【業界別】自動車部品・ソフトウェアサプライヤーのTISAX取得｜取引先から求められたときの進め方と、ISA2027を見据えた支援会社の選び方

「取引先から、TISAXのラベルを取得してほしいと言われました。何から始めればよいでしょうか」
自動車業界のサプライヤーから、こうしたご相談をいただく機会が増えています。

TISAXは、欧州の自動車業界で使われてきた情報セキュリティの評価の仕組みです。
欧州の自動車メーカーやその取引先と取引のある日本企業でも、求められる場面が広がっています。
対象は部品メーカーに限りません。
設計・ソフトウェア開発、試作、撮影やイベントの運営など、自動車メーカーの機密情報や試作品に触れるあらゆるサプライヤーが対象になりえます。

本記事では、サプライヤーの業態ごとにTISAXの論点を整理したうえで、2027年から適用される新しい評価基準「VDA ISA2027」を見据えた進め方と、自社で進めている会社や他社の支援を受けている会社が、支援会社を見直すときのポイントをまとめます。

TISAXは「認証」ではなく、評価結果を取引先と共有する仕組み

TISAX（Trusted Information Security Assessment Exchange）は、VDAが定めた評価基準「VDA ISA」にもとづいて評価を受け、その結果を取引先と共有する仕組みで、ENX Associationが運営しています。
ISMSのような認証書が発行されるのではなく、評価の結果に応じて「ラベル」が付与され、結果の共有を許可した取引先がENXのポータル上で確認できます。

評価にはレベルがあり、AL2では自己評価の内容を審査員が証跡やインタビュー（通常はオンライン）で確認し、AL3では現地での審査を含めてより詳細に確認します。
どのレベルで評価を受けるかは、取引先が求める情報の機密性や、試作品を扱うかどうかによって決まります。
まずは取引先に、求められているラベル（評価の目的）を確認することが出発点です。

サプライヤーの業態ごとに、論点になりやすいポイントは違います

部品・試作品メーカーでは、試作部品の保管と撮影の制限、工場や倉庫への来訪者・協力会社の入退管理が中心になります。
ISMSでも物理的なセキュリティは管理策に含まれますが、TISAXでは試作品の保護の観点から、建物や保管場所の物理的なセキュリティについて、より具体的な対策が求められます。

設計・ソフトウェア開発では、CADデータや仕様書、ソースコードへのアクセス権と社外への持ち出し、クラウドサービスや再委託先の管理が問われます。
ISA2027ではサプライヤー管理の要求が強化されており、自社の外注先まで含めた管理体制を説明できるかが、これまで以上に重要になります。

試作車両・撮影・イベント関連では、試作車両の移動・保管中の管理や、撮影現場での情報の扱いがポイントです。
現場に関わる人が多いぶん、関係者への教育や誓約の取り方まで、具体的な運用が求められます。

新基準「VDA ISA2027」を見据えて、いま確認しておきたいこと

2026年7月1日、VDA ISAの新版「VDA ISA2027」が公表されました。
2027年1月1日以降に発注されるTISAX評価から適用され、どちらの基準で評価を受けるかは「発注した日」で決まります。
2026年中に発注すれば現行のISA6で受けられますが、ENXはISA6で初回評価を開始できる最終期限を2027年3月としています。

すでに取得しているラベルは、有効期間が終わるまで有効で、前倒しで評価を受け直す必要はありません。
ただし、今後VDA ISAは毎年改版される方針です。
3年に1度の評価の前にまとめて準備する考え方から、毎年の差分を確認していく考え方への切り替えが必要になります。
変更点の詳細は「【2027年1月適用】TISAXの新基準「VDA ISA2027」とは？」で解説しています。

自社対応・他社支援のまま、こんな状態になっていませんか

TISAXは、要求事項の解釈と自己評価の判断に、自動車業界ならではの専門的な経験が必要です。
自社だけで進めて評価の段階で多くの指摘を受け、改善と再評価に時間がかかってしまうケースもあります。
新規取得や次の評価の前は、進め方を見直すのに適したタイミングです。

UPFのTISAX取得支援について

株式会社UPFは2021年からTISAXの取得支援を行っており、新しいご依頼の多くは、取得されたお客様からのご紹介です。
自動車関連の企業が多い東海エリアには、名古屋拠点から対面で伺います。

• 自己評価から指摘事項への対応まで一貫して：VDA ISAによる現状の自己評価、改善計画の立案と導入、改善後の再評価、申請・審査対応、指摘事項への対応まで、5つのステップで伴走します。
• 手間のかかる実務を全力でサポート：自己評価の整理や文書づくりなど、多忙なお客様にとって負担の大きい実務を、私たちが全力でサポートし、手間を最大限に減らす形で進めます。
• 取得後も継続して：ラベル取得後も、次の評価やISA2027への対応を見据えて、継続して支援します。
• Pマーク・ISMSとあわせて：累計5,735社（2026年11月1日現在）の認証支援で培った運用ノウハウを活かし、既存のISMSやPマークとの整合も含めて設計します。

※期間は、企業規模や適用範囲、評価機関の混雑状況に応じて差が生じます。

よくある質問

Q. ISMSを取得していれば、TISAXは不要ですか？

取引先がTISAXのラベルを求めている場合は、ISMSとは別に評価を受ける必要があります。
ISMSで整えた仕組みは土台として活かせますが、TISAXでは試作品の保護など、ISMSにはない観点も評価されます。

Q. AL2とAL3のどちらで評価を受ければよいですか？

取引先が求めるラベル（評価の目的）によって決まります。
試作品を扱う場合や、機密性の高い情報を扱う場合はAL3が求められることがあります。
まずは取引先に求められている内容を確認し、そのうえで進め方を決めるのが確実です。

Q. TISAXの取得には、どのくらいの期間がかかりますか？

会社の規模や現状の体制によって異なります。
UPFの支援では平均10ヶ月、最短8ヶ月です。
取引先から期限を示されている場合は、その期限から逆算して早めにご相談ください。

Q. VDA ISA2027が始まると、取得済みのラベルはどうなりますか？

取得済みのラベルは、有効期間（最長3年）が終わるまで有効です。
前倒しで評価を受け直す必要はありませんが、次の評価がいつになり、どちらの基準が適用されるかは、早めに確認しておくことをおすすめします。

まとめ：取引先に求められたときが、体制を整えるチャンス

TISAXは、取引先との信頼関係を続けていくための「共通言語」のようなものです。
求められて慌てて取り組むと負担が大きくなりますが、自社の業態に合った形で整えれば、取引の幅を広げる武器にもなります。

ISA2027への切り替えを控えたいまは、新規取得を考えている会社にとっても、更新を控えた会社にとっても、段取りを見直す良いタイミングです。
「取引先から言われたばかりで、何から始めればよいか分からない」という段階でも、お気軽にご相談ください。

関連記事：

• 【2027年1月適用】TISAXの新基準「VDA ISA2027」とは？変更点5つと、自動車サプライヤーが年内に決めるべきこと
• TISAXの取得支援、どこまで任せられますか｜ご紹介が続くUPFの支援と、ISA2027改訂への対応
• TISAX取得におすすめのコンサル会社8社比較【2026年版】
• 【業界別】受託開発・SaaS・クラウド事業者のISMS（ISO27001）取得・更新

参考・確認元（いずれも2026年11月確認）：
ENX Association（VDA ISA2027の公表に関するお知らせ）
BSI「TISAX ISA2027: What you need to know」
株式会社UPF「【2027年1月適用】TISAXの新基準「VDA ISA2027」とは？」（ENX Associationの公表情報をもとに作成）