Welches Level brauchen Sie?
Das Level steht fest, sobald das Prüfziel feststeht. Das ENX-Handbuch in Version 2.8 ordnet jedem der zwölf Prüfziele genau ein Assessment Level zu. Sie suchen also das Prüfziel aus, und das richtet sich danach, welche Informationen Ihr Kunde Ihnen anvertraut. AL2 steht für Assessment Level 2, auch TISAX Level 2 genannt.
- AL2: Info high, Confidential, High availability, Test vehicles, Proto events, Data
- AL3: Info very high, Strictly confidential, Very high availability, Proto parts, Proto vehicles, Special data
Brauchen Prototypen immer AL3?
Nein. Seit dem 1. Januar 2025 laufen Test vehicles und Proto events in AL2, also Erprobungsfahrzeuge sowie Prototypen bei Veranstaltungen und Foto- oder Filmaufnahmen. AL3 bleibt es bei Proto parts und Proto vehicles. Unterlagen, die vor dieser Änderung entstanden sind, nennen für alle vier Prüfziele noch AL3.
Was unterscheidet die Prüfung in AL2 und AL3?
Bei AL2 prüft der Prüfdienstleister Ihre Selbsteinschätzung auf Plausibilität, sieht Nachweise ein und führt ein Interview mit der Person, die für Informationssicherheit verantwortlich ist, in der Regel per Webkonferenz. Nachweise, die Sie nicht versenden möchten, kann er auf Ihren Wunsch vor Ort einsehen.
Bei AL3 verifiziert er alles: Er prüft Dokumente und Nachweise, führt geplante Interviews mit Prozessverantwortlichen und ungeplante mit Prozessbeteiligten, sieht sich die Bedingungen vor Ort an und beobachtet Abläufe. Das findet grundsätzlich vor Ort statt. Ist das vorübergehend nicht möglich, darf er diese Teile per Video durchführen. Das wird als geringfügige Abweichung festgehalten, und die Begehung folgt in einem Folgeassessment.
Ist AL3 immer aufwendiger als AL2?
Nicht zwingend. Die ENX schreibt, der Aufwand in AL3 sei nicht grundsätzlich höher als in AL2. Die Prüfung kostet mehr, der interne Aufwand kann aber sinken: AL2 verlangt in der Regel eine umfassendere Selbsteinschätzung und genauere Dokumentation, weil der Prüfer ohne Begehung auf das Papier angewiesen ist. Bei AL3 genügt es laut ENX oft, die Abläufe zu zeigen und eine Grunddokumentation vorzulegen. Kleinere Unternehmen entscheiden sich laut Handbuch eher als größere bewusst für AL3.
Eine Einschränkung aus meiner Sicht: Das betrifft die Prüfmethode. Mit einem Prüfziel wie Info very high gelten zusätzlich die Anforderungen für sehr hohen Schutzbedarf aus der VDA ISA, etwa regelmäßige Krisenübungen oder verschlüsselt gespeicherte Informationen. Für Proto parts und Proto vehicles gilt der Katalog zum Prototypenschutz, unter anderem mit einem Kapitel zur physischen Sicherheit. Prüfen Sie diese Anforderungen, bevor Sie sich wegen der Prüfmethode für AL3 entscheiden.
Was tun, wenn Ihr Kunde kein Prüfziel nennt?
Fragen Sie nach. Die ENX rät dringend dazu, den Partner vor dem Start zu konsultieren, wenn keine genaue Vorgabe vorliegt. Nennt er nur ein Level, reicht das nicht: Ein Level ergibt laut Handbuch erst zusammen mit Kriterienkatalog und Schutzbedarf einen Sinn. Müssen Sie das Prüfziel selbst festlegen, empfiehlt die ENX Prüfziele mit AL3, weil Sie damit auf spätere Anfragen vorbereitet sind.
Was kostet der Unterschied?
Die ENX-Gebühr hängt nicht am Level: Die veröffentlichte Preisliste, gültig ab 19. August 2020, nennt 405 Euro je Standort für einen Scope, zuzüglich Umsatzsteuer. Für das Assessment nennt die ENX keine Preise, aber eine grobe Größenordnung für ein kleines Unternehmen mit einem Standort: dreieinhalb bis vier Personentage in AL2, fünf bis sechs in AL3.
Eurobeträge stammen von Anbietern im Markt und gehen auseinander. SECJUR nennt je nach Unternehmensgröße rund 3.500 bis 5.000 Euro für AL2 und rund 6.500 bis 10.500 Euro für AL3. Orbiq nennt für AL2 bei kleinen und mittleren Unternehmen 5.000 bis 12.000 Euro und für AL3 einen Aufschlag von 30 bis 50 Prozent. Verbindlich ist nur das Angebot des Prüfdienstleisters.
Was ist AL 2.5?
AL 2.5 ist eine optionale Variante von AL2: Der Prüfer verifiziert vollständig aus der Ferne und lässt nur die Vor-Ort-Teile weg. Formal zählt das Ergebnis als AL2, Ihre Partner sehen den Unterschied nicht. Die ENX empfiehlt diesen Weg, wenn Sie heute AL2 brauchen, später aber AL3 gefordert sein könnte, oder wenn Ihnen eine ausreichend plausible Selbsteinschätzung schwerfällt.
Können Sie später von AL2 auf AL3 wechseln?
Ja, mit erheblichem Aufwand. Ein AL2-Ergebnis taugt nicht als Grundlage für AL3, der Aufwand entspricht laut ENX im Wesentlichen einem neuen Erstassessment. Von AL 2.5 aus muss der Prüfer nur die Vor-Ort-Teile nachholen. Eine Scope-Erweiterung verlängert die Gültigkeit Ihrer bestehenden Labels nicht.
So gehen Sie vor
Diese Reihenfolge empfehle ich:
- Holen Sie die Anforderung Ihres Kunden schriftlich ein, mit Prüfzielen oder mit Katalog und Level.
- Klären Sie, welche Standorte in den Scope gehören. Die Beschreibung des Standard-Scopes selbst ist vorgegeben und nicht änderbar.
- Fragen Sie, ob neue Projekte in den nächsten drei Jahren ein höheres Prüfziel verlangen könnten, und prüfen Sie dann AL 2.5 oder AL3.
- Registrieren Sie den Scope und sprechen Sie danach früh mit Prüfdienstleistern, denn diese haben laut ENX Vorlaufzeiten.
- Füllen Sie die Selbsteinschätzung in der VDA ISA für die Anforderungen Ihres Prüfziels aus.