資安長準備 TISAX：評估等級、ISA2027 與時程怎麼定？

車廠要求 TISAX 標籤，資安長怎麼向管理階層說明這是什麼？

嚴格來說 TISAX 不是認證。它是 ENX 協會營運的評估與交換機制：評估問卷 VDA ISA 由德國汽車工業協會（VDA）制定，評估由 ENX 核准的稽核服務商執行，通過後取得的是在 ENX 平台共享的評估標籤，不是 ISO 證書。

• TISAX 是車廠的商業要求，不是法律義務。
• 標籤效期最長三年，自評估結束會議起算，期間沒有監督稽核，期滿須完整重新評估。
• 市場上習稱的「TISAX 認證」，指的就是這個標籤。

該依 ISA 6.0.3 還是 ISA2027 準備？哪些變動影響資安長？

決定因素是委託日，不是評估日：2026 年 12 月 31 日前委託者仍可依 ISA 6.0.3 完成；2027 年 1 月 1 日起委託者一律適用 ISA2027。既有標籤維持原效期，不需要提前複評。

ISA2027 的主要變動：

• 資訊安全模組維持 46 項控制，其中 44 項經修訂
• 新增危機管理要求（1.6.3）、政策義務改為強制（1.1.1）、遠距工作改寫為具體的強制要求（2.1.4）
• 供應商驗證義務加嚴（原 1.2.4 移至 6.1.3）
• 原型保護由 22 項精簡為 20 項，標籤只剩 Basic（AL2）與 Facilities（AL3）

已有 ISO 27001，TISAX 還要另外做嗎？哪些證據可以共用？

要另外做。ISO 27001 是跨產業的資安管理標準；TISAX 在資安控制之外增加原型保護與資料保護模組，並透過 ENX 平台共享評估結果，避免對每家車廠重複評估。不能以已持有其他證書代替 TISAX 評估。

可以共用的是既有制度：差距診斷時先盤點現有 ISO 27001 證據可重用與待補項目，每個缺口都對到適用要求、現有證據與責任單位。已持有 ISO 27001 的企業可縮短準備週期。

TISAX 要多久？資安長怎麼排進年度計畫與預算？

服務頁所列輔導期通常 7–12 個月以上，已有 ISO 27001 者可縮短；範圍含原型保護且 2027 年後委託者，要預留依 ISA2027 重構文件的時間。ENX 官方無法預估整體時程，流程是註冊、評估、交換三步驟。

不能壓縮的地方：自評品質決定首次評估能否通過，不符合項目要等矯正與後續評估才能結案；稽核機構的排程也不在企業掌控內。

編列預算時，影響因素包括評估目標、場域與人員規模、客戶要求與預定評估日期、原型／資料保護等適用範圍、既有證據完整度；ENX 註冊、正式評估及評估機構費用另計。

TISAX 和供應商管理、ESG 評鑑有什麼關係？

TISAX 本身就是車廠對供應商的資安要求，ISA2027 也加嚴了供應商驗證義務。資安長可把對上游供應商的要求和對車廠的承諾保持一致，寫進供應商評鑑項目和契約條款。

公司若是上市櫃公司，ESG 評鑑 S-15 問的是是否揭露供應商管理政策，要求供應商在資通訊安全或隱私權保護等議題遵循相關規範，並說明實施情形。ESG 評鑑對象是上市櫃公司；非公開發行公司不受此規範，可自願參考。

車廠要求 TISAX，資安長還要準備 ISO/SAE 21434 或 EU CRA 嗎？

• ISO/SAE 21434：若公司開發或供應具資安相關性的車用電子電氣系統、零組件或軟體，通常需要。TISAX 評的是公司據點的資訊安全，21434 規範產品的資安工程流程，兩者不能互相取代。21434 對應的 UN R155 是整車型式認證要求，由車廠承擔，零組件廠多由車廠透過契約要求；實際要求以車廠的詢價與合約為準。
• EU CRA：已依 (EU) 2019/2144 取得型式認可的車輛及其專用系統、零組件不適用 CRA；但獨立銷售的車用數位產品，例如售後市場裝置、診斷工具、車隊管理硬體、充電設備，仍在 CRA 範圍內。

積穗科研怎麼協助資安長處理 TISAX？

積穗科研的做法（請用上方問題同樣檢驗我們）：

• 副總、董事級顧問全程親自輔導、不外包
• 先確認評估範圍、目標、等級與適用版本，再依四階段整改，並與 ISO/SAE 21434 共用組織層文件
• 積穗是輔導顧問、不是發證機構，不保證標籤取得
• 具名客戶：億豐金屬工業股份有限公司，TISAX 評估輔導（VDA ISA 6.0，SGS Taiwan 評估、取得 TISAX 標章）

TISAX 評估輔導、億豐案例、TISAX 要多久。申請免費機制診斷