BSI Küresel Otomotiv Başkanı Robert Brown ile röportaj
TISAX® ISA2027 ile yayın döngüsü daha öngörülebilir hâle gelirken gereklilikler netleşmekte ve tedarik zinciri güvenliğine verilen önem artmaktadır. Robert Brown’a nelerin değiştiğini, yeni gerekliliklerin ne zaman uygulanmaya başlayacağını ve şu an neler yapmanız gerektiğini sorduk.
Kilit Noktalar: TISAX® Bilgi Güvenliği Denetimi (ISA), 1 Temmuz 2026 itibarıyla VDA ISA2027 olarak güncellenmiştir.
- TISAX® ISA her yıl güncellenecek, her yıl temmuz ayında yeniden yayımlanacak ve takip eden ocak ayında yürürlüğe girecektir.
- 1 Ocak 2027 itibarıyla ISA2027, yeni TISAX® denetimleri için varsayılan denetim kataloğu olacaktır.
- Mevcut TISAX® etiketleri, belirtilen geçerlilik tarihine kadar geçerli olacaktır.
- Yeniden denetimler, ISA’nın en güncel sürümüne göre yapılacaktır.
TISAX® otomotiv kuruluşları için neden önemlidir?
TISAX® (Güvenilir Bilgi Güvenliği Değerlendirme Değişimi), otomotiv üreticileri ve tedarikçilerine bilgi güvenliğini değerlendirmek ve bilgi güvenliğiyle ilgili bilgileri paylaşmak için ortak bir yöntem sunar. Bu da çok yüksek hacimlerde hassas verinin karmaşık küresel tedarik zincirleri üzerinden aktarıldığı bir sektörde önem taşır.
Bu program, 2016 yılında gerçekleştirilen ilk denetimden bu yana hızla büyümüştür. Giderek daha fazla Tier 1 tedarikçi, TISAX gerekliliğinin kendi tedarikçileri tarafından da karşılanmasını talep etmektedir.
TISAX®’ın yönetişiminden sorumlu kuruluş olan ENX Association, 21.000’den fazla lokasyonda denetim gerçekleştirildiğini ve bu denetimlerin 100.000’in üzerinde güvenlik iyileştirmesinin belirlenmesine ve hayata geçirilmesine katkı sağladığını rapor etmektedir. Günümüzde 10’dan fazla Orijinal Ekipman Üreticisi (OEM), TISAX®’ı zorunlu kılmakta olup iş ortaklarının değerlendirilmesi ve tedarik zincirlerinin bilgi güvenliği tehditlerine karşı korunması amacıyla denetim sonuçlarından yararlanmaktadır.
TISAX® ISA tam olarak nedir?
ISA, Bilgi Güvenliği Denetimi anlamına gelir. TISAX® Denetimlerinin temelini oluşturan gerekliliklerin yer aldığı kataloğu teşkil eder.
Başlangıçta, bilgi güvenliği yönetim standardı ISO/IEC 27001’in otomotiv sektörüne uyarlanmış bir versiyonu olarak geliştirilmiştir. Günümüzde ise ISA, uluslararası kabul görmüş bilgi güvenliği çerçeveleriyle uyumunu korumakla birlikte, bağımsız bir sektör standardı hâline gelmiştir.
Katılımcılar, denetime hazırlanmak için ISA’yı kullanır ve denetimin başarıyla tamamlanması hâlinde TISAX® Denetim Sonuçlarını, ENX Portal üzerinden seçmiş oldukları müşteriler ve iş ortaklarıyla paylaşırlar.
Peki, TISAX® ISA’da ne tür değişiklikler yapılıyor?
Kısaca ifade etmek gerekirse ISA2027 ile, katalog daha anlaşılır, daha tutarlı ve günümüzün güvenlik riskleriyle daha uyumlu hâle getiriliyor.
İşte öne çıkan beş temel değişiklik:
- Yeni, yıla dayalı sürüm belirleme: Artık katalog adı, kataloğun ne zaman yürürlüğe gireceğini gösterecektir. ISA2027, 2027 yılında sipariş edilecek denetimler için geçerli olacaktır.
- Güncellenen eşleştirmeler: ENX, NIST Siber Güvenlik Çerçevesi 2.0 ve ISO/IEC 27001:2022 ile yapılan eşleştirmeleri güncelledi, ISA/IEC 62443 eşleştirmelerini netleştirdi ve ISO/IEC 27001:2013’e yapılan atıfları kaldırdı.
- Daha net bir dil: ENX; ifadeleri, çevirileri, biçimlendirmeyi ve gereklilik yapılarını gözden geçirdi. Ayrıca “Aşağıdaki hususlar dikkate alınır” ifadesini resmî olarak tanımladı. Buna göre kuruluşların listelenen her bir unsuru bilinçli olarak değerlendirmesi ve bir denetim sırasında uygulamaya yönelik kararlarını açıklaması gerekiyor.
- Daha güçlü tedarik zinciri güvencesi: Yüksek korumaya ihtiyacı olan kuruluşların, tedarikçi uyumluluğunu ve bunu destekleyen kanıtları daha kapsamlı şekilde belgelemesi, gözden geçirmesi ve izlemesi gerekiyor. Çok yüksek düzeyde korumaya ihtiyaç duyan tedarikçilerin, TISAX® etiketi, eş değer bir üçüncü taraf değerlendirmesi veya uygun bir tedarikçi denetimi aracılığıyla yeterli düzeyde bilgi güvenliği sağladığını göstermesi beklenir.
- Yeniden yapılandırılan Prototip Koruması: Önceki beş kontrol grubu artık Kurumsal Gereklilikler ile Fiziksel ve Çevresel Güvenlik olmak üzere iki alan altında toplanıyor. Yeni kontroller; koruma altındaki prototiplerin, parçaların ve araçların izlenebilirliğini ve yaşam döngüsü takibini ve bunların imha edilmesi, geri dönüştürülmesi veya iade edilmesini kapsıyor.
Not: Değişiklikleri gösteren resmî ENX karşılaştırmasına göre ISA 6’ya kıyasla ISA2027’de Veri Koruma anketinde herhangi bir değişiklik yapılmamıştır.
TISAX® ISA değişiklikleri ne zaman yürürlüğe girecek?
ISA her yıl 1 Temmuz’da güncellenecek ve takip eden yılın 1 Ocak tarihinden itibaren yürürlüğe girecektir. Bu altı aylık süre, onaylı denetim kuruluşlarının ve katılımcıların yeni sürüme göre gerçekleştirilecek denetimlere hazırlanmalarına imkân sağlayacaktır.
ISA2027, 1 Ocak 2027 tarihinden itibaren sözleşmeye bağlanan TISAX® Denetimlerinde varsayılan katalog olacaktır. Ancak bu tarihten önce sözleşmeye bağlanan veya ilk denetimi (Aşama 2) 1 Nisan 2027’den önce planlanan denetimler ISA 6 da esas alınarak gerçekleştirilebilir. Kapsam kayıt tarihi, hangi sürümün uygulanacağını belirlemez.
1 Ocak 2027’den önce sipariş edilen denetimler hâlâ ISA 6 da esas alınarak gerçekleştirilebilir. ENX ayrıca, ISA 6 kapsamında ilk denetimin başlatılabileceği son tarihin Mart 2027 olduğunu belirtmiştir.
Basitleştirilmiş Grup Denetimleri ve kapsam genişletmelerinde ilk denetimde kullanılan ISA sürümü geçerliliğini koruyacaktır. Kapsam dâhilindeki tüm lokasyonlar aynı sürüme göre değerlendirilmelidir.
Yıllık yayın döngüsü, denetimlerin de her yıl yapılacağı anlamına mı geliyor?
Hayır. Burada unutulmaması gereken bir detay var. ENX, gelecekteki ISA kataloglarını her yıl yayınlamayı planlasa da TISAX® etiketleri üç yıla kadar geçerliliğini korumaya devam edecektir.
Yıllık döngü, kataloğun daha küçük ve öngörülebilir adımlarla geliştirilmesine olanak tanır. Bu durum her yıl yeniden denetim yapılmasını gerektirmez.
Pratikte birçok kuruluş, kapsamlı denetimler arasında geçen sürede birden fazla ISA sürümünü geçmiş olacaktır.
Mevcut TISAX® katılımcıları ne yapmalıdır?
Acil olarak yapılması gereken herhangi bir işlem yoktur. Mevcut TISAX® etiketiniz, geçerlilik süresinin sonuna kadar geçerliliğini korur.
Bununla birlikte, bir sonraki denetiminizin ne zaman yapılması gerektiğini gözden geçirmek ve ISA2027 kapsamındaki, kuruluşunuzu etkileyebilecek gereklilikleri belirlemek için şu an uygun bir zamandır. Bir sonraki denetiminizde kullanılacak ISA sürümü, denetimin ne zaman sipariş edildiğine bağlı olacaktır. Bu nedenle bazı kuruluşlar doğrudan ISA2027’ye geçerken, bazıları ise daha sonraki yıllık sürüme geçebilir.
Ekipler hazırlık çalışmalarında nelere odaklanmalıdır?
Dört pratik adımla başlanabilir:
- ISA2027’yi ve değişiklikleri gösteren ENX karşılaştırmasını ENX Portal’dan indirin.
- Değişiklikleri mevcut kontrolleriniz ve denetim kapsamınızla karşılaştırın.
- Tedarikçi güvencesi ve Prototip Koruması gerekliliklerini gözden geçirin.
- Gerektiğinde politikaları, kanıtları ve kurum içindeki sorumlulukları güncelleyin.
En az bunun kadar önemli olarak, ekiplerinizin benimsedikleri yaklaşımın gerekçesini açıklayabildiğinden emin olun. ISA2027, kararların bilinçli bir şekilde değerlendirildiğinin ve belgelendiğinin gösterilmesine daha fazla önem vermektedir.
ISA2027 ile ENX Araç Siber Güvenliği (VCS) denetiminde değişiklik yapılıyor mu?
Hayır, doğrudan bir değişiklik yapılmıyor. ENX VCS, yani araç siber güvenliği denetimi, ISO/SAE 21434 standardını temel alan ayrı bir denetim programıdır.
Bununla birlikte ENX, VCS denetiminin gerçekleştirildiği sırada VCS denetimi kapsamındaki her lokasyon için geçerli TISAX® etiketlerine sahip olmanız gerektiğini belirtiyor.
Her iki faaliyeti de planlıyorsanız zaman çizelgelerini birbiriyle uyumlu hâle getirin. Gerekli TISAX® etiketlerinin geçerliliğini koruyacağından emin olun ve yaklaşan TISAX® denetimlerinde hangi ISA sürümünün uygulanacağını teyit edin.
TISAX® katılımcılarına son tavsiyeniz nedir?
Öncelikle sizin için önemli tarihleri belirleyin, ardından kuruluşunuz üzerinde en büyük etkiyi yaratacak değişikliklere odaklanın. Etiketinizin geçerlilik süresini, denetim için öngörülen sipariş tarihini, tedarikçilerinizi, koruma ihtiyaçlarınızı ve Prototip Koruması kapsamındaki faaliyetlerinizi gözden geçirin.
ISA2027’nin baştan başlamanızı gerektiren bir değişiklik değil, mevcut yapıya ilişkin bir gelişim adımı olduğunu unutmayın. Hedefe yönelik bir boşluk değerlendirmesi, hâlihazırda etkin olan kontrollerinizi korumanıza ve çabalarınızı değişiklik yapılan alanlara yönlendirmenize yardımcı olabilir.
Sonraki adıma geçin
- ISA2027’yi ve değişiklikleri gösteren ENX karşılaştırmasını indirin – Resmî kataloğu inceleyerek kapsamınızı ilgilendiren değişiklikleri belirleyin.
- TISAX® temelli VDA ISA eğitimini keşfedin – Ekibinizin ISA ve ISMS gerekliliklerine ilişkin anlayışını geliştirin.
- BSI ile iletişime geçin – Denetim zamanlamanızı ve hazırlık önceliklerinizi ekibimizle birlikte ele alın.
