Em 1º de julho de 2026, a VDA publicou a ISA2027, a próxima geração do catálogo de Avaliação de Segurança da Informação (*Information Security Assessment*) que fundamenta o TISAX. A maior parte dos comentários tem se concentrado em quais controles foram alterados. Acreditamos que a mudança mais significativa é o cronograma.
Nossa tese é simples: com a ISA2027, o TISAX deixa de funcionar como um projeto periódico e passa a operar como um ciclo regulatório anual. As organizações que o tratarem como um obstáculo pontual a ser superado a cada três anos acabarão ficando permanentemente defasadas em relação ao catálogo vigente.
O que realmente mudou
As tradicionais numerações de versão (ISA 6.0, 6.0.3) foram substituídas por uma nomenclatura baseada no ano.
A ISA2027 entra em vigor para avaliações solicitadas a partir de 1º de janeiro de 2027; espera-se que uma nova edição seja publicada todo mês de julho para vigorar no mês de janeiro seguinte, o que significa que a ISA2028 deverá surgir em meados de 2027.
Segundo os provedores de avaliação, o conteúdo representa uma evolução, e não uma revolução:
• O módulo de segurança da informação contém controles revisados, com vários requisitos passando de “deveria” (*should*) para “deve” (*must*).
• A definição de provedores de serviços de TI incluídos no escopo foi ampliada.
• A proteção de protótipos foi simplificada em dois níveis hierárquicos: Básico (*Basic*) e Instalações (*Facilities*).
Durante a transição, os selos existentes mantêm sua validade de até três anos. A data de solicitação da avaliação determina qual catálogo será aplicado.
Avaliações contratadas antes de 1º de janeiro de 2027 ainda podem ser realizadas com base na ISA 6, e há indicações de um prazo limite no início de 2027 para iniciar avaliações sob o catálogo antigo. As datas exatas devem ser sempre confirmadas junto à ENX e ao seu provedor de avaliação.
Por que a cadência importa mais do que o conteúdo
Um selo TISAX tem validade de até três anos. Se o catálogo muda anualmente, o detentor do selo passará por até três edições durante o ciclo de vigência do selo. Cada edição pode transformar uma recomendação em obrigação ou ampliar a definição de escopo.
Isso traz três consequências para os tomadores de decisão:
• Desvio do alvo (*Target drift*). Estar preparado no dia da avaliação deixa de ser uma situação estável. O que foi suficiente na última avaliação pode ficar aquém das exigências na próxima.
• As expectativas dos clientes mudam primeiro. OEMs e clientes de Nível 1 (Tier 1) tendem a solicitar o catálogo mais recente em seus processos de aquisição antes mesmo de o mercado tê-lo assimilado.
• A responsabilidade torna-se estrutural. Um ciclo anual não pode ser conduzido por uma equipe de projeto que se dissolve após a avaliação; é necessário um responsável designado e a inclusão do tema nas revisões gerenciais.
Uma cadeia de suprimentos global, não apenas alemã
O TISAX originou-se na indústria automotiva alemã, mas seu alcance acompanha a cadeia de suprimentos. Fornecedores de Nível 2 e 3 no Brasil, México e Argentina recebem cada vez mais solicitações TISAX repassadas pelas áreas de compras, muitas vezes com prazos curtos e exigindo uma versão do catálogo que ainda não analisaram.
A definição ampliada de provedor de serviços de TI merece atenção especial nesses mercados, onde centros de serviços compartilhados, operações de TI terceirizadas e dados de engenharia hospedados na nuvem são comuns. Definir quem está no escopo e quem é responsável por essas entidades é, antes de tudo, uma questão de governança, e não apenas técnica.
O que isso significa para a sua organização
Não propomos aqui uma lista de verificação de ações, mas sim perguntas que um Diretor de Qualidade, CISO ou Gerente de Planta deveria saber responder hoje:
• Qual edição do catálogo regerá nossa próxima avaliação e quem na organização pode afirmar isso com certeza?
• Quando expira nosso selo atual e como essa data se alinha ao ciclo de publicação de julho?
• A segurança da informação é gerenciada como parte do nosso sistema de gestão ou como um projeto que surge apenas antes de uma avaliação?
• Quais provedores de serviços de TI lidam com dados de clientes ou protótipos, e nossa definição de escopo reflete essa redação mais abrangente?
• Qual nível de proteção de protótipos nossos clientes realmente esperam de nós?
• Recebemos sinais antecipados sobre os requisitos dos clientes ou só tomamos conhecimento deles no momento da solicitação?
Essas são questões de risco e responsabilidade. A forma como uma organização responde a elas na prática depende de seus produtos, clientes e sistemas existentes.
Conclusão
O ISA2027 é uma atualização ponderada que traz uma mensagem estrutural significativa: a garantia da segurança da informação no setor automotivo está se tornando uma disciplina contínua, com um ritmo anual previsível. Organizações que se planejam com base no calendário encaram cada mês de julho como um elemento de planejamento, e não como uma surpresa.
A Ariol Automotive oferece serviços de consultoria e suporte a auditorias para OEMs e fornecedores em relação a TISAX, ISO/SAE 21434, IATF 16949 e requisitos correlatos. Saiba mais sobre nossos serviços TISAX ou leia nossa visão geral sobre conformidade em cibersegurança automotiva.
