總經理看 TISAX：歐洲車廠訂單、評估等級、時程與投資怎麼決定？

歐洲車廠要求 TISAX，不做會怎樣？一定要做嗎？

TISAX 是客戶要求，不是法律。它是 ENX 營運的評估與交換機制：由 ENX 核准的稽核機構依 VDA ISA 評估，結果以標籤在 ENX 平台與車廠共享。

不做的代價在訂單：服務頁指出，大多數歐系車廠已把 TISAX AL2 或 AL3 列為供應商准入條件；面對要求 TISAX 的車廠或一階供應商，無法提出評估結果，可能在供應商資格審查階段就受限。ISO 27001 不能替代 TISAX。

也要分清楚 UN R155：它是整車（車廠）型式認證要求，零組件廠多半是由車廠透過契約把要求傳下來。實際要求以客戶的詢價與合約為準。

評估等級 AL2、AL3 由誰決定？會影響投入多少？

等級由評估目標決定，不能自選；評估目標要看客戶要求的標籤，例如機密或原型保護。

所以總經理比較方案時，要把稽核費與內部人力一起算，不要只看評估費。第一步是請業務向客戶確認要求的標籤與據點範圍。

客戶給的交期很短，TISAX 來得及嗎？

ENX 官方表示無法預估整體時程，因為取決於公司規模、評估目標與資訊安全管理系統的準備程度。服務頁所列輔導期通常為 7–12 個月以上，已持有 ISO 27001 者可縮短。

不能壓縮的地方：

• 自評品質決定首次評估能否通過；不符合項目要等矯正與後續評估才能結案
• 稽核機構的排程不在企業掌控內
• 2027 年 1 月 1 日起委託的評估，一律適用 VDA ISA2027；明年初才委託的企業，應依新版準備

總經理能做的：先確認客戶要求的標籤，再倒推自評與補強時間，並提早取得稽核機構檔期，不要等準備好才詢價。標籤效期 3 年，期間沒有監督稽核，期滿須完整重新評估。

TISAX 預算怎麼編？哪些錢不能省？

TISAX 預算由四塊組成：

1. ENX 協會註冊費
2. 稽核機構評估費（自行選擇 ENX 認可的稽核機構，至少取得兩家報價）
3. 顧問輔導費
4. 企業內部投入

門禁、網路與設施設備的採購與安裝，另外編列。

最常見的缺口，是只編註冊費和稽核費，漏掉「評估範圍界定」與「自評品質」：範圍界定錯誤會導致重新評估，自評不完整在 AL2 會直接變成額外人力。這兩件事應在簽稽核合約前完成。

已經有 ISO 27001，還要做 TISAX 嗎？還要做 ISO/SAE 21434 嗎？

TISAX：要。ISO 27001 是通用標準，不能替代 TISAX；但既有制度可以沿用，以 ISMS 為基礎補強 TISAX 特有要求，輔導期也因此縮短。

ISO/SAE 21434：看產品。TISAX 評的是公司據點的資訊安全，21434 規範產品怎麼被安全地開發出來，兩者不能互相取代。若公司開發或供應具資安相關性的車用電子電氣系統、零組件或軟體，通常需要；以客戶的詢價與合約為準。

EU CRA：已取得型式認可的車輛及其專用零組件不適用 CRA，但獨立銷售的車用數位產品（例如售後市場裝置、診斷工具、充電設備）仍在範圍內。

TISAX 由誰負責？哪些部門要一起動？

VDA ISA 問卷有三大模組：資訊安全、原型保護、資料保護。所以 TISAX 不是資訊部門一個單位的事：

• 評估範圍：哪些據點會處理客戶資訊，範圍內每個據點都要評估
• 原型保護：涉及研發、試作與場域的實體控管
• 資料保護：涉及個資義務（GDPR）
• 供應商控制：文件、場域、存取與供應商控制都要有整改追蹤
• AI 工具：用 AI 處理客戶機密或原型資料，也在 TISAX 評估的資訊安全範圍內

總經理要指定一位能跨部門調度資源的負責人，並讓每個缺口都有責任單位、證據與期限。上市櫃公司自己的供應商管理政策，也是 ESG 評鑑 S-15 的題目；非公開發行公司不受此規範，可自願參考。

積穗科研怎麼協助總經理處理 TISAX？

積穗科研由副總、董事級顧問全程親自輔導、不外包，顧問持有 ISO 27001 主導稽核員資格；積穗是輔導顧問，不是發證機構。

• 先用客戶要求決定範圍：確認客戶要求的標籤、評估目標、據點與適用的 ISA 版本。
• 制度與現場證據：依 VDA ISA 建立制度與成熟度證據，並與 ISO/SAE 21434 共用組織層文件。
• 費用分開：輔導、工程整改與正式評估費分開，避免重複採購。
• 模擬評估：正式評估前做一次演練，收斂不符合項。
• 具名客戶：億豐金屬工業股份有限公司（TISAX 評估輔導，VDA ISA 6.0，SGS Taiwan 評估、取得 TISAX 標章；完整案例）。

延伸閱讀：TISAX 評估輔導、TISAX 顧問怎麼選、TISAX 時程、TISAX 預算。

申請免費機制診斷