TISAX 入門：VDA ISA 問卷與 AL1／AL2／AL3 驗證等級
TISAX（Trusted Information Security Assessment Exchange）是歐洲汽車產業的資訊安全評鑑交換機制，由 ENX 協會營運。車廠不再各自稽核供應商，而是要求供應商取得 TISAX 標籤（Label），結果在 ENX Portal 上互相承認。
評鑑依據：VDA ISA 問卷
VDA ISA 問卷分為三個模組：
- 資訊安全（Information Security）：核心模組，所有評鑑必做
- 原型保護（Prototype Protection）：接觸車廠原型件（試作車、零件）才需要
- 資料保護（Data Protection）：受託處理個資（GDPR 第 28 條情境）才需要
每個要求以成熟度等級（0～5）評分，目標成熟度為 3。
版本提醒：ISA 2027 將於 2027/1/1 正式啟用，之前仍可用 ISA 6.0.3 評鑑。詳見版本更新公告。
三種驗證等級（Assessment Level）
| 等級 | 方式 | 適用情境 |
|---|---|---|
| AL1 | 自我評估，無評鑑機構查證 | 車廠很少接受，實務上少用 |
| AL2 | 評鑑機構遠端查證（文件審查＋訪談） | 「高保護需求」資訊，最常見 |
| AL3 | 評鑑機構到場實地稽核 | 「極高保護需求」，如原型件、機密專案 |
該做哪一級不是自己選的——由你的客戶（車廠或上游）在合約或詢問中指定。拿到需求時確認三件事：要求的模組、保護需求等級（對應 AL2 或 AL3）、期限。
評鑑流程概要
- 在 ENX Portal 註冊，取得 Participant 資格
- 選定經認可的評鑑機構（Audit Provider）並議定範圍
- 依 VDA ISA 完成自我評估與差距改善
- 接受評鑑（AL2 遠端／AL3 到場）
- 缺失改善（最長九個月）後取得標籤，效期三年
準備期一般抓 6～12 個月，視現有 ISMS 成熟度而定。已有 ISO 27001 的企業有明顯起跑優勢，但 VDA ISA 對成熟度證據的要求更「實作導向」，不能只靠文件。輔導服務見 TISAX 驗證輔導。