TISAX 是認證嗎？研發長回覆客戶時要怎麼寫？
嚴格來說不是。VDA ISA 評估問卷由德國汽車工業協會（VDA）制定，機制由 ENX 協會營運，評估須由 ENX 核准的稽核服務商執行，通過後取得的是在 ENX 平台共享的評估標籤，效期最長三年，不是 ISO 證書。
TISAX 是車廠的商業要求，不是法律義務；市場上習稱的「TISAX 認證」，正式說法是評估標籤。回覆客戶時，宜寫明標籤種類、評估等級與效期。
研發的原型件與原型車，TISAX 評估範圍要怎麼界定？
VDA ISA 分資訊安全、原型保護、資料保護三大模組。界定範圍時，先確認客戶要求的標籤（如機密、原型保護），再決定哪些據點要納入：範圍內每個據點都要評估。
範圍界定錯誤會導致重新評估；而 ENX 規定，範圍摘要一旦寄給稽核機構，就只能透過稽核機構調整。範圍與評估目標應在簽稽核合約前確定。
VDA ISA2027 對原型保護模組改了什麼？研發文件要重做嗎？
- 控制項由 22 項精簡為 20 項；原 8.1 至 8.5 五節併為兩節：8.1 組織要求、8.2 實體與環境安全
- 標籤只剩兩種：Basic（AL2）證明具備安全處理原型件與原型車的流程與人員；Facilities（AL3）再加上場址保管原型的實體防護，並涵蓋 Basic 的全部要求
- 即使實際措施不變，文件架構也需要重新對映
資訊安全模組維持 46 項控制，其中 44 項經修訂；資料保護模組的 12 項控制與 ISA 6 相同。
該依 ISA 6.0.3 還是 ISA2027？研發時程要怎麼排？
決定因素是委託日，不是評估日：
| 委託日 | 適用版本 |
|---|---|
| 2026 年 12 月 31 日前 | 仍可依 ISA 6.0.3 |
| 2027 年 1 月 1 日起 | 一律適用 ISA2027 |
既有標籤維持原效期，不需要提前複評。標籤將在 2027 年到期、且範圍含原型保護者，宜盡早評估是否在 2026 年底前委託。ENX 官方表示無法預估整體時程；評估前的準備最耗時，也最能由企業自己控制。
AL2 和 AL3，研發團隊要投入多少人力？
等級由評估目標決定，不能自選。
- AL2：以合理性查核、證據檢視與訪談為主，通常視訊。ENX 手冊指出，AL2 通常需要更完整的自評與書面文件，內部投入反而可能較高。
- AL3：稽核員須到場做完整查證。
自評品質決定首次評估能否通過；不符合項目要等矯正與後續評估才能結案，稽核機構的排程也不在企業掌控內。
TISAX 和 ISO/SAE 21434 證據怎麼共用？研發用 AI 工具也在範圍內嗎？
TISAX 著重資訊安全管理（供應鏈機密資料保護），ISO/SAE 21434 著重車輛產品開發全生命週期的網路安全工程（TARA 威脅分析、CSMS）。兩者互補而非取代：組織層文件可共用，項目層 TARA 與驗證各自產出。
研發用 AI 工具處理客戶的機密或原型資料時，這些處理流程就在 TISAX 評估的資訊安全管理範圍內，AI 工具的使用也要受控；ISO 42001 可補上用途核准、資料分類與 AI 服務供應商評估。
積穗科研怎麼協助研發長處理 TISAX？
四個階段：範疇界定與現況診斷（界定 AL2／AL3、出具差距分析）、整改計畫與制度建立、ISO/SAE 21434 整合（選配）、模擬稽核與正式評估陪伴。服務頁所列輔導期通常 7–12 個月以上，已持有 ISO 27001 者可縮短。
先確認評估範圍、目標與等級，以及該依 ISA 6.0.3 或 ISA2027。副總、董事級顧問全程親自輔導、不外包；積穗科研是輔導顧問，不是發證機構。具名客戶：億豐金屬工業股份有限公司。
其他角色怎麼看這項服務
同一角色的其他服務
- 研發長因應 EU CRA：開發流程、SBOM 與上市時程要改什麼？
- 研發長導入 IEC 62443-4-1：安全開發流程要改什麼、要多久？
- 研發長導入 ISO/SAE 21434：TARA 怎麼掛進既有開發流程？
- 研發長導入 ISO/IEC 29147 與 30111：漏洞處理流程怎麼建？
- 研發長面對 ISO 42001 與 EU AI Act：AI 產品要準備什麼？
- 研發長導入 ISO 27701 與 GDPR：產品與系統的隱私設計怎麼做？
- 研發長做營業秘密保護：研發資料怎麼分級、要留哪些紀錄？
- 研發長導入 ISO 56001：創新專案怎麼試行、ESG 怎麼加分？
- 研發長推動數位轉型：導入 ERP、MES、IoT 時資安怎麼同步？
- 研發長推動 AI 轉型：第一個場景怎麼選、治理要先建什麼？