¿Qué es exactamente el nivel 2 de TISAX?
Es el nivel de evaluación en el que el auditor comprueba que tu autoevaluación es plausible: revisa evidencias y entrevista a la persona responsable de seguridad, en general por videoconferencia. No lo verifica todo, como en el nivel 3, ni visita tus instalaciones salvo que lo pidas. El nivel 1 no se usa en TISAX.
| Qué hace el auditor | AL1 | AL2 | AL3 |
|---|---|---|---|
| Autoevaluación con la VDA ISA | Sí | Sí | Sí |
| Evidencias | No | Comprueba que son plausibles | Lo verifica todo |
| Entrevistas | No | Por videoconferencia | En persona, en tus instalaciones |
| Visita a tus instalaciones | No | Solo si la pides | Sí |
| ¿Da una etiqueta TISAX? | No | Sí | Sí |
| Jornadas de auditor (empresa pequeña, una sede) | — | 3,5 a 4 | 5 a 6 |
Hay una variante que ENX llama «nivel 2,5»: el auditor hace una evaluación completa a distancia en lugar de una comprobación de plausibilidad. Formalmente cuenta como AL2 y tu cliente no ve la diferencia. El manual del participante la recomienda si no descartas que otro cliente te pida AL3, porque después solo faltaría la parte presencial, o si te cuesta escribir una autoevaluación que se sostenga sola. Lo básico del sistema está en qué es TISAX.
¿Cuándo te piden TISAX nivel 2 y cuándo nivel 3?
Lo decide el objetivo de evaluación, que depende de la información que te confía tu cliente. Confidential, High availability, Data, Test vehicles y Proto events van en nivel 2. Strictly confidential, Very high availability, Proto parts, Proto vehicles y Special data, en nivel 3. Una evaluación de nivel 3 cubre las de nivel 2.
| Objetivo (nombre oficial) | Para quién | Nivel |
|---|---|---|
| Confidential | Manejas información confidencial del cliente | AL2 |
| Strictly confidential | Manejas información estrictamente confidencial o secreta | AL3 |
| High availability | Si fallas, tu cliente deja de producir pronto (suministro justo a tiempo) | AL2 |
| Very high availability | Si fallas, su producción para en muy poco tiempo y tarda en volver | AL3 |
| Proto parts | Fabricas, guardas o usas piezas prototipo del cliente | AL3 |
| Proto vehicles | Fabricas, guardas o usas vehículos prototipo | AL3 |
| Test vehicles | Haces pruebas o recorridos con vehículos protegidos | AL2 |
| Proto events | Presentaciones, eventos o rodajes con prototipos | AL2 |
| Data | Tratas datos personales por encargo (art. 28 del RGPD) | AL2 |
| Special data | Lo mismo, con categorías especiales de datos (art. 9 del RGPD) | AL3 |
Si eliges tú, ENX aconseja objetivos de nivel 3. El nivel 2 cuesta menos de auditoría, pero puede exigir más trabajo interno: sin visita, la autoevaluación y la documentación tienen que sostenerse solas. Elegir AL3 no es raro, y lo hacen más las empresas pequeñas que las grandes. Si suministras a un fabricante de vehículos, el contexto del sector está en ciberseguridad para proveedores de automoción.
¿Qué documentos revisa el auditor en un TISAX nivel 2?
Tu autoevaluación en el Excel de la VDA ISA, con un nivel de madurez por pregunta, y la documentación que citas en ella. Para la etiqueta Confidential entran las 45 preguntas activas del catálogo de seguridad de la información de la ISA 6, con sus requisitos obligatorios, recomendados y los adicionales de confidencialidad.
| Nivel | Nombre | Qué significa |
|---|---|---|
| 0 | Incompleto | No hay proceso, no se sigue o no sirve |
| 1 | Ejecutado | Se hace, pero sin documentar o a medias |
| 2 | Gestionado | Se hace, está documentado y hay pruebas |
| 3 | Establecido | Proceso estándar integrado, con pruebas de uso sostenido durante un periodo prolongado |
| 4 | Predecible | Además se mide con indicadores y límites |
| 5 | Optimizado | Además se mejora de forma continua con recursos dedicados |
Registro y autoevaluación
- El alcance registrado en ENX, con todas las ubicaciones que manejan información del cliente
- El Excel de la VDA ISA de tu versión, con la madurez de cada pregunta y dónde está la prueba
- La persona responsable de seguridad, preparada para la entrevista
Documentos
- Política de seguridad aprobada por la dirección
- Inventario de la información y su clasificación
- Análisis de riesgos y su tratamiento
- Procedimiento de incidentes y plan de continuidad
- Acuerdos de confidencialidad y requisitos a proveedores
Pruebas de que funciona
- Altas, bajas y revisiones de permisos, con fecha
- Copias con una restauración probada
- Informes del antivirus gestionado (EDR) y de las actualizaciones
- Formaciones con fecha y asistentes
- Revisiones internas del sistema y sus actas
Con un dossier de evidencias al día, buena parte de esta lista está hecha. Talvit no evalúa: la evaluación la hace siempre un auditor aprobado por ENX. Lo que cubre es la parte técnica de oficina y, con presupuesto aparte de la cuota de 29 € por puesto y mes (IVA no incluido), el sistema de seguridad documentado y el dossier. Cómo lo trabajamos está en proveedores, y otras exigencias de clientes, en las guías de clientes.
¿Cuánto tarda un TISAX nivel 2, de la inscripción a la etiqueta?
ENX no da una cifra: depende de cómo estés de preparado. Sí da referencias: entre la reunión de arranque y la autoevaluación suelen pasar de uno a tres meses, y seis no es raro. Y un límite: desde el cierre de la evaluación inicial, nueve meses para resolver lo pendiente.
Paso 1
Registro en ENX
Alcance, ubicaciones y objetivos de evaluación.
Paso 2
Ofertas de auditores
Solo después de registrarte: sin registro, las rechazan.
Paso 3
Reunión de arranque
Plan, fechas y qué hay que entregar.
1 a 3 meses
Autoevaluación y documentación
Seis meses no es raro. TISAX no impone plazo.
Evaluación inicial
Evidencias y entrevista
En nivel 2, en general por videoconferencia.
Hasta 9 meses
Plan de acciones correctoras y seguimiento
Con no conformidades menores y un plan aprobado, etiqueta temporal.
Resultado
Etiqueta en el portal de ENX
Vale tres años; decides con quién la compartes.
Fuente: ENX: manual del participante de TISAX, versión 2.8, consultado el .
Dos consejos del propio manual. ENX desaconseja encargar una «preevaluación» o un análisis de brechas: en casi todos los casos, dice, tiene más sentido empezar la evaluación directamente. Y si un auditor de TISAX te asesora para prepararla, ya no puede evaluarte. Las preguntas frecuentes de ENX añaden que las etiquetas temporales duran como máximo nueve meses desde el cierre de la evaluación inicial.
¿En qué se diferencia TISAX de la ISO 27001?
La ISO/IEC 27001 es una norma internacional para cualquier sector que acaba en un certificado. TISAX es un esquema del automóvil, sobre la VDA ISA, que acaba en etiquetas que solo ve quien autorizas en el portal de ENX. La ISA nació basada en la ISO 27001, pero hoy es un estándar propio.
| Aspecto | TISAX nivel 2 | ISO/IEC 27001 |
|---|---|---|
| Quién lo define | ENX y la VDA (catálogo VDA ISA) | ISO e IEC |
| Para quién | La cadena de suministro del automóvil | Cualquier organización |
| Resultado | Etiquetas en el portal de ENX, visibles solo para quien autorizas | Certificado de una entidad de certificación |
| Cómo se mide | Madurez de 0 a 5 por pregunta, con objetivo 3 | Cumplimiento de los requisitos de la norma |
| Si tu cliente pide TISAX | Es lo que pide | No lo sustituye |
Con la ISO 27001 llevas hecha buena parte del sistema: política, inventario, riesgos, incidentes y revisiones internas. Pero si tu cliente exige una etiqueta TISAX, el certificado no la sustituye, porque la etiqueta solo sale de una evaluación TISAX, según ENX. Qué hacer si te piden la ISO y no la tienes está en me piden la ISO 27001; qué es y cuándo compensa, en ISO 27001 para pymes.
¿De qué depende lo que cuesta un TISAX nivel 2?
De tres partidas. La tarifa de ENX: 405 euros por ubicación y alcance, una sola vez. Las jornadas del auditor: ENX calcula de 3,5 a 4 para una empresa pequeña con una sede en nivel 2. Y tu trabajo interno, que en nivel 2 puede superar al del nivel 3, porque todo debe estar documentado.
405 €
por ubicación y alcance: la tarifa única de ENX, sin cuotas mientras vale la evaluación. Desde 5 ubicaciones en un alcance, un 10 % menos por ubicación, y desde 10, un 20 %. Vigente desde el 19-8-2020, más IVA alemán si procede.
Lo que cobra el auditor no lo publica ENX: su manual dice que depende de demasiados factores y que cada proveedor fija su precio. Las ofertas suelen incluir la evaluación inicial y la del plan de acciones correctoras; las de seguimiento se presupuestan después, porque no se pueden prever. Compara también disponibilidad, idioma de las entrevistas y desplazamientos.
¿Cuánto dura la etiqueta TISAX y qué cambia con la ISA2027?
Hasta tres años, contados desde el cierre de la evaluación inicial; para renovarla, repites el proceso. Y cambia el catálogo: la ISA2027, publicada el 1 de julio de 2026, rige las evaluaciones encargadas desde el 1 de enero de 2027. Con la ISA 6 solo se abren iniciales hasta marzo de 2027.
Octubre de 2023
Se publica la ISA 6
01-04-2024
La ISA 6 rige las evaluaciones encargadas desde ese día
Llegan las etiquetas Confidential y Strictly confidential.
01-01-2025
Test vehicles y Proto events pasan a nivel 2
01-07-2026
La VDA publica la ISA2027
Las versiones se nombran por el año en que son obligatorias.
01-10-2026
Versión 2027.1
Solo cambios de redacción, y traducción al alemán.
01-01-2027
La ISA2027 rige las evaluaciones encargadas desde ese día
Marzo de 2027
Última fecha para abrir una evaluación inicial con la ISA 6
Fuente: ENX: calendario de la ISA2027 (7-8-2026), consultado el .
Las fechas salen del calendario de ENX, de su noticia de publicación y de la de la versión 2027.1; las versiones ya salen cada año, según la página de la ISA. Si encargas la evaluación en los próximos meses, pregunta al auditor qué versión usará y prepara la autoevaluación con esa.
Según ENX, la ISA2027 cambia requisitos de cadena de suministro y de prototipos y tiene más en cuenta la tecnología de planta. Un ejemplo en los Excel de sus descargas: la pregunta sobre responsabilidades con proveedores externos de TI pasa del capítulo 1 (1.2.4) al de proveedores (6.1.3).
Lo que esta guía no cubre
- Lo que cobra cada auditor: ENX no lo publica y cada proveedor fija su precio.
- La evaluación de nivel 3 en detalle, con su visita y los requisitos de prototipos.
- La evaluación simplificada de grupo para empresas con muchas sedes.
- Los cambios de la ISA2027 pregunta a pregunta: están en el documento comparativo de ENX.
Preguntas frecuentes
¿Qué pasa si hay documentos que no quiero enviar al auditor?
Puedes pedir una inspección en tus instalaciones para que el auditor los vea allí sin llevárselos. El manual de ENX lo prevé en el nivel 2 para las pruebas que no quieres enviar.
¿Mi cliente ve mi informe de evaluación completo?
No necesariamente. El informe se estructura en niveles y tú decides hasta cuál accede cada socio en el portal de ENX.
¿Qué pasa si no apruebo a la primera?
Con no conformidades menores y un plan de acciones aprobado, recibes etiquetas temporales. Con una mayor, primero la resuelves. Tienes nueve meses desde el cierre de la evaluación inicial; si no, empiezas otra.
¿Un nivel 2 se puede ampliar después a nivel 3?
Con el nivel 2 normal cuesta casi como empezar de cero: el auditor no puede aprovechar una comprobación de plausibilidad. Con el método de «nivel 2,5», solo faltaría la parte presencial.
Fuentes
- ENX: manual del participante de TISAX, versión 2.8, consultado el
- ENX Association: qué es TISAX y cómo es el proceso, consultado el
- ENX Association: preguntas frecuentes de TISAX, consultado el
- ENX: tarifa de participación en TISAX, consultado el
- ENX Association: «10 Years of TISAX – VDA ISA2027 Released» (1-7-2026), consultado el
- ENX: calendario de la ISA2027 (7-8-2026), consultado el
- ENX Association: ISA2027.1 en alemán y cambios de redacción (1-10-2026), consultado el
- ENX Association: la ISA y su calendario de versiones, consultado el
- ENX Association: descargas de TISAX (VDA ISA 6 e ISA2027 en Excel), consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
