Intervista a Robert Brown, Global Head of Automotive, BSI
TISAX® ISA2027 introduce un ciclo di rilascio più prevedibile, requisiti più definiti e maggiore enfasi sulla sicurezza della supply chain. Abbiamo chiesto a Robert Brown qual è l’oggetto delle modifiche, quando saranno applicati i nuovi requisiti e qualsiasi altra informazione da non trascurare.
Punti essenziali: il 1° luglio 2026, il catalogo di valutazione della sicurezza delle informazioni (Information Security Assessment, ISA) dello standard TISAX® è diventato VDA ISA2027.
- TISAX® ISA sarà aggiornato su base annuale: verrà ripubblicato nel mese di luglio con decorrenza dal gennaio successivo
- Dal 1° gennaio 2027, ISA2027 diventerà il catalogo di valutazione di default per i nuovi assessment TISAX®
- Le etichette TISAX® esistenti resteranno valide fino alla data di scadenza dichiarata
- I reassessment verranno effettuati rispetto all’ultima versione dell’ISA
Perché TISAX® è importante per le organizzazioni del settore automotive?
TISAX® (Trusted Information Security Assessment Exchange) offre ai produttori e ai fornitori del settore automobilistico una modalità comune per valutare e scambiare i dati relativi alla sicurezza delle informazioni, un aspetto fondamentale in un comparto caratterizzato da enormi volumi di dati sensibili che transitano attraverso supply chain globali e complesse.
Lo schema è cresciuto velocemente dal primo assessment del 2016. E' prassi sempre più comune per i fornitori Tier 1 trasferire il requisito TISAX ai propri fornitori.
Secondo quanto riportato da ENX Association, l’ente di governance di TISAX®, più di 21.000 sedi sono state sottoposte ad assessment, portando all’individuazione e all’implementazione di oltre 100.000 miglioramenti per la sicurezza. Attualmente più di 10 OEM richiedono la conformità a TISAX®, utilizzando i risultati dell’assessment per valutare i partner commerciali e proteggere le supply chain dalle minacce alla sicurezza delle informazioni.
In cosa consiste esattamente TISAX® ISA?
L’acronimo ISA (Information Security Assessment) rappresenta il catalogo dei requisiti utilizzato come base per gli assessment TISAX®.
Originalmente sviluppato per adattare lo standard per la gestione della sicurezza delle informazioni ISO/IEC 27001 al settore automotive, oggi ISA si è evoluto in uno standard di settore indipendente, rimanendo comunque allineato ai framework sulla sicurezza delle informazioni riconosciuti a livello internazionale.
I partecipanti utilizzano ISA per prepararsi all’assessment; in caso di esito positivo, possono condividere i propri risultati TISAX® con partner e clienti selezionati tramite il portale ENX.
Cosa cambia dunque con TISAX® ISA?
In sintesi ISA2027 rende il catalogo più chiaro, più coerente e meglio allineato ai rischi odierni per la sicurezza.
I maggiori cambiamenti sono cinque:
- Una nuova versione ogni anno. Ora la data di decorrenza del catalogo si evince dal nome: ISA2027 si applica agli assessment ordinati nel 2027.
- Mappature aggiornate. ENX ha aggiornato le mappature rispetto al NIST Cybersecurity Framework 2.0 e alla norma ISO/IEC 27001:2022, ha fornito chiarimenti sulle mappature relative alla norma ISA/IEC 62443 e ha rimosso i riferimenti alla norma ISO/IEC 27001:2013.
- Un linguaggio più comprensibile. ENX ha rivisto formulazioni, traduzioni, formattazione e strutture dei requisiti. Si è proceduto anche alla definizione formale della frase “Gli aspetti seguenti vengono presi in considerazione”, obbligando in tal modo le organizzazioni a valutare in maniera consapevole tutti gli aspetti elencati e ad argomentare la motivazione della relativa implementazione durante un assessment.
- Maggiori garanzie lungo la supply chain. Le organizzazioni per cui la protezione dei dati è importante devono documentare, rivedere e monitorare più da vicino la conformità dei fornitori e la documentazione di supporto. Quando invece le esigenze di protezione sono assolute, i fornitori sono tenuti a dimostrare un’adeguata sicurezza delle informazioni attraverso l’etichetta TISAX®, un assessment di terza parte equivalente o un audit appropriato del fornitore.
- Protezione dei prototipi riorganizzata. I cinque gruppi di controllo precedenti sono stati raggruppati in due aree: requisiti organizzativi e sicurezza fisica e ambientale. I nuovi controlli riguardano la tracciabilità e il monitoraggio del ciclo di vita, nonché lo smaltimento, il riciclo o la restituzione di prototipi, componenti e attrezzature protetti.
Nota: Secondo il confronto redline ufficiale di ENX, nel passaggio da ISA 6 a ISA2027 il questionario sulla protezione dei dati non ha subito modifiche.
Quando diventano effettive le modifiche a TISAX® ISA?
ISA sarà aggiornato il 1° luglio di ogni anno, con decorrenza dal 1° gennaio dell'anno successivo. Questo semestre consente ai fornitori approvati degli audit e ai partecipanti di prepararsi all’assessment in base alla nuova versione.
ISA2027 diventa il catalogo di default per gli assessment TISAX® ordinati a partire dal 1° gennaio 2027. Tuttavia, gli assessment ordinati prima di quella data, o il cui assessment iniziale (Fase 2) è programmato prima del 1° aprile 2027, potranno ancora essere effettuati rispetto a ISA 6. La data di registrazione dell’ambito di applicazione non determina la versione da utilizzare.
Gli assessment ordinati prima del 1° gennaio 2027 potranno ancora essere effettuati secondo lo standard ISA 6. ENX ha anche fissato marzo 2027 come termine ultimo per avviare un assessment iniziale conforme a ISA 6.
Per gli assessment di gruppo semplificati e per le estensioni dell’ambito di applicazione, si continuerà ad applicare la versione ISA utilizzata per l’assessment iniziale. Tutte le sedi rientranti in un determinato ambito di applicazione dovranno essere valutate utilizzando la medesima versione.
Il ciclo di rilascio annuale implica la necessità di assessment annuali?
No. Questo è un punto importante. Anche se ENX sta pianificando una pubblicazione annuale dei futuri cataloghi ISA, le etichette TISAX® continueranno a rimanere valide fino a tre anni
Il ciclo annuale consente al catalogo di evolversi in fasi più brevi e prevedibili, senza dar adito all'esigenza di un reassessment annuale.
Nella pratica, molte organizzazioni si muoveranno all’interno di diverse versioni ISA tra un assessment completo e l’altro.
Cosa devono fare i partecipanti TISAX® esistenti?
Nulla nell’immediato. L’etichetta TISAX® esistente rimane valida fino alla data di scadenza.
E’ comunque consigliabile verificare la scadenza del prossimo assessment e individuare eventuali requisiti ISA2027 che potrebbero riguardare la propria organizzazione. La versione ISA utilizzata per il prossimo assessment dipenderà dal momento in cui questa verrà ordinata: alcune organizzazioni potrebbero passare direttamente a ISA2027, mentre altre potrebbero adottare una versione annuale successiva.
Su cosa dovrebbero prepararsi i team in maniera prioritaria?
Inizierei con quattro azioni pratiche, ossia:
- Scaricare ISA2027 e il confronto redline ENX dal portale ENX.
- Mappare le modifiche rispetto al proprio ambito di controlli e assessment esistenti.
- Esaminare i requisiti relativi alla garanzia dei fornitori e alla protezione dei prototipi.
- Aggiornare all’occorrenza le politiche, la documentazione di supporto e le proprietà interne.
Un altro aspetto da non trascurare è quello di assicurarsi che i team sappiano spiegare la logica che sottintende il proprio approccio. ISA2027 sottolinea l’importanza di dimostrare che le decisioni siano state considerate in maniera consapevole e documentate.
Lo standard ISA2027 modifica l'audit ENX sulla sicurezza informatica dei veicoli (VCS)?
Non in maniera diretta. ENX VCS, l'audit sulla sicurezza informatica dei veicoli, è uno schema distinto basato sulla norma ISO/SAE 21434.
Tuttavia, ENX richiede che, al momento dello svolgimento dell'audit VCS, si disponga di etichette TISAX® valide per tutte le sedi incluse nel suo ambito.
Se si stanno pianificando entrambe le attività, le tempistiche andranno coordinate. Bisogna accertarsi che le etichette TISAX® necessarie rimangano valide e confermare quale versione ISA si applica agli assessment TISAX® futuri.
Dunque che consiglio puoi dare in sintesi ai partecipanti TISAX®?
Di iniziare dai dati chiave e focalizzarsi successivamente sulle modifiche che avranno l’impatto più importante sulla propria organizzazione. Bisogna controllare la scadenza dell’etichetta, la data presunta in cui ordinare l’assessment, i fornitori e le esigenze di protezione, in particolare per quanto riguarda i prototipi.
Rammentando che ISA2027 è un’evoluzione e non un motivo per ricominciare da zero. Una gap review mirata può aiutare a tutelare i controlli già in funzione, direzionando gli interventi verso le aree che sono state modificate.
Passa alla fase successiva
- Scarica ISA2027 e il confronto redline ENX – Rivedi il catalogo ufficiale e identifica le modifiche che riguardano il tuo ambito.
- Esplora ISA di VDA basato sulla formazione TISAX® – Aiuta il tuo team a comprendere ISA e i requisiti ISMS.
- Contatta BSI – Stabilisci insieme al nostro team le tempistiche del tuo assessment e le priorità su cui prepararti.
