TISAX（ドイツ自動車業界セキュリティ評価）の新基準「VDA ISA2027」を公開 VDA/ENX協会
ドイツ自動車工業会（VDA）は2026年7月1日、自動車業界の情報セキュリティ評価の仕組み「TISAX」における審査基準ISA（Information Security Assessment）の最新版「VDA ISA2027」を公表しました。ENX協会（European Network Exchange協会）との共同策定によるもので、2027年1月1日以降に依頼される新規のTISAX審査から適用されます。
VDA ISA2027は2024年から運用されてきた現行版「ISA 6」(2023年10月にリリース)を置き換えるものです。なお、番号についてはルールが変わり、「新たに発注されるTISAX評価に対して義務付けられる年」を付与するようになりました。ISA2027は2027年1月1日以降に発注される新規のTISAX評価から適用されるということを表します。
今後は原則として毎年夏に新しいISAが公開され（例：2027年夏にISA2028を公開）、翌年1月1日に発効するという年次サイクルに変わります。なお、この年次更新によって企業の再評価頻度が増加するわけではありません。既存のTISAXラベルはこれまで通り最大3年間の有効期間を維持するため、企業は通常の再評価の間に複数のISAバージョンをスキップすることになります。
ISAの改訂は、国際的なセキュリティ枠組みとの整合性向上、要求事項の明確化、各国・各審査員による評価結果の比較可能性向上を目的に行われました。具体的には、旧版であるISO/IEC 27001:2013への参照を削除し、現行のISO/IEC 27001:2022へのマッピングが見直されました。また、新たにNIST Cybersecurity Framework 2.0（NIST CSF2.0）へのマッピングも更新されました。さらに、工場やプラントなどの産業用オートメーションおよび制御システム（IACS）をサイバー攻撃から守るための国際標準規格ISA/IEC 62443へのマッピングも明確化されています。
さらに、今回の改訂では、ISA全体の読みやすさと一貫性も向上しました。これまで解釈にブレが生じやすかった「以下の側面が考慮される」といったフレーズに正式な定義が設けられています。これにより、VDA ISAの要求事項がより明確化され、企業は各項目を意識的に考慮した上で、実装に至った根拠を審査時に論理的に説明できなければなりません。
TISAXは、OEM（完成車メーカー）ごとに重複していたセキュリティ評価の慣行を一本化するため2016年に導入され、今年でちょうど10周年を迎えました。今回のISA2027では「鎖の強さは一番弱い輪によって決まる」という原則の下、取引先に対するセキュリティ要件が厳格化されています。特に「非常に高い保護ニーズ」を持つ情報を扱う組織に対しては、自社のみならずサプライヤーに対してもTISAXラベルの取得、あるいは同等の第三者評価などを通じて十分な情報セキュリティレベルを証明させることが強く要求されるようになりました。
加えて、開発中の車両や部品について漏洩リスクから守る「プロトタイプ保護」モジュールについても大規模に再編されました。これまでの管理グループが2つの包括的な領域に整理され、試作品のライフサイクル全体の追跡可能性に関する要件などが新たに追加されています。試作車両やテスト部品が適切な手続きを踏んで廃棄、リサイクルまたは返却されるようにするものです。
