Überblick ISMS
ZF fordert einen angemessenen Schutz der Informationen, die mit Lieferanten geteilt werden. Je nach Art der Geschäftsbeziehung können Lieferanten aufgefordert werden, den Nachweis zu erbringen, dass ein Informationssicherheitsmanagementsystem (ISMS) von einem anerkannten Dritten bewertet oder zertifiziert wurde.
Zudem fordert ZF, dass die Leistungen des Lieferanten abgesichert sind und jederzeit zur Verfügung stehen. Zur Sicherstellung der Geschäftsfortführung von ZF kann ZF bei Bedarf eine hohe oder sehr hohe Verfügbarkeit des Dienstes anfordern.
ISMS-Nachweise tragen dazu bei, dass vertrauliche Informationen, technische Dokumentation, geistiges Eigentum, personenbezogene Daten, Prototypeninformationen und andere sensible Geschäftsinformationen sicher gehandhabt werden.
Die Erfüllung dieser ISMS-Anforderung kann nachgewiesen werden durch:
• eine gültige TISAX-Bewertung (oder)
• soweit von ZF akzeptiert, ein ISO/IEC 27001: 2022-Zertifikat, dessen zertifizierter Umfang die relevante Geschäftsbeziehung mit ZF vollständig abdeckt.
TISAX® (Trusted Information Security Assessment Exchange) ist der Standard der Automobilindustrie für die Bewertung von Sicherheitsanforderungen und den Austausch von Bewertungsergebnissen über die ENX-Plattform. Die ENX Association regelt die TISAX-Zertifizierung. ENX wurde im Jahr 2000 von europäischen Automobilherstellern, Zulieferern und nationalen Automobilverbänden gegründet und definiert und überwacht Industriestandards.
Für weitere Informationen besuchen Sie bitte die ENX TISAX Homepage:
Wann müssen Lieferanten den ISMS-Nachweis erbringen?
Nicht jeder Lieferant muss einen ISMS-Nachweis erbringen.
Die Anforderung gilt für Lieferanten, die mit erhöhten Anforderungen an die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen, Systemen, Prozessen oder Produkten umgehen.
Der zuständige ZF-Einkäufer informiert die Lieferanten, wenn ein ISMS-Nachweis erforderlich ist.
Welche Beweise werden akzeptiert?
ZF akzeptiert eine gültige TISAX-Bewertung, die über das ENX-Portal geteilt wird. In bestimmten Fällen kann ZF auch ein gültiges ISO/IEC 27001: 2022-Zertifikat akzeptieren, wenn der zertifizierte Geltungsbereich die relevanten Standorte, Prozesse und Aktivitäten im Zusammenhang mit der Geschäftsbeziehung mit ZF abdeckt.
TISAX-Ergebnisse müssen mit ZF unter Verwendung der ZF-Teilnehmer-ID PLZRCC geteilt werden.
Die anzuwendenden TISAX-Bewertungsziele hängen von den Informationen, Systemen, Produkten und Aktivitäten ab, die an der Geschäftsbeziehung mit ZF beteiligt sind. Diese Ziele leiten sich aus dem Informationssicherheits-Assessment (ISA) -Katalog ab, der die Grundlage für TISAX-Assessments bildet und von der ENX-Arbeitsgruppe ISA gepflegt und vom VDA veröffentlicht wird.
Der Zulieferer muss die Gültigkeit aller ISMS-Nachweise, einschließlich TISAX-Bewertungsergebnisse und/oder ISO/IEC 27001: 2022-Zertifikate, überwachen und vor Ablauf der vorherigen Nachweise einen erneuten Nachweis erbringen. TISAX-Ergebnisse sind gültig zu halten und ZF über das ENX-Portal zur Verfügung zu stellen, während erneuerte ISO/IEC 27001: 2022-Zertifikate rechtzeitig in SupplyOn (PM-Anbieter) oder ELSA (NPM-Anbieter) hochgeladen werden müssen. Das Nichtvorliegen relevanter ISMS-Nachweise bei Bedarf kann sich auf die Lieferantenbewertung im Beschaffungsprozess auswirken.
Vor der Erneuerung einer TISAX-Bewertung oder ISO 27001-Zertifizierung sollten Lieferanten stets die neuesten ZF-Anforderungen des ISMS und die zugehörigen herunterladbaren Anweisungen im Abschnitt ISMS des ZF Supplier Board überprüfen und/oder den zuständigen Einkäufer kontaktieren, um sicherzustellen, dass die erneute Bewertung oder Zertifizierung den für ZF relevanten Geschäftsumfang abdeckt.
Sofern nicht anderweitig schriftlich mit ZF vereinbart, sind Lieferanten für die mit ihrer TISAX-Bewertung und den damit verbundenen Auditaktivitäten verbundenen Kosten verantwortlich.
Download
Detaillierte Anforderungen, einschließlich Bewertungszielen, Bewertungsstufen, Annahmekriterien ISO/IEC 27001:2022, Gültigkeitserwartungen und Anweisungen zur Vorlage von Nachweisen, finden sich in: