TISAX にはどれくらいかかるか、圧縮できないステップはどれか

直答：ENX は公式に、全体のスケジュールは見積もれないと明言しています。企業規模、評価目標、情報セキュリティマネジメントシステムの準備状況に左右されるためです。管理できるのはプロセスの順序、すなわち登録、評価、交換の三ステップで、そのうち評価前の準備が最も時間がかかり、同時に企業自身が最も管理しやすい部分です。

三つのステップと企業が管理できる部分

1. 登録：ENX ポータルで参加者登録を行い、条件に同意し、評価範囲と評価目標を定義します。ENX は通常、三営業日以内に確認書と範囲の抜粋を送付します。
2. 評価：VDA ISA に基づく自己評価を完了してギャップを補強 → ENX 承認の監査機関から見積もりを取り契約 → 初回評価 → 不適合があれば是正計画を提出し、フォローアップ評価を受ける。

バージョンに関する注意：VDA は 2026 年 7 月 1 日に VDA ISA2027 を公表し、2027 年 1 月 1 日以降に委託する評価には新版が適用され、以後は毎年一版の発行に改められました。それ以前に委託した評価は引き続き ISA 6.0.3 に基づきます。ラベルの有効期間は評価の最終会議から三年で、期間中にサーベイランス監査はなく、期限到来時には完全な再評価が必要です。来年初めに評価を委託する企業は、新版に基づいて準備すべきです。

1. 交換：合格後にラベルを取得し、ENX プラットフォームで顧客と共有します。評価結果の有効期間は三年で、期限が来たらプロセスをもう一度行います。

圧縮できないところ：自己評価の品質が初回評価の合否を決め、不適合項目は是正とフォローアップ評価を経なければ終結しません。監査機関の予定も企業の管理下にはありません。さらに ENX の規定では、範囲の抜粋を監査機関に送付した後は、評価範囲の変更は監査機関を通じてしか行えません。

TISAX と CRA の関係

両者は性質が異なります。TISAX は自動車メーカーがサプライヤーに求める情報セキュリティ要件であり、CRA は EU の製品法規です。CRA 第 2 条により、(EU) 2019/2144 に基づいて型式認可を受けた車両とその専用システム・部品は CRA の対象外で、欧州委員会は (EU) 2025/1535 でバイクなどの L カテゴリ車両も除外しました。しかし単独で販売される車載デジタル製品は引き続き CRA の範囲内です。例えばアフターマーケット機器、診断ツール、フリート管理ハードウェア、充電設備、サプライチェーンに単体で販売されるチップモジュールやソフトウェアです。車載サプライヤーは TISAX（顧客要求）と CRA（法的義務）を同時に必要とすることが多く、両者の証拠は一つのマネジメントシステムで共有でき、二度作る必要はありません。

車載サプライチェーンにおける AI：TISAX、ISO 42001、AI Act

車載サプライヤーは設計、試験、文書作成に AI ツールを使うことが増えています。扱うのが顧客の機密や試作品のデータである限り、その処理プロセスは TISAX 評価の情報セキュリティ範囲内にあり、AI ツールの利用も管理下に置く必要があります。ISO 42001 は AI 利用のガバナンス、すなわち用途の承認、データ分類、AI サービス提供者の評価と記録を補い、VDA ISA の管理策と同じマネジメントシステムを共有できます。サプライヤーが AI 機能を持つ車載デジタル製品を単独で販売する場合は、CRA と AI Act を同時に見る必要があります。ISO 42001 と AI Act の予算とスケジュール

積穗科研の見方

顧客が示す納期は、実際に必要な準備期間より短いことがよくあります。最も効果的なのは、まず顧客が要求するラベルを確認し、そこから自己評価と補強の時間を逆算し、監査機関の日程を早めに確保することであり、準備が整ってから見積もりを依頼することではありません。