Votre donneur d’ordre automobile vous réclame un label TISAX, et votre entreprise n’a ni RSSI ni service sécurité dédié ? Vous n’êtes pas seul. Dans le Grand Ouest — de Nantes à Saint-Nazaire, en passant par Laval, Angers, la Vendée et la Sarthe — des centaines de PME et ETI industrielles découvrent que sans cette certification, elles risquent de perdre des marchés. Ce guide explique concrètement ce qu’est un audit TISAX, comment s’y préparer, et comment une entreprise sans expert interne peut décrocher son label sereinement.

Qu’est-ce qu’un audit TISAX et à qui s’adresse-t-il ?

TISAX (Trusted Information Security Assessment Exchange) est le standard de sécurité de l’information de la filière automobile européenne. Il a été créé par l’association ENX, à la demande de l’association allemande des constructeurs (VDA), pour éviter que chaque fournisseur soit audité séparément par chaque constructeur. Le principe : vous passez un seul audit, reconnu par l’ensemble des donneurs d’ordre du secteur.

Concrètement, l’audit TISAX repose sur le questionnaire VDA ISA, lui-même très proche de la norme ISO 27001. Un auditeur indépendant (un « prestataire d’audit » agréé par ENX) vérifie que votre organisation protège correctement :

  • les informations confidentielles que vos clients vous confient (plans, cahiers des charges, données de production) ;
  • les prototypes physiques, lorsque vous y avez accès ;
  • les données personnelles, selon le RGPD.

Dans le Grand Ouest, la filière est dense : sous-traitants automobiles, aéronautique et naval autour de Saint-Nazaire, équipementiers en Mayenne et en Vendée, ingénierie autour de Nantes et Angers. Si vous travaillez pour un constructeur ou un équipementier de rang 1, la question n’est généralement plus « faut-il être TISAX ? » mais « pour quand ? ».

Quels sont les niveaux d’évaluation TISAX (AL1, AL2, AL3) ?

L’audit n’a pas la même intensité pour tout le monde. TISAX définit trois niveaux d’assurance (Assessment Levels), choisis en fonction de la sensibilité des informations traitées :

  • AL1 : auto-évaluation simple, sans vérification externe poussée. Rarement suffisant pour un donneur d’ordre.
  • AL2 : auto-évaluation vérifiée à distance par l’auditeur (analyse documentaire, entretien visio, preuves). C’est le niveau le plus courant pour les informations à haut besoin de protection.
  • AL3 : le plus exigeant. Il ajoute un audit sur site et s’applique aux informations très sensibles ou aux prototypes.

Le niveau exigé vous est imposé par votre client, via un « objectif d’évaluation » (assessment objective). Première bonne pratique : demandez par écrit à votre donneur d’ordre quel périmètre et quel niveau il attend, avant d’engager quoi que ce soit. Beaucoup d’entreprises de Loire-Atlantique ou du Maine-et-Loire dépensent trop en visant un AL3 inutile, ou trop peu en sous-estimant un AL2.

Comment se déroule la démarche, concrètement ?

La certification TISAX suit toujours les mêmes grandes étapes :

  1. Enregistrement sur le portail ENX : vous déclarez votre entreprise et le périmètre concerné (un site, plusieurs sites, un service).
  2. Auto-évaluation VDA ISA : vous répondez au questionnaire en documentant vos pratiques de sécurité (gestion des accès, sauvegardes, sécurité physique, gestion des incidents…).
  3. Audit par un prestataire agréé : à distance (AL2) ou sur site (AL3). L’auditeur cherche les écarts entre vos réponses et la réalité.
  4. Plan d’actions correctives : s’il reste des écarts, vous disposez généralement de 9 mois pour les corriger et fournir les preuves.
  5. Obtention des labels : vos résultats sont publiés sur la plateforme ENX, et vous décidez quels clients peuvent les consulter.

Le label TISAX est valable 3 ans. Il ne s’agit donc pas d’un projet ponctuel, mais d’une démarche de sécurité à maintenir dans la durée.

Combien de temps et quel budget prévoir ?

C’est la question que toutes les directions posent. Voici des repères réalistes pour une PME ou ETI du Grand Ouest :

  • Délai : comptez en moyenne 3 à 6 mois entre le lancement et l’audit, selon votre maturité de départ. Une entreprise déjà structurée (sauvegardes testées, accès maîtrisés, procédures écrites) ira plus vite.
  • Charge interne : la rédaction documentaire et la mise en conformité représentent l’essentiel de l’effort. C’est souvent là que les organisations sans RSSI bloquent.
  • Coût d’audit : facturé par le prestataire agréé, il dépend du niveau (AL2 vs AL3) et du nombre de sites.

Le vrai poste de risque budgétaire n’est pas l’audit lui-même : c’est le temps perdu quand personne en interne ne sait piloter le projet, traduire le jargon du VDA ISA en actions concrètes, et arbitrer les priorités.

Comment réussir son audit TISAX sans RSSI interne ?

La majorité des PME industrielles n’ont pas de Responsable de la Sécurité des Systèmes d’Information à temps plein — et c’est parfaitement normal à leur taille. Pourtant, l’audit TISAX exige une vision claire de la gouvernance, des risques et des preuves à produire. Trois leviers fonctionnent particulièrement bien :

  • S’appuyer sur la base ISO 27001 : comme le VDA ISA en est très proche, structurer un mini-Système de Management de la Sécurité de l’Information (SMSI) vous fait gagner sur les deux tableaux. Pour comprendre cette logique, consultez notre guide ISO 27001.
  • Prioriser par le risque : inutile de tout sécuriser d’un coup. Une analyse de risques cible les informations clients les plus sensibles et concentre l’effort là où l’auditeur regardera vraiment.
  • Externaliser le pilotage : un RSSI externalisé (ou « à temps partagé ») prend en charge la préparation, l’auto-évaluation, le dialogue avec l’auditeur et le plan d’actions — sans le coût d’un recrutement permanent.

Pour aller plus loin sur le périmètre exact du label dans votre filière, notre guide TISAX complet détaille les modules d’évaluation et le questionnaire.

Les erreurs fréquentes à éviter

  • Démarrer sans connaître le niveau attendu par le client (perte de temps et d’argent).
  • Confondre auto-évaluation et conformité réelle : cocher « oui » sans preuve se paie cher le jour de l’audit.
  • Oublier la sécurité physique : accès aux locaux, gestion des visiteurs, protection des prototypes sont systématiquement vérifiés.
  • Traiter TISAX comme un projet « one shot » alors que le label vit 3 ans et doit être entretenu.

Cykrony, votre partenaire TISAX dans le Grand Ouest

Basés au cœur du Grand Ouest, nous accompagnons les industriels de Nantes, Saint-Nazaire, Laval, Angers, la Vendée et la Sarthe vers leur certification TISAX, en mode RSSI externalisé. Nous pilotons la démarche de bout en bout : diagnostic d’écart, auto-évaluation VDA ISA, mise en conformité priorisée par les risques, et préparation à l’audit AL2 ou AL3.

Vous avez reçu une demande TISAX d’un donneur d’ordre ? Parlons de votre projet : un premier échange permet d’estimer votre niveau de préparation et le chemin le plus court vers le label. Découvrez aussi notre offre de RSSI externalisé pour piloter durablement votre sécurité.