TISAX® acaba de entrar em sua transição mais significativa desde a sua criação. A VDA, em colaboração com a ENX Association, publicou oficialmente a VDA ISA 2027, a nova versão do catálogo que fundamenta todas as avaliações TISAX®. Esta é a atualização mais relevante do padrão nos últimos anos e afeta diretamente fabricantes, fornecedores e qualquer organização que faça parte da cadeia de suprimentos automotiva.
A partir de 1º de janeiro de 2027, esta nova versão será obrigatória para qualquer nova avaliação TISAX®. A janela de preparação é menor do que parece, e as empresas que deixarem sua adaptação para a última hora enfrentarão uma pressão de tempo considerável.
Neste artigo, explicamos o que é a VDA ISA 2027, quando ela entra em vigor, por que essa atualização foi necessária e exatamente o que muda em relação à versão anterior.
O que é a VDA ISA 2027?
A VDA ISA 2027 é a nova versão do catálogo de requisitos que serve de base para todas as avaliações TISAX®. Ela substitui a versão anterior, VDA ISA 6.0.3, em vigor desde 2024, e foi desenvolvida em conjunto pela VDA e pela ENX com um triplo objetivo: aproximar o padrão dos frameworks internacionais de segurança atuais, formular de maneira mais clara os requisitos existentes e melhorar a comparabilidade das avaliações realizadas em diferentes países e por diferentes auditores.
Não se trata de um ajuste menor ou de uma atualização cosmética: o catálogo revisa a fundo como a segurança da informação, a gestão de fornecedores e a proteção de protótipos são avaliadas em toda a cadeia de suprimentos automotiva.
Cronograma — a data que toda empresa certificada TISAX® precisa conhecer
A partir de 1º de janeiro de 2027, a VDA ISA 2027 será obrigatória para qualquer avaliação TISAX® solicitada. Esta não é uma data indicativa — é o marco de corte oficial estabelecido pela VDA e pela ENX.
Até 31 de dezembro de 2026 — as avaliações ainda podem ser solicitadas e concluídas segundo o catálogo atual ISA 6.0.3.
A partir de 1º de janeiro de 2027 — a VDA ISA 2027 se torna obrigatória para qualquer nova avaliação solicitada, sem exceções.
Na prática, isso significa que:
Qualquer organização que solicite uma avaliação TISAX® antes de 31 de dezembro de 2026 ainda poderá concluí-la segundo o catálogo ISA 6.0.3.
Qualquer avaliação solicitada a partir de 1º de janeiro de 2027 deverá ser realizada segundo a VDA ISA 2027, com requisitos de documentação e processos mais rigorosos.
As certificações existentes permanecem válidas até sua data de expiração — não é necessário repetir uma avaliação já aprovada.
Qualquer recertificação ou nova solicitação apresentada após 1º de janeiro de 2027 ficará automaticamente sujeita ao novo catálogo.
Na prática, isso deixa às empresas pouco mais de um ano para revisar sua documentação, seus processos internos e suas relações com fornecedores antes que o novo padrão entre em vigor. Quanto antes essa revisão começar, menor será o risco de enfrentar prazos apertados ou uma auditoria feita às pressas.
Por que essa atualização foi necessária?
Essa atualização responde a duas realidades que mudaram significativamente desde a publicação da versão anterior do catálogo:
Um ambiente de risco crescente. O setor automotivo combina cadeias de suprimentos globais, produção digitalizada, veículos conectados e ambientes de desenvolvimento em nuvem. Esse nível de digitalização aumenta a eficiência do setor, mas também sua exposição a ataques cibernéticos, espionagem industrial e sabotagem. A própria VDA enquadra essa atualização como parte de uma estratégia mais ampla de proteção econômica do setor.
Uma base regulatória desatualizada. A ISO/IEC 27001, espinha dorsal técnica do TISAX®, foi atualizada em 2022 (edição ISO/IEC 27001:2022). A versão anterior do catálogo, a ISA 6.0.3, ainda fazia referência à edição de 2013 dessa norma. A VDA ISA 2027 corrige essa lacuna e, pela primeira vez, introduz um mapeamento direto com o NIST Cybersecurity Framework (CSF) 2.0, amplamente utilizado fora da Europa.
As mudanças mais relevantes na VDA ISA 2027
1. Alinhamento com padrões internacionais de segurança
O catálogo é atualizado para a ISO/IEC 27001:2022 e agora inclui um mapeamento direto com o NIST CSF 2.0. Na prática, isso facilita para organizações que já possuem um sistema de gestão de segurança da informação (SGSI) certificado alinharem seus processos com os requisitos do TISAX®, além de melhorar a comparabilidade internacional das avaliações.
2. Requisitos mais claros e vinculantes
A redação de diversos controles foi revisada para reduzir a ambiguidade entre empresas e auditores. Além disso, vários requisitos que antes eram opcionais — a própria VDA cita como exemplo determinadas medidas de segurança de senhas — passam a ser obrigatórios. O objetivo é alinhar o catálogo ao estado da arte atual em segurança.
3. Maior rigor na gestão de fornecedores de TI
As organizações precisarão demonstrar, com mais detalhamento e transparência, como avaliam e monitoram seus fornecedores críticos de TI. A Supplier Statement of Applicability (Supplier SoA) ganha mais peso dentro do processo de avaliação. Esse reforço responde ao fato de que uma parcela significativa dos incidentes de segurança na cadeia de suprimentos tem origem em terceiros.
4. Reestruturação completa do módulo de Proteção de Protótipos
O módulo que rege a proteção de veículos, peças ou componentes ainda não tornados públicos foi totalmente reorganizado: nova estrutura interna, controles fundidos, requisitos organizacionais adicionados e conteúdo desatualizado removido. O resultado, segundo a própria VDA, é uma implementação notavelmente mais simples na prática.
5. Maior integração entre segurança da informação e proteção de dados
A segurança da informação e a proteção de dados pessoais deixam de ser tratadas como assuntos separados. Isso permite que ambas as áreas sejam justificadas com evidências compartilhadas durante a auditoria, simplificando o processo para organizações que lidam com dados sensíveis de clientes, colaboradores ou parceiros.
O que as empresas certificadas TISAX® devem fazer agora?
As organizações que já possuem uma certificação TISAX® válida, ou que têm uma recertificação prevista para 2026 ou 2027, devem começar a se preparar o quanto antes. Especificamente, recomendamos:
Revisar a documentação atual em relação ao novo catálogo, para identificar lacunas e possíveis pontos fracos antes que o auditor o faça.
Atualizar os processos internos, principalmente aqueles relacionados à gestão de fornecedores de TI e, quando aplicável, à proteção de protótipos.
Formalizar medidas que antes eram voluntárias, como determinadas políticas de segurança, já que várias recomendações agora são obrigatórias.
Planejar a próxima auditoria com bastante antecedência, considerando se ela deve ser realizada segundo a ISA 6.0.3 (antes de 31/12/2026) ou já segundo a VDA ISA 2027.
Não deixar para o último trimestre de 2026: quanto mais as solicitações de avaliação se concentrarem perto do prazo, maior será a pressão sobre a disponibilidade de auditores e consultores.
As organizações que ainda não possuem a certificação TISAX® e estão avaliando iniciar o processo devem considerar seriamente fazê-lo diretamente segundo a VDA ISA 2027, evitando uma dupla adaptação em um curto período de tempo.
Na Ariol Automotive, apoiamos fabricantes e fornecedores de todo o setor em sua transição para a VDA ISA 2027, com o mesmo rigor que aplicamos até hoje em seus processos de certificação TISAX®. Se sua próxima avaliação está se aproximando, agora é o momento de começar a se preparar para ela.
