Question 1

CTO と TISAX のプロトタイプ保護：ISA2027 で何が変わり、何を準備するか

Accepted Answer

TISAX は ISO 認証ではなく、ENX 協会が運営する評価・共有の仕組みで、結果は評価ラベルとして ENX プラットフォーム上で自動車メーカーと共有され、有効期間は最長 3 年です。評価レベルは評価目的で決まり、自由には選べません。2027 年 1 月 1 日以降に委託する評価はすべて VDA ISA2027 が適用され、プロトタイプ保護のラベルは Basic（AL2）と Facilities（AL3）の 2 種類だけになります。評価範囲にプロトタイプ保護を含み、2027 年以降に委託するサプライヤーは、ISA2027 に合わせて文書を作り直す時間を見込む必要があります。

Question 2

TISAX は認証か？CTO は顧客への回答にどう書くべきか？

Accepted Answer

厳密には認証ではありません。VDA ISA の評価質問票はドイツ自動車工業会（VDA）が定め、仕組みは ENX 協会が運営し、評価は ENX が承認した監査サービス事業者が行います。合格して得られるのは ENX プラットフォームで共有される評価ラベルで、有効期間は最長 3 年、ISO 認証ではありません。
TISAX は自動車メーカーの商業上の要求であり、法的義務ではありません。市場で「TISAX 認証」と呼ばれるものの正式名称は評価ラベルです。顧客への回答では、ラベルの種類、評価レベル、有効期間を明記するとよいでしょう。

Question 3

研究開発の試作部品・試作車について、TISAX の評価範囲をどう設定するか？

Accepted Answer

VDA ISA は情報セキュリティ、プロトタイプ保護、データ保護の 3 モジュールで構成されます。範囲を設定する際は、まず顧客が求めるラベル（機密、プロトタイプ保護など）を確認し、どの拠点を含めるかを決めます。範囲内の拠点はすべて評価されます。
範囲の設定を誤ると再評価になります。また ENX の規定では、範囲の概要を監査事業者に送付した後は、監査事業者を通じてしか変更できません。範囲と評価目的は監査契約の締結前に確定させます。

Question 4

VDA ISA2027 でプロトタイプ保護モジュールは何が変わったか？研究開発の文書は作り直しが必要か？

Accepted Answer

管理策は 22 項目から 20 項目に絞られ、旧 8.1〜8.5 の 5 節が 8.1 組織要求と 8.2 物理的・環境的セキュリティの 2 節に統合
ラベルは 2 種類のみ。Basic（AL2）は試作部品・試作車を安全に扱うプロセスと人員を示し、Facilities（AL3）はさらに試作品を保管する拠点の物理的保護を加え、Basic の全要求を含む
実際の措置が変わらなくても、文書体系は対応付け直す必要がある
情報セキュリティモジュールは 46 の管理策を維持し、うち 44 が改訂されました。データ保護モジュールの 12 の管理策は ISA 6 と同じです。

Question 5

ISA 6.0.3 と ISA2027 のどちらに従うか？研究開発のスケジュールはどう組むか？

Accepted Answer

決め手は評価日ではなく委託日です。
委託日 / 適用版
2026 年 12 月 31 日まで / ISA 6.0.3 で実施可能
2027 年 1 月 1 日以降 / すべて ISA2027
既存のラベルは元の有効期間を維持し、前倒しの再評価は不要です。ラベルが 2027 年に失効し、範囲にプロトタイプ保護を含む場合は、2026 年末までに委託するかを早めに検討するとよいでしょう。ENX は全体の期間を予測できないとしており、評価前の準備が最も時間を要し、企業が最もコントロールできる部分です。

Question 6

AL2 と AL3 で、研究開発チームはどれだけの工数が必要か？

Accepted Answer

レベルは評価目的で決まり、自由には選べません。
AL2：妥当性確認、証拠の確認、インタビューが中心で、通常はオンライン。ENX のハンドブックは、AL2 ではより完全な自己評価と書面文書が必要になることが多く、社内工数はかえって大きくなり得るとしています。
AL3：監査員が現地で完全な検証を行います。
自己評価の質が初回評価の合否を左右します。不適合は是正とフォローアップ評価を経て初めて完了し、監査事業者の日程も企業にはコントロールできません。

Question 7

TISAX と ISO/SAE 21434 で証拠をどう共有するか？研究開発での AI ツール利用も対象か？

Accepted Answer

TISAX は情報セキュリティ管理（サプライチェーンの機密データ保護）に、ISO/SAE 21434 は車両製品開発ライフサイクル全体のサイバーセキュリティエンジニアリング（TARA 脅威分析、CSMS）に重点を置きます。両者は代替ではなく補完関係で、組織レベルの文書は共有でき、プロジェクトレベルの TARA と検証はそれぞれ作成します。
研究開発で AI ツールが顧客の機密データや試作データを扱う場合、その処理は TISAX 評価の情報セキュリティ範囲に含まれ、AI ツールの利用も管理が必要です。ISO 42001 は用途の承認、データ分類、AI サービス提供者の評価を補えます。

Question 8

積穗科研は CTO の TISAX 対応をどう支援するか？

Accepted Answer

4 段階です。範囲設定と現状診断（AL2／AL3 の設定、ギャップ分析）、是正計画と制度構築、ISO/SAE 21434 統合（オプション）、模擬監査と正式評価への同行。サービスページ記載の支援期間は通常 7〜12 か月以上で、ISO 27001 取得済みの企業は短縮できます。
まず評価範囲、目的、レベル、ISA 6.0.3 と ISA2027 のどちらに従うかを確認します。副社長・取締役クラスのコンサルタントが全工程を自ら担当し、外注しません。積穗科研はコンサルタントであり、発行機関ではありません。実名の支援実績：億豐金屬工業股份有限公司。
TISAX 評価支援｜ISO/SAE 21434｜TISAX コンサルタントの選び方｜TISAX のスケジュール｜無料の仕組み診断を申し込む