Pentest-Bericht beantwortet diese Frage direkt.

Vergeben Sie ein TISAX-Label?

Nein. TISAX-Labels vergibt die ENX nach einem Assessment durch einen zugelassenen Prüfdienstleister. Mr Cyber ist kein Prüfdienstleister und hat selbst kein TISAX-Label. Wir liefern die Testergebnisse, die Sie im Assessment vorlegen.

Welcher Schutzbedarf braucht einen Pentest?

An den genannten Stellen erst ab hohem Schutzbedarf (in der Regel Assessment-Level 2): für kritische IT-Systeme und Dienste. Bei sehr hohem Schutzbedarf (Level 3) zusätzlich für eigens entwickelte oder stark angepasste Software.

Testen Sie auch Steuergeräte und Fahrzeugkomponenten?

Ja, als Automotive-Security-Tests mit Angebot pro Projekt. Details: [Automotive-Security-Tests](https://mr-cyber.com/de/leistungen/iot-hardware-penetrationstest#automotive).

Wie oft sollten wir testen?

Der Katalog nennt Inbetriebnahme, wesentliche Änderungen und regelmäßige Abstände. TISAX-Labels gelten drei Jahre; ein Test der kritischen Systeme mindestens einmal im Jahr und nach wesentlichen Änderungen hält Ihre Nachweise zwischen den Assessments aktuell.

Auch hilfreich: [NIS2 & Compliance](https://mr-cyber.com/de/nis2-penetrationstest)  [Pentest oder Schwachstellenscan?](https://mr-cyber.com/de/pentest-oder-schwachstellenscan)  [Pentest ISO 27001](https://mr-cyber.com/de/pentest-iso-27001)  [Pentest Cyberversicherung](https://mr-cyber.com/de/pentest-cyberversicherung)