Fornecedores da indústria automotiva
Chegou aquela cláusula no contrato e, junto com ela, um monte de palavras novas: escopo, objetivo de avaliação, VDA ISA, audit provider. A DM11 traduz esse pedido para uma linguagem simples e monta um plano com prazo e responsável. Depois, conduz a sua empresa até a avaliação com o resultado já previsível.
A DM11 prepara a sua empresa para a avaliação. Quem faz a avaliação e emite os labels é uma auditora credenciada (o audit provider), contratada pela ENX Association, que é a entidade que administra o TISAX. Essa separação não é escolha nossa: é uma regra do próprio TISAX.
Quem conduz a preparação
O ponto de partida
O TISAX não é lei nem norma do governo. É uma exigência que a montadora ou um grande fornecedor dela (o chamado Tier 1) coloca no contrato, com um prazo que quem define é esse cliente. Por isso a primeira conversa não é sobre segurança da informação: é sobre entender exatamente o que foi pedido, porque é o pedido que determina o tamanho de tudo o que vem depois.
Quem administra o TISAX é a ENX Association, uma entidade do setor, que também contrata as auditoras credenciadas (os audit providers). A lista de critérios, chamada VDA ISA, é publicada pela associação da indústria automotiva alemã. Entre os membros da ENX estão Audi, BMW, Bosch, Ford, Magna, Mercedes-Benz, Renault, Valeo e Volkswagen.
Quando a sua empresa recebe um desenho de engenharia, dados de uma peça em desenvolvimento ou informação pessoal vinda de um cliente, o risco daquele cliente passa a morar na sua rede. O TISAX é o jeito que o setor encontrou de conferir isso uma vez só, em vez de cada montadora auditar cada fornecedor separadamente.
Você publica o resultado uma vez e libera para os parceiros que quiser. Acaba aquela rotina de responder um questionário de segurança diferente para cada cliente, cada um com planilha e prazo próprios. O X do nome vem daí: exchange, que em inglês quer dizer troca.
O que é, de fato
O manual oficial do participante responde direto: não existe certificado para pendurar na parede. O TISAX é um jeito de avaliar a sua segurança e depois trocar esse resultado com quem você quiser. Um auditor analisa a sua empresa com base no catálogo VDA ISA, você recebe os labels e os compartilha na plataforma da ENX só com quem autorizar. Quem trata isso como certificação costuma errar também no resto.
O resultado são labels publicados na plataforma da ENX, e não um certificado. O fornecedor que promete “certificar sua empresa em TISAX” está prometendo algo que não existe.
A avaliação usa o catálogo VDA ISA, uma lista de itens de segurança da informação, proteção de protótipos e proteção de dados. Cada item ganha uma nota de maturidade de 0 a 5, em vez de um simples “atende” ou “não atende”.
Vale a versão que estiver em vigor quando você contrata a avaliação. A VDA ISA 6.0.3 vale para as avaliações contratadas até 31/12/2026. A partir de 01/01/2027, passa a valer a VDA ISA2027, publicada em julho de 2026, que reforça as exigências de segurança na cadeia de fornecedores e reorganiza a proteção de protótipos.
Os labels valem três anos, contados a partir da reunião que encerra a primeira avaliação. Diferente da ISO 27001, não existe auditoria todo ano nesse período. Para renovar, você repete o processo, e a recomendação oficial é começar um ano antes do vencimento.
A avaliação cobre endereços (as suas localidades), e não a empresa como CNPJ. Três fábricas podem virar três localidades no mesmo escopo, e todas precisam ter os mesmos objetivos de avaliação. Errar esse tamanho na hora do registro custa caro depois: ampliar o escopo mais tarde não é um ajuste simples.
Se aparecer uma não conformidade menor (um problema pequeno), você recebe labels temporários enquanto executa o plano de ação. Não existe reprovação para sempre, e ninguém precisa ver o resultado de uma tentativa anterior. O que existe é prazo: as ações para corrigir têm limite de nove meses.
Tradução
No TISAX, o que você contrata é o objetivo de avaliação (aquilo que precisa ser protegido), e é ele que define o nível da avaliação. Se o pedido do seu cliente não disser qual é o objetivo, essa é a primeira pergunta a fazer para ele, antes de qualquer orçamento.
| O que pedem | O que significa | O que isso exige de você |
|---|---|---|
| “Precisamos que você tenha TISAX” | Pedido incompleto. Falta o objetivo de avaliação. | Volte ao cliente e peça o objetivo por escrito. Sem isso, qualquer orçamento é chute e o registro pode sair errado. |
| Confidential | Informação que precisa de bastante proteção quanto ao sigilo. Nível de avaliação AL 2 (o nível intermediário, feito à distância). | Uma autoavaliação bem feita, uma conferência para ver se ela faz sentido e uma entrevista, em geral por videoconferência. |
| Strictly confidential | Informação que precisa de proteção muito alta. Nível AL 3 (o nível mais alto, com auditor na sua fábrica). | Auditor presente na sua fábrica, análise detalhada das evidências, entrevistas marcadas e de surpresa e observação dos processos. |
| High availability | Sistemas que precisam ficar sempre no ar (alta disponibilidade). Nível AL 2. | Plano de continuidade do negócio com prova de que foi testado, e não só um plano no papel. |
| Proto parts, Proto vehicles | Proteção de peças, componentes ou veículos protótipo (modelos ainda não lançados). Nível AL 3. | Áreas separadas, controle de entrada com registro, regras de câmera e celular e cuidado especial com mídias (pen drives, HDs e afins). |
| Test vehicles, Proto events | Veículos de teste e protótipos em eventos ou filmagens. Nível AL 2. | Regras de manuseio, transporte e de cobrir os veículos, com um responsável definido para cada evento. |
| Data | Proteção de dados pessoais, baseada no artigo 28 do GDPR (a lei europeia de proteção de dados), que trata de quem processa os dados. Nível AL 2. | Registro das operações com dados, avaliação de impacto, regras de transferência e atendimento aos pedidos das pessoas donas dos dados. É quase o mesmo que a LGPD já exige de você. |
| Special data | Dados pessoais sensíveis (categorias especiais, como saúde ou biometria). Nível AL 3. | Tudo do item anterior, mais uma verificação presencial e controles reforçados. |
Os objetivos chamados Info high e Info very high deixaram de existir em abril de 2024. Se o pedido do seu cliente ainda usa esses nomes, vale confirmar com ele: em geral quer dizer Confidential ou Strictly confidential, e essa diferença muda o nível da avaliação.
Níveis
AL quer dizer Assessment Level, o nível da avaliação. Ele não é escolha sua: depende do objetivo de avaliação que o seu cliente exige.
Uso interno
O auditor só confirma que existe uma autoavaliação preenchida, sem olhar o conteúdo. E aqui vem a surpresa: o AL 1 não gera label TISAX. Ele serve para uso interno ou para um parceiro específico, fora do sistema de troca.
A maioria dos fornecedores
O auditor confere se a sua autoavaliação faz sentido, olha as evidências e entrevista o responsável pela segurança da informação, quase sempre por videoconferência. Aqui o esforço interno é grande: a sua autoavaliação precisa se sustentar sozinha, com uma prova por trás de cada nota.
Protótipos e proteção muito alta
O auditor vai até as suas localidades. Ele analisa documentos e evidências, faz entrevistas marcadas com os donos de cada processo e entrevistas de surpresa com quem executa, observa as condições do local e vê os processos acontecendo de verdade. É o nível em que a diferença entre o processo escrito e o processo praticado aparece.
Para quem já tem ISO 27001
Ter a ISO 27001 ajuda bastante, mas não dispensa a avaliação TISAX. O catálogo VDA ISA segue as boas práticas dessa norma e mostra onde os dois se encaixam, então boa parte da sua documentação dá para reaproveitar. O que costuma complicar não é o que já existe: é o que a ISO não pede e a forma de definir o escopo, que funciona ao contrário.
Autodiagnóstico
Quatorze perguntas sobre os temas que o catálogo VDA ISA cobre. O resultado aparece inteiro na tela, com a nota de cada tema e uma leitura honesta de quanto falta até uma avaliação. Não pedimos e-mail para mostrar o resultado.
Precisa estar aprovada pela direção e ter data de revisão. Um documento antigo e sem dono costuma contar como se não existisse.
Como conduzimos
Cada fase termina com uma entrega concreta, não com um relatório de status. Você sabe o que vai receber antes de começar.
Antes de qualquer diagnóstico técnico, traduzimos o que o seu cliente exigiu em objetivo de avaliação, nível e localidades. É a decisão que define o tamanho de tudo o que vem depois, e a que mais gente erra por pressa.
Você recebe
Avaliamos a sua situação de hoje item por item, na versão do catálogo que vai valer para a sua avaliação, com a mesma nota de maturidade que o avaliador vai usar. O resultado mostra a distância real, e não um palpite.
Você recebe
Transformamos as lacunas em um plano com responsável, prazo e ordem de execução. A ordem importa: alguns itens dependem de outros, e fazê-los fora de ordem gera retrabalho.
Você recebe
Tocamos a execução junto com o seu time: políticas, processos, controle de acesso físico e digital, gestão de fornecedores e a documentação que sustenta cada nota. O time aprende a operar o que foi construído.
Você recebe
Simulamos a avaliação com o mesmo rigor do avaliador, incluindo entrevistas com os donos de cada processo e com quem executa. É aqui que aparece a diferença entre o processo escrito e o que se faz na prática, e ainda dá tempo de corrigir.
Você recebe
Ficamos ao seu lado durante a avaliação feita pelo audit provider e, se aparecerem não conformidades, ajudamos a montar e executar o plano de correção dentro do prazo do TISAX.
Você recebe
Histórias
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, mas o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome em uma conversa.
Uma pergunta que você deveria fazer
O manual do participante é claro: uma auditora (o audit provider) só pode fazer a sua avaliação se não tiver prestado consultoria para você antes. Quem prepara fica proibido de avaliar aquele mesmo cliente. Não é burocracia: é o que dá credibilidade ao resultado diante da montadora que vai confiar nele.
Dúvidas frequentes
Respostas baseadas no manual oficial do participante. Onde não existe um dado oficial, a gente diz que não existe.
Não. O manual oficial do participante responde direto: não existe certificado para emitir. O TISAX é um jeito de avaliar a sua segurança e depois trocar esse resultado. Um auditor avalia a sua empresa com base no catálogo VDA ISA, você recebe os labels e os compartilha na plataforma da ENX só com os parceiros que autorizar. Quem promete certificado está prometendo algo que não existe.
Mais dúvidas? Veja as perguntas frequentes da DM11
Uma conversa de trinta minutos costuma bastar para transformar a exigência do seu cliente em escopo, nível e uma ideia do tamanho do esforço. Sem compromisso.