TISAX : le label de sécurité de l'automobile, niveaux et étapes de l'évaluation

TISAX (Trusted Information Security Assessment Exchange) est le label de sécurité de l'information de l'industrie automobile, souvent appelé « certification TISAX » : un fournisseur se fait évaluer une fois sur un catalogue commun, puis partage ses résultats avec tous ses clients constructeurs. Si vous travaillez pour un constructeur ou un équipementier et qu'il vous confie des plans, des prototypes ou des données, il y a de fortes chances qu'il vous le demande. Voici comment fonctionne TISAX, de l'enregistrement aux labels, et ce qu'il emprunte à ISO 27001.

TISAX signifie Trusted Information Security Assessment Exchange, soit un échange de confiance de résultats d'évaluation de la sécurité de l'information. L'idée est simple : plutôt que chaque constructeur audite chacun de ses fournisseurs avec son propre questionnaire, le fournisseur passe une évaluation reconnue par tous, dont il partage ensuite le résultat.

Le dispositif est géré par l'ENX Association, une association à but non lucratif créée en 2000 par des constructeurs, des équipementiers et des associations nationales de l'automobile. Les premiers participants se sont enregistrés le 28 juin 2016. Dix ans plus tard, l'ENX indique que plus de 21 000 sites ont été évalués et que plus de 5 000 utilisateurs, issus de plus de dix constructeurs, s'appuient sur ces résultats (annonce de juillet 2026).

Trois points à retenir d'emblée, tous tirés du manuel du participant :

• TISAX ne délivre pas de certificat. Il attribue des labels, que l'on partage via la plateforme de l'ENX avec les partenaires de son choix.
• Aucune loi ne l'impose. C'est le client qui l'exige, par contrat, et qui précise les labels attendus.
• L'évaluation porte sur des sites, selon un périmètre standard prédéfini, et non sur toute l'entreprise.

Les exigences viennent du catalogue VDA ISA (Information Security Assessment), publié par la VDA, l'association allemande de l'industrie automobile. Depuis 2019, c'est un groupe de travail de l'ENX qui le rédige et le tient à jour. Le catalogue s'appuie sur les principes d'ISO 27001, adaptés aux besoins du secteur, et ajoute des modules propres à l'automobile, comme la protection des prototypes.

Pour chaque question, l'entreprise évalue sa maturité sur une échelle de 0 à 5. Le niveau cible est en général 3, c'est-à-dire un processus établi et appliqué. Le manuel précise qu'un écart sur une question ne se compense pas par un meilleur score sur une autre.

Les évaluations actuelles reposent sur la version 6 du catalogue (ISA 6). Le 1^er juillet 2026, l'ENX a annoncé la publication de son successeur, ISA2027, qui inaugure un nommage par l'année d'application obligatoire. Selon l'ENX, il devient le catalogue par défaut pour les évaluations commandées à partir du 1^er janvier 2027, ISA 6 restant possible pour les évaluations commandées avant cette date ou dont l'évaluation initiale a lieu avant le 1^er avril 2027. Il met à jour les correspondances avec ISO/IEC 27001:2022 et le NIST Cybersecurity Framework 2.0, et refond en profondeur le module de protection des prototypes.

Avant l'évaluation, le fournisseur choisit ses objectifs d'évaluation, en fonction de ce que ses clients lui demandent. Chacun correspond à un label et à un niveau d'évaluation. Ils se répartissent en trois familles :

Le niveau d'évaluation (assessment level, AL) découle des objectifs choisis. Le manuel du participant les décrit ainsi :

• AL1 : une simple auto-évaluation. Son niveau de confiance est jugé trop faible : elle n'est pas utilisée dans TISAX.
• AL2 : le prestataire d'audit vérifie la plausibilité de votre auto-évaluation pour tous les sites du périmètre, à partir de preuves et d'un entretien avec le responsable de la sécurité de l'information. L'entretien se fait en général par visioconférence ; une visite sur site n'a lieu qu'à votre demande.
• AL3 : le prestataire vérifie de façon complète la conformité aux exigences, avec des entretiens en personne et une inspection sur site.

Un point pratique souvent ignoré : une évaluation AL2 ne peut pas servir de base pour monter ensuite en AL3, car l'auditeur n'y a pas tout vérifié. Passer d'un niveau à l'autre revient à refaire une évaluation initiale. En cas de doute, le manuel recommande de viser directement les objectifs qui impliquent l'AL3, dont l'effort n'est pas forcément plus élevé.

Le processus TISAX tient en trois étapes : enregistrement, évaluation, échange.

1. L'enregistrement

Sur le portail de l'ENX, le fournisseur s'enregistre, déclare les sites concernés et ses objectifs d'évaluation, puis choisit un prestataire d'audit parmi ceux que l'ENX a agréés. Avant l'audit, il réalise son auto-évaluation sur le catalogue VDA ISA, que le prestataire contrôlera.

2. L'évaluation

L'évaluation initiale aboutit à un résultat global. Selon le manuel, s'il est « non conforme mineur », le fournisseur peut obtenir des labels temporaires en attendant la correction des écarts ; s'il est « non conforme majeur », il doit d'abord corriger le problème. Le fournisseur dispose de neuf mois au plus pour résoudre les non-conformités, faute de quoi il n'obtient pas de labels. Un plan d'actions correctives peut être validé par l'auditeur, puis une évaluation de suivi constate les corrections.

3. L'échange

Les résultats sont déposés sur la plateforme de l'ENX. C'est le fournisseur qui décide avec quels partenaires il les partage, et avec quel niveau de détail. Le client n'a plus besoin de mener son propre audit.

Les labels TISAX sont en principe valables trois ans à compter de la fin du processus d'évaluation. Pour les conserver, il faut repasser par les trois étapes, à commencer par un nouvel enregistrement. L'ENX précise que la publication annuelle de nouveaux catalogues ne change pas cette durée.

Combien coûte une évaluation TISAX ?

Il n'existe pas de prix unique : le budget dépend du nombre de sites, des objectifs d'évaluation et donc du niveau AL2 ou AL3. Il se compose de trois postes : les frais d'enregistrement versés à l'ENX, publiés dans sa grille tarifaire ; les honoraires du prestataire d'audit, qui établit son propre devis ; et surtout le temps interne de préparation, d'auto-évaluation et de correction des écarts, qui pèse le plus lourd pour une organisation sans SMSI. Faire chiffrer plusieurs prestataires agréés et réutiliser un socle ISO 27001 existant sont les deux leviers les plus efficaces.

Les deux démarches parlent la même langue, puisque le catalogue VDA ISA s'appuie sur ISO 27001. Elles ne répondent pourtant pas à la même question.

Beaucoup d'équipementiers relèvent aussi de NIS 2, l'industrie automobile faisant partie des secteurs couverts. En 2025, l'ENX a publié un avis d'experts qui met en regard les mesures de l'article 21 de la directive et les contrôles d'ISA 6. Sa conclusion : un site évalué conformément à TISAX couvre ces mesures de sécurité, à plusieurs conditions. Les labels doivent reposer sur ISA 6, avoir été obtenus en AL2 ou AL3, refléter l'ensemble des risques de l'entreprise et couvrir tous les sites concernés par NIS 2.

Deux nuances importantes. D'abord, l'avis émane de l'ENX elle-même, pas d'une autorité nationale. Ensuite, il ne couvre pas tout : l'enregistrement auprès de l'autorité, la notification des incidents et les exigences nationales restent à traiter à part. TISAX est donc un bon socle pour NIS 2, pas une conformité clés en main.

• Lire le contrat. Identifiez les labels et les sites exigés par votre client : ce sont eux qui fixent le niveau et le périmètre.
• Faire l'auto-évaluation sérieusement. Répondez au catalogue VDA ISA avec des preuves, pas des intentions. C'est cette auto-évaluation que l'auditeur contrôlera.
• Réutiliser l'existant. Si vous avez un SMSI, rapprochez ses mesures des questions du catalogue plutôt que de repartir de zéro (voir notre article sur la mise en conformité).
• Prévoir le temps de correction. Gardez de la marge avant l'échéance du client : neuf mois au plus pour corriger les écarts, c'est vite passé.
• Anticiper le renouvellement et le passage à ISA2027 pour les évaluations commandées à partir de 2027.
• Évaluer vos propres sous-traitants s'ils accèdent aux informations du constructeur : la chaîne ne vaut que par son maillon le plus faible (voir la gestion des risques tiers).

Si vous menez déjà une démarche ISO 27001, un logiciel ISO 27001 qui relie plusieurs référentiels vous évite d'évaluer deux fois la même mesure.