TISAX: gids voor assessment, labels en ISA2027 in het mkb

TISAX is de gemeenschappelijke beoordelingsmethode voor informatiebeveiliging in de Europese automotive keten, beheerd door de ENX Association. Een erkende audit provider toetst je organisatie aan de VDA ISA catalogus en je ontvangt TISAX labels die je via het ENX platform deelt met je klanten. Een label is drie jaar geldig en vervangt de losse beveiligingsaudits die OEM’s en grote toeleveranciers anders elk afzonderlijk bij je zouden uitvoeren.

Deze gids is geschreven voor Nederlandse toeleveranciers, engineeringbedrijven en IT en softwareleveranciers die van een automotive klant de vraag krijgen om TISAX. Je leest wat TISAX is, hoe het proces loopt, welke versie van de catalogus je in 2026 en 2027 gebruikt, wat het kost en hoe je als mkb organisatie het traject in stappen aanpakt.

Wat is TISAX?

TISAX staat voor Trusted Information Security Assessment Exchange: een methode om informatiebeveiliging bij leveranciers één keer te laten beoordelen en de uitkomst daarna met meerdere klanten te delen. Het systeem is van de ENX Association, een vereniging van Europese autofabrikanten, toeleveranciers en brancheorganisaties.

De inhoudelijke eisen komen uit de VDA ISA, de Information Security Assessment catalogus van de Duitse automobielbrancheorganisatie VDA. Volgens de VDA beschrijft die catalogus de beveiligingseisen voor bedrijven in de hele automotive toeleveringsketen en is hij afgestemd op ISO/IEC 27001:2022. ENX regelt het proces eromheen: de registratie, de toelating van audit providers en de uitwisseling van resultaten.

De eerste deelnemers registreerden zich op 28 juni 2016, meldt ENX in het nieuwsbericht over ISA2027 (1 juli 2026). TISAX bestaat dus tien jaar en is in die periode de gangbare manier geworden waarop de Duitse en Europese autosector beveiliging bij leveranciers toetst.

Drie begrippen kom je steeds tegen:

• Scope: het deel van je organisatie dat beoordeeld wordt, vastgelegd per locatie. Volgens het TISAX Participant Handbook is de vooraf vastgelegde standaardscope geschikt voor ruim 99 procent van de deelnemers.
• Assessment objectives: de beoordelingsdoelen die je kiest, bijvoorbeeld de omgang met vertrouwelijke informatie of de bescherming van prototypes. Elk doel hoort bij een vast assessment level.
• Labels: het resultaat. Haal je een assessment objective, dan krijg je het bijbehorende label, zichtbaar voor de partijen met wie je het deelt.

Waarom vragen automotive klanten om TISAX?

Klanten vragen om TISAX omdat ze vertrouwelijke ontwerpen, prototypes, productieplanningen en persoonsgegevens met je delen en willen weten dat je die goed beschermt. Met één erkend label hoeven ze je beveiliging niet zelf te auditen.

Het is de opdrachtgever die bepaalt of TISAX nodig is. In de ENX FAQ staat dat sommige deelnemers TISAX voor veel van hun leveranciers verplicht hebben gesteld. In de praktijk krijg je de eis via een inkoopvoorwaarde, een leveranciersvragenlijst of een projectcontract, vaak met de labels die de klant verwacht er direct bij.

Voor Nederlandse bedrijven speelt dit vooral als je levert aan Duitse OEM’s of hun directe toeleveranciers. De vraag komt bij fabrikanten van onderdelen, en net zo goed bij engineeringbureaus die met CAD data van de klant werken, softwarebedrijven die systemen voor een OEM ontwikkelen of beheren en IT dienstverleners met toegang tot klantnetwerken.

Met ISA2027 wordt de keten zelf ook strenger beoordeeld. Volgens ENX moet een organisatie met een hoge beschermingsbehoefte de beveiliging van haar eigen leveranciers vastleggen, beoordelen en volgen. Bij een zeer hoge beschermingsbehoefte moeten die leveranciers hun beveiliging aantonen met een TISAX label, een gelijkwaardige beoordeling door een derde of een leveranciersaudit. Grote toeleveranciers gaan die vraag dus vaker doorzetten naar hun eigen onderaannemers.

Is TISAX een certificaat of een label?

TISAX levert labels op. Het resultaat is een beoordeling (assessment) door een audit provider, die je via het ENX platform deelt met partijen die jij kiest. Een certificaat zoals bij ISO/IEC 27001 krijg je er niet bij.

Het verschil heeft praktische gevolgen:

• Wie beoordeelt: bij ISO/IEC 27001 doet een geaccrediteerde certificatie instelling de audit. Bij TISAX doet een audit provider die door ENX is toegelaten het assessment.
• Hoe je het aantoont: een ISO certificaat is een document. Een TISAX resultaat staat op het ENX platform. Jij bepaalt per partner hoeveel van het rapport die mag zien. Delen en publiceren kun je volgens het Participant Handbook niet meer intrekken.
• Tussentijdse audits: bij ISO 27001 volgen binnen de cyclus van drie jaar twee controleaudits. Een TISAX label is drie jaar geldig zonder jaarlijkse controleaudit, tenzij er wezenlijke wijzigingen zijn.
• Taal: veel mensen spreken toch over een TISAX certificering. Dat is begrijpelijk, maar in gesprekken met klanten en audit providers werk je beter met de officiële termen assessment en label.

Wil je weten hoe TISAX en ISO 27001 zich verder tot elkaar verhouden, lees dan TISAX of ISO 27001: de verschillen en wanneer je welke nodig hebt.

Welke VDA ISA versie geldt in 2026 en 2027?

Voor TISAX assessments die je vóór 1 januari 2027 bij een audit provider bestelt, geldt ISA 6 (de actuele uitgave is ISA 6.0.3). Voor assessments die je vanaf 1 januari 2027 bestelt, geldt de nieuwe catalogus ISA2027. Dat staat in het ENX bericht van 1 juli 2026 en op de ENX downloadpagina.

De belangrijkste data op een rij:

Moment	Wat er gebeurt	Bron
Oktober 2023	Publicatie ISA 6	ENX, 1 juli 2026
1 april 2024	ISA 6 verplicht voor assessments die vanaf die datum zijn besteld; ISA 6.0.3 gepubliceerd op 25 april 2024	ENX downloads
1 juli 2026	Publicatie ISA2027 (bestand ISA2027.1)	ENX downloads
7 augustus 2026	ENX publiceert een redline document met de verschillen tussen ISA 6 en ISA2027	ENX, 7 augustus 2026
1 januari 2027	ISA2027 geldt voor alle TISAX assessments die vanaf die datum worden besteld	ENX, 1 juli 2026
Maart 2027	Laatste moment om een initieel assessment onder ISA 6 te openen	ENX, 7 augustus 2026

Nieuw is ook de naamgeving. Versies krijgen voortaan het jaartal waarin ze gaan gelden en verschijnen jaarlijks: publicatie in de zomer, geldig vanaf 1 januari van het jaar erna. ISA2028 staat gepland voor de zomer van 2027. ENX benadrukt dat de jaarlijkse uitgave de geldigheid van labels niet verandert en niet leidt tot vaker herbeoordelen.

Wat verandert er inhoudelijk in ISA2027? Volgens de ENX aankondiging en het bericht over het redline document:

• De verwijzingen naar andere kaders zijn bijgewerkt: NIST CSF 2.0 en ISO/IEC 27001:2022, verwijzingen naar ISO/IEC 27001:2013 zijn verdwenen.
• De formulering “the following aspects are considered” heeft een formele betekenis gekregen. Je moet elk genoemd aspect bewust afwegen en je keuze bij het assessment kunnen uitleggen.
• De eisen aan leveranciersbeheer zijn aangescherpt, zoals hierboven beschreven.
• De module prototypebescherming is herschikt van vijf groepen maatregelen naar twee domeinen: organisatorische eisen en fysieke beveiliging. Er zijn eisen bijgekomen voor het traceren van beschermde objecten en het afvoeren, recyclen of retourneren van prototypes, onderdelen en gereedschap.
• Leidinggevenden zijn expliciet doelgroep van bewustwording en training. Verder besteedt de catalogus aandacht aan AI en legt hij meer nadruk op operationele technologie (OT).

Plan je je assessment rond de jaarwisseling, overleg dan vroeg met je audit provider welke versie geldt. Wie in november of december 2026 bestelt, kan nog onder ISA 6 worden beoordeeld. Bereid je je voor op een assessment in 2027, dan is het verstandig direct met ISA2027 te werken.

Welke TISAX labels kun je halen?

TISAX labels vallen in drie groepen: informatiebeveiliging, prototypebescherming en gegevensbescherming. Welke je nodig hebt, hangt af van wat je voor je klant doet en welke informatie of objecten je in handen krijgt.

Onder ISA 6 zijn dit de assessment objectives met hun assessment level, zoals vermeld in tabel 5 van het TISAX Participant Handbook (versie 2.8, 13 maart 2025):

Groep	Label	Assessment level
Informatiebeveiliging	Confidential	AL2
Informatiebeveiliging	Strictly confidential	AL3
Informatiebeveiliging	High availability	AL2
Informatiebeveiliging	Very high availability	AL3
Prototypebescherming	Proto parts	AL3
Prototypebescherming	Proto vehicles	AL3
Prototypebescherming	Test vehicles	AL2
Prototypebescherming	Proto events	AL2
Gegevensbescherming	Data	AL2
Gegevensbescherming	Special data	AL3

De oudere labels Info high en Info very high zijn voor assessments die vanaf 1 april 2024 zijn besteld vervangen door Confidential en Strictly confidential. ENX heeft houders van een geldig oud label automatisch het nieuwe label toegekend.

Voor ISA2027 melden de audit providers DQS en SGS dat prototypebescherming nog twee labels kent: Basic (AL2) voor processen en gekwalificeerd personeel, en Facilities (AL3) met daarbovenop fysieke beveiliging van locaties waar prototypes liggen. Het Participant Handbook noemt op het moment van schrijven nog de indeling van ISA 6. Controleer daarom bij je registratie welke prototypelabels het ENX portal voor jouw bestelling aanbiedt.

Een uitgebreide uitleg per label en een beslishulp vind je in TISAX assessment levels en labels uitgelegd.

Hoe verloopt het TISAX proces?

Het TISAX proces bestaat uit drie hoofdstappen: registratie bij ENX, het assessment door een audit provider en de uitwisseling van het resultaat. Daarvoor zit je eigen voorbereiding, en na het assessment volgt zo nodig een correctietraject.

1. Voorbereiding en zelfbeoordeling

Je bereidt je voor op basis van de ISA catalogus, een Excelbestand met de eisen per thema. Het Participant Handbook schrijft voor dat je voorbereiding op de ISA gebaseerd is. Je vult per eis in hoe ver je bent en waar het bewijs ligt. Die zelfbeoordeling is bij AL2 het startpunt voor de audit provider. Het ISA werkt met volwassenheidsniveaus van 0 tot 5; voor een assessment wordt over het algemeen minimaal niveau 3 (Established) aangehouden, zo vat Secfix samen.

2. Registratie in het ENX portal

In het ENX portal leg je je bedrijfsgegevens, contactpersonen, factuurgegevens, scope, locaties en assessment objectives vast. Volgens het handboek duurt een eerste registratie met één scope en één locatie minstens twintig minuten en volgt de bevestiging meestal binnen drie werkdagen. De registratie is betaald; ENX factureert alleen zijn eigen registratiekosten en de audit provider factureert het assessment apart.

Alle locaties binnen één scope moeten dezelfde assessment objectives hebben, staat in de ENX FAQ. Heb je locaties met een verschillend risicoprofiel, dan kun je meerdere scopes registreren.

3. Keuze van een audit provider

Na registratie ontvang je een contactlijst van alle TISAX audit providers. Je vraagt bij een of meer van hen een offerte op en kiest er één. Alleen door ENX toegelaten audit providers mogen een TISAX assessment uitvoeren.

4. Het assessment

Het assessment bestaat volgens het handboek uit een startoverleg (kickoff), het initiële assessment en, als dat nodig is, een correctieplan, de beoordeling daarvan en een vervolgassessment. Op AL2 controleert de auditor je zelfbeoordeling op aannemelijkheid, bekijkt hij bewijs en spreekt hij de verantwoordelijke voor informatiebeveiliging, meestal via een webconferentie. Op AL3 volgt een volledige toets, inclusief gesprekken met proceseigenaren, observatie op locatie en onaangekondigde gesprekken met medewerkers.

Organiseer je drie of meer locaties met één centraal ISMS, dan kun je een simplified group assessment overwegen. Het handboek noemt de eerste inspanning hoger, maar het voordeel groeit met het aantal locaties.

5. Bevindingen en tijdelijke labels

Vindt de auditor tekortkomingen, dan stel je een correctieplan op. Na beoordeling van dat plan kan ENX tijdelijke labels afgeven, zodat je klant al ziet dat je op weg bent. Die tijdelijke labels vervallen volgens de ENX FAQ negen maanden na het slotgesprek van het initiële assessment en kunnen niet worden verlengd. Ook audit provider TÜV NORD hanteert in haar voorwaarden negen maanden na het slotgesprek als uiterste termijn; lukt het niet, dan begint het traject opnieuw.

6. Labels en uitwisseling

Zijn alle bevindingen opgelost, dan krijg je de definitieve labels. Je deelt je resultaat via het ENX platform met specifieke partners of publiceert het voor alle deelnemers. De eerste twee hoofdstukken van het rapport komen volgens de ENX FAQ op het platform, tenzij je dat uitdrukkelijk weigert. Je kunt pas delen als ENX je betaling heeft ontvangen.

Hoe lang is een TISAX label geldig?

Een TISAX label is drie jaar geldig. Daarna doorloop je registratie, assessment en uitwisseling opnieuw als je klant het label nog steeds vraagt. Dat staat in het Participant Handbook en ENX bevestigt het in het bericht over ISA2027.

Bestaande labels blijven hun volledige looptijd geldig, ook nu ISA2027 eraan komt. Je wordt bij je volgende assessment beoordeeld op de versie die dan geldt. In de praktijk sla je dus meerdere ISA versies over tussen twee assessments.

Let op wijzigingen tussendoor. Volgens de ENX analyse NIS2 fulfilment through TISAX (24 april 2025) kan een wezenlijke wijziging in je organisatie een tussentijds assessment nodig maken om je status te behouden. Denk aan een verhuizing, een nieuwe locatie of een grote verandering in je IT omgeving.

Wat kost TISAX?

De kosten van TISAX bestaan uit drie delen: de registratiekosten bij ENX, de kosten van de audit provider en je eigen interne inzet. Alleen het eerste deel is openbaar en vast; de rest hangt af van je situatie.

De ENX prijslijst (geldig sinds 19 augustus 2020 en nog steeds de prijslijst op de ENX downloadpagina) kent twee modellen:

Model	Tarief	Toelichting
Assessment Based Charges	€ 405 per locatie per scope	Eenmalig per registratie; 10% korting bij 5 tot 9 locaties en 20% vanaf 10 locaties in één scope
Participation Based Charges	€ 5.000 per jaar	Onbeperkt aantal scopes en locaties; alleen op verzoek bij ENX; gratis voor actieve ENX leden

Daarbij komt btw waar die van toepassing is. Een mkb bedrijf met één locatie zit doorgaans in het eerste model. De registratiekosten betaal je ook als je het traject niet afmaakt of het assessment niet haalt.

Voor de kosten van de audit provider bestaat geen openbare tabel. Ze worden bepaald door:

• het aantal locaties in je scope;
• het assessment level: AL3 betekent meer auditdagen en werk op locatie;
• het aantal en soort labels, bijvoorbeeld informatiebeveiliging plus prototypebescherming;
• de omvang en complexiteit van je organisatie en IT;
• het aantal bevindingen en dus de omvang van het vervolgassessment;
• reiskosten van de auditor.

De interne kosten zijn vaak de grootste post: tijd van directie, IT en kwaliteitszorg, eventuele technische maatregelen en externe ondersteuning. Vraag daarom altijd offertes bij meerdere audit providers op en reken je interne uren mee.

Hoe lang duurt een TISAX traject?

Hoe lang een TISAX traject duurt, is niet in één getal te vatten. Het Participant Handbook stelt zelf dat ENX de totale doorlooptijd niet kan voorspellen. Wel staat vast dat je na het slotgesprek van het initiële assessment maximaal negen maanden hebt om bevindingen op te lossen.

De doorlooptijd hangt vooral af van:

• Je startpunt: heb je al een werkend ISMS volgens ISO/IEC 27001, dan is de voorbereiding korter dan wanneer beleid, risicoanalyse en registraties nog ontbreken.
• De gevraagde labels: prototypebescherming vraagt fysieke maatregelen zoals toegangsbeveiliging en afgeschermde ruimtes, die tijd kosten om in te richten.
• De beschikbaarheid van je audit provider: plan het assessment ruim van tevoren in.
• Je eigen capaciteit: wie TISAX naast het dagelijkse werk oppakt, heeft meer kalendertijd nodig.
• De deadline van je klant: maak afspraken over het moment waarop je minimaal een tijdelijk label moet kunnen tonen.

Stappenplan TISAX voor het mkb

Een mkb organisatie haalt TISAX het snelst door eerst precies vast te stellen wat de klant vraagt, daarna de ISA als werkplan te gebruiken en pas te registreren als de voorbereiding op koers ligt. Dit stappenplan volgt die volgorde.

1. Vraag de eis precies uit. Vraag je klant welke labels en welk assessment level verwacht worden en voor welke datum. Laat dit schriftelijk bevestigen.
2. Bepaal je scope. Welke locaties verwerken klantinformatie of prototypes? Gebruik waar mogelijk de standaardscope.
3. Kies de juiste ISA versie. Bestel je vóór 1 januari 2027, dan geldt ISA 6.0.3. Daarna geldt ISA2027. Download de juiste versie van de ENX downloadpagina.
4. Doe een nulmeting. Vul de zelfbeoordeling eerlijk in en markeer per eis wat ontbreekt. Dit is je verschillenanalyse (gap analyse).
5. Stel een plan op. Prioriteer op wat de auditor zeker toetst: beleid, risicobeheer, toegangsbeheer, leveranciersbeheer, incidentbeheer en bewustwording. Wijs eigenaren en data toe.
6. Richt het ISMS in. Leg rollen, beleid en processen vast in een omvang die past bij je organisatie. Een handzaam ISMS dat medewerkers echt gebruiken, werkt beter dan een stapel documenten.
7. Verzamel bewijs. Een auditor wil zien dat maatregelen werken: logbestanden, verslagen van reviews, trainingsregistraties, toegangsoverzichten.
8. Registreer bij ENX en vraag offertes op. Doe dit zodra de planning helder is, zodat je het assessment op tijd kunt inplannen.
9. Doe een interne audit of proefassessment. Laat iemand met auditervaring vooraf meekijken, zodat je verrassingen tijdens het assessment voorkomt.
10. Doorloop het assessment en los bevindingen op. Lever een realistisch correctieplan aan en bewaak de termijn van negen maanden.
11. Deel je labels. Geef je klant via het ENX platform toegang tot je resultaat.
12. Houd het ISMS levend. Plan management reviews, interne audits en risicoanalyses door de jaren heen, zodat de herbeoordeling na drie jaar geen nieuw project wordt.

Welke fouten maken organisaties vaak bij TISAX?

De meeste vertraging bij TISAX ontstaat door een verkeerde scope of verkeerde labels, te laat beginnen en het onderschatten van het bewijs dat een auditor wil zien. Deze valkuilen kun je vooraf voorkomen.

• De verkeerde labels kiezen. DQS noemt de oude indeling van prototypebescherming complex en gevoelig voor verkeerde keuzes. Kies je te zwaar, dan betaal je voor een AL3 assessment dat niemand vraagt. Kies je te licht, dan accepteert je klant het resultaat niet.
• Locaties vergeten. Een thuiswerkplek of een kleine vestiging waar toch klantdata of prototypes zijn, hoort mogelijk in de scope. Alle locaties in één scope krijgen dezelfde objectives.
• TISAX als IT project zien. De ISA bevat ook eisen aan HR, leveranciers, fysieke beveiliging, continuïteit en management. Zonder betrokkenheid van de directie lukt het niet.
• Papier zonder praktijk. Beleid dat niemand kent of volgt, valt op AL2 al op in het gesprek en op AL3 zeker bij observatie op locatie.
• De versiewissel negeren. Wie zich op ISA 6 voorbereidt maar pas in 2027 bestelt, wordt beoordeeld op ISA2027 en moet extra werk doen, onder meer op leveranciersbeheer.
• De termijn van negen maanden onderschatten. Grote technische maatregelen, zoals netwerksegmentatie of een nieuwe toegangscontrole, passen soms niet in die periode als je pas na het assessment begint.
• Delen zonder na te denken. Publicatie en deling kun je niet intrekken. Bepaal vooraf welk detailniveau je met welke partner deelt.
• Na het label stoppen. Wie drie jaar niets doet, begint bij de herbeoordeling vrijwel opnieuw en loopt bij een grote wijziging het risico op een tussentijds assessment.

Helpt ISO 27001 of NIS2 werk bij TISAX?

Ja, een werkend ISMS volgens ISO/IEC 27001 is een sterke basis voor TISAX, omdat de VDA ISA op ISO/IEC 27001:2022 is afgestemd. Een ISO certificaat vervangt het TISAX assessment echter niet: alleen een TISAX audit provider kan labels opleveren.

Omgekeerd kan TISAX ook helpen bij de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. In de analyse NIS2 fulfilment through TISAX concludeert een ENX werkgroep dat locaties met passende TISAX labels de onderzochte NIS2 eisen invullen. ENX zegt er wel bij dat nationale verplichtingen, zoals registratie en meldplichten, apart geregeld moeten worden en dat de analyse geen uitspraak doet over de gereedheid van een individueel bedrijf. Voor de verschillen en overlap met ISO 27001 verwijzen we naar TISAX of ISO 27001 en voor de basis van een ISMS naar de strategische gids voor ISO 27001 implementatie in het mkb.

Veelgestelde vragen

Is TISAX verplicht?

TISAX is geen wettelijke verplichting. Je automotive klant bepaalt of je een TISAX label nodig hebt, meestal via een contract, inkoopvoorwaarde of leveranciersvragenlijst. Sommige deelnemers stellen het volgens ENX verplicht voor veel van hun leveranciers.

Wat is het verschil tussen een TISAX label en een certificaat?

Een TISAX label is de uitkomst van een assessment door een door ENX toegelaten audit provider en staat op het ENX platform. Jij bepaalt met wie je het deelt. Een ISO/IEC 27001 certificaat komt van een geaccrediteerde certificatie instelling en kun je openbaar tonen.

Welke VDA ISA versie geldt voor mijn assessment?

Bestel je het assessment vóór 1 januari 2027, dan geldt ISA 6 (versie 6.0.3). Bestel je vanaf 1 januari 2027, dan geldt ISA2027. Een initieel assessment onder ISA 6 moet uiterlijk in maart 2027 geopend zijn.

Hoe lang is een TISAX label geldig?

Een TISAX label is drie jaar geldig. Bestaande labels blijven hun volledige looptijd geldig, ook na de komst van ISA2027. Een wezenlijke wijziging in je organisatie kan een tussentijds assessment nodig maken.

Wat kost de registratie bij ENX?

Volgens de ENX prijslijst kost registratie € 405 per locatie per scope, met korting vanaf vijf locaties in één scope. Daarnaast bestaat een jaartarief van € 5.000 voor onbeperkt aantal scopes. De kosten van de audit provider komen daar los bij.

Wat gebeurt er als de auditor tekortkomingen vindt?

Je stelt een correctieplan op en kunt na beoordeling daarvan tijdelijke labels krijgen. Die vervallen negen maanden na het slotgesprek van het initiële assessment. Binnen die termijn moet je de bevindingen oplossen.

Wil je weten welke labels je klant echt vraagt en hoe ver je organisatie al is? Op onze pagina over TISAX begeleiding door Novins lees je hoe we automotive toeleveranciers praktisch en proportioneel naar hun label begeleiden.

Bronnen

• TISAX Participant Handbook, versie 2.8 (ENX Association) (13 maart 2025, geraadpleegd 27 oktober 2026)
• 10 Years of TISAX: VDA ISA2027 Released (ENX) (1 juli 2026)
• ISA2027 Webinar Series and Redline Document available (ENX) (7 augustus 2026)
• TISAX Downloads: ISA 6.0.3 en ISA2027.1 (ENX) (geraadpleegd 27 oktober 2026)
• TISAX Participation Price List (ENX) (ingangsdatum 19 augustus 2020, geraadpleegd 27 oktober 2026)
• TISAX FAQ (ENX) (geraadpleegd 27 oktober 2026)
• Automatic Assignment of New Confidentiality TISAX Labels (ENX) (geraadpleegd 27 oktober 2026)
• NIS2 fulfilment through TISAX, ENX Working Group ISA (24 april 2025)
• Information security: VDA ISA catalogue (VDA) (geraadpleegd 27 oktober 2026)
• ISA 2027: what is changing in the new TISAX catalogue (DQS) (17 juli 2026)
• SGS explains TISAX ISA2027 catalog update (SGS) (15 september 2026)
• Special Conditions for the Performance of TISAX Assessments, D50 10 F300e rev. 02 (TÜV NORD CERT) (november 2022, geraadpleegd 27 oktober 2026)
• TISAX maturity levels (Secfix, secundaire bron) (geraadpleegd 27 oktober 2026)