車廠要交原型給我們，為什麼要 TISAX 原型保護？它是證書嗎？
車廠把原型交給供應商時，可能要求 TISAX 評估範圍包含原型保護。TISAX 是車廠的商業要求而非法律義務，也不是 ISO 證書：評估問卷 VDA ISA 由德國汽車工業協會（VDA）制定，機制由 ENX 協會營運，評估由 ENX 核准的稽核服務商執行，結果以評估標籤在 ENX 平台與車廠共享，效期最長三年。
面對要求 TISAX 的車廠或一階供應商，無法提出評估結果，可能在供應商資格審查階段就受限。
ISA2027 把原型保護改了什麼？我們的專案適用哪一版？
原型保護由 22 項控制精簡為 20 項，原本 8.1 至 8.5 五節併為兩節：8.1 組織要求、8.2 實體與環境安全。
決定版本的是委託日，不是評估日：
- 2026 年 12 月 31 日前委託：仍可依 ISA 6.0.3 完成
- 2027 年 1 月 1 日起委託：一律適用 ISA2027
既有標籤維持原效期（最長三年），不需要提前複評。評估範圍含原型保護者，即使實際措施不變，文件架構也需要重新對映。
Basic 與 Facilities 差在哪？AL2、AL3 可以自己選嗎？
不能自選，等級由評估目標決定。ISA2027 只保留兩種原型保護標籤：
| 標籤 | 證明什麼 |
|---|---|
| Prototype Protection Basic（AL2） | 具備安全處理原型件與原型車的流程與人員 |
| Prototype Protection Facilities（AL3） | 再加上場址的實體防護，並涵蓋 Basic 的全部要求 |
AL2 以合理性查核、證據檢視與訪談為主，通常視訊；AL3 須稽核員到場做完整查證。產品經理要先確認客戶要求的標籤，再決定哪些流程與場址納入範圍。
準備要多久？會趕不上車廠開發案的時程嗎？
服務頁所列：依企業現有資安成熟度，輔導期通常為 7–12 個月以上，已持有 ISO 27001 的企業可縮短；範圍含原型保護、且預計 2027 年後委託者，需預留依 ISA2027 重構文件的時間。ENX 官方也明說無法預估整體時程。
不能壓縮的地方：
- 自評品質決定首次評估能否通過，不符合項目要等矯正與後續評估才能結案
- 稽核機構的排程不在企業掌控內
- 範圍摘要寄給稽核機構後，只能透過稽核機構調整
客戶給的交期往往比實際需要的準備時間短，要先確認標籤、倒推時程，並提早取得稽核機構的檔期。
Tier 1 客戶要我們提供 TISAX 結果，怎麼交付、要涵蓋哪些據點？
當 Tier 1 客戶要求其供應商提供 TISAX 評估結果時，Tier 2 同樣需要完成評估。通過後取得標籤，於 ENX 平台分享給客戶；標籤效期三年，期間沒有監督稽核，期滿須完整重新評估。
範圍界定：
- 範圍內每個據點都要評估；單一範圍可共用中央流程
- 先確認哪些據點會處理客戶資訊
- 範圍界定錯誤會導致重新評估，應在簽稽核合約前完成
原型專案用 AI 工具，或產品本身含軟體，還要看哪些要求？
三件事要分開看：
- AI 工具：只要處理的是客戶的機密或原型資料，這些處理流程就在 TISAX 評估的資訊安全管理範圍內，AI 工具的使用也要受控。
- 產品資安工程：TISAX 著重資訊安全管理，ISO/SAE 21434 著重車輛產品開發全生命週期的網路安全工程，兩者互補而非取代。
- EU CRA：已取得型式認可的車輛及其零組件不適用 CRA，但獨立銷售的車用數位產品仍在範圍內，例如售後市場裝置、診斷工具、充電設備。
積穗科研怎麼協助產品經理處理 TISAX 原型保護？
積穗科研先用客戶要求決定範圍，再把制度與現場證據接起來：
- 範疇界定與現況診斷：依資訊安全、原型保護、資料保護模組盤點，界定評估範疇與目標等級（AL2／AL3）
- 整改計畫與制度建立：含適用時的原型及資料保護作業要求
- ISO/SAE 21434 整合（選配）：共用安全政策框架與風險評估底稿
- 模擬稽核與正式評估陪伴
積穗科研是輔導顧問，不是發證機構，不保證標籤取得。具名客戶：億豐金屬工業（VDA ISA 6.0，SGS Taiwan 評估、取得 TISAX 標章）。由副總、董事級顧問全程親自輔導、不外包。延伸：TISAX 評估輔導、TISAX 時程、億豐案例。申請免費機制診斷