Za przygotowanie organizacji do TISAX odpowiada zarząd oraz osoby odpowiedzialne za bezpieczeństwo informacji i procesy operacyjne.
Dział IT realizuje część zadań technicznych, ale sama ocena TISAX dotyczy szerzej całej organizacji: procedur, odpowiedzialności, kontroli, pracy z informacją i dowodów ich stosowania.
👉 To nie jest wyłącznie temat dla IT. To temat organizacyjny i zarządczy.

W przypadku TISAX głównym ryzykiem nie są kary administracyjne, ale:
• utrata kontraktu
• brak dopuszczenia do współpracy
• wydłużenie lub zablokowanie procesu zakupowego
• konieczność przechodzenia dodatkowych kontroli klienta

👉 W praktyce największym ryzykiem jest wykluczenie z łańcucha dostaw automotive.

To zależy od tego, czy współpracujesz z klientami z branży motoryzacyjnej i jaki zakres informacji, danych lub projektów obsługujesz.
Jeżeli Twój klient lub partner z automotive wymaga TISAX, temat dotyczy Ciebie bezpośrednio.
👉 W praktyce o tym, czy „musisz”, bardzo często decyduje klient, a nie przepis.

Najczęściej przyjmuje formę:
• wymagania kontraktowego lub zakupowego
• ankiety bezpieczeństwa
• przygotowania do oceny według VDA ISA
• niezależnego audytu realizowanego przez zatwierdzonego dostawcę oceny

Zakres pytań obejmuje m.in.:
• posiadanie procedur bezpieczeństwa
• zarządzanie dostępami
• ochronę informacji i danych klientów
• kopie zapasowe i odtwarzanie
• reagowanie na incydenty
• szkolenia pracowników
• w niektórych przypadkach ochronę prototypów
👉 Weryfikacja opiera się na dokumentach i dowodach, nie deklaracjach.

Tak.
W praktyce wymagane są m.in.:
• polityki bezpieczeństwa
• procedury operacyjne
• analiza ryzyka
• zasady nadawania i odbierania dostępów
• plan reagowania na incydenty
• dokumentacja zabezpieczeń i dowody ich stosowania
👉 Brak dokumentacji uniemożliwia pozytywne przejście oceny.

Nie zawsze.
Natomiast:
• ISO 27001 jest mocnym fundamentem pod TISAX
• wiele wymagań TISAX opiera się na ISO 27001 i ISO 27002
• posiadanie ISO zwykle ułatwia przygotowanie do oceny TISAX
👉 Ale samo ISO nie zastępuje automatycznie TISAX, jeśli klient oczekuje właśnie TISAX.

Szacunkowo:
• uporządkowanie podstawowych procesów i dokumentacji: 3–6 miesięcy
• pełne przygotowanie organizacji wraz z oceną: 6–12 miesięcy lub więcej, zależnie od skali braków i zakresu
👉 To nie jest temat do zamknięcia „na szybko”, gdy klient już czeka na wynik.
Tu podaję rozsądny przedział operacyjny, bo oficjalne źródła opisują proces i zakres wymagań, ale nie narzucają jednej uniwersalnej długości wdrożenia.

Proces zwykle obejmuje:
• określenie wymaganego zakresu i poziomu oceny
• analizę luk względem VDA ISA
• uporządkowanie dokumentacji i procesów
• wdrożenie brakujących zabezpieczeń
• audyt / ocenę z uprawnionym podmiotem
• udostępnienie wyniku klientom na zasadach TISAX/ENX
👉 W praktyce firmy powinny zacząć przygotowania zanim pojawi się formalne wymaganie w przetargu lub od klienta.

Podczas rozmowy:
• oceniamy, czy klient może wymagać od Ciebie TISAX
• określamy zakres obowiązków i ryzyk
• identyfikujemy braki w dokumentacji, procesach i zabezpieczeniach
• wskazujemy plan działań na najbliższe miesiące
👉 Konsultacja ma charakter diagnostyczny i operacyjny.

Tak.
Z dwóch powodów:

1. przygotowanie do TISAX wymaga czasu
2. klienci oczekują gotowości zanim dopuszczą dostawcę do współpracy albo utrzymają go w łańcuchu dostaw
   👉 Oznacza to, że przygotowanie powinno nastąpić przed pojawieniem się krytycznego zapytania od klienta.