社長・CEO が見る TISAX：欧州自動車メーカーの受注、評価レベル、期間と投資

欧州の自動車メーカーが TISAX を求めています。やらないとどうなりますか？必須ですか？

TISAX は顧客の要求であり、法律ではありません。ENX が運営する評価・交換の仕組みで、ENX が承認した監査機関が VDA ISA に基づいて評価し、結果はラベルとして ENX プラットフォームで自動車メーカーと共有されます。

やらない代償は受注に表れます。サービスページによれば、欧州の自動車メーカーの多くが TISAX AL2 または AL3 をサプライヤー参入の条件にしています。TISAX を求める自動車メーカーや一次サプライヤーに評価結果を示せなければ、サプライヤー資格審査の段階で制約を受けかねません。ISO 27001 は TISAX の代わりになりません。

UN R155 とも区別が必要です。これは完成車（自動車メーカー）の型式認証要件で、部品メーカーには多くの場合、自動車メーカーから契約を通じて要求が伝わります。実際の要求は顧客の引合いと契約によります。

評価レベル AL2 と AL3 は誰が決めますか？投入量にどう影響しますか？

レベルは評価目標で決まり、自分では選べません。評価目標は、機密やプロトタイプ保護など顧客が求めるラベルによります。

社長・CEO が選択肢を比べるときは、評価費用だけでなく監査費用と社内人員を合わせて計算します。最初の一歩は、営業から顧客に求めるラベルと拠点範囲を確認させることです。

顧客の納期が短いです。TISAX は間に合いますか？

ENX は、会社の規模、評価目標、情報セキュリティマネジメントシステムの準備状況によるため、全体の期間は見積もれないとしています。サービスページ記載の支援期間は通常 7〜12 か月以上で、ISO 27001 を持っていれば短縮できます。

圧縮できない部分：

• 自己評価の質が初回評価の合否を決め、不適合は是正とフォローアップ評価を経て初めて完了します
• 監査機関の日程は自社で管理できません
• 2027 年 1 月 1 日以降に委託する評価はすべて VDA ISA2027 が適用されます。来年初めに委託する会社は新版で準備すべきです

社長・CEO ができること：顧客が求めるラベルを確認し、自己評価と補強の時間を逆算し、準備が整ってから見積もりを取るのではなく、監査機関の日程を早めに確保します。ラベルの有効期間は 3 年で、その間サーベイランス監査はなく、満了時には完全な再評価が必要です。

TISAX の予算はどう組みますか？削ってはいけない費用は？

TISAX の予算は四つで構成されます。

1. ENX への登録料
2. 監査機関の評価費用（ENX 承認の監査機関を自社で選び、少なくとも 2 社から見積もりを取る）
3. コンサルティング費用
4. 社内の投入

入退室管理、ネットワーク、設備の購入と設置は別に計上します。

最もよくある抜けは、登録料と監査費用だけを計上し、「評価範囲の設定」と「自己評価の質」を見落とすことです。範囲を誤ると再評価になり、AL2 で自己評価が不十分だとそのまま追加の人員負担になります。この二つは監査契約の締結前に済ませるべきです。

ISO 27001 はすでにあります。それでも TISAX は必要ですか？ISO/SAE 21434 は？

TISAX：必要です。ISO 27001 は汎用規格で TISAX の代わりにはなりませんが、既存の制度は流用でき、ISMS を基盤に TISAX 固有の要求を補強するため、支援期間も短くなります。

ISO/SAE 21434：製品によります。TISAX は会社の拠点の情報セキュリティを評価し、21434 は製品をいかに安全に開発するかを定めるもので、互いに代替できません。サイバーセキュリティに関係する車載電子電気システム、部品、ソフトウェアを開発・供給する場合は通常必要で、顧客の引合いと契約によります。

EU CRA：型式認証を受けた車両とその専用部品は CRA の適用外ですが、単独で販売される車載デジタル製品（アフターマーケット機器、診断ツール、充電設備など）は対象です。

TISAX は誰が担当しますか？どの部門が一緒に動く必要がありますか？

VDA ISA の質問票には、情報セキュリティ、プロトタイプ保護、データ保護の三つのモジュールがあります。したがって TISAX は情報システム部門だけの仕事ではありません。

• 評価範囲：どの拠点が顧客情報を扱うか。範囲内のすべての拠点が評価されます
• プロトタイプ保護：研究開発、試作、拠点の物理的管理に関わります
• データ保護：個人情報の義務（GDPR）に関わります
• 仕入先管理：文書、拠点、アクセス、仕入先の管理すべてに是正の追跡が必要です
• AI ツール：顧客の機密情報やプロトタイプのデータを AI で処理することも、TISAX が評価する情報セキュリティの範囲に入ります

社長・CEO は、部門をまたいで資源を動かせる責任者を一人指名し、すべての不備に担当部署、証跡、期限を持たせます。上場・店頭登録会社自身の仕入先管理方針は ESG 評価 S-15 の対象でもあります。非公開発行会社はこの規範の対象外ですが、任意で参考にできます。

積穗科研は社長・CEO の TISAX 対応をどう支援しますか？

副社長・取締役クラスのコンサルタントが外注せず最初から最後まで自ら支援し、ISO 27001 主任審査員の資格を持っています。積穗科研は支援コンサルタントであり、認証機関ではありません。

• 顧客要求から範囲を決める：求められるラベル、評価目標、拠点、適用される ISA の版を確認します。
• 制度と現場の証跡：VDA ISA に基づき制度と成熟度の証跡を整え、ISO/SAE 21434 と組織レベルの文書を共有します。
• 費用を分ける：コンサルティング、技術的な是正、正式評価の費用を分け、重複購入を避けます。
• 模擬評価：正式評価の前に一度リハーサルを行い、不適合を収束させます。
• 実名の支援実績：億豐金屬工業股份有限公司（TISAX 評価支援（VDA ISA 6.0、SGS Taiwan 評価、TISAX ラベル取得）。事例の全文）。

関連情報：TISAX 評価支援、TISAX コンサルタントの選び方、TISAX のスケジュール、TISAX の予算。

無料のメカニズム診断を申し込む