El 1 de julio de 2026, la VDA publicó ISA2027, la siguiente generación del catálogo de evaluación de seguridad de la información que sustenta TISAX. La mayor parte de los comentarios se ha centrado en qué controles han cambiado.
Consideramos que el cambio más trascendental es el calendario. Nuestra tesis es sencilla: con ISA2027, TISAX deja de comportarse como un proyecto periódico para pasar a funcionar como un ciclo normativo anual. Las organizaciones que lo aborden como un obstáculo puntual que superar cada tres años se encontrarán permanentemente desfasadas una versión del catálogo.
Qué ha cambiado realmente
Las conocidas versiones numeradas (ISA 6.0, 6.0.3) han sido sustituidas por una denominación basada en el año. ISA2027 entra en vigor para las evaluaciones solicitadas a partir del 1 de enero de 2027; se prevé publicar una nueva edición cada mes de julio para el enero siguiente, lo que significa que ISA2028 debería aparecer a mediados de 2027.
Según los proveedores de evaluación, el contenido representa una evolución más que una revolución:
• El módulo de seguridad de la información incluye controles revisados, y varios requisitos pasan de ser recomendaciones («debería») a obligaciones («debe»).
• Se ha ampliado la definición de los proveedores de servicios de TI incluidos en el alcance.
• La protección de prototipos se ha simplificado en dos niveles jerárquicos: Básico e Instalaciones. Durante la transición, las etiquetas existentes conservan su validez de hasta tres años.
La fecha en que se solicita la evaluación determina qué catálogo se aplica. Las evaluaciones contratadas antes del 1 de enero de 2027 pueden seguir realizándose bajo la norma ISA 6, y diversas fuentes apuntan a principios de 2027 como fecha límite para iniciar evaluaciones bajo el catálogo anterior.
Las fechas exactas deben confirmarse siempre con ENX y con su proveedor de evaluación.
Por qué la periodicidad importa más que el contenido
Una etiqueta TISAX tiene una vigencia de hasta tres años. Si el catálogo cambia anualmente, el titular de una etiqueta atravesará hasta tres ediciones durante un mismo ciclo de vigencia. Cada edición puede convertir una recomendación en una obligación o ampliar la definición del alcance.
Esto conlleva tres consecuencias para los responsables de la toma de decisiones:
• Desviación del objetivo. Estar preparado para el día de la evaluación ya no constituye una situación estable. Lo que resultó suficiente en la evaluación anterior podría no alcanzar el nivel requerido para la siguiente.
• Las expectativas de los clientes evolucionan primero. Los fabricantes de equipos originales (OEM) y los clientes de nivel 1 (Tier 1) suelen solicitar el catálogo más reciente en sus procesos de aprovisionamiento antes de que el mercado lo haya asimilado por completo.
• La responsabilidad se vuelve estructural. Un ciclo anual no puede recaer en un equipo de proyecto que se disuelve tras la evaluación; requiere un responsable designado y un lugar en la revisión de la dirección.
Una cadena de suministro global, no solo alemana
TISAX surgió en la industria automotriz alemana, pero su alcance sigue la cadena de suministro. Los proveedores de niveles 2 y 3 (Tier 2 y Tier 3) en Brasil, México y Argentina reciben cada vez más solicitudes TISAX transmitidas a través de los departamentos de compras, a menudo con plazos ajustados y versiones del catálogo que aún no han analizado.
La definición ampliada de proveedor de servicios de TI merece especial atención en estos mercados, donde son habituales los centros de servicios compartidos, la externalización de operaciones de TI y el alojamiento de datos de ingeniería en la nube. Determinar quién entra en el alcance y quién responde por ello es una cuestión de gobernanza antes que técnica.
Lo que esto significa para su organización
No proponemos aquí una lista de comprobación de acciones, sino las preguntas que un director de calidad, un CISO o un gerente de planta deberían poder responder hoy mismo:
• ¿Qué edición del catálogo regirá nuestra próxima evaluación y quién en la organización puede confirmarlo con certeza?
• ¿Cuándo caduca nuestra etiqueta actual y cómo se sitúa esa fecha respecto al ciclo de publicación de julio?
• ¿Se gestiona la seguridad de la información como parte de nuestro sistema de gestión o como un proyecto que surge antes de una evaluación?
• ¿Qué proveedores de servicios de TI manejan datos de clientes o prototipos, y refleja nuestra definición de alcance la redacción ampliada de la norma?
• ¿Qué nivel de protección de prototipos esperan realmente nuestros clientes de nosotros?
• ¿Recibimos señales anticipadas de los requisitos del cliente o nos enteramos de ellos en el momento de recibir la solicitud? Estas son cuestiones de riesgo y responsabilidad.
La forma en que una organización responde a ellas en la práctica depende de sus productos, clientes y sistemas existentes.
Conclusión
ISA2027 es una actualización ponderada que transmite un mensaje estructural importante: la garantía de la seguridad de la información en el sector automotriz se está convirtiendo en una disciplina continua con un ritmo anual predecible. Las organizaciones que planifican en función del calendario consideran cada mes de julio como un elemento de planificación, y no como una sorpresa.
Ariol Automotive ofrece servicios de consultoría y auditoría a fabricantes de equipos originales (OEM) y proveedores en materia de TISAX, ISO/SAE 21434, IATF 16949 y requisitos asociados. Obtenga más información sobre nuestros servicios TISAX o consulte nuestra reseña general sobre el cumplimiento normativo en ciberseguridad para el sector de la automoción.
