Der VDA hat am 1. Juli 2026 den Nachfolger von VDA ISA 6 veröffentlicht — den Prüfkatalog, auf dem jedes TISAX®-Assessment beruht. Verbindlich wird er für alle Assessments, die ab dem 1. Januar 2027 beauftragt werden. Wer noch 2026 beauftragt, tritt regulär nach dem bekannten Katalog an. Das ist keine dramatische Umstellung, aber es ist eine Entscheidung mit einem Datum — und die trifft man besser bewusst.
Diese Unterscheidung wird regelmäßig verwechselt und entscheidet über den anzuwendenden Katalog. Maßgeblich ist der Zeitpunkt, zu dem Sie das Assessment beauftragen — nicht der Termin, an dem der Assessor bei Ihnen vor Ort ist. Ein noch im Dezember 2026 beauftragtes Assessment läuft regulär nach VDA ISA 6, auch wenn die Prüfung selbst erst im Frühjahr 2027 stattfindet.
Kein Bruch mit der Systematik, aber spürbare Verschiebungen — vor allem dort, wo es um physische Sicherheit geht.
| Bereich | VDA ISA 6 | VDA ISA2027 |
|---|---|---|
| Bezeichnung | Fortlaufende Version (6.0.x) | Jahreszahl des verbindlichen Beginns |
| Informationssicherheit | Bekannter Kontrollumfang | Rund 43 überarbeitete Controls, einzelne Soll- werden zu Muss-Anforderungen |
| Prototypenschutz | Gewachsene Struktur | Umfassend neu strukturiert — die größte inhaltliche Änderung |
| Datenschutz | Eigenes Modul | Fortgeführt, in Teilen an aktuelle Praxis angepasst |
| Verbindlich für | Beauftragungen bis 31.12.2026 | Beauftragungen ab 01.01.2027 |
| Wirkung auf laufende Labels | Keine — gültige Labels laufen unverändert bis zu ihrem Ablaufdatum weiter | |
Für die meisten Unternehmen ist die Umstellung beherrschbar: Die Struktur des Katalogs bleibt vertraut, und wer den alten beherrscht, findet sich im neuen zurecht. Die Ausnahme ist der Prototypenschutz — wer Labels in diesem Bereich hält, sollte den neuen Katalog früh gegen den eigenen Ist-Stand legen, weil hier bauliche und organisatorische Maßnahmen betroffen sein können, die sich nicht kurzfristig nachrüsten lassen.
Es gibt keine allgemein richtige Antwort. Es gibt aber vier Situationen, in denen die Antwort eindeutig ist.
Wenn ein Auftraggeber wartet und Ihre Nachweise weitgehend vorliegen, beauftragen Sie noch 2026. Sie treten nach einem Katalog an, dessen Auslegung seit Jahren eingespielt ist — bei Assessoren wie bei Beratern. Bekannte Regeln sind ein unterschätzter Vorteil.
Bei einer Rezertifizierung im Jahr 2027 lohnt der Blick auf das Ablaufdatum: Eine vorgezogene Beauftragung im Jahr 2026 kann bedeuten, dass Sie den Zyklus noch einmal nach dem bekannten Katalog durchlaufen — und den Wechsel erst in drei Jahren mitmachen, mit deutlich mehr Vorlauf.
Ohne dokumentiertes ISMS ist eine Beauftragung im Jahr 2026 kein Vorteil, sondern ein Risiko. Ein Assessment, das mit Abweichungen endet, kostet Nacharbeit, einen zweiten Termin und Zeit gegenüber dem Auftraggeber. Bereiten Sie sauber vor und treten Sie nach ISA2027 an.
Hier lohnt sich die genaue Gegenüberstellung. Weil dieses Modul neu strukturiert wurde und bauliche Maßnahmen betreffen kann, entscheidet der konkrete Ist-Stand — nicht der Kalender. Diese Prüfung sollte vor der Beauftragung stehen, nicht danach.
Ablaufdatum bestehender Labels, Kundenzusagen und realistische Vorbereitungszeit ergeben zusammen das Beauftragungsfenster.
Abgleich Ihres Ist-Stands gegen beide Kataloge — mit besonderem Augenmerk auf Prototypenschutz und die zu Muss-Anforderungen aufgewerteten Controls.
Umsetzung der offenen Punkte, bei Apple-Flotten technisch über Mosyle MDM erzwungen und damit im Assessment unmittelbar nachweisbar.
Beauftragung im gewählten Fenster, Vorbereitung der Nachweise und Begleitung durch das Assessment bis zum Label.
Der VDA-ISA-Katalog ist inhaltlich eng an ISO/IEC 27001 angelehnt und ergänzt sie um die branchenspezifischen Anforderungen der Automobilindustrie. Wer bereits ein gelebtes ISMS betreibt, muss deshalb nicht neu aufbauen, sondern übersetzen und ergänzen — und profitiert doppelt, weil dasselbe Fundament auch den Großteil der NIS2-Anforderungen trägt.
Stand: August 2026.
Nein. Ein gültiges Label bleibt bis zu seinem regulären Ablauf bestehen — die Veröffentlichung eines neuen Katalogs ändert daran nichts. Labels gelten üblicherweise drei Jahre ab Ausstellung. Relevant wird ISA2027 für Sie erst bei der Rezertifizierung: Beauftragen Sie das Folge-Assessment ab dem 1. Januar 2027, wird nach dem neuen Katalog geprüft. Das ist der Grund, den Rezertifizierungstermin frühzeitig anzusehen — nicht erst im letzten Quartal vor Ablauf.
Das hängt davon ab, wie weit Sie sind. Wer ein funktionierendes ISMS hat und ohnehin in den nächsten Monaten antreten wollte, sollte die Beauftragung noch 2026 auslösen und regulär nach VDA ISA 6 antreten — bekanntes Regelwerk, bekannte Interpretationen, kalkulierbarer Aufwand. Wer noch am Anfang steht und realistisch erst in der zweiten Jahreshälfte 2027 prüffähig wäre, sollte nicht künstlich beschleunigen: Ein hastig beauftragtes Assessment nach altem Katalog, das dann mit Abweichungen endet, kostet mehr als eine saubere Vorbereitung auf den neuen.
Der Prototypenschutz. Dieses Modul wurde umfassend neu strukturiert — für Unternehmen mit den Labels für Prototypenschutz, also Automobilzulieferer, Entwicklungsdienstleister, Agenturen und Filmproduktionen mit Zugriff auf unveröffentlichtes Fahrzeugmaterial, ist das die größte Umstellung. Im Modul Informationssicherheit wurden rund 43 Controls überarbeitet, und einige bisherige Soll-Anforderungen sind zu Muss-Anforderungen geworden. Der Aufbau bleibt vertraut: Wer den alten Katalog beherrscht, findet sich im neuen zurecht.
Weil die Jahreszahl aussagekräftiger ist als eine fortlaufende Nummer. Der Katalog trägt künftig das Jahr, ab dem er für neu beauftragte TISAX®-Assessments verbindlich wird. Aus einer Versionsnummer, die man nachschlagen musste, wird damit eine Angabe, aus der sich die eigene Betroffenheit direkt ablesen lässt: ISA2027 gilt für alles, was ab dem 1. Januar 2027 beauftragt wird.
In der Regel vier bis neun Monate, abhängig vom Ausgangsniveau und vom angestrebten Assessment Level. Wer bereits ein ISMS nach ISO/IEC 27001:2022 betreibt, verkürzt das erheblich, weil die Grundstruktur — Risikomanagement, Richtlinien, Nachweise — bereits steht und im Wesentlichen auf die VDA-Systematik übersetzt werden muss. Ohne dokumentiertes Sicherheitsmanagement ist das obere Ende der Spanne realistisch, insbesondere wenn Prototypenschutz mit seinen baulichen und organisatorischen Anforderungen dazukommt.
Ja, und dieser Kreis wächst. Die Pflicht entsteht nicht durch Gesetz, sondern durch die vertragliche Forderung des Auftraggebers — und die richtet sich danach, wer Zugriff auf schützenswerte Informationen hat, nicht danach, wer produziert. Betroffen sind deshalb zunehmend reine IT-Dienstleistungen wie Cloud-Hosting und Wartung, Entwicklungs- und Ingenieurdienstleister sowie Kreativ- und Marketingagenturen, die mit unveröffentlichtem OEM-Material arbeiten. Für diese Gruppe ist TISAX® kein Compliance-Thema, sondern schlicht die Voraussetzung dafür, überhaupt beauftragt zu werden.
Assessment Level 1 bis 3 für Zulieferer und Dienstleister der Automobilbranche.
Die vier Domänen, die Assessoren prüfen — und was in jeder davon stehen sollte.
Ein Managementsystem als Grundlage für beide Nachweise.
Dasselbe ISMS, dritter Nachweis — die regulatorische Seite der Lieferkette.