1. Kritische Informationen, Assets und Schutzbedarf verstehen 

TISAX beginnt nicht bei Tools oder Firewalls, sondern bei der Frage, welche Informationen in Ihrem Unternehmen wirklich schützenswert sind und wie sie genutzt werden. 
Im ersten Schritt werden vertrauliche Entwicklungsdaten, Prototypeninformationen, CAD-Modelle, Test- und Versuchsdaten, Konstruktionspläne oder fahrzeugbezogene Informationen strukturiert erfasst. Statt „irgendwo im Projektordner“ oder verstreut auf SaaS-Konten entsteht ein klarer Informationsbestand: Datenarten, Nutzungskontexte, Verantwortliche, Speicherorte, externe Beteiligte und Prozessabhängigkeiten. 
Darauf aufbauend wird der Schutzbedarf realistisch bewertet — nicht anhand theoretischer Checklisten, sondern entlang echter Risiken: Wer könnte Zugang erlangen? Welche Auswirkungen hätte ein Leak auf Produkt, Marke, Zulieferer oder OEM-Beziehung? Welche Systeme, Teams und Dienstleister sind involviert und in welcher Tiefe? 
Nur mit dieser Transparenz lassen sich Zugriffe, Maßnahmen und Vorgaben wirksam aufbauen. Alles andere endet in isolierten Lösungen, die im TISAX-Audit auseinanderfallen. 

Schutzbedarf für Assets, Prozesse und Services festlegen. 

2. Maßnahmen planen, umsetzen und nachvollziehbar verankern

Sobald klar ist, welche Informationen kritisch sind, müssen die passenden technischen und organisatorischen Maßnahmen (TOMs) systematisch eingeführt werden. Dabei geht es nicht um eine Sammlung beliebiger Sicherheitsfeatures, sondern um gezielte Maßnahmen entlang der realen Risiken: Zugriffskontrollen für Entwicklungsdaten, getrennte Umgebungen für Prototypen, Rollenkonzepte, Verschlüsselung, physische Zutrittsregeln, Umgang mit Fremdpersonal oder klare Vorgaben für externe Dienstleister. 
Maßnahmen werden nicht „einmal beschlossen und vergessen“, sondern mit Verantwortlichkeiten, Fristen und Wirksamkeitszielen verknüpft. Jede Maßnahme ist einer konkreten Bedrohung, einem Szenario oder einem Prozess zugeordnet — und kein abstraktes Dokument im Sharepoint. 
So entsteht eine Sicherheitsarchitektur, die nicht von Best-Practice-Folien lebt, sondern von reproduzierbaren Entscheidungen und nachweisbaren Ergebnissen in Entwicklung, Fertigung oder Projektbetrieb.   

Beurteilung der Risiken und Gefahren 

3. Vorfälle erkennen, bewerten und auditfest dokumentieren 

TISAX bewertet nicht, ob ein Unternehmen fehlerfrei ist, sondern wie es mit Fehlern umgeht. 
Sicherheitsvorfälle, falsche Zugriffe, verloren gegangene Hardware, Datenlecks oder Prozessabweichungen werden nicht per E-Mail oder Zuruf geklärt, sondern strukturiert erfasst: Was ist passiert? Wer war betroffen? Welche Systeme, Dateien oder Prototypen waren involviert? 
Jeder Vorfall erhält einen Status, Verantwortliche, eine Bewertung der Auswirkungen und konkrete Maßnahmen zur Behebung — inklusive Lessons Learned, damit derselbe Fehler nicht wieder auftritt. 
Die Dokumentation ist nicht optional, sondern der entscheidende Nachweis, dass Maßnahmen im Unternehmen nicht nur existieren, sondern wirken. Ein Auditor prüft nicht die Sicherheit „im Idealfall“, sondern die Professionalität im Ernstfall. 

Auditberichte können zentral angelegt und verwaltet werden 

1. Einführung einer CMDB – Zentrale IT-Dokumentation 

IT-Informationen entstehen nicht an einem einzigen Ort und schon gar nicht in einer Excel-Liste. Sie liegen in Active Directory, in Cloud-Portalen, in Ticket-Systemen, in Netzwerkscans, in Einkaufssystemen, in E-Mail-Verläufen und in Support-Chats. 
Ohne zentrale Steuerung sind diese Daten verteilt, unvollständig, historienlos und im Ernstfall nutzlos.

Eine CMDB schafft einen zentralen Informationsraum: 
Objekte und Assets werden eindeutig erfasst, strukturiert klassifiziert, ihren Verantwortlichkeiten zugeordnet und mit Abhängigkeiten abgebildet. Änderungen werden nachvollziehbar dokumentiert. Dadurch wissen IT-Teams, Betreiber und externe Dienstleister nicht nur was vorhanden ist, sondern wo, wie, seit wann, mit welchem Risiko und von wem betrieben. 

Vorteile: 

• Reale Risikoreduzierung statt „Inventar auf Papier“: 
  Updates, Patches, Konfigurationsänderungen, Zertifikate, Laufzeiten und Cloud-Instanzen gehen nicht „verloren“ – sie sind sichtbar, mit Historie.
• Transparente Struktur statt Chaos in Tickets und Excel: 
  Server, Software, Verträge, Lizenzen, Netzwerkgeräte, User, Standorte, Dienste – alles eindeutig zugeordnet statt in „Misc_Ordner“ und Chat-Historien.
• Schutz vor unkontrollierter Datenweitergabe: 
  Konfigurationsdaten, Passwörter, IPs, Verantwortlichkeiten und Lizenzinfos landen nicht in privaten Notizen, Dropbox oder OneDrive.
• Sicherheit im Audit: 
  Auditoren sehen klare Konfigurationswege, Verantwortlichkeiten, Patchhistorie, SLA-Verknüpfungen – und nicht improvisierte Tabellen ohne Beweiswert. 
  
  Bild zeigt: Import Ihrer bestehenden Assets aus Excel oder anderen Drittanbietertools 

3.  Software- und Lizenzmanagement

Software ist kein „Dateidownload“ – sie existiert in Versionen, Lizenzmodellen, Nutzerzuweisungen und Compliance-Pflichten. Installationen verändern sich ständig: Versionen wechseln, Server migrieren, SaaS-Pläne laufen aus, Benutzer kommen und gehen. Wenn diese Veränderungen nicht kontrolliert dokumentiert werden, entstehen reale Risiken: 
Eine abgelaufene Lizenz führt zu Auditproblemen, ungenutzte Subscriptions verbrennen Budget, ein unautorisierter Admin-Account öffnet die Kill-Chain, Schatten-IT entsteht, weil jemand schnell „mal was installiert“.

Ein strukturiertes Software- und Lizenzmanagement zeigt lückenlos welche Software wo läuft, mit welcher Lizenz, für welchen Zweck, mit welchen Nutzern und wie der Lebenszyklus gesteuert wird. 

Vorteile: 

• Keine Schatten-IT:  Software erscheint nicht plötzlich irgendwo – jede Installation ist dokumentiert, verantwortet und genehmigt.
• Wirtschaftlichkeit statt Lizenz-Friedhof:  Nicht genutzte Subscriptions und Überlizenzen werden erkannt und abgebaut. Budget wird nicht verbrannt.
• Auditfest statt Ausreden: Lizenzen, Nutzer, Versionen und Berechtigungen sind nachweisbar, nicht „aus dem Gedächtnis“.
• Security statt Zufall: Unautorisierte Installationen, Admin-Rechte oder alte Versionen werden systematisch eliminiert, bevor sie zum Risiko werden.
• Lebenszyklus unter Kontrolle: Beschaffung, Nutzung, Verlängerung, Abkündigung und Deinstallation sind nachvollziehbar gesteuert – nicht „wenn es jemandem auffällt“.  

Bild zeigt: Anwendungen und Lizenzen die für Geschäftskritische Prozesse benötigt werden, stets im Blick behalten.