经过数月的等待，德国汽车工业协会（VDA）正式发布了新一代信息安全评估（ISA）目录。此次发布同时引入了全新的命名方式：过去大家熟悉的版本号，如 ISA 6.0 和 ISA 6.0.3，不再沿用，而是改为以年份为基础的命名方式——ISA 2027。
如果您目前持有 TISAX® 标签或正在为下一次 TISAX® 评估做准备，那么这一变化值得深入了解——并不是因为它会在一夜之间彻底改变，而是因为它传递出一个重要信号：信息安全评估体系以及整个汽车行业的信息安全管理方式正在朝着新的方向发展。
下面我们将说明：对于 TISAX® 客户而言，在按照常规的三年周期续期 TISAX® 标签时，每年发布的 ISA 评估目录将如何适用于您；同时，我们也将介绍 ISA 2027 所带来的简化措施，尤其是原型保护（Prototype Protection）模块方面的变化。
这里提供的信息目前属于初步信息，因为用于说明审核服务提供方（Audit Providers）TISAX® 流程管理的 TISAX® ACAR 文件尚未正式发布。
首先，从目录名称本身就可以看出这一变化：新版目录不再采用传统的版本号，而是以其适用年份命名，即 ISA 2027。这意味着，未来 ISA 目录预计将按年度发布。
按年度发布为 ISA 目录提供了更灵活的更新机制，使其能够更及时地应对汽车行业不断变化的威胁形势。通过及时调整信息安全要求，并针对新的威胁在必要领域进一步强化相关要求，可以更有效地应对不断出现的安全风险。
未来，新版 ISA 目录预计将在前一年的年中发布。自次年年初起，所有首次进行 TISAX® 标签评估或续期评估的组织，都将必须按照新版 ISA 目录执行。对于计划续期 TISAX® 标签的组织而言，这意味着在正式接受评估前，约有六个月的过渡准备期，可用于了解新版目录的变化、评估自身差距，并及时落实必要的改进措施。
根据我们在 ISA 6.0 目录发布时积累的经验来看，实际上，企业通常也是在目录变更前约六个月才开始集中应对新增要求。因此，计划中的年度发布机制预计不会进一步增加企业的调整压力——新版目录实施前所提供的准备时间，与此前 TISAX® 标签三年续期周期下企业实际所需的准备时间基本一致。
不过，根据我们与全球化运营企业合作的经验，许多企业可能仍然更倾向于采用较长的过渡期。对于在不同国家设有子公司、且各子公司在组织架构和文化环境等方面存在差异的企业而言，要在全球范围内统一落实新的要求，往往需要超过六个月的时间。尤其是在需要将相关要求翻译为当地语言、结合所在国法律法规进行符合性核查，或需要配套开展组织调整和技术投入的情况下，实施所需的时间可能会更长
基于上述原因，我们预计，对于许多大型跨国企业而言，六个月的准备期可能仍然偏短，并会增加其在组织实施方面的压力。最终是否确实如此，还要看即将发布的 TISAX® ACAR 将如何规定具体的过渡安排。
一直以来，原型保护（Prototype Protection）模块都是 TISAX® 中相对复杂的评估领域之一。由于企业通常需要根据不同的适用范围申请多个标签，在实际操作中，容易出现对所需标签理解不清的情况。由此可能导致企业无意中遗漏某一必要标签，后续则需要通过扩展评估范围进行补充。
ISA 2027 对原型保护模块的结构进行了大幅简化，采用了更加简洁、直观的结构。未来，原型保护模块仅保留以下两类标签：
原型保护设施包含原型保护基础的全部要求。这与其他 TISAX® 标签所采用的层级结构一致，即更高等级的标签包含较低等级标签的全部要求。例如，严格保密（Strictly Confidential）包含保密（Confidential）的全部要求，极高可用性（Very High Availability）包含高可用性（High Availability）的全部要求，而特殊类别个人数据（Special Categories of Personal Data）则涵盖标准类别个人数据（Standard Categories of Personal Data）的全部要求。
原型保护基础（AL2）标签表明，组织已经建立了适当的流程，并配备了具备相应资质的人员，能够对原型产品进行安全管理，其中包括零部件和整车。原型保护设施（AL3）则在此基础上进一步提高要求：除满足原型保护基础所涵盖的流程要求外，还要求组织的场所和设施具备必要的物理防护措施，以确保原型产品能够在现场得到安全存储和有效保护。
这种统一后的结构使原型保护模块更加清晰易懂，也降低了组织因选择不完整的标签组合而产生遗漏的可能性。
信息安全模块也进行了调整，但整体变化幅度要小得多。新版模块包含 43 项修订后的控制措施，其中大部分调整旨在进一步提升要求的清晰度，确保组织与审核员对相关要求的理解更加一致。此外，还有少量要求进一步明确了强制性，将原本的“应”调整为“必须”。我们已在配套的深度解读文章《ISA 2027 信息安全模块：逐项解析控制措施》中对这些变化进行了逐项介绍。如果您负责ISMS（信息安全管理体系） 的日常维护，这篇文章值得一读。
对于已经符合 ISA 6.0 要求的组织而言，过渡到 ISA 2027 预计不会带来太大的挑战。尤其是原型保护模块的简化，将进一步降低相关要求的理解和实施难度；而信息安全模块的调整更多是对现有要求的优化和完善，并非一次彻底的变革。总体来看，从 ISA 6.0 过渡到 ISA 2027 的难度，将远低于此前向 ISA 6.0 过渡时所经历的变化。
如果您的 TISAX® 标签即将到期并需要续期，您将有大约六个月的时间完成过渡。在此期间，建议您依据 ISA 2027 的要求对现有ISMS（信息安全管理体系）进行全面检查，识别存在的差距，并在下一次评估前完成必要的改进。
以下几个实际操作层面的要点值得关注：
从评估等级到审核标签，TISAX®评估白皮书全面解析TISAX®评估要求，帮助您了解如何做好评估准备，并持续保持合规状态。无论您正准备迎接下一轮TISAX®评估，还是希望进一步完善信息安全管理，这都是一份实用的参考指南。
严格来说，TISAX® 从来都不是传统意义上的“认证”，而是基于评估结果授予相应的标签。ISA 2027 并未改变这一点；相反，新版目录进一步规范了相关术语，使其能够更加准确地反映 TISAX® 的实际性质。
不需要。现有有效的 TISAX® 标签仍按原有效期继续有效。ISA 2027 将从您下一次计划进行的评估开始适用。
不会。ISA 2027 更像是一次渐进式优化，主要着眼于进一步明确要求表述、弥补现有要求中的不足，而不是像 ISA 6.0 那样进行一次全面的体系性调整
主要涉及使用外部 IT 服务的组织，包括使用 Web 服务以及外包运营技术（OT）服务的组织。关于这一变化的详细解读，请参阅我们关于信息安全模块的深度解析文章。
了解ISA 2027有哪些变化只是第一步，更重要的是明确这些变化对您所在组织的具体影响，以及应如何做好应对准备。随着过渡时间安排进一步明确，DQS将持续提供基于事实的ISA 2027最新信息，并将推出专题线上研讨会，帮助企业及时了解最新要求和相关动态。
ENX即将举办ISA 2027线上研讨会
本文内容基于撰写时公开发布的ISA 2027相关信息。与新版本目录发布后的通常情况一样，具体的过渡时间安排和实施流程仍可能由ENX和VDA进一步明确。随着更多信息陆续发布，我们将及时更新本文内容。
联系我们的专业团队，了解与您所在组织相关的评估要求。
信息安全和软件开发的产品经理和专家。Holger Schmeken还作为具有KRITIS审计程序能力的ISO 27001审计师和DQS BIT有限公司的首席信息安全官贡献了他的专业知识。
