CISO の TISAX 準備：評価レベル、ISA2027、期間をどう決めるか

自動車メーカーから TISAX ラベルを求められました。CISO は経営陣にどう説明しますか？

厳密には TISAX は認証ではありません。ENX 協会が運営する評価・共有の仕組みで、評価票 VDA ISA はドイツ自動車工業会（VDA）が定め、評価は ENX が承認した監査サービス事業者が行い、合格すると ENX プラットフォームで共有される評価ラベルが得られます。ISO 証明書ではありません。

• TISAX は自動車メーカーの商取引上の要求であり、法的義務ではありません。
• ラベルの有効期間は評価の終了会議から最長 3 年で、その間サーベイランス監査はなく、期限後は完全な再評価が必要です。
• 市場で「TISAX 認証」と呼ばれているのは、このラベルのことです。

ISA 6.0.3 と ISA2027 のどちらで準備すべきですか？CISO に影響する変更は？

決め手は評価日ではなく委託日です。2026 年 12 月 31 日までに委託した評価は ISA 6.0.3 で完了でき、2027 年 1 月 1 日以降に委託した評価にはすべて ISA2027 が適用されます。既存ラベルは元の有効期間を維持し、前倒しの再評価は不要です。

ISA2027 の主な変更：

• 情報セキュリティモジュールは 46 項目を維持し、うち 44 項目を改訂
• 危機管理の要求を新設（1.6.3）、方針に関する義務を必須化（1.1.1）、リモートワークを具体的な必須要求に改訂（2.1.4）
• 供給者の検証義務を強化（旧 1.2.4 を 6.1.3 へ移動）
• 試作品保護は 22 項目から 20 項目に整理され、ラベルは Basic（AL2）と Facilities（AL3）の 2 種類のみ

ISO 27001 を取得済みでも TISAX は別に必要ですか？どの証跡を共有できますか？

別途必要です。ISO 27001 は業種横断のセキュリティマネジメント規格です。TISAX はセキュリティ管理策に加えて試作品保護とデータ保護のモジュールを持ち、ENX プラットフォームで評価結果を共有することで、自動車メーカーごとの重複評価を避けます。他の認証を持っていても TISAX 評価の代わりにはなりません。

共有できるのは既存の仕組みです。ギャップ診断では、再利用できる ISO 27001 の証跡と不足項目を洗い出し、各ギャップを適用要求、既存証跡、責任部門に対応付けます。ISO 27001 取得済みの企業は準備期間を短縮できます。

TISAX にはどれくらいかかり、CISO は年間計画と予算にどう組み込みますか？

サービスページ記載の支援期間は通常 7〜12 か月以上で、ISO 27001 取得済みなら短縮できます。範囲に試作品保護を含み、2027 年以降に委託する場合は、ISA2027 に合わせて文書を再構成する時間を見込みます。ENX は全体期間を予測できないとしており、手順は登録、評価、共有の 3 段階です。

短縮できない部分：自己評価の質が初回評価の合否を左右し、不適合は是正と追加評価を経て初めて完了します。監査事業者の日程も自社では管理できません。

予算に影響するのは、評価目的、拠点と人員の規模、顧客要求と評価予定日、試作品・データ保護などの適用範囲、既存証跡の充実度です。ENX 登録、正式評価、評価機関の費用は別途です。

TISAX は供給者管理や ESG 評価とどう関係しますか？

TISAX 自体が自動車メーカーによる供給者へのセキュリティ要求であり、ISA2027 は供給者の検証義務も強化しています。CISO は、上流の供給者への要求と自動車メーカーへの約束の整合を保ち、供給者評価項目と契約条項に書き込めます。

上場・店頭公開企業の場合、ESG 評価の指標 S-15 は、サイバーセキュリティやプライバシー保護などで規範の遵守を供給者に求める供給者管理方針を開示し、実施状況を説明しているかを問います。ESG 評価の対象は上場・店頭公開企業で、公開発行会社でない企業は対象外ですが、任意で参考にできます。

自動車メーカーが TISAX を求めています。CISO は ISO/SAE 21434 や EU CRA も準備すべきですか？

• ISO/SAE 21434：サイバーセキュリティに関係する車載電気電子システム、部品、ソフトウェアを開発・供給しているなら、通常は必要です。TISAX は自社拠点の情報セキュリティを、21434 は製品のサイバーセキュリティエンジニアリングのプロセスを対象とし、互いに代替できません。21434 が対応する UN R155 は完成車の型式認証要件で自動車メーカーが負い、部品メーカーには多くの場合契約を通じて要求されます。実際の要求は自動車メーカーの見積依頼と契約によります。
• EU CRA：規則 (EU) 2019/2144 に基づき型式認可を受けた車両とその専用システム・部品は CRA の対象外です。ただし、アフターマーケット機器、診断ツール、フリート管理用ハードウェア、充電設備など単独で販売される車載デジタル製品は CRA の対象です。

積穗科研は CISO の TISAX 対応をどう支援しますか？

積穗科研のやり方（上の質問で私たちも検証してください）：

• 副社長・取締役クラスのコンサルタントが自ら担当し、外注しない
• 評価範囲、目的、レベル、適用版を確認し、4 段階で改善。ISO/SAE 21434 と組織レベルの文書を共有
• 積穗はコンサルタントで発行機関ではなく、ラベル取得は保証しない
• 実名実績：億豐金屬工業股份有限公司、TISAX 評価支援（VDA ISA 6.0、SGS Taiwan 評価、TISAX ラベル取得）

TISAX 評価支援、億豐の事例、TISAX にかかる期間。無料の仕組み診断を申し込む