Proveedores de la industria automotriz
Llegó esa cláusula en el contrato y, junto con ella, un montón de palabras nuevas: alcance, objetivo de evaluación, VDA ISA, audit provider. DM11 traduce ese pedido a un lenguaje simple y arma un plan con plazo y responsable. Después, conduce a tu empresa hasta la evaluación con el resultado ya previsible.
DM11 prepara a tu empresa para la evaluación. Quien hace la evaluación y emite los labels es una auditora acreditada (el audit provider), contratada por ENX Association, la entidad que administra el TISAX. Esa separación no es una elección nuestra: es una regla del propio TISAX.
Quién dirige la preparación
El punto de partida
El TISAX no es ley ni norma del gobierno. Es una exigencia que el fabricante de automóviles (OEM, la sigla en inglés para fabricante de equipo original) o un gran proveedor suyo (el llamado Tier 1) pone en el contrato, con un plazo que define ese mismo cliente. Por eso la primera conversación no es sobre seguridad de la información: es sobre entender exactamente qué se pidió, porque es el pedido el que determina el tamaño de todo lo que viene después.
Quien administra el TISAX es ENX Association, una entidad del sector, que también contrata a las auditoras acreditadas (los audit providers). La lista de criterios, llamada VDA ISA, la publica la asociación de la industria automotriz alemana. Entre los miembros de ENX están Audi, BMW, Bosch, Ford, Magna, Mercedes-Benz, Renault, Valeo y Volkswagen.
Cuando tu empresa recibe un plano de ingeniería, datos de una pieza en desarrollo o información personal que viene de un cliente, el riesgo de ese cliente pasa a vivir en tu red. El TISAX es la forma que encontró el sector para verificar esto una sola vez, en vez de que cada fabricante audite a cada proveedor por separado.
Publicas el resultado una vez y lo liberas para los socios que quieras. Se acaba esa rutina de responder un cuestionario de seguridad distinto para cada cliente, cada uno con su propia planilla y su propio plazo. La X del nombre viene de ahí: exchange, que en inglés significa intercambio.
Qué es, en realidad
El manual oficial del participante responde directo: no existe un certificado para colgar en la pared. El TISAX es una forma de evaluar tu seguridad y después intercambiar ese resultado con quien tú quieras. Un auditor analiza tu empresa con base en el catálogo VDA ISA, recibes los labels y los compartes en la plataforma de ENX solo con quien autorices. Quien trata esto como una certificación suele equivocarse también en el resto.
El resultado son labels publicados en la plataforma de ENX, y no un certificado. El proveedor que promete “certificar tu empresa en TISAX” está prometiendo algo que no existe.
La evaluación usa el catálogo VDA ISA (VDA Information Security Assessment), una lista de ítems de seguridad de la información, protección de prototipos y protección de datos. Cada ítem recibe una nota de madurez de 0 a 5, en vez de un simple “cumple” o “no cumple”.
Aplica la versión que esté vigente cuando contrates la evaluación. La VDA ISA 6.0.3 aplica para las evaluaciones contratadas hasta el 31/12/2026. A partir del 01/01/2027, pasa a aplicar la VDA ISA2027, publicada en julio de 2026, que refuerza las exigencias de seguridad en la cadena de proveedores y reorganiza la protección de prototipos.
Los labels valen tres años, contados desde la reunión que cierra la primera evaluación. A diferencia de la ISO 27001, no existe auditoría todos los años en ese período. Para renovar, repites el proceso, y la recomendación oficial es empezar un año antes del vencimiento.
La evaluación cubre direcciones (tus localidades), y no la empresa como entidad legal. Tres fábricas pueden convertirse en tres localidades dentro del mismo alcance, y todas necesitan tener los mismos objetivos de evaluación. Equivocarte en ese tamaño al momento del registro sale caro después: ampliar el alcance más adelante no es un ajuste simple.
Si aparece una no conformidad menor (un problema pequeño), recibes labels temporales mientras ejecutas el plan de acción. No existe una reprobación para siempre, y nadie tiene que ver el resultado de un intento anterior. Lo que existe es un plazo: las acciones para corregir tienen un límite de nueve meses.
Traducción
En el TISAX, lo que contratas es el objetivo de evaluación (aquello que necesita ser protegido), y es él quien define el nivel de la evaluación. Si el pedido de tu cliente no dice cuál es el objetivo, esa es la primera pregunta que debes hacerle, antes de cualquier presupuesto.
| Qué te piden | Qué significa | Qué exige esto de ti |
|---|---|---|
| “Necesitamos que tengas TISAX” | Pedido incompleto. Falta el objetivo de evaluación. | Vuelve al cliente y pide el objetivo por escrito. Sin eso, cualquier presupuesto es una adivinanza y el registro puede salir mal. |
| Confidential | Información que necesita bastante protección en cuanto a la confidencialidad. Nivel de evaluación AL 2 (el nivel intermedio, hecho a distancia). | Una autoevaluación bien hecha, una verificación para comprobar que tiene sentido y una entrevista, en general por videoconferencia. |
| Strictly confidential | Información que necesita protección muy alta. Nivel AL 3 (el nivel más alto, con auditor en tu fábrica). | Auditor presente en tu fábrica, análisis detallado de las evidencias, entrevistas programadas y sorpresa, y observación de los procesos. |
| High availability | Sistemas que necesitan estar siempre disponibles (alta disponibilidad). Nivel AL 2. | Plan de continuidad del negocio con prueba de que fue probado, y no solo un plan en papel. |
| Proto parts, Proto vehicles | Protección de piezas, componentes o vehículos prototipo (modelos todavía no lanzados). Nivel AL 3. | Áreas separadas, control de entrada con registro, reglas de cámara y celular, y cuidado especial con medios de almacenamiento (pendrives, discos duros y similares). |
| Test vehicles, Proto events | Vehículos de prueba y prototipos en eventos o filmaciones. Nivel AL 2. | Reglas de manejo, transporte y de cubrir los vehículos, con un responsable definido para cada evento. |
| Data | Protección de datos personales, basada en el artículo 28 del GDPR (la ley europea de protección de datos, sigla en inglés de General Data Protection Regulation), que trata de quien procesa los datos. Nivel AL 2. | Registro de las operaciones con datos, evaluación de impacto, reglas de transferencia y atención a las solicitudes de los titulares de los datos. Es casi lo mismo que ya te exige la LGPD. |
| Special data | Datos personales sensibles (categorías especiales, como salud o datos biométricos). Nivel AL 3. | Todo lo del ítem anterior, más una verificación presencial y controles reforzados. |
Los objetivos llamados Info high e Info very high dejaron de existir en abril de 2024. Si el pedido de tu cliente todavía usa esos nombres, vale la pena confirmarlo con él: en general quiere decir Confidential o Strictly confidential, y esa diferencia cambia el nivel de la evaluación.
Niveles
AL significa Assessment Level, el nivel de la evaluación. No es una elección tuya: depende del objetivo de evaluación que exige tu cliente.
Uso interno
El auditor solo confirma que existe una autoevaluación completada, sin mirar el contenido. Y aquí viene la sorpresa: el AL 1 no genera label TISAX. Sirve para uso interno o para un socio específico, fuera del sistema de intercambio.
La mayoría de los proveedores
El auditor verifica si tu autoevaluación tiene sentido, revisa las evidencias y entrevista al responsable de la seguridad de la información, casi siempre por videoconferencia. Aquí el esfuerzo interno es grande: tu autoevaluación necesita sostenerse sola, con una prueba detrás de cada nota.
Prototipos y protección muy alta
El auditor va hasta tus localidades. Analiza documentos y evidencias, hace entrevistas programadas con los dueños de cada proceso y entrevistas sorpresa con quienes lo ejecutan, observa las condiciones del lugar y ve los procesos ocurriendo de verdad. Es el nivel en que aparece la diferencia entre el proceso escrito y el proceso practicado.
Para quienes ya tienen ISO 27001
Tener la ISO 27001 ayuda bastante, pero no exime de la evaluación TISAX. El catálogo VDA ISA sigue las buenas prácticas de esa norma y muestra dónde encajan las dos, así que buena parte de tu documentación se puede reaprovechar. Lo que suele complicar no es lo que ya existe: es lo que la ISO no pide y la forma de definir el alcance, que funciona al revés.
Autodiagnóstico
Catorce preguntas sobre los temas que cubre el catálogo VDA ISA. El resultado aparece completo en la pantalla, con la nota de cada tema y una lectura honesta de cuánto falta para una evaluación. No pedimos correo electrónico para mostrar el resultado.
Necesita estar aprobada por la dirección y tener fecha de revisión. Un documento antiguo y sin dueño suele contar como si no existiera.
Cómo lo hacemos
Cada fase termina con una entrega concreta, no con un informe de estado. Sabes qué vas a recibir antes de empezar.
Antes de cualquier diagnóstico técnico, traducimos lo que tu cliente exigió en objetivo de evaluación, nivel y localidades. Es la decisión que define el tamaño de todo lo que viene después, y en la que más gente se equivoca por apuro.
Lo que recibes
Evaluamos tu situación actual ítem por ítem, en la versión del catálogo que va a aplicar para tu evaluación, con la misma nota de madurez que va a usar el evaluador. El resultado muestra la distancia real, y no una suposición.
Lo que recibes
Transformamos las brechas en un plan con responsable, plazo y orden de ejecución. El orden importa: algunos ítems dependen de otros, y hacerlos fuera de orden genera retrabajo.
Lo que recibes
Llevamos la ejecución junto con tu equipo: políticas, procesos, control de acceso físico y digital, gestión de proveedores y la documentación que sostiene cada nota. El equipo aprende a operar lo que se construyó.
Lo que recibes
Simulamos la evaluación con el mismo rigor del evaluador, incluyendo entrevistas con los dueños de cada proceso y con quienes lo ejecutan. Es aquí donde aparece la diferencia entre el proceso escrito y lo que se hace en la práctica, y todavía hay tiempo de corregir.
Lo que recibes
Estamos a tu lado durante la evaluación hecha por el audit provider y, si aparecen no conformidades, ayudamos a armar y ejecutar el plan de corrección dentro del plazo del TISAX.
Lo que recibes
Historias
Cambiamos los nombres de los clientes con el mismo sigilo que después va a proteger a tu empresa. Los nombres cambian, pero el patrón de los problemas se repite. Cuando el cliente lo autoriza, mostramos referencias con nombre en una conversación.
Una pregunta que deberías hacer
El manual del participante es claro: una auditora (el audit provider) solo puede hacer tu evaluación si no te prestó consultoría antes. Quien prepara queda prohibido de evaluar a ese mismo cliente. No es burocracia: es lo que le da credibilidad al resultado frente al fabricante que va a confiar en él.
Preguntas frecuentes
Respuestas basadas en el manual oficial del participante. Donde no existe un dato oficial, lo decimos con claridad.
No. El manual oficial del participante responde directo: no existe un certificado para emitir. El TISAX es una forma de evaluar tu seguridad y después intercambiar ese resultado. Un auditor evalúa tu empresa con base en el catálogo VDA ISA, recibes los labels y los compartes en la plataforma de ENX solo con los socios que autorices. Quien promete un certificado está prometiendo algo que no existe.
¿Más dudas? Consulta las preguntas frecuentes de DM11
Una conversación de treinta minutos suele bastar para transformar la exigencia de tu cliente en alcance, nivel y una idea del tamaño del esfuerzo. Sin compromiso.